Spionage-Anteil in Deutschland: von 7% auf 37%

Ein Sicherheitsverantwortlicher im Mittelstand plant mit altem Risiko

Ein Sicherheitsverantwortlicher eines mittelständischen deutschen Werkzeugmaschinenbauers setzt sich im September hin, um das Budget fürs nächste Jahr zu planen. Er reserviert eine kleine Position für 'staatliches Risiko', so wie es die letzten drei Jahre lief: ein seltenes, fernes Risiko, das eine bescheidene, versicherungsähnliche Rücklage rechtfertigt und sonst wenig. Am 26. August 2026 veröffentlichten Bitkom, der deutsche Digitalverband, und das Bundesamt für Verfassungsschutz (BfV) eine Studie, die diese Budgetposition veraltet aussehen lässt.

Die Studie mit dem Titel Wirtschaftsschutz 2026 befragte deutsche Unternehmen zu Datendiebstahl, Wirtschaftsspionage und Sabotage der vergangenen zwölf Monate. Von den Unternehmen, die mindestens einen solchen Angriff meldeten, konnten 37% mindestens einen Vorfall einem ausländischen Geheimdienst zuordnen. Ein Jahr zuvor lag dieser Wert bei 28%, im Jahr 2023 bei nur 7%. Das mentale Modell des Sicherheitsverantwortlichen, Spionage als Randrisiko zu behandeln, wurde nicht an die Daten des eigenen Wirtschaftsverbands angepasst.

Die Zahlen im Dreijahresvergleich

Bitkom und das BfV stellten die Zahlen bei einer gemeinsamen Pressekonferenz in Berlin vor. Insgesamt gaben 96% der befragten Unternehmen an, in den vergangenen zwölf Monaten von irgendeiner Form von Angriff oder Angriffsversuch betroffen gewesen zu sein, von Datendiebstahl über Sabotage bis Wirtschaftsspionage. Der Gesamtschaden für die deutsche Wirtschaft wird auf 211 bis 270,8 Milliarden Euro geschätzt, wobei rund drei Viertel davon auf Cyberangriffe im engeren Sinne entfallen.

Der Trend hinter dieser Schlagzeile macht daraus ein Entscheidungsproblem und nicht nur eine schlechte Nachricht. Die Zuordnung zu einem ausländischen Geheimdienst hat sich bei den betroffenen Unternehmen mit jeder Studienausgabe verschoben:

Das ist eine knappe Verfünffachung innerhalb von drei Jahren, und allein der Sprung von 28% auf 37% ist größer als der gesamte Ausgangswert von 2023.

Die Falle: Budgetplanung auf Basis einer veralteten Grundrate

Diese Grundraten-Fehleinschätzung ist dieselbe Entscheidungsfalle, die immer dann auftritt, wenn ein Unternehmen ein Risiko einmal bemisst und die Bewertung danach nicht mehr aktualisiert. Eine Grundrate ist keine Tatsache, die man einmal lernt und dann ablegt, sondern eine Zahl, die sich bewegt, und ein Risikomodell auf Basis einer drei Jahre alten Grundrate verteilt jeden folgenden Euro falsch. Staatliche Spionage als exotisches, unwahrscheinliches Ereignis zu behandeln, war 2023 bei einem Wert von 7% eine vertretbare Lesart der Datenlage. Bei einem Wert von 37% im Jahr 2026 ist diese Lesart nicht mehr haltbar.

Der Vergleich, der sich intern lohnt, ist derselbe wie beim Lieferantenrisiko: Ein Unternehmen würde nicht weiter bei einem Zulieferer einkaufen, dessen Fehlerquote sich in drei Jahren verfünffacht hat, nur weil der ursprüngliche Vertrag von einer niedrigen Fehlerquote ausging. Ein Sicherheitsbudget auf Basis einer veralteten Grundrate ist derselbe Fehler, nur mit einer größeren Zahl.

Welche Rolle KI beim Anstieg der Zahlen spielt

Bitkom und das BfV nannten künstliche Intelligenz als einen Treiber sowohl für die Menge als auch für die Raffinesse der in der Studie erfassten Angriffe. KI-Werkzeuge senken die Kosten für die Recherche eines Ziels, das Verfassen einer überzeugenden Phishing-Ansprache in flüssigem Deutsch oder die Automatisierung von Aufklärungsarbeit, für die früher ein menschlicher Analyst Tage brauchte. Das ändert nichts an dem, was ein Unternehmen konkret anders tun sollte, erklärt aber einen Teil, warum sich die Kurve von 7% auf 37% so schnell nach oben gebogen hat.

Für einen Sicherheitsverantwortlichen, der das Budget fürs nächste Jahr plant, heißt das in der Praxis: Die Werkzeuge eines Angreifers verbessern sich schneller, als die meisten internen Risikomodelle überarbeitet werden. Eine 2023 geschriebene Budgetposition ging von einem Angreifer aus dem Jahr 2023 aus.

Was vor dem nächsten Budgetzyklus zu ändern ist

Die Zahlen von Bitkom und BfV beziehen sich konkret auf Deutschland und sollten auch so gelesen werden: Sie sagen nichts unmittelbar über Zuordnungsraten in Frankreich, den Niederlanden oder Großbritannien aus. Das Entscheidungsproblem, das sie zeigen, ist jedoch nicht deutschlandspezifisch. Jeder Unternehmer in der EU oder in Großbritannien, der sein staatliches Risiko zuletzt anhand einer Annahme von vor 2023 bemessen hat, arbeitet mit einer Grundrate, die laut den deutschen Daten veraltet ist.

Die konkrete Abhilfe ist kein größeres Budget aus Vertrauen, sondern eine terminierte Neubewertung. Ziehen Sie einmal jährlich die aktuellen Zuordnungszahlen für die eigene Branche und das eigene Land heran, vergleichen Sie sie mit der Annahme, die im letzten Budgetzyklus steckte, und passen Sie die Aufteilung zwischen allgemeiner Cyberhygiene und gezielten Gegenspionage-Maßnahmen entsprechend an. Ein Unternehmen, das diesen Vergleich seit 2023 nicht wiederholt hat, plant per Definition gegen ein Bedrohungsniveau, das laut dem eigenen deutschen Nachrichtendienst nicht mehr gilt.

Servola Journal

Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.

Weiterlesen: Das Abwehrgeld kam vor dem Anschlag in Leipzig  |  Ihre Serverlüfter Werden Für 5,4 Milliarden Dollar Verkauft