Spionageaandeel Duitsland: van 7% naar 37% in 3 jaar

Een security lead bij een Duitse mkb-fabrikant begroot met een oude dreiging

De security lead van een Duitse middelgrote fabrikant van gereedschapsmachines gaat in september aan de slag met het budget voor volgend jaar. Hij reserveert een klein bedrag onder 'statelijk risico', zoals de afgelopen drie jaar gebruikelijk was: een zeldzaam, ver weg risico, dat een bescheiden, bijna verzekeringsachtige reservering rechtvaardigt en verder weinig. Op 26 augustus 2026 publiceerden Bitkom, de Duitse brancheorganisatie voor de digitale industrie, en de BfV, de Duitse binnenlandse veiligheidsdienst, een onderzoek dat deze budgetregel duidelijk verouderd laat lijken.

Het onderzoek, Wirtschaftsschutz 2026 genaamd, ondervroeg Duitse bedrijven over datadiefstal, industriële spionage en sabotage in de afgelopen twaalf maanden. Van de bedrijven die aangaven minstens een dergelijke aanval te hebben meegemaakt, kon 37% minstens een incident toeschrijven aan een buitenlandse inlichtingendienst. Een jaar eerder lag dit cijfer op 28%. In 2023 was het 7%. Het mentale model van deze security lead, die spionage als een marginaal risico behandelt, is niet bijgewerkt met de cijfers die zijn eigen brancheorganisatie zojuist publiceerde.

De cijfers, drie jaar na elkaar

Bitkom en de BfV presenteerden de cijfers tijdens een gezamenlijke persconferentie in Berlijn. In totaal gaf 96% van de ondervraagde bedrijven aan het afgelopen jaar te maken te hebben gehad met een vorm van aanval of poging tot aanval, van datadiefstal tot sabotage tot industriële spionage. De totale geschatte schade voor de Duitse economie ligt tussen 211 en 270,8 miljard euro, waarvan ongeveer driekwart specifiek wordt toegeschreven aan cyberaanvallen.

De trend achter dat totaalcijfer maakt dit tot een beslissingsprobleem in plaats van alleen een slecht bericht. De toewijzing aan een buitenlandse inlichtingendienst is bij elke editie van het onderzoek verschoven:

Dat is bijna een vervijfvoudiging in drie jaar tijd, en alleen al de sprong van 28% naar 37% in een jaar is groter dan het volledige uitgangscijfer van 2023.

De valkuil: begroten op een verouderd basispercentage

Deze mismatch in het basispercentage is dezelfde beslissingsval die steeds opduikt wanneer een bedrijf een risico eenmalig meet en de inschatting daarna niet meer bijwerkt. Een basispercentage is geen feit dat je eenmaal leert en vervolgens archiveert, maar een cijfer dat beweegt, en een risicomodel gebouwd op een drie jaar oud basispercentage verdeelt elke volgende euro verkeerd. Statelijke spionage behandelen als een exotische, onwaarschijnlijke gebeurtenis was in 2023 een verdedigbare lezing van de gegevens, toen het cijfer 7% was. Het is geen verdedigbare lezing in 2026, nu het cijfer 37% is.

De vergelijking die het waard is om intern te maken, is dezelfde als bij leveranciersrisico: een bedrijf zou niet blijven inkopen bij een leverancier wiens foutpercentage in drie jaar was vervijfvoudigd, alleen omdat het oorspronkelijke contract uitging van een laag foutpercentage. Een beveiligingsbudget gebouwd op een verouderd basispercentage is dezelfde fout, toegepast op een groter getal.

De rol van AI in de stijgende cijfers

Bitkom en de BfV noemden kunstmatige intelligentie als een van de factoren die zowel het volume als de verfijning van de in het onderzoek geregistreerde aanvallen aanjagen. AI-tools verlagen de kosten van het onderzoeken van een doelwit, het opstellen van een overtuigende phishingpoging in vloeiend Duits, of het automatiseren van verkenningswerk waar een menselijke analist vroeger dagen voor nodig had. Dit verandert niets aan wat een bedrijf anders zou moeten doen, maar verklaart wel deels waarom de curve van 7% naar 37% zo snel omhoog is gebogen.

Voor een security lead die het budget voor volgend jaar voorbereidt, is de praktische conclusie dat de tools van een aanvaller sneller verbeteren dan de meeste interne risicomodellen worden herzien. Een budgetregel geschreven in 2023 ging uit van een aanvaller uit 2023.

Wat te veranderen voor de volgende begrotingscyclus

De cijfers van Bitkom en de BfV zijn specifiek voor Duitsland en moeten ook zo worden gelezen: ze zeggen niets rechtstreeks over toewijzingspercentages in Frankrijk, Nederland of het Verenigd Koninkrijk. Maar het beslissingsprobleem dat ze illustreren, is niet uniek voor Duitsland. Elke ondernemer in de EU of het Verenigd Koninkrijk die zijn statelijk risico voor het laatst heeft ingeschat op basis van een aanname van voor 2023, werkt met een basispercentage dat volgens de Duitse gegevens zelf verouderd is.

De concrete oplossing is geen groter budget op vertrouwen, maar een geplande herijking. Haal jaarlijks de actuele dreigingstoewijzingscijfers voor uw eigen sector en land op, vergelijk ze met de aanname die aan uw laatste begrotingscyclus ten grondslag lag, en pas de verdeling tussen algemene cyberhygiëne en gerichte contraspionagemaatregelen daarop aan. Een bedrijf dat deze vergelijking sinds 2023 niet heeft herhaald, plant per definitie tegen een dreigingsniveau dat volgens de eigen Duitse inlichtingendienst niet meer geldt.

Servola Journal

We doen dit voor iedereen die probeert bij te blijven met wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Servola Journal bestaat zodat wat we leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. We geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet zou moeten afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit je vandaag iets heeft gegeven, zeg ons dan om door te gaan. Volg ons, laat een like achter, of schrijf een positieve reactie. We lezen ze allemaal, en ze zijn wat ons op de been houdt.

Lees hierna: Het Anti-Dronegeld Kwam Voor De Aanval  |  Uw Serverventilatoren Worden Verkocht Voor $5,4 Miljard