Szpiegostwo w Niemczech: z 7% do 37% w 3 lata

Szef bezpieczeństwa w niemieckiej średniej firmie planuje budżet według starego zagrożenia

Szef bezpieczeństwa w niemieckim średniej wielkości producencie obrabiarek siada we wrześniu, by przygotować budżet na kolejny rok. Rezerwuje niewielką pozycję na 'ryzyko państwowe', tak jak robił to przez ostatnie trzy lata: rzadkie, odległe ryzyko, które uzasadnia skromną, niemal ubezpieczeniową rezerwę i niewiele więcej. 26 sierpnia 2026 roku Bitkom, niemieckie stowarzyszenie branży cyfrowej, oraz BfV, niemiecki wywiad wewnętrzny, opublikowały badanie, które sprawia, że ta pozycja budżetowa wygląda na wyraźnie przestarzałą.

Badanie, nazwane Wirtschaftsschutz 2026, objęło niemieckie firmy pytaniami o kradzież danych, szpiegostwo przemysłowe i sabotaż w ciągu ostatnich dwunastu miesięcy. Wśród firm, które zgłosiły co najmniej jeden taki atak, 37% mogło przypisać co najmniej jedno zdarzenie zagranicznemu wywiadowi. Rok wcześniej ten sam wskaźnik wynosił 28%. W 2023 roku było to 7%. Mentalny model tego szefa bezpieczeństwa, który traktuje szpiegostwo jako marginalne ryzyko, nie został zaktualizowany o dane, które właśnie opublikowało jego własne stowarzyszenie branżowe.

Liczby w odstępie trzech lat

Bitkom i BfV przedstawiły dane na wspólnej konferencji prasowej w Berlinie. Ogółem 96% ankietowanych firm stwierdziło, że w ciągu ostatnich dwunastu miesięcy padło ofiarą jakiegoś ataku lub próby ataku, od kradzieży danych, przez sabotaż, po szpiegostwo przemysłowe. Całkowite szacowane straty dla niemieckiej gospodarki mieszczą się w przedziale od 211 do 270,8 miliarda euro, z czego około trzy czwarte przypisuje się konkretnie cyberatakom.

Trend kryjący się za tą łączną liczbą sprawia, że jest to problem decyzyjny, a nie tylko zła wiadomość. Udział przypisań do zagranicznego wywiadu wśród dotkniętych firm zmieniał się przy każdej edycji badania:

To niemal pięciokrotny wzrost w ciągu trzech lat, a sam skok z 28% do 37% w ciągu jednego roku jest większy niż cała wartość wyjściowa z 2023 roku.

Pułapka: planowanie budżetu według przestarzałego wskaźnika bazowego

Ta rozbieżność wskaźnika bazowego to ta sama pułapka decyzyjna, która pojawia się za każdym razem, gdy firma mierzy ryzyko raz i potem przestaje je aktualizować. Wskaźnik bazowy nie jest faktem, którego uczysz się raz i odkładasz na półkę, lecz liczbą, która się zmienia, a model ryzyka zbudowany na trzyletnim wskaźniku bazowym źle rozdziela każde kolejne euro. Traktowanie szpiegostwa państwowego jako egzotycznego, mało prawdopodobnego zdarzenia było uzasadnioną interpretacją danych w 2023 roku, gdy wskaźnik wynosił 7%. Nie jest to uzasadniona interpretacja w 2026 roku, gdy wskaźnik wynosi 37%.

Porównanie, które warto zrobić wewnętrznie, jest takie samo jak w przypadku ryzyka dostawców: firma nie kontynuowałaby zakupów u dostawcy, którego wskaźnik wad wzrósł pięciokrotnie w ciągu trzech lat, tylko dlatego, że pierwotna umowa zakładała niski wskaźnik wad. Budżet bezpieczeństwa zbudowany na przestarzałym wskaźniku bazowym to ten sam błąd, zastosowany do większej liczby.

Rola sztucznej inteligencji we wzroście liczb

Bitkom i BfV wskazały sztuczną inteligencję jako jeden z czynników napędzających zarówno liczbę, jak i wyrafinowanie ataków odnotowanych w badaniu. Narzędzia AI obniżają koszt rozpoznania celu, napisania przekonującej wiadomości phishingowej w płynnym niemieckim, czy zautomatyzowania pracy rozpoznawczej, która wcześniej zajmowała analitykowi dni. Nic z tego nie zmienia tego, co firma powinna robić inaczej, ale częściowo tłumaczy, dlaczego krzywa od 7% do 37% wygięła się w górę tak szybko.

Dla szefa bezpieczeństwa przygotowującego budżet na kolejny rok praktyczny wniosek jest taki, że narzędzia dostępne dla atakującego poprawiają się szybciej, niż większość wewnętrznych modeli ryzyka jest aktualizowana. Pozycja budżetowa napisana w 2023 roku zakładała atakującego z 2023 roku.

Co zmienić przed następnym cyklem budżetowym

Dane Bitkom i BfV dotyczą konkretnie Niemiec i tak też należy je czytać: nie mówią bezpośrednio nic o wskaźnikach przypisania we Francji, Holandii czy Wielkiej Brytanii. Jednak problem decyzyjny, który ilustrują, nie dotyczy tylko Niemiec. Każdy przedsiębiorca w UE lub Wielkiej Brytanii, który ostatni raz oszacował swoje ryzyko państwowe na podstawie założenia sprzed 2023 roku, pracuje na wskaźniku bazowym, który według samych niemieckich danych jest przestarzały.

Konkretnym rozwiązaniem nie jest większy budżet oparty na zaufaniu, lecz zaplanowana rekalibracja. Raz w roku sprawdzajcie aktualne wskaźniki przypisania zagrożeń dla własnej branży i kraju, porównujcie je z założeniem leżącym u podstaw ostatniego cyklu budżetowego i odpowiednio dostosowujcie podział między ogólną higienę cybernetyczną a ukierunkowane działania kontrwywiadowcze. Firma, która nie powtórzyła tego porównania od 2023 roku, z definicji planuje przeciwko poziomowi zagrożenia, który według samej niemieckiej służby wywiadowczej już nie obowiązuje.

Servola Journal

Robimy to dla wszystkich, którzy starają się nadążyć za tym, co technologia robi z naszym życiem. Dla ludzi, którzy ją budują, i dla ludzi, którym się to przydarza. Servola Journal istnieje, aby to, czego się uczymy, należało do nich wszystkich.

Nikt nam za to nie płaci. Żadnych reklam, żadnego muru płatności, za darmo dla wszystkich. Po prostu wierzymy, że zrozumienie tego, co dzieje się z nami wszystkimi, nie powinno zależeć od tego, kogo stać na zapłacenie za to.

Jeśli to dało ci dziś coś, powiedz nam, żebyśmy kontynuowali. Obserwuj nas, zostaw polubienie, albo napisz pozytywny komentarz. Czytamy każdy jeden, i to oni sprawiają, że działamy dalej.

Czytaj dalej: Pieniądze Na Drony Przyszły Przed Atakiem  |  Wentylatory Twojej Serwerowni Sprzedane za 5,4 mld Dolarów