„Wir springen nicht aus Helikoptern, um Eure Systeme zu patchen. Das müsst Ihr schon selber machen“: Bei ihrem ersten Auftritt beim Wirtschaftsschutztag des niedersächsischen Verfassungsschutzes in Hannover hatte Claudia Plattner die Lacher auf ihrer Seite. Die Präsidentin des Bundesamtes für Sicherheit in der Informationstechnik (BSI) machte vor fast 400 Wirtschaftsvertretern deutlich, dass es bei der Cybersicherheit vor allem auf Eigenverantwortung und Selbstschutz ankommt. „Unser größtes Problem sind die Angriffsflächen. Das ist das, was uns im digitalen Raum massiv verwundbar macht“, sagte Plattner. Trotz aller Erfolge der internationalen Strafverfolgungsbehörden gegen Cyberkriminelle zählt ihre Behörde immer mehr Fälle, in denen Schwachstellen in Computersystemen ausgenutzt, Daten ausgelesen und veröffentlicht werden. Den Anstieg erklärte die BSI-Präsidentin zum Teil mit der zunehmenden Digitalisierung, denn durch neue Anwendungen entstehen auch neue Schwachstellen. Teilweise machte sie aber auch die Unternehmen selbst verantwortlich, die den Ernst der Lage vielerorts noch gar nicht begriffen hätten.
„In den allermeisten Chefetagen ist noch gar nicht angekommen, dass es da ein Problem gibt. Cybersicherheit wird deutlich überschätzt“, sagte die frühere IT-Modernisiererin der Deutschen Bahn. Plattner stellte eine Umfrage vor, wonach 91 Prozent der befragten Manager die Cybersicherheit ihres Unternehmens als „sehr gut“ oder „eher gut“ beurteilen. Nach Informationen des BSI gibt es in Deutschland aber rund 33.000 E-Mail-Server von Unternehmen und Behörden im Eigenbetrieb, auf denen entscheidende Sicherheitsupdates fehlen. Diese sogenannten On-Premise-Exchange-Server sind besonders angreifbar, weil sie – anders als Cloud-Dienste – nicht automatisch aktualisiert werden. Wer sie nutzt, muss selbst dafür sorgen, dass Sicherheitslücken geschlossen werden, was aber vielerorts nicht passiert. „Über E-Mails ist man ruckzuck im System. Bitte patcht Eure Systeme“, appellierte Plattner. Außerdem ermahnte sie die Unternehmen zu einer besseren Kontrolle ihrer Nutzerrechte. „Jemand, der zehn Jahre nicht mehr im Betrieb gearbeitet hat, sollte vielleicht keine Administratorrechte mehr haben.“ Spätestens bei einem Ransomware-Angriff zeige sich zudem, dass ein nicht überschreibbares Backup der Unternehmensdaten von elementarer Bedeutung ist. Und Plattner riet dringend dazu, in der IT-Sicherheit zu priorisieren: „Macht Euch Gedanken darüber, was wirklich wichtig ist. Welche sind die Systeme, die innerhalb von einem Tag, einer Woche, einem Monat oder einem Jahr wieder laufen müssen. Dann wisst Ihr, wo Ihr anpacken müsst.“
Der niedersächsische Verfassungsschutzpräsident Dirk Pejril bestätigte die Einschätzung der BSI-Präsidentin. „Wenn wir die Angriffsfläche bieten, brauchen wir uns nicht wundern, wenn wir die Angriffe auch erleben", sagte er. Viele Schwachstellen sind seiner Einschätzung nach aber auch dadurch bedingt, dass wir in einem "sehr offenen, demokratischen und liberalen System" leben. Als Bahnfahrer wisse er genau, dass überlastete Systeme besonders verwundbar sind, weshalb gerade dort in Resilienz investiert werden müsse. „Es wird viel, viel teurer, wenn wir an dieser Stelle sparen", mahnte Pejril. Ebenso wie Plattner stellt er in den vergangenen Jahren eine deutliche Verschärfung der Sicherheitslage fest. "Die Bedrohungslage ist außergewöhnlich hoch – so wie noch nie in der Zeit nach dem Zweiten Weltkrieg. Und das wird sich auch nicht so schnell ändern", sagte der Verfassungsschutzpräsident.
Innenministerin Daniela Behrens (SPD) kündigte als Reaktion auf die steigende Zahl hybrider Bedrohungen eine noch bessere "Verzahnung" der Behörden auf allen Ebenen an, um die Stärkung der Cybersicherheit vor allem im Bereich der kritischen Infrastruktur weiter voranzutreiben. „Für andere Staaten ist Deutschland wegen seiner Innovations- und Wirtschaftskraft sowie seiner zentralen geografischen Lage von besonderem Interesse“, sagte Behrens. Pejril plädierte dafür, die Verantwortlichen klar beim Namen zu nennen – etwa bei der immer häufiger vorkommenden Spionage mit Drohnen. „Russland steckt hinter vielen Flügen, die professionellere Geräte betreffen", sagte der Verfassungsschutzpräsident.
Christopher Nehring vom Cyberintelligence Institute aus Frankfurt am Main machte russische Akteure wie die „Social Design Agency" oder das „Prawda“-Netzwerk für zahlreiche Desinformationskampagnen im Internet verantwortlich. Er stellte aber auch mehrere Angriffe chinesischen Ursprungs vor, die gezielt Falschinformationen verbreitet hatten. So habe es zwischen Dezember 2024 und Mai 2025 etwa einen gezielten Angriff durch KI-generierte Youtube-Videos auf die westliche Autoindustrie gegeben, während gleichzeitig die Stärke der chinesischen Branche betont worden sei. „Angst macht man in Deutschland über die Wirtschaft – dementsprechend groß fahren die Agenturen die Kampagnen gegen einzelne Unternehmen oder ganze Branchen", erklärte Nehring. Der Schaden, den Desinformationen in der US-Wirtschaft anrichtet, liegt laut Schätzungen im hohen zweistelligen Milliardenbereich. Für Deutschland liegen bislang keine Zahlen vor. Nehring beobachtet aber auch im europäischen Raum gezielte Internetkampagnen zur Aktienkursmanipulation, zum Imageschaden von Unternehmen oder zur Beeinflussung von Vergaben und Aufträgen.
"Gerade die Boykott-Aufrufe aufgrund von Falschinformationen werden immer häufiger. Politische Falschnachrichten werden mit Marke X kombiniert und dann in Verbindung mit einem Boykottaufruf herausgehauen", schilderte Nehring das Vorgehen der Täter. Desinformation sei billig zu produzieren, die Schadensbegrenzung dagegen aufwändig und teuer. Zudem seien die Angriffe durch ein schlechtes Monitoring, ein mangelndes Gefahrenbewusstsein und fehlende Zuständigkeit begünstigt. Hilflos seien die Firmen jedoch nicht, versicherte Nehring und riet den Unternehmen sich des Themas anzunehmen. Sein Wunsch für die Zukunft: Ein "Chief Disinformation Officer" in jedem größeren Unternehmen. Dass der russische Auslandsfernsehsender ein Jahresbudget von 1,5 Milliarden Euro habe, während die Bundesregierung gerade mal 80 Millionen Euro zum Kampf gegen Desinformation einplant, zeigt für Nehring ganz deutlich: „Die Bundesregierung nimmt das Thema auch nicht ernst.“
Kritisch gegenüber dem Bund äußerte sich auch Sven Herpig von der Denkfabrik „Interface“ (ehemals „Stiftung Neue Verantwortung“), die sich auf IT-Themen spezialisiert hat. Er bemängelte, dass die deutsche Cybersicherheitsarchitektur seit 2011 zunehmend ausfranse. „Allein auf Bundesebene zählen wir 77 Akteure, die irgendetwas mit Cybersicherheit zu tun haben“, sagte er. Zentrale Stellen wie das Nationale Cyber-Abwehrzentrum in Bonn könnten ihre Aufgaben aber nicht so bündeln, wie es nötig wäre – auch weil bis heute ein klarer Rechtsrahmen fehlt. „Durch eine Reform und eine Verbesserung der zentralen Akteure könnten wir sehr, sehr viel erreichen“, sagte Herpig. Der Bundesrechnungshof habe zudem festgestellt, dass mehrere zentrale Rechenzentren des Bundes nicht einmal über ein funktionsfähiges Backup verfügen. Vor diesem Hintergrund seien Forderungen nach sogenannten Cyberabwehrschlägen, wie sie Bundesinnenminister Alexander Dobrindt (CSU) jüngst erhoben habe, wenig zielführend. „Wir müssen unseren Kram vernünftig absichern, sonst bringt es auch nichts, wenn wir Sanktionen verhängen.“ Die Wirkung solcher Schläge schätzt Herpig ohnehin als begrenzt ein: „Es kann in Einzelfällen unter hohem Ressourceneinsatz dazu führen, dass etwas Druck vom Kessel genommen wird.“
Als weiteres Problem nannte Herpig den Fachkräftemangel. Es fehlten weniger hochspezialisierte Experten als vielmehr Leute, die alltägliche Sicherheitsaufgaben erledigten: Firewalls konfigurieren, Systeme patchen, Protokolle auswerten. „Ich brauche nicht in zehn Jahren zwanzig Leute, die einen Kryptoalgorithmus schreiben können. Ich brauche in sechs Monaten viele Leute, die Firewalls konfigurieren können“, sagte er und kritisierte, dass es bis heute keinen eigenständigen IHK-Ausbildungsberuf für Cybersicherheit gebe. „Kümmert Euch um Fachkräfte. Wenn Ihr sie nicht ausbildet, dann macht’s keiner“, appellierte er an die Unternehmer im Saal.
