Cyberangriffe können den Arbeitsalltag innerhalb von Sekunden lahmlegen - viele Unternehmen sehen sich auf solche Störungen noch nicht ausreichend vorbereitet. Foto: Andrey Popov - stock.adobe.com
Cyberattacken, Spionage, Sabotage und Desinformation werden zunehmend auch im Zusammenhang mit geopolitischen Konflikten betrachtet. Unternehmen geraten dabei nicht nur wegen wirtschaftlicher Interessen ins Visier. Angriffe können zugleich darauf abzielen, Abläufe zu stören, Unsicherheit zu erzeugen oder wichtige Strukturen zu schwächen. Eine aktuelle Auswertung des Instituts der deutschen Wirtschaft (IW) zeigt, dass 19 Prozent der befragten Unternehmen in Deutschland starke oder sehr starke Auswirkungen hybrider Bedrohungen ausländischer Akteure wahrgenommen haben.
Für den IW-Kurzbericht wurden Daten aus dem IW-Zukunftspanel ausgewertet. An der Befragung im Sommer 2026 nahmen 1041 Unternehmen teil. Unter den Betrieben mit mindestens 250 Beschäftigten berichten 39 Prozent von starken oder sehr starken Auswirkungen. Bei mittelgroßen Unternehmen mit 50 bis 249 Beschäftigten sind es 27 Prozent. Die Zahlen erfassen dabei nicht die reine Zahl registrierter Angriffe, sondern die Einschätzung der Unternehmen, wie stark sie deren Folgen spüren.
Am höchsten fällt der Anteil in der Informations- und Kommunikationswirtschaft aus. Dort geben 33,1 Prozent der Unternehmen starke oder sehr starke Auswirkungen an. In der Energie-, Wasser- und Entsorgungswirtschaft sind es 23,1 Prozent, bei wirtschaftsnahen Dienstleistungen 19,5 Prozent. Es folgen das verarbeitende Gewerbe mit 17,4 Prozent sowie Großhandel, Verkehr und Logistik mit 15,7 Prozent.
Gerade in Branchen mit wichtiger Funktion für Versorgung, Kommunikation und wirtschaftliche Abläufe können Störungen weit über das einzelne Unternehmen hinausreichen. Fallen zentrale Systeme aus, können Lieferketten, Produktion oder Dienstleistungen beeinträchtigt werden.
Hybride Bedrohungen verbinden unterschiedliche Formen der Einflussnahme. Dazu zählen etwa Cyberangriffe, wirtschaftlicher Druck, verdeckte politische Einflussnahme, Desinformation oder Sabotage. Die Kombination verschiedener Methoden erschwert häufig die Zuordnung der Verantwortlichen.
Der IW-Kurzbericht verweist in diesem Zusammenhang auch auf Zahlen des Digitalverbands Bitkom für 2025. Demnach summierten sich die Schäden durch Datendiebstahl, Industriespionage und Sabotage in der deutschen Wirtschaft auf 289,2 Milliarden Euro. Die Summe umfasst allerdings ein breiteres Spektrum krimineller und sonstiger Angriffe und ist nicht ausschließlich hybriden oder staatlich gesteuerten Attacken zuzurechnen. Von den Gesamtschäden entfielen laut Bitkom rund 202,4 Milliarden Euro beziehungsweise etwa 70 Prozent auf Cyberangriffe. Jeweils 46 Prozent der betroffenen Unternehmen konnten mindestens einen Angriff Russland beziehungsweise China zuordnen. 31 Prozent konnten kein Herkunftsland feststellen.
Die Zuordnung zu einem Staat bedeutet dabei nicht automatisch, dass ein Angriff auch staatlich gesteuert wurde. Bitkom ermittelte separat, dass 28 Prozent der betroffenen Unternehmen mindestens einen Angriff einem ausländischen Nachrichtendienst zuordneten. Das IW sieht in der Entwicklung dennoch eine zunehmende geopolitische Dimension.
Bei der IT-Sicherheit haben zahlreiche Unternehmen ihre Schutzmaßnahmen verstärkt. In anderen Bereichen bestehen jedoch weiterhin Lücken. Nur ein kleinerer Teil hat zusätzliche Mittel in die Absicherung der eigenen Energieversorgung investiert. Eine Mehrheit der befragten Unternehmen verfügt nach Angaben des IW nicht über Notfallpläne für den Ausfall kritischer Infrastruktur. Auch die Zusammenarbeit mit Sicherheitsbehörden ist bislang wenig ausgeprägt. Der überwiegende Teil der Unternehmen tauscht sich nicht regelmäßig über mögliche Gefahren, Notfallpläne und Schutzstrategien aus. Bei großen Unternehmen des verarbeitenden Gewerbes zeigen sich weitere Schwachstellen. Einer früheren IW-Untersuchung zufolge verfügen mehr als 46 Prozent nicht über einen wirksamen Werkschutz. Gegen Desinformation haben 44 Prozent entsprechende Maßnahmen getroffen, gegen Spionage 63 Prozent. Aus Sicht des IW zeigt sich darin ein grundlegendes Problem: Viele Unternehmen investieren zwar in einzelne Schutzbereiche, sind aber auf länger andauernde Störungen oder den Ausfall wichtiger Infrastruktur noch nicht ausreichend vorbereitet.
Neben technischen Schutzmaßnahmen gewinnt auch die organisatorische Vorbereitung an Bedeutung. Unternehmen müssen festlegen, welche Prozesse im Krisenfall zuerst gesichert werden, wer Entscheidungen trifft und wie Beschäftigte, Kunden oder Lieferanten informiert werden. Ebenso wichtig ist, Abhängigkeiten von externen Dienstleistern und Versorgern zu kennen. Regelmäßige Übungen können zeigen, ob Notfallpläne im Ernstfall tatsächlich funktionieren. Gerade längere Ausfälle machen deutlich, dass Resilienz nicht allein eine Aufgabe der IT-Abteilung ist, sondern mehrere Bereiche eines Unternehmens dauerhaft und systematisch betrifft. Seit dem 17. März 2026 ist das KRITIS-Dachgesetz in Kraft. Es schafft erstmals einen bundeseinheitlichen und sektorenübergreifenden Rechtsrahmen für die physische Resilienz kritischer Infrastrukturen. Vorgesehen sind unter anderem Risikoanalysen, Schutzmaßnahmen und Meldepflichten.
Einzelne Vorgaben werden jedoch weiterhin durch Rechtsverordnungen konkretisiert. Das IW bewertet den neuen Rechtsrahmen grundsätzlich als wichtigen Schritt, sieht aber weiterhin Herausforderungen bei Zuständigkeiten zwischen Bund und Ländern sowie bei der Umsetzung. Die Autoren betonen zugleich, dass Unternehmen staatlich gesteuerten Angriffen nur begrenzt aus eigener Kraft begegnen können. Aus ihrer Sicht muss der Staat seine Fähigkeiten zur Abwehr und Aufklärung ausbauen und enger mit der Wirtschaft zusammenarbeiten.
Für die Betriebe bleibt parallel die Aufgabe, eigene Schwachstellen zu erkennen und ihre Vorsorge breiter aufzustellen. Dazu gehören neben IT-Sicherheit auch Notfallplanung, Energieversorgung, Gebäudeschutz und die Vorbereitung auf länger anhaltende Ausfälle. Wirtschaftssicherheit wird damit zunehmend Teil des betrieblichen Risikomanagements. red/IW
