Ausländische Geheimdienste stecken hinter mehr als einem Drittel der deutschen Cyberangriffe

Deutschlands Cyberangriffe sind zunehmend das Werk staatlicher Akteure, nicht nur krimineller Banden, die auf schnelles Geld aus sind. Neue Daten zeigen, dass ausländische Geheimdienste mit 37 % der aufgeklärten Cyberangriffe gegen deutsche Unternehmen im Jahr 2026 in Verbindung gebracht wurden – ein Anstieg um das Fünffache gegenüber lediglich 7 % im Jahr 2023. Diese Verschiebung markiert einen grundlegenden Wandel davon, wer deutsche Unternehmen ins Visier nimmt und warum, und verlagert die Diskussion von opportunistischer Cyberkriminalität hin zu organisierter, staatlich unterstützter Spionage.

Der Zeitpunkt ist entscheidend. Dieser Anstieg kommt gerade, als KI-Tools es Angreifern – ob kriminell oder staatlich gefördert – schneller und billiger machen, Schwachstellen zu scannen, Phishing-Kampagnen zu automatisieren und Eindringversuche hochzuskalieren. KI schafft keine neue Bedrohungskategorie, sondern verstärkt vielmehr das Volumen und die Geschwindigkeit bestehender Bedrohungen, sodass weniger Akteure gleichzeitig mehr Schaden an mehr Zielen anrichten können.

Ein Ransomware-Patt mit nationalen Sicherheitsimplikationen

Der sichtbarste Brennpunkt in diesem Trend betrifft die Ransomware-Gruppe Rhysida, die behauptete, 5,79 Terabyte deutscher Staatsdaten aus einem Netzwerk-Einbruch exfiltriert zu haben, der vor einer Wahl stattfand. Berlin weigerte sich, das Lösegeld zu zahlen – eine Entscheidung, die unterstreicht, wie Regierungen Ransomware-Vorfälle mit Staatsdaten zunehmend als Angelegenheiten der nationalen Sicherheit behandeln und nicht als einfache Erpressung, die stillschweigend gelöst wird.

Diese Weigerung spiegelt ein breiteres Muster wider, das sich global abspielt. Organisationen, die Ransomware-Gruppen zahlen, können sich ernsthaften rechtlichen Risiken aussetzen, insbesondere wenn die Angreifer mit sanktionierten Akteuren oder feindlichen Staaten verbunden sind. Wie in unserer Berichterstattung über Ransomware-Zahlungen und OFAC-Sanktionsrisiken dargelegt, stehen Unternehmen und Regierungen gleichermaßen unter wachsendem Druck, Zahlungen zu vermeiden, die unbeabsichtigt sanktionierte Akteure finanzieren könnten – selbst wenn die unmittelbare Kosten darin bestehen, dass gestohlene Daten auf den Servern einer kriminellen Gruppe liegen.

Die Vermischung krimineller Ransomware-Taktiken mit staatlichen Zielen, insbesondere rund um sensible politische Momente wie Wahlen, verdeutlicht, warum die Attribution so schwierig und zugleich so wichtig geworden ist. Die öffentlichen Behauptungen einer Ransomware-Gruppe erzählen nicht immer die ganze Geschichte darüber, wer die Operation in Auftrag gegeben hat oder warum.

Warum Attribution schwieriger wird, nicht einfacher

Einer der beunruhigendsten Aspekte in den deutschen Cyberangriffsdaten ist, dass Unternehmen bereits Schwierigkeiten haben, überhaupt zu bestätigen, dass Einbrüche stattgefunden haben, und zu identifizieren, wer verantwortlich ist. Das ist kein deutsches Spezifikum. Staatlich verknüpfte Cyberoperationen übernehmen zunehmend Techniken krimineller Ransomware-Banden, und kriminelle Gruppen operieren manchmal mit stillschweigender Billigung oder Ressourcen staatlicher Akteure, was die Grenze zwischen Spionage und finanziell motivierter Kriminalität verschwimmen lässt.

Dieses Muster beschränkt sich auch nicht auf Deutschland. Kritische Infrastruktur andernorts war ähnlichen staatlich verknüpften Einbrüchen ausgesetzt, wie etwa als ein iranisch verknüpfter Cyberangriff Wassersysteme in Minnesota traf und zeigte, wie Akteure im Umfeld ausländischer Geheimdienste bereit sind, weit über traditionelle Spionageziele wie Verteidigungsunternehmen oder Regierungsministerien hinaus Infrastruktur ins Visier zu nehmen. Deutschlands Erfahrung – mit ausländischen Geheimdiensten, die nun an über einem Drittel der Angriffe beteiligt sind – fügt sich in diesen breiteren Trend ein, dass Nationalstaaten Cyberoperationen gegen Unternehmen und öffentliche Systeme gleichermaßen normalisieren.

Auch Regierungen reagieren, indem sie ihre eigenen Ermittlungsbefugnisse ausweiten. Südkorea hat kürzlich beschlossen, seinem Geheimdienst zu erlauben, Unternehmens-Hacks bereits auf bloßen Verdacht hin zu untersuchen – ein Schritt, der in unserem Bericht über Südkoreas NIS erhält neue Ermittlungsbefugnisse detailliert beschrieben wird. Deutschlands steigende Zahlen ausländischer Geheimdienstangriffe könnten ähnliche Debatten im Inland darüber auslösen, wie viel Befugnis Sicherheitsbehörden benötigen, um staatlich verknüpfte Einbrüche zu untersuchen und zuzuschreiben.

Was das für Sie bedeutet

Wenn Sie bei einem deutschen Unternehmen arbeiten – oder in einer Organisation, die sensible Daten im Zusammenhang mit kritischer Infrastruktur, Wahlen oder Regierungsaufträgen verarbeitet – ist diese Datenlage ein Signal, Ihr Bedrohungsmodell neu zu bewerten. Ausländische Geheimdienste verhalten sich nicht unbedingt wie typische Ransomware-Banden. Ihre Ziele können langfristige Datensammlung, zeitlich auf politische Ereignisse abgestimmte Störungen oder die Positionierung für zukünftige Operationen umfassen – statt einer schnellen Lösegeldzahlung.

Für normale Verbraucher und Angestellte ist die praktische Erkenntnis bescheidener, aber dennoch wichtig. KI-beschleunigte Angriffe bedeuten, dass Phishing-E-Mails, gefälschte Login-Seiten und Social-Engineering-Versuche wahrscheinlich überzeugender und häufiger werden. Grundlegende Hygiene – einzigartige Passwörter, Multi-Faktor-Authentifizierung und Skepsis gegenüber unerwarteten Login-Aufforderungen – ist jetzt wichtiger, nicht weniger.

Kernaussagen

Der Sprung Deutschlands von 7 % auf 37 % bei Cyberangriffen mit ausländischem Geheimdienstbezug innerhalb von drei Jahren zeigt, dass staatlich geförderte Bedrohungen kein Nischenproblem mehr sind, das nur Verteidigungs- und Regierungssektoren betrifft. Unternehmen aller Branchen sollten unerklärliche Netzwerkanomalien bis zum Beweis des Gegenteils als potenziell staatlich verknüpft behandeln, in Incident-Response-Pläne investieren, die Lösegeldforderungen im Zusammenhang mit sensiblen Daten berücksichtigen, und wachsam gegenüber KI-verstärkten Phishing- und Eindringversuchen bleiben. Berlins Weigerung, Rhysidas Lösegeldforderung zu zahlen, spiegelt einen breiteren Wandel hin zur Behandlung dieser Vorfälle als strategische Bedrohungen statt als Routine-Cyberkriminalität wider – eine Denkweise, die auch jede Organisation mit wertvollen Daten übernehmen sollte.