Buitenlandse inlichtingendiensten nu achter meer dan een derde van Duitse cyberaanvallen

De cyberaanvallen op Duitsland zijn steeds vaker het werk van staatsactoren, niet alleen criminele bendes die op zoek zijn naar financieel gewin. Nieuwe gegevens tonen aan dat buitenlandse inlichtingendiensten verband houden met 37% van de toegeschreven cyberaanvallen op Duitse bedrijven in 2026, een vijfvoudige stijging ten opzichte van slechts 7% in 2023. Deze verschuiving markeert een fundamentele verandering in wie Duitse bedrijven target en waarom, en verplaatst het gesprek van opportunistische cybercriminaliteit naar georganiseerde, door de staat gesteunde spionage.

De timing is belangrijk. Deze toename komt terwijl kunstmatige-intelligentietools het voor aanvallers, zowel crimineel als door de staat gesponsord, sneller en goedkoper maken om kwetsbaarheden te scannen, phishingcampagnes te automatiseren en inbraakpogingen op te schalen. AI creëert geen nieuwe categorie van dreiging, maar versterkt vooral het volume en de snelheid van bestaande dreigingen, waardoor minder operators meer schade kunnen aanrichten op meer targets tegelijk.

Een ransomware-standoff met nationale veiligheidsbelangen

Het meest zichtbare brandpunt in deze trend betreft de Rhysida-ransomwaregroep, die beweerde 5,79 terabyte aan Duitse overheidsgegevens te hebben geëxfiltreerd via een netwerkinbreuk die plaatsvond vóór een verkiezing. Berlijn weigerde het losgeld te betalen, een beslissing die onderstreept hoe overheden ransomware-incidenten met overheidsgegevens steeds meer behandelen als kwesties van nationale veiligheid in plaats van simpele afpersing die stil moet worden opgelost.

Die weigering weerspiegelt een breder patroon dat wereldwijd speelt. Organisaties die ransomwaregroepen betalen, kunnen te maken krijgen met ernstige juridische blootstelling, vooral wanneer de aanvallers verbonden zijn aan gesanctioneerde entiteiten of vijandige staten. Zoals uiteengezet in onze berichtgeving over ransomwarebetalingen en OFAC-sanctierisico, staan zowel bedrijven als overheden onder toenemende druk om betalingen te vermijden die onbedoeld gesanctioneerde actoren zouden kunnen financieren, zelfs wanneer de onmiddellijke kosten bestaan uit gestolen gegevens die op de servers van een criminele groep liggen.

De vermenging van criminele ransomware-tactieken met doelen op staatsniveau, vooral rond gevoelige politieke momenten zoals verkiezingen, illustreert waarom attributie zo moeilijk en zo belangrijk is geworden. De publieke claims van een ransomwaregroep vertellen niet altijd het volledige verhaal over wie de operatie heeft bevolen of waarom.

Waarom attributie moeilijker wordt, niet makkelijker

Een van de zorgwekkendere draden in de Duitse cyberaanvalgegevens is dat bedrijven moeite hebben om simpelweg te bevestigen dat er inbraken hebben plaatsgevonden en om te identificeren wie verantwoordelijk was. Dit is niet uniek voor Duitsland. Door de staat gelinkte cyberoperaties lenen steeds vaker technieken van criminele ransomwarebendes, en criminele groepen opereren soms met stilzwijgende goedkeuring of middelen van staatsactoren, waardoor de grens tussen spionage en financieel gemotiveerde criminaliteit vervaagt.

Dit patroon beperkt zich ook niet tot Duitsland. Kritieke infrastructuur elders heeft te maken gehad met soortgelijke door de staat gelinkte inbraken, zoals te zien was toen een Iraans-gelinkte cyberaanval watersystemen in Minnesota trof, wat laat zien dat actoren die verwant zijn aan buitenlandse inlichtingendiensten bereid zijn om infrastructuur aan te vallen die veel verder gaat dan traditionele spionagedoelen zoals defensieaannemers of overheidsministeries. De Duitse ervaring, waarbij buitenlandse inlichtingendiensten nu betrokken zijn bij meer dan een derde van de aanvallen, past in deze bredere trend van natiestaten die cyberoperaties tegen zowel bedrijven als publieke systemen normaliseren.

Overheden reageren door ook hun eigen onderzoeksbevoegdheden uit te breiden. Zuid-Korea heeft onlangs toegestaan dat zijn inlichtingendienst bedrijfshacks op basis van louter vermoedens onderzoekt, een stap die wordt beschreven in ons rapport over Zuid-Korea's NIS die nieuwe onderzoeksbevoegdheid krijgt. De stijgende aantallen buitenlandse inlichtingenaanvallen in Duitsland kunnen soortgelijke binnenlandse debatten oproepen over hoeveel bevoegdheid veiligheidsdiensten nodig hebben om door de staat gelinkte inbreuken te onderzoeken en toe te schrijven.

Wat dit voor u betekent

Als u bij een Duits bedrijf werkt, of bij een organisatie die gevoelige gegevens verwerkt die verband houden met kritieke infrastructuur, verkiezingen of overheidscontracten, is deze data een signaal om uw dreigingsmodel opnieuw te beoordelen. Buitenlandse inlichtingendiensten gedragen zich niet noodzakelijkerwijs zoals typische ransomwarebendes. Hun doelen kunnen bestaan uit langdurige gegevensverzameling, verstoring die is afgestemd op politieke gebeurtenissen, of positionering voor toekomstige operaties in plaats van een snelle uitbetaling.

Voor gewone consumenten en werknemers is de praktische conclusie bescheidener maar nog steeds belangrijk. Door AI versnelde aanvallen betekenen dat phishing-e-mails, nep-inlogpagina's en social engineering-pogingen waarschijnlijk overtuigender en frequenter zullen worden. Basishygiëne, unieke wachtwoorden, multi-factor authenticatie en scepsis tegenover onverwachte inlogprompts, is nu belangrijker, niet minder.

Belangrijkste conclusies

De sprong van Duitsland van 7% naar 37% in cyberaanvallen die verband houden met buitenlandse inlichtingendiensten in drie jaar tijd laat zien dat door de staat gesponsorde dreigingen niet langer een nichemotief zijn dat voorbehouden is aan defensie- en overheidsectoren. Bedrijven in alle sectoren moeten onverklaarbare netwerkanomalieën als potentieel door de staat gelinkt behandelen totdat het tegendeel is bewezen, investeren in incidentresponsplannen die rekening houden met losgeldelsen die verband houden met gevoelige gegevens, en alert blijven op AI-verbeterde phishing- en inbraakpogingen. De weigering van Berlijn om het losgeld van Rhysida te betalen weerspiegelt een bredere verschuiving naar het behandelen van deze incidenten als strategische dreigingen in plaats van routine cybercriminaliteit, een mentaliteit die elke organisatie die waardevolle gegevens verwerkt ook zou moeten gaan toepassen.