Utenlandsk etterretning står nå bak mer enn en tredel av tyske cyberangrep

Tysklands cyberangrep blir i økende grad utført av statlige aktører, ikke bare kriminelle gjenger som jakter på raske penger. Nye data viser at utenlandske etterretningstjenester var knyttet til 37 % av tilskrevne cyberangrep mot tyske selskaper i 2026, en femdobling fra bare 7 % i 2023. Dette skiftet markerer en grunnleggende endring i hvem som retter seg mot tyske bedrifter og hvorfor, og flytter samtalen fra opportunistisk nettkriminalitet til organisert, statlig støttet spionasje.

Timingen betyr noe. Denne økningen kommer samtidig som verktøy for kunstig intelligens gjør det raskere og billigere for angripere, enten de er kriminelle eller statlig støttede, å skanne etter sårbarheter, automatisere phishing-kampanjer og skalere opp inntrengningsforsøk. AI skaper ikke en ny trusselkategori så mye som den øker volumet og hastigheten på eksisterende trusler, og lar færre operatører gjøre mer skade på flere mål samtidig.

En løsepengevare-standoff med nasjonale sikkerhetsinteresser

Det mest synlige flammepunktet i denne trenden involverer løsepengevare-gruppen Rhysida, som hevdet å ha eksfiltrert 5,79 terabyte med tyske offentlige data fra et nettverksbrudd som skjedde i forkant av et valg. Berlin nektet å betale løsepengekravet, en beslutning som understreker hvordan myndigheter i økende grad behandler løsepengevare-hendelser som involverer offentlige data som nasjonale sikkerhetsspørsmål snarere enn enkel utpressing som skal løses i stillhet.

Denne nektelsen gjenspeiler et bredere mønster som utspiller seg globalt. Organisasjoner som betaler løsepengevare-grupper kan møte alvorlig juridisk eksponering, særlig når angriperne er knyttet til sanksjonerte enheter eller fiendtlige stater. Som skissert i vår dekning av løsepengevare-betalinger og OFAC-sanksjonsrisiko, står både selskaper og myndigheter under økende press for å unngå betalinger som uforvarende kan finansiere sanksjonerte aktører, selv når den umiddelbare kostnaden er stjålne data som sitter på en kriminell gruppes servere.

Blandingen av kriminelle løsepengevare-taktikker med statlige mål, spesielt rundt sensitive politiske øyeblikk som valg, illustrerer hvorfor attribusjon har blitt så vanskelig og så viktig. En løsepengevare-gruppes offentlige påstander forteller ikke alltid hele historien om hvem som bestilte operasjonen eller hvorfor.

Hvorfor attribusjon blir vanskeligere, ikke enklere

En av de mer bekymringsfulle trådene i Tysklands cyberangrepsdata er at selskaper sliter med å bekrefte at inntrengninger har skjedd og identifisere hvem som var ansvarlig. Dette er ikke unikt for Tyskland. Statstilknyttede cyberoperasjoner låner i økende grad teknikker fra kriminelle løsepengevare-gjenger, og kriminelle grupper opererer noen ganger med stilltiende godkjenning eller ressurser fra statlige aktører, noe som visker ut grensen mellom spionasje og økonomisk motivert kriminalitet.

Dette mønsteret er heller ikke begrenset til Tyskland. Kritisk infrastruktur andre steder har opplevd lignende statstilknyttede inntrengninger, som sett da et iransk-tilknyttet cyberangrep rammet vannsystemer i Minnesota, noe som viser hvordan aktører tilknyttet utenlandsk etterretning er villige til å ramme infrastruktur langt utover tradisjonelle spionasjemål som forsvarsentreprenører eller offentlige departementer. Tysklands erfaring, med utenlandske etterretningstjenester nå involvert i over en tredel av angrepene, passer inn i denne bredere trenden der nasjonalstater normaliserer cyberoperasjoner mot både selskaper og offentlige systemer.

Myndigheter svarer også ved å utvide sine egne etterforskningsfullmakter. Sør-Korea flyttet nylig for å la sin etterretningstjeneste granske bedriftshack basert på mistanke alene, et steg som er beskrevet i vår rapport om Sør-Koreas NIS får ny etterforskningsmyndighet. Tysklands økende antall utenlandske etterretningsangrep kan utløse lignende debatter nasjonalt om hvor mye myndighet sikkerhetsetater trenger for å etterforske og tilskrive statstilknyttede brudd.

Hva dette betyr for deg

Hvis du jobber i et tysk selskap, eller en hvilken som helst organisasjon som håndterer sensitive data knyttet til kritisk infrastruktur, valg eller offentlige kontrakter, er disse dataene et signal om å vurdere trusselmodellen din på nytt. Utenlandske etterretningstjenester oppfører seg ikke nødvendigvis som typiske løsepengevare-gjenger. Målene deres kan inkludere langsiktig datainnsamling, forstyrrelser timet til politiske hendelser, eller posisjonering for fremtidige operasjoner snarere enn en rask utbetaling.

For vanlige forbrukere og ansatte er den praktiske lærdommen mer beskjeden, men fortsatt viktig. AI-akselererte angrep betyr at phishing-e-poster, falske påloggingssider og sosial manipulasjonsforsøk sannsynligvis vil bli mer overbevisende og mer hyppige. Grunnleggende hygiene, unike passord, flerfaktorautentisering og skepsis til uventede påloggingsforespørsler betyr mer nå, ikke mindre.

Viktige konklusjoner

Tysklands hopp fra 7 % til 37 % i utenlandsk etterretningstilknyttede cyberangrep over tre år viser at statlig støttede trusler ikke lenger er et nisjeproblem forbeholdt forsvar- og offentlig sektor. Selskaper på tvers av bransjer bør behandle uforklarlige nettverksavvik som potensielt statstilknyttede inntil det motsatte er bevist, investere i hendelsesresponsplaner som tar høyde for løsepengevare-krav knyttet til sensitive data, og være oppmerksomme på AI-forsterkede phishing- og inntrengningsforsøk. Berlins nektelse av å betale Rhysidas løsepengekrav gjenspeiler et bredere skifte mot å behandle disse hendelsene som strategiske trusler snarere enn rutinemessig nettkriminalitet, en tankegang som enhver organisasjon som håndterer verdifulle data bør begynne å ta i bruk også.