Cyberattacken auf Deutschland: Stecken wir schon im Cyberkrieg und was heißt das für KMU?

Hybrider Konflikt statt „klassischem“ Krieg

Die Angriffe kommen leise. Statt Luftalarm deuten gefälschte E-Mails, lahmgelegte IT-Systeme, verschlüsselte Daten darauf hin, dass Cyberkonflikte sich verschärfen. Auch deutsche Unternehmen sind davon zunehmend betroffen: Laut einer aktuellen Cyberresilienz-Studie von Proliance erlebten 67 Prozent der KMU in den letzten zwölf Monaten mindestens einen Cyberangriff.  

Was auf den ersten Blick wie einzelne Sicherheitsvorfälle wirkt, folgt längst einer größeren Logik: Die Angreifer testen, wie widerstandsfähig Deutschland und seine Unternehmen sind. Dafür nutzen sie eine Mischung aus Spionage mit Drohnen, Sabotage kritischer Infrastrukturen und Cyberattacken.  

Die Verknüpfung verschiedener Mittel bezeichnen Experten als „hybriden Konflikt“. Genau das beobachtet auch die Bundesregierung. Im O-Plan, einem neuen Verteidigungsplan für Krisen- und Verteidigungsfälle, warnt das Verteidigungsministerium erstmals ausdrücklich davor, dass Sabotageakte, Cyberangriffe und Desinformationskampagnen die mögliche Vorstufe eines digitalen Kriegs sein könnten.  

Ziele der Angreifer: Staat schwächen, Gesellschaft spalten

Sicherheitsbehörden wie Verfassungsschutz und BKA berichten seit Beginn des Ukraine-Kriegs von einer deutlichen Zunahme hybrider Aktivitäten insbesondere mit russischem Hintergrund. Es sind viele kleine Angriffe, die im Einzelnen verkraftbar wirken, jedoch ein gemeinsames Ziel verfolgen: Staat, Wirtschaft und Gesellschaft schrittweise zu schwächen.

Desinformationskampagnen, die Fake-Videos über Kanzler Merz nutzen, oder manipulierte Wahlinformationen zur Bundestagswahl, sollen Spitzenpolitiker diskreditieren, das Vertrauen in den Staat und die Demokratie weiter erschüttern. Hochvernetzte Industriestaaten wie Deutschland sind dabei laut BSI nicht nur im Visier staatlich gelenkten Gruppen aus Russland, sondern auch aus China, Nordkorea oder dem Iran.

Auffallend ist dabei der zunehmende Einsatz sogenannter Low-Level-Agenten: kleinkriminelle Helfer, die über Onlinekanäle angeworben werden und oft gar nicht wissen, für wen sie arbeiten. Diese „Politik vieler kleiner Nadelstiche“, die auch auf kleine Unternehmen abzielt, soll zeigen, dass der Staat seine Bürger nicht schützen kann – ein Narrativ, das sich im Zweifel auch gegen Unternehmen und ihre Lieferketten richtet.

Staatliche Antwort: Sicherheitsoffensive und „Cyber Dome“

Um Bürger und Unternehmen zu schützen, reagiert die Bundesregierung mit einer Sicherheitsoffensive, die sowohl Überwachungs- als auch Cyberabwehrbefugnisse ausweitet. Bundesinnenminister Alexander Dobrindt kündigt für 2026 eine Reihe von Verteidigungsmaßnahmen an:

• Möglichkeit der Quellen-Telekommunikationsüberwachung (TKÜ) für die Bundespolizei („Staatstrojaner“)

• Mehr Befugnisse für Sicherheitsbehörden, bei digitalen Angriffen digitalen Systeme von Angreifern im Ausland lahmzulegen

• Geplanter Aufbau eines „Cyber Domes“ zur automatisierten Abwehr von Cyberangriffen

Diese Maßnahmen sollen staatliche und kritische Systeme schützen, ersetzen jedoch nicht die Eigenverantwortung von Unternehmen, ihre Cyberresilienz zu stärken.

​Was bedeutet die Cyberkrise für KMU?

Kleine und mittlere Unternehmen sind längst Teil der Angriffsfläche im Cyberkrieg geworden und dienen den Angreifern entweder als direktes Einfallstor oder sind als Teil von Wertschöpfungsketten betroffen. Das BSI stuft KMU explizit als besonders gefährdet ein, weil häufig Ressourcen, Fachwissen und klare Zuständigkeiten für Informationssicherheit fehlen.

Laut dem Cybersecurity-Spezialist Acronis könnte sich die Lage 2026 weiter verschärfen: Angriffe werden stärker automatisiert, skalierbarer und sind oft kaum noch sichtbar. Damit geraten klassische Schutzmechanismen an ihre Grenzen.

​Eine erfolgreiche Attacke kann Produktion, Logistik oder Kundenportale tagelang lahmlegen und direkte Umsatzverluste, Vertragsstrafen und Reputationsschäden zur Folge haben. In einer Lage, in der staatliche Stellen selbst zum Ziel hybrider Angriffe werden, muss der Mittelstand seine Rolle als Teil der gesamtgesellschaftlichen Resilienz verstehen.

Wie groß sind die Risiken für Ihr Unternehmen?

Erfahren Sie, wo Ihr Unternehmen in Sachen Informationssicherheit steht und für welche Cyberrisiken Sie sich rüsten sollten.

Mehr zur GAP-Analyse

Wie gut ist Deutschland auf einen Cyberkrieg vorbereitet?

Die Angst vor einem Cyberkrieg ist in Deutschland weit verbreitet: 61 Prozent der Bürger fürchten ein solches Szenario. Allerdings halten zwei Drittel das Land dafür nicht ausreichend gewappnet. Zwar traut eine deutliche Mehrheit Deutschland grundsätzlich zu, sich technisch an einem Cyberkrieg zu beteiligen, in der Praxis gilt die Bundesrepublik im Cyberraum allerdings nur als bedingt abwehrbereit. Laut dem BSI-Lagebericht bleibt vor allem die flächendeckende Resilienz der KMU in Deutschland bleibt eine Herausforderung.  

Eine Hürde sei auch, dass viele Entscheider glauben, ihr Unternehmen würde kein lohnendes Ziel für Cyberangriffe darstellen. Doch für cyberkriminelle Angreifer kommt es bei der Auswahl ihrer Ziele weniger auf Umsatz oder Branche an, sondern darauf, dass Aufwand für den Angriff und Nutzen in einem guten Verhältnis stehen. Wenn der Aufwand gering ist, wie etwa bei schlecht geschützten KMU, lohnt sich der Aufwand für Angriffe besonders.

NIS2: Rahmen für mehr Cyberresilienz und bessere Abwehrkräfte

Das NIS2-Umsetzungsgesetz zieht die Anforderungen an Cyber- und Informationssicherheit deutlich an und dehnt sie auf mehr Unternehmen aus, als NIS1 es vorsah. Zu den betroffenen Unternehmen gehören auch KMU, die unter der neuen Richtlinie als „wichtig“ oder „besonders wichtig“ gelten und deshalb umfassende technische und organisatorische Maßnahmen (TOM) nachweisen müssen.

​Zu den zentralen Pflichten gehören unter anderem:

• Einführung eines Managementsystems für Informationssicherheit (ISMS)

• strukturiertes Risikomanagement für Cyber- und Informationssicherheit

• Business-Continuity-Management (BCM) inklusive Notfall- und Wiederanlaufplänen

Auch Unternehmen, die nicht direkt unter NIS2 fallen, werden über Lieferkettenanforderungen und vertragliche Sicherheitsstandards zunehmend faktisch in die Pflicht genommen. Das mag wie unnötiger bürokratischer Mehraufwand wirken, trägt aber dazu bei, Deutschland für künftige Angriffe aus dem Cyberraum zu rüsten.

„Cybervorfälle gehören für viele Mittelständler inzwischen zu den größten Geschäftsrisiken. Leider beschäftigen Entscheider sich oft erst mit Bedrohungen, wenn es zu spät ist. Durch NIS2 wird Cybersicherheit für viele kleinere Betriebe zur Pflicht und zum strategischen Vorteil. Denn wer die Anforderungen umsetzt, kann Angriffe eingrenzen, Ausfallzeiten reduzieren und rechtliche Risiken beherrschen.“, Stefan Rühl, Leiter Informationssicherheit bei Proliance.

Fünf schnelle Hebel für KMU

Bereits mit überschaubarem Aufwand können Sie wesentliche Risiken für Ihr Unternehmen reduzieren.

​1. Verantwortlichkeiten klären

• verantwortliche Person für Informationssicherheit benennen (intern oder extern)

• Informationssicherheit als Managementaufgabe verankern statt als reines IT-Thema

​2. Grundschutz konsequent umsetzen

• Systeme durch regelmäßige Patches und Updates up to date halten

• Virenschutz sicherstellen und Firewalls absichern

• Backups geschäftskritischer Daten regelmäßig testen

​3. Teams stärken

• Awareness-Trainings zu Phishing, Social Engineering und Passwortsicherheit bieten

• klare Richtlinien für mobiles Arbeiten, private Geräte und Cloud-Dienste implementieren

• niederschwellige Möglichkeiten schaffen, verdächtige Mails oder Vorfälle zu melden

​4. Notfallorientiert denken

• frühzeitig festlegen und festhalten, wer was macht, wenn Systeme ausfallen oder Daten verschlüsselt werden

• den Ernstfall üben mit typischen Szenarien wie Ransomware, Ausfall eines Kernsystems oder Datenabfluss

5. NIS2-Reifegrad prüfen

• prüfen, ob das eigene Unternehmen unter NIS2 fällt

• Gap-Analyse nutzen, um Prozesse, Technik und Organisation auf NIS2-fit zu prüfen

Kennen Sie Ihren NIS2-Reifegrad?

Mit der NIS2-Richtlinie wird das Thema Cybersicherheit zur Pflicht für viele mittelständische Unternehmen. Der erste Schritt zur Einhaltung der Richtlinie ist das Wissen über den eigenen NIS2-Reifegrad. Proliance schafft in nur 10 Minuten Klarheit.

Zum unverbindlichen NIS2-Check

Fazit: Zeit, die digitale Sicherheit zu stärken

Sicherheitsexperten warnen, dass Deutschland sich bei hybriden Angriffen noch zu abwartend verhält, statt den Angreifern das Leben schwer zu machen. Eine riskante Haltung, vor allem für KMU. Denn egal ob als direkt Betroffene oder über Lieferketten: Sie gehören längst zu den Zielen hybrider Angriffe.

Wer jetzt Verantwortung übernimmt, NIS2 als Chance für mehr Klarheit nutzt und systematisch in Cyberresilienz investiert, reduziert nicht nur das eigene Risiko. Er leistet auch einen messbaren Beitrag dazu, dass Deutschland im Cyberraum weniger verwundbar ist und im hybriden Konflikt handlungsfähig bleibt.