Dauerbeschuss im digitalen Raum

Sonntagmorgen. Zeit für einen Gedanken, der über das Tagesgeschäft hinausgeht. Diesmal beginnt er mit einem Stecker, der gezogen wird: Ende Juni bemerkten die Techniker der Gemeinschaftsstadtwerke Kamen, Bönen und Bergkamen an einem Sonntagabend einen Cyberangriff – und trennten als Erstes die komplette IT vom Netz. Zeitweise können Abschlagszahlungen nicht eingezogen werden, in den Schwimmbädern funktioniert nicht einmal mehr die Kartenzahlung. Ein Regionalversorger, mitten in Deutschland, handlungsunfähig gemacht von Angreifern, die vermutlich nie einen Fuß in dieses Land gesetzt haben.

Solche Fälle gibt es inzwischen fast täglich. Und sie sind nur die sichtbare Spitze eines Phänomens, das man beim Namen nennen sollte: Wir befinden uns in einem hybriden Krieg, und die Wirtschaft steht mitten im Gefechtsfeld.

Die Lage ist ernster, als die meisten wahrhaben wollen

Wer die Zahlen nüchtern betrachtet, kann das Wort „Bedrohungslage" nicht mehr als Beraterfloskel abtun. Der Digitalverband Bitkom beziffert den Schaden durch Datendiebstahl, Spionage und Sabotage für die deutsche Wirtschaft in seiner aktuellen Studie „Wirtschaftsschutz 2025" auf 289 Milliarden Euro – pro Jahr. Rund 202 Milliarden davon entfallen auf Cyberangriffe, Tendenz steigend. Fast neun von zehn Unternehmen waren betroffen. Und jeweils 46 Prozent der attackierten Firmen führen Angriffe auf Russland und China zurück – Wirtschaftskriminalität und Staatshandeln verschwimmen.

Das Bundesamt für Sicherheit in der Informationstechnik zeichnet in seinem Lagebericht dasselbe Bild von der anderen Seite: 950 registrierte Ransomware-Angriffe im Berichtszeitraum, rund 80 Prozent davon gegen kleine und mittlere Unternehmen. Täglich werden im Schnitt 119 neue Sicherheitslücken entdeckt, ein Viertel mehr als im Vorjahr. Das Fazit der Behörde ist unbequem: Deutschland ist zu leicht angreifbar.

Und die Angreifer werden schneller. Hagen Rickmann, Firmenkundenchef von Vodafone für Europa und die Türkei, berichtet in einem aktuellen Interview, dass Angreifer nach dem Auffinden einer Sicherheitslücke früher Stunden oder Tage brauchten, um Systeme lahmzulegen – heute schaffen sie es häufig in unter einer Minute. Künstliche Intelligenz beschleunigt die Attacken zusätzlich. Wer glaubt, im Ernstfall bleibe Zeit zum Reagieren, hat die neue Taktung nicht verstanden.

Wenn Verteidigung zum Geschäftsmodell wird

Man kann es zynisch finden, dass aus dieser Bedrohung ein Wachstumsmarkt wird. Ich sehe es anders: Es ist die Marktwirtschaft, die hier eine Schutzlücke schließt, die weder der Staat noch die einzelnen Unternehmen allein schließen können. Vodafone hat vor einem Jahr ein „Cyber Security Operations Center" eröffnet – eine ausgelagerte IT-Sicherheitsabteilung für Firmenkunden. Gestartet mit 20 Kunden, nutzen heute rund 1000 Unternehmen diese Dienste. Diese Verfünfzigfachung binnen eines Jahres erzählt zwei Geschichten zugleich: wie groß die Not ist – und wie klug es sein kann, Sicherheit dort einzukaufen, wo sie rund um die Uhr professionell betrieben wird.

Denn genau hier liegt das Dilemma des Mittelstands. Kaum ein mittelständisches Unternehmen kann sich ein eigenes Sicherheitsteam leisten, das an 365 Tagen im Jahr rund um die Uhr Angriffe erkennt und abwehrt. Der Fachkräftemangel in der IT-Sicherheit macht es faktisch unmöglich. Die ehrliche Konsequenz lautet: Cybersicherheit wird für die meisten Unternehmen eine eingekaufte Leistung sein – so wie kaum jemand sein eigenes Kraftwerk betreibt. Entscheidend ist nicht, alles selbst zu machen. Entscheidend ist, die Verantwortung nicht mit auszulagern. Die bleibt in der Geschäftsleitung.

Der Gesetzgeber macht Ernst: aus Kür wird Pflicht

Dass Cybersicherheit Chefsache ist, ist inzwischen auch keine Frage der Einstellung mehr, sondern geltendes Recht. Seit Dezember 2025 ist in Deutschland das NIS2-Umsetzungsgesetz in Kraft – ohne Übergangsfrist. Rund 29.500 Unternehmen in 18 Sektoren sind erfasst, im Grundsatz bereits ab 50 Mitarbeitern oder zehn Millionen Euro Umsatz. Sie müssen sich beim BSI registrieren, erhebliche Vorfälle binnen 24 Stunden melden und ein belastbares Risikomanagement nachweisen – von der Lieferkettensicherheit bis zur Multifaktor-Authentifizierung. Bei Verstößen drohen Bußgelder bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes, und die Geschäftsleitung haftet für die Umsetzung.

Ich höre in Gesprächen immer wieder zwei Reaktionen darauf. Die einen klagen über Bürokratie. Die anderen begreifen die Regulierung als das, was sie im Kern ist: eine erzwungene Professionalisierung, die im wohlverstandenen Eigeninteresse jedes Unternehmens liegt. Denn die teuerste Sicherheitsmaßnahme ist immer noch billiger als der erfolgreiche Angriff – das wissen alle, die einmal erlebt haben, was ein wochenlanger Betriebsstillstand kostet.

Die unbequeme Wahrheit über unsere Souveränität

Bleibt die größere Frage, die über das einzelne Unternehmen hinausweist: Wie souverän ist Europa im digitalen Raum überhaupt noch? Die Antwort fällt ernüchternd aus. Je nach Zählweise dominieren die amerikanischen Hyperscaler – Amazon, Microsoft, Google – zwischen 70 und 85 Prozent des europäischen Cloud-Markts. Europäische Anbieter teilen sich den Rest. Rickmann formuliert es schonungslos ehrlich: Würden die Systeme komplett von den USA getrennt, ließen sie sich realistischerweise noch sechs bis zwölf Monate weiterbetreiben. Und er ergänzt einen Satz, den ich für den klügsten der ganzen Debatte halte: „Souverän sein heißt vor allem, frei entscheiden zu können, mit wem wir wann und wie zusammenarbeiten."

Das ist der richtige Maßstab. Vollständige digitale Autarkie ist eine Illusion – die Versuche eigener europäischer Cloud-Lösungen sind schon vor einem Jahrzehnt auch daran gescheitert, dass kaum ein Kunde bereit war, für Souveränität einen Aufpreis zu zahlen. Realistisch ist ein anderer Weg: den Grad der Abhängigkeit bewusst zu steuern. Daten nach Kritikalität klassifizieren. Für das Sensible souveräne Strukturen schaffen – etwa Rechenzentren auf europäischem Boden mit ausschließlich europäischem Personal und ohne Durchgriff von außen. Für das Übrige die Leistungsfähigkeit der Hyperscaler nutzen, aber mit offenen Augen und einem Plan B.

Und ja: Es geht dabei um mehr als um Betriebswirtschaft. Wenn Angreifer Stadtwerke lahmlegen, Kliniken erpressen und Verwaltungen blockieren, zielt das auf das Vertrauen der Bürger in die Funktionsfähigkeit unseres Gemeinwesens. Rickmann nennt Investitionen in Cybersicherheit deshalb Investitionen in die Demokratie. Das mag aus dem Mund eines Anbieters interessengeleitet klingen. Falsch ist es trotzdem nicht. Freiheit, Rechtsstaat und wirtschaftliche Selbstbestimmung brauchen funktionierende, verteidigte Infrastruktur – analog wie digital.

Mein Fazit an diesem Sonntag

Drei Schlüsse ziehe ich aus alledem. Erstens: Cybersicherheit ist keine IT-Frage, sondern eine Führungsfrage – rechtlich ohnehin, seit NIS2 die Geschäftsleitung in die Pflicht nimmt, vor allem aber unternehmerisch. Zweitens: Wer die Abwehr nicht selbst leisten kann – und das können die wenigsten –, muss sie professionell einkaufen; Improvisation ist in einem Umfeld, in dem Angriffe in unter einer Minute erfolgen, keine Option mehr. Drittens: Souveränität beginnt nicht in Brüssel, sondern im eigenen Haus – bei der Frage, welche Daten wir wem anvertrauen und ob wir im Ernstfall noch frei entscheiden können.

Der hybride Krieg im Netz ist keine düstere Zukunftsvision. Er läuft bereits – jeden Tag, meist unsichtbar, gelegentlich mit gezogenem Stecker in einem Stadtwerk. Die gute Nachricht: Anders als beim Wetter sind wir ihm nicht ausgeliefert. Verteidigung ist möglich, sie ist bezahlbar, und sie ist – neuerdings auch von Gesetzes wegen – unsere Aufgabe als Unternehmer.

In diesem Sinne: einen guten und sicheren Sonntag.