„Welcher Hacker sollte sich ausgerechnet für unseren Betrieb interessieren?“ Diese Frage klang vor fünfzehn Jahren zumindest plausibel. Ein Unternehmen mit 30 Mitarbeitern, einigen Millionen Euro Umsatz und weder geheimen Rüstungsprojekten noch milliardenschweren Bankkonten schien neben Banken, Energiekonzernen, Bundesbehörden oder großen Industrieunternehmen ein wenig attraktives Angriffsziel zu sein. Cyberkriminalität wurde vor allem als gezielter Angriff verstanden: Ein Täter sucht ein besonders wertvolles Opfer, dringt dort ein, verschlüsselt Daten und verlangt anschließend Lösegeld. Genau dieses Bild ist heute gefährlich unvollständig. Das BSI bewertet die deutsche IT-Sicherheitslage weiterhin als angespannt und nennt unzureichend geschützte Angriffsflächen ausdrücklich als wesentlichen Verwundbarkeitsfaktor. Gleichzeitig hat sich Cyberkriminalität zu einer arbeitsteiligen Industrie entwickelt, in der Zugang zu einem fremden Netzwerk selbst bereits ein handelbares Produkt sein kann.
Damit verändert sich die zentrale Frage. Ein Angreifer muss heute nicht mehr wissen, warum ein kleiner Betrieb für ihn interessant ist, bevor er versucht hineinzukommen. Systeme können automatisiert auf Schwachstellen, schlecht geschützte Fernzugänge, verwundbare Router oder kompromittierte Zugangsdaten untersucht werden. Wer einen Zugang findet, kann ihn selbst nutzen oder an andere Täter weitergeben. Das Bundeskriminalamt beschreibt im Zusammenhang mit der internationalen Operation Endgame genau diese arbeitsteilige Infrastruktur: sogenannte Initial Access Provider beziehungsweise Broker verschaffen sich Zugänge und vermarkten sie anschließend an andere Cyberkriminelle, darunter Ransomware-Gruppen. Angeboten werden inzwischen ganze Dienstleistungsketten von Schadsoftware und Botnetzen über Datendiebstahl bis zu Ransomware-as-a-Service.
Ein Unternehmen mit 25 Mitarbeitern muss deshalb nicht mehr „wichtig genug“ für einen Hacker sein. Es reicht, dass es erreichbar, verwundbar oder mit etwas Wichtigem verbunden ist.
Der kleine Mittelständler kann wertvoller sein, als er selbst glaubt
Gerade die deutsche Wirtschaftsstruktur macht diese Entwicklung relevant. Ein hoch spezialisierter Maschinenbauer kann nur 60 Menschen beschäftigen und trotzdem technische Zeichnungen mehrerer großer Industriekunden erhalten. Eine kleine Steuerkanzlei kennt Unternehmenszahlen, Bankverbindungen, Gehälter und Gesellschafterstrukturen hunderter Mandanten. Ein IT-Dienstleister mit zwölf Mitarbeitern besitzt Administratorrechte bei 80 Unternehmen. Eine Spedition kennt Lieferorte, Produktionszeiten, Ansprechpartner und Warenströme. Der wirtschaftliche Wert eines Unternehmens lässt sich deshalb nicht mehr an seinem Umsatz oder seiner Beschäftigtenzahl ablesen. Für einen Angreifer kann entscheidender sein, was sich vom Unternehmen aus erkennen oder erreichen lässt.
Das zeigt inzwischen sogar die staatliche Spionagepraxis. BND, BfV und internationale Partner warnten 2026 vor einer groß angelegten Operation der russischen GRU-Gruppe APT28, bei der verwundbare Router weltweit kompromittiert wurden. Die Angreifer nutzten keineswegs ausschließlich hochgesicherte Regierungsrechner, sondern unter anderem öffentlich erreichbare Router, um Kommunikation umzulenken und sensible Informationen abzugreifen. In Deutschland identifizierten die Behörden rund 30 verwundbare Geräte und konnten in einzelnen Fällen eine tatsächliche Kompromittierung bestätigen.
Noch anschaulicher war eine zuvor dokumentierte GRU-Kampagne gegen westliche Logistik- und Technologieunternehmen. Russische Militärgeheimdienstakteure infiltrierten nach Angaben deutscher und internationaler Sicherheitsbehörden sogar IP-Kameras an Infrastrukturknotenpunkten, um Hilfslieferungen in Richtung Ukraine beobachten und verfolgen zu können. Eine Kamera, die ihr Eigentümer vielleicht für ein sicherheitstechnisches Nebengerät hält, wird aus Sicht eines Nachrichtendienstes plötzlich zu einem Sensor. Der Betreiber einer kleinen Logistikhalle wird damit nicht angegriffen, weil jemand seine Jahresbilanz stehlen möchte, sondern weil sein Standort Informationen über eine wesentlich größere logistische Kette liefert.
Genau daraus entsteht das, was man vereinfacht als Wissensnetz beschreiben kann. Ein einzelner kompromittierter Mittelständler liefert möglicherweise nur einzelne Informationen: Namen, Lieferanten, Software, Projektbezeichnungen, Ansprechpartner oder technische Daten. Werden solche Informationen jedoch über zahlreiche Unternehmen hinweg zusammengeführt, lassen sich Beziehungen, Abhängigkeiten und Lieferketten rekonstruieren. Der kleine Betrieb ist dann nicht das eigentliche strategische Ziel. Er ist ein Datenpunkt innerhalb eines wesentlich größeren Bildes.
Ein Angriff muss überhaupt nicht sofort sichtbar werden
Ebenso überholt ist die Vorstellung, ein erfolgreicher Angriff müsse zwangsläufig am nächsten Morgen durch schwarze Bildschirme und eine Lösegeldforderung auffallen. Für klassische Erpressung ist Sichtbarkeit irgendwann notwendig. Für Spionage wäre sie geradezu kontraproduktiv. Ein Angreifer, der technische Unterlagen, interne Kommunikation oder Lieferketteninformationen sammeln möchte, hat ein Interesse daran, möglichst lange unentdeckt zu bleiben. Selbst im kriminellen Markt kann zwischen Erstinfektion, Weiterverkauf eines Zugangs und dessen späterer Nutzung erhebliche Zeit vergehen. Das Geschäftsmodell der Initial Access Broker funktioniert gerade deshalb, weil der erste Eindringling nicht zwingend derjenige ist, der später Daten stiehlt oder Systeme verschlüsselt.
Damit bekommt der Satz „Bei uns ist noch nie etwas passiert“ eine völlig andere Bedeutung. Er kann heißen, dass das Unternehmen tatsächlich nie erfolgreich angegriffen wurde. Er kann aber ebenso bedeuten, dass bisher niemand einen erfolgreichen Angriff bemerkt hat. Das BSI weist beispielsweise darauf hin, dass infizierte IoT-Systeme Bestandteil von Botnetzen werden können, ohne dass dies für ihre Besitzer erkennbar sein muss. Im Lagebericht 2025 nennt die Behörde zehntausende identifizierte beziehungsweise blockierte kompromittierte Geräte allein aus einzelnen Botnetzkampagnen.
Man darf daraus allerdings nicht den nächsten Mythos bauen. Geld ist keineswegs unwichtig geworden. Ransomware, Datendiebstahl und Erpressung bleiben zentrale Geschäftsmodelle der Cyberkriminalität, und das BKA bezeichnet Cybercrime-as-a-Service weiterhin als wesentlichen Bestandteil der Bedrohungslage. Die Veränderung besteht vielmehr darin, dass finanzielle Kriminalität, Wirtschaftsspionage, staatliche Aufklärung, Hacktivismus und im Extremfall Sabotage heute dieselbe technische Angriffsfläche nutzen können. Ein ungepatchter Server weiß nicht, ob derjenige, der seine Schwachstelle ausnutzt, Geld verdienen, Informationen sammeln oder einen staatlichen Auftrag erfüllen möchte.
Russland ist ein bedeutender Akteur – aber „dort wird Hacking geduldet“ ist zu pauschal
Bei Russland muss deshalb präzise formuliert werden. Dass russische staatliche Stellen Cyberoperationen gegen Deutschland durchführen, ist keine Spekulation. Das Bundesamt für Verfassungsschutz ordnet APT28 dem russischen Militärgeheimdienst GRU zu und macht die Gruppierung unter anderem für Angriffe auf den Deutschen Bundestag 2015, die SPD-Parteizentrale 2023 und die Deutsche Flugsicherung 2024 verantwortlich. Der aktuelle Verfassungsschutzbericht beschreibt Deutschland aufgrund seiner Wirtschaftskraft und seiner Position in EU und NATO als eines der wichtigsten Ziele ausländischer Nachrichtendienste und nennt russische Spionage-, Cyber- und Sabotageaktivitäten ausdrücklich als erhebliche Bedrohung.
Ebenso zeigen deutsche Ermittlungen, wie stark russischsprachige beziehungsweise russische Akteure in bestimmten Cybercrime-Strukturen vertreten sind. Das rechtfertigt trotzdem nicht die pauschale Aussage, Russland erlaube jedem Cyberkriminellen freie Hand oder jeder russische Hacker arbeite für den Staat. Gerade im Cyberraum sind staatliche Steuerung, staatliche Duldung, organisierte Kriminalität und opportunistische Zusammenarbeit oftmals schwer voneinander zu trennen. Belastbar nachweisbar sind dagegen konkrete staatliche Operationen, etwa der GRU, und der Einsatz niedrigschwelliger, teilweise kriminell vorbelasteter Personen für russische Sabotage- und Spionageaktivitäten in Europa. Das BfV beschreibt seit 2023/2024 ausdrücklich einen zunehmenden Einsatz solcher sogenannten Low-Level-Agenten.
Für einen mittelständischen Unternehmer ist diese Differenzierung wichtiger, als sie zunächst erscheint. Er muss nicht entscheiden, ob ein Angreifer in einem Moskauer Geheimdienstbüro, einer kriminellen Organisation oder irgendwo zwischen beiden sitzt. Er muss verstehen, dass seine technische Angriffsfläche von Akteuren mit vollkommen unterschiedlichen Motiven genutzt werden kann.
Deutschland ist im Cyberraum wesentlich stärker, als sein defensives Auftreten vermuten lässt
An dieser Stelle gehört allerdings auch die deutsche Seite der Gleichung betrachtet. Deutschland wird in der öffentlichen Diskussion häufig als digital rückständiges Land dargestellt, das Cyberangriffen weitgehend passiv gegenübersteht. Das trifft die tatsächlichen Fähigkeiten nur teilweise. Das International Institute for Strategic Studies ordnete Deutschland in seiner großen vergleichenden Analyse von 2023 als „Tier-Two cyber power“ ein. In diese Kategorie fallen Staaten mit weltführenden Fähigkeiten in einzelnen Bereichen, aber nicht über das gesamte Spektrum hinweg. Das IISS bewertet Deutschlands technische Kompetenz, seine digitale Wirtschaft, seine internationale Rolle und seine Einbindung in NATO und EU als erhebliche Stärken, sieht aber Schwächen bei Cybernachrichtendienstfähigkeiten, offensiven Operationen, Governance und teilweise beim Schutz kritischer Infrastruktur. Frankreich, Großbritannien und Israel werden hinsichtlich offensiver Fähigkeiten stärker eingeschätzt.
Das ist eine wesentlich realistischere Beschreibung als „Deutschland kann Cyber nur defensiv“. Die Bundeswehr verfügt bereits heute ausdrücklich über offensive Cyberkräfte. Ihr Zentrum Cyber-Operationen beschreibt seinen Auftrag öffentlich als aktive Verteidigung durch gezieltes Eindringen in und Einwirken auf fremde IT-Systeme. Schon im Friedensbetrieb werden dort Wirkoptionen für die Landes- und Bündnisverteidigung vorbereitet; für konkrete Operationen werden spezialisierte Teams zusammengestellt. Die Bundeswehr erläutert selbst, dass gegnerische Systeme bei einer militärischen Lageeskalation gestört und Informationen aus fremden Netzwerken gewonnen werden können. Über tatsächlich durchgeführte Operationen erfährt die Öffentlichkeit naturgemäß wenig. Aus fehlenden Pressemitteilungen über deutsche Cyberangriffe auf fremde Systeme auf fehlende Fähigkeit zu schließen, wäre deshalb ein Kategorienfehler.
Deutschland ist also keine offensive Cybermacht nach russischem oder amerikanischem Muster, die ihre strategische Wirkung regelmäßig öffentlich demonstriert. Es besitzt aber Know-how, militärische Cyberkräfte, Nachrichtendienste, hoch spezialisierte Polizeieinheiten und eine außergewöhnlich starke Forschungslandschaft. Seine Zurückhaltung ist teilweise politisch und rechtlich gewollt, nicht ausschließlich technisch erzwungen.
Der Staat bereitet gerade einen Paradigmenwechsel vor
Genau deshalb ist die Entwicklung des Jahres 2026 bemerkenswert. Am 12. August 2026 hat das Bundeskabinett die größte Reform des deutschen Nachrichtendienstrechts seit Bestehen der Bundesrepublik beschlossen. Der Entwurf ist noch kein geltendes Recht; er muss das parlamentarische Gesetzgebungsverfahren durchlaufen. Inhaltlich markiert er dennoch einen erheblichen Richtungswechsel. Der Bundesnachrichtendienst soll künftig nicht nur Informationen über Gefahren sammeln, sondern unter engen Voraussetzungen selbst aktiv auf bestimmte Bedrohungen einwirken können. Die Bundesregierung nennt ausdrücklich das Abschalten oder Unbrauchbarmachen von Servern staatlicher Hackergruppen und Desinformationsakteure. Bei entsprechenden Gefährdungslagen sieht der Entwurf sogar Eingriffe in IT-Systeme von Drohnenfabriken oder Chemiewaffenlaboren vor, um deren Tätigkeit zu sabotieren.
Das ist wesentlich mehr als eine bessere Firewall. Im politischen Sprachgebrauch wird dafür schnell der Begriff „Hack Back“ verwendet, fachlich sollte jedoch unterschieden werden. Ein klassischer Hack Back wäre eine digitale Vergeltungsaktion: Deutschland wird angegriffen und greift anschließend den Angreifer an. Der Regierungsentwurf zielt breiter auf „aktive Maßnahmen“ zur Unterbindung konkreter Bedrohungen. Der BND soll grundsätzlich Nachrichtendienst bleiben, aber unter definierten Voraussetzungen auch proaktiv auf Gefahren einwirken können. Besonders eingriffsintensive Maßnahmen sollen vom Unabhängigen Kontrollrat kontrolliert werden. Der Gesetzentwurf erweitert zugleich technische Zugriffs-, Speicher- und KI-gestützte Analysemöglichkeiten des BND erheblich.
Parallel läuft ein zweites Gesetzgebungsverfahren zur Stärkung der Cybersicherheit. Der Regierungsentwurf sieht für Bundeskriminalamt und Bundespolizei Befugnisse vor, den Betrieb bestimmter IT-Systeme zu unterbinden, Datenverkehr umzuleiten und unter gesetzlichen Voraussetzungen Daten in Systemen auszulesen, zu verändern oder zu löschen. Auch dieses Gesetz war Mitte August 2026 noch nicht verkündet und befand sich nach der ersten Lesung im Bundestag in der parlamentarischen Beratung. Gerade wegen der weitreichenden Eingriffe ist das Vorhaben politisch und verfassungsrechtlich umstritten.
Wenn beide Reformlinien umgesetzt werden, verschiebt sich die deutsche Architektur damit von einem stark auf Detektion, Strafverfolgung und defensive Absicherung ausgerichteten Modell zu einem System, das in bestimmten Situationen auch aktiv in gegnerische Infrastruktur eingreifen kann.
„Hack Back“ klingt einfacher, als er in Wirklichkeit ist
Man sollte diese Entwicklung trotzdem nicht als technische Wunderwaffe verkaufen. Der schwierigste Teil eines Gegenangriffs besteht häufig bereits darin, mit ausreichender Sicherheit zu wissen, wen man tatsächlich angreift. Staatliche Akteure nutzen kompromittierte Systeme unbeteiligter Dritter gerade deshalb, um Herkunft und Verantwortlichkeit zu verschleiern. Ein BND-Warnhinweis von April 2026 beschreibt beispielsweise, wie staatlich unterstützte chinesische Cyberakteure kompromittierte SOHO-Router und IoT-Geräte weltweit als Verschleierungsnetzwerke einsetzen. Der vermeintliche „Angriffsserver“ kann also technisch einem völlig unbeteiligten kleinen Unternehmen in einem Drittstaat gehören.
Hinzu kommen mögliche Kollateralschäden, völkerrechtliche Fragen und Eskalationsrisiken. Ein Server kann mehrere legitime Dienste gleichzeitig betreiben, technische Infrastruktur kann sich über verschiedene Staaten verteilen, und eine falsche Attribution kann außenpolitisch erheblich schwerer wiegen als ein klassischer Ermittlungsfehler. Genau aus diesem Grund ist es sinnvoll, dass Deutschland aktive Cybermaßnahmen nicht wie eine digitale Variante des Wilden Westens behandelt. Geschwindigkeit und Handlungsfähigkeit sind notwendig, aber ein Staat unterscheidet sich von einer Ransomware-Gruppe gerade dadurch, dass er Eingriffe rechtlich verantworten und kontrollieren können muss.
Die deutsche Schwäche der Vergangenheit war deshalb nicht, dass überhaupt Regeln existierten. Sie bestand eher darin, dass Regeln, Zuständigkeiten und institutionelle Grenzen in einem Bereich aufeinandertrafen, in dem ein Angriff innerhalb von Sekunden über fünf Länder hinweg erfolgen kann. Das IISS identifizierte genau diese komplizierte Kompetenzverteilung zwischen Bund und Ländern sowie rechtliche Beschränkungen als Schwachpunkte der deutschen Cybermacht.
Forschung ist nicht Deutschlands Problem
Technologisch sollte Deutschland ebenfalls nicht unterschätzt werden. Mit CISPA im Saarland besitzt die Bundesrepublik ein Forschungszentrum, das bei der internationalen Helmholtz-Evaluation 2025 in sämtlichen Bewertungskategorien die höchste Einstufung „Outstanding“ erhielt. Das internationale Gutachterpanel bescheinigte CISPA eine globale Führungsposition in Cybersicherheit und vertrauenswürdiger künstlicher Intelligenz.
Hinzu kommt ATHENE in Darmstadt, nach eigener und institutioneller Einordnung das größte Forschungszentrum für angewandte Cybersicherheit und Privatsphärenschutz in Europa. Dort werden die Kompetenzen von Fraunhofer SIT und IGD mit der TU Darmstadt, der Goethe-Universität Frankfurt und weiteren Hochschulen verbunden. Deutschland besitzt darüber hinaus mit Fraunhofer AISEC, Fraunhofer FKIE und weiteren Einrichtungen Forschungskompetenz von sicherer Software und Kryptografie über Angriffserkennung bis zu militärisch relevanter Cyberanalyse.
Die These, Deutschland könne technisch nicht mithalten, hält deshalb einer näheren Betrachtung nicht stand. Das Land besitzt Spitzenforscher, hoch entwickelte defensive und offensive Spezialkompetenz und institutionelle Strukturen, die international ernst genommen werden. Das IISS kommt gerade deshalb trotz der bekannten Schwächen zur Einstufung als Cybermacht der zweiten Kategorie.
Das deutsche Problem liegt eher in der Übersetzung dieser Spitze in die Breite. Ein Weltklasse-Forschungszentrum in Saarbrücken schützt nicht automatisch den ungepatchten Server eines 35-Mitarbeiter-Unternehmens in Ostwestfalen. Ein Bundeswehrteam für offensive Cyberoperationen verhindert nicht, dass der Geschäftsführer eines Zulieferers ohne Mehrfaktor-Authentifizierung auf sein Administratorkonto zugreift. Und ein BND mit zusätzlichen Befugnissen kann keine Volkswirtschaft verteidigen, deren zehntausende Unternehmen elementare Sicherheitsmaßnahmen nicht umsetzen. Das BSI bringt diesen Widerspruch im Lagebericht 2025 auf einen einfachen Nenner: Die Sicherheitslage bleibt angespannt, insbesondere weil Angriffsflächen weiterhin unzureichend geschützt sind.
Genau deshalb beginnt nationale Cybersicherheit im kleinen Betrieb
Das führt zurück zur Ausgangsfrage. Warum sollte jemand einen kleinen Betrieb angreifen?
Weil dessen Zugang verkauft werden kann. Weil seine E-Mails Informationen über größere Kunden enthalten. Weil seine Router als Infrastruktur für andere Angriffe genutzt werden können. Weil seine Systeme Teil eines Botnetzes werden können. Weil seine technischen Daten wirtschaftlich wertvoll sind. Weil über ihn eine Lieferkette sichtbar wird. Weil er Lösegeld bezahlen könnte. Oder schlicht, weil eine automatisierte Angriffskampagne eine Schwachstelle gefunden hat.
Ein kleines Unternehmen muss deshalb nicht wissen, welcher dieser Fälle auf es zutrifft. Es muss damit rechnen, dass irgendeiner zutreffen kann.
Das bedeutet nicht, dass ein Handwerksbetrieb ein eigenes Security Operations Center mit 30 Spezialisten benötigt. Es bedeutet aber, dass Geschäftsführung und IT wissen müssen, welche Systeme existenziell sind, welche externen Dienstleister weitreichende Zugriffsrechte besitzen, wo Mehrfaktor-Authentifizierung fehlt, welche Systeme öffentlich erreichbar sind, wie schnell kritische Updates eingespielt werden, ob Backups tatsächlich unabhängig vom produktiven Netz wiederherstellbar sind und was geschieht, wenn zentrale IT für mehrere Tage ausfällt. Das BSI stellt gerade für kleine und mittlere Unternehmen eigene Sicherheits- und Notfallangebote bereit und betreibt inzwischen ein Cyber-Sicherheitsnetzwerk mit dezentralen Unterstützungsstrukturen für IT-Sicherheitsvorfälle.
Cybersicherheit ist damit nicht mehr primär ein IT-Thema. Sie ist Lieferkettenmanagement, Risikomanagement, Betriebskontinuität und in einigen Branchen inzwischen sogar ein Bestandteil nationaler Sicherheit.
Deutschland selbst beginnt diese Realität politisch gerade ernsthafter abzubilden. Die Bundeswehr besitzt bereits offensive Cyberfähigkeiten. BKA und Bundespolizei sollen zusätzliche Möglichkeiten aktiver Cyberabwehr erhalten. Der BND soll nach dem am 12. August 2026 beschlossenen Regierungsentwurf künftig unter strengen Voraussetzungen sogar gegnerische Cyberinfrastruktur unbrauchbar machen und auf konkrete ausländische Bedrohungen aktiv einwirken können. Gleichzeitig besitzt Deutschland mit CISPA, ATHENE, Fraunhofer, BSI, BND, BfV, BKA und den Cyberkräften der Bundeswehr eine Kompetenzlandschaft, die international keineswegs zweitklassig ist.
Das Bild vom digital naiven Deutschland, das russischen, chinesischen oder kriminellen Hackern hilflos zusieht, ist deshalb genauso falsch wie die Vorstellung, Deutschland sei bereits optimal geschützt. Das Land verfügt über erhebliche Fähigkeiten, setzt sie aufgrund seiner Rechtsordnung und politischen Kultur aber wesentlich zurückhaltender ein als manche andere Cybermächte. Gleichzeitig bleiben Zuständigkeiten kompliziert und die Schutzqualität in Wirtschaft und Verwaltung sehr unterschiedlich. Das IISS bezeichnet Deutschland entsprechend als ernst zu nehmende Cybermacht der zweiten Kategorie – mit Spitzenfähigkeiten, aber ebenso klaren Lücken.
Gerade für kleine Unternehmen ergibt sich daraus eine unangenehme Konsequenz. Sie stehen nicht außerhalb dieses Konflikts, nur weil sie keine kritische Infrastruktur betreiben und niemand ihren Namen in Moskau, Peking oder einem Darknet-Forum kennt. Die moderne digitale Wirtschaft besteht aus miteinander verbundenen Unternehmen, Dienstleistern, Geräten, Plattformen und Lieferketten. Wer einen Teil davon kompromittiert, gewinnt möglicherweise Zugang zu einem anderen.
Der Hacker muss den kleinen Betrieb deshalb nicht einmal interessant finden.
Es reicht, wenn er ihn nützlich findet.
Und genau das ist der Punkt, an dem die alte Frage „Welcher Hacker greift denn schon uns an?“ endgültig ihre Berechtigung verloren hat.
