Jeder dritte Cyberangriff auf Firmen geht auf Geheimdienste zurück

Die am 26. August 2026 veröffentlichte Bitkom‑Presseinformation „Angriffe auf die deutsche Wirtschaft …“ präsentiert den Kernbefund, dass 37 Prozent der Unternehmen, die innerhalb der letzten zwölf Monate von Datendiebstahl, Industriespionage oder Sabotage betroffen waren, zumindest einen Vorfall einem ausländischen Nachrichtendienst zuordnen. Bitkom stellte die Zahlen im Rahmen der Studie „Wirtschaftsschutz 2026“ vor; die Presseinformation ist auf bitkom.org abrufbar. Medien wie dpa, Reuters, Das Handelsblatt und Die Zeit berichteten anschließend ausführlich über die Ergebnisse.

Bitkom weist in der aktuellen Erhebung gegenüber dem Vorjahr einen deutlichen Anstieg auf: 2025 lag der Anteil bei 28 Prozent, 2023 noch bei sieben Prozent. Zugleich hat der Digitalverband erstmals einen breiten Schadenskorridor für die gesamtwirtschaftlichen Schäden durch Cyberangriffe ausgewiesen: Die untere Grenze liegt demnach bei 211 Milliarden Euro, die obere bei 270,8 Milliarden Euro. Bitkom begründet die Bandbreite mit einem wachsenden Dunkelfeld — Schäden, die Unternehmen nicht melden oder noch nicht entdecken — und mit der Schwierigkeit, indirekte Folgekosten eindeutig zuzuordnen.

Die stärkere Zuschreibung von Angriffen an ausländische Nachrichtendienste lässt sich nach Auffassung von Sicherheitsexperten und Unternehmen durch mehrere Entwicklungen erklären. Zum einen hat die Professionalität vieler Angriffe zugenommen: Angriffsmethoden ähneln zunehmend denen, die Geheimdienste nutzen — gezielte, langfristig angelegte Operationen, die sich auf Industriespionage und gezielte Sabotage fokussieren. Zum anderen führt die geopolitische Zuspitzung in wichtigen Technologie- und Rohstofffragen zu einem höheren Motivationsgrad staatlicher Akteure, Informationen und Know‑how systematisch zu beschaffen. Bitkom selbst weist auf diese Einflüsse in der begleitenden Analyse hin.

Gleichzeitig verbesserten sich Erkennungs‑ und Forensikfähigkeiten in vielen Firmen, sodass tatsächliche oder vermutete Hinweise auf staatliche Akteure eher erkannt und intern dokumentiert werden. Das heißt nicht, dass jede Zuschreibung unanfechtbar ist: Attribution bleibt technisch und juristisch schwierig. Bitkom dokumentiert die Zuschreibungen der befragten Unternehmen, ohne konkrete Staatennamen zu nennen; die Studie erhebt also Aussagen auf Firmenebene, nicht strafprozessuale Beweise.

Die Frage der Attribution ist zentral: Wer einen Angriff einem Nachrichtendienst zuschreibt, stützt sich meist auf Indizien — etwa auf verwendete Tools, Infrastruktur, zeitliche Muster oder Zielauswahl. Solche Indizien können Hinweise liefern, sind aber selten ein Beweis für staatliches Handeln im juristischen Sinne. Bitkom weist darauf hin, dass die Zahlen die Wahrnehmung und Einschätzung der Unternehmen abbilden, nicht notwendigerweise eine gerichtsverwertbare Beweisführung. Die Studie gibt keinen detaillierten technischen Bericht einzelner Fälle wieder und nennt keine spezifischen Geheimdienste.

Auch das Dunkelfeld belastet die Vergleichbarkeit: Manche Unternehmen melden Vorfälle nicht oder merken einen Datendiebstahl erst Monate später. Bitkom hat deshalb zum ersten Mal einen größeren Schadenskorridor publiziert. Diese breit angelegte Schätzung soll die Unsicherheit abbilden, führt aber zu einer großen Spannbreite zwischen der minimalen und maximalen Schätzung wirtschaftlicher Schäden.

Die wirtschaftlichen Folgen der beobachteten Angriffe sind vielschichtig. Neben direkten Kosten durch Betriebsunterbrechungen und Datenverlust sehen Unternehmen Folgekosten durch Reputationsverluste, Vertragsstrafen, Rechtsstreitigkeiten und den Aufwand für Forensik und Wiederherstellung. Bitkom quantifiziert das aggregierte Risiko erstmals mit dem genannten Schadenskorridor; für viele einzelne Firmen können die Folgen existenzbedrohend sein. Besonders betroffen sind laut Studie spezialisierte Mittelständler mit hohem technologischen Know‑how, Zulieferer in sensiblen Lieferketten und Unternehmen aus der kritischen Infrastruktur.

Diese strukturelle Verwundbarkeit hat Folgen für Investitionsentscheidungen: Firmen investieren verstärkt in Cybersicherheit, beobachten aber zugleich, dass staatliche und private Verteidigungsinstrumente nicht immer Schritt halten. Das erhöht die Nachfrage nach spezialisierten Dienstleistern, führt aber auch zu Unsicherheit bei Versicherern, die Risiken zunehmend höher bewerten oder Ausschlüsse in Policen ziehen.

Die Untersuchung hat unmittelbar politische Resonanz: In Presseberichten und Kommentaren wird die Debatte über die Rolle von Inlands‑ und Auslandsnachrichtendiensten sowie über präventive staatliche Schutzmaßnahmen neu entfacht. Deutschland verfügt mit BSI, Bundesamt für Verfassungsschutz (BfV) und Bundesnachrichtendienst (BND) über mehrere Behörden, die in unterschiedlichen Dimensionen der Cyberabwehr tätig sind. Bitkom fordert in der Studie eine Intensivierung der Kooperation zwischen Behörden und Wirtschaft sowie klarere Meldepflichten und Anreize, Vorfälle transparenter zu melden.

Gleichzeitig sind politische Maßnahmen schwer abzustimmen: Offenere Meldepflichten können die Transparenz erhöhen, aber auch sensible Unternehmensdaten offenlegen. Auch die kriminalrechtliche und diplomatische Dimension von Zuschreibungen an ausländische Dienste setzt den Staat unter Druck, zwischen Abschreckung, Sanktionen und der Aufrechterhaltung internationaler Beziehungen zu balancieren. Konkrete staatsseitige Reaktionen auf einzelne Zuschreibungen nennt Bitkom nicht; die Studie gibt vielmehr einen Handlungsrahmen und Empfehlungen für bessere Abwehrfähigkeit.

Wesentliche Unklarheiten bleiben: Welche Staaten stecken hinter den von Unternehmen beobachteten Angriffen? Wie zuverlässig sind die firmeneigenen Attributionen? Und welche politischen Maßnahmen sind wirksam, ohne wirtschaftliche Kollateralschäden zu erzeugen? Bitkom bietet Daten zur Wahrnehmung und zum ökonomischen Ausmaß, überlässt die juristische Klärung aber den zuständigen Ermittlungsbehörden.

Für Unternehmen bedeutet die Studie einen Weckruf: Die Wahrnehmung staatlicher Angriffsmotive ist gestiegen, die Schäden können immens ausfallen, und die Maßnahmen zur Prävention und Schadensbegrenzung müssen schneller skaliert werden. Für die Politik heißt es, Schutzmechanismen auszubauen, Meldewege zu verbessern und internationale Kooperation zu stärken — ohne die komplexen Fragen der Attribution, rechtlichen Folgen und diplomatischen Auswirkungen zu simplifizieren.