Deutschland rüstet seine Nachrichtendienste auf – warum hybride Bedrohungen längst auch Unternehmen treffen
Spionage, Sabotage, Cyberangriffe, Drohnen, Insider und gezielte Einflussoperationen: Die Sicherheitslage in Deutschland verändert sich. Am 12. August 2026 hat das Bundeskabinett eine umfassende Reform des Nachrichtendienstrechts beschlossen. BND und Bundesamt für Verfassungsschutz sollen deutlich weitergehende Möglichkeiten erhalten. Für Unternehmen steckt darin eine Botschaft, die über Nachrichtendienste hinausgeht: Klassische IT-Sicherheit allein reicht nicht mehr aus.
Stand: 12. August 2026
Deutschland reagiert auf eine veränderte Bedrohungslage
Die Bundesregierung stellt die deutschen Nachrichtendienste neu auf.
Am 12. August 2026 beschloss das Bundeskabinett den Entwurf für eine Reform des Nachrichtendienstrechts. Nach Angaben des Bundesinnenministeriums folgt nun zunächst die Beteiligung des Bundesrates; anschließend muss sich der Bundestag mit dem Gesetz befassen. Die vorgesehenen Befugnisse sind damit noch nicht geltendes Recht.
Die Dimension der Reform ist dennoch bemerkenswert.
Nach Reuters soll der Entwurf den Nachrichtendiensten unter bestimmten Voraussetzungen weitergehende Möglichkeiten eröffnen, auf IT-Systeme zuzugreifen, Kommunikationsstrukturen zu erfassen und Operationen ausländischer Akteure aktiv zu stören. Bereits im veröffentlichten Reformprozess wurden Befugnisse zum Kopieren oder Löschen von Daten sowie zum Eingriff in gegnerische technische Infrastruktur diskutiert.
Associated Press berichtet ebenfalls über geplante aktive Gegenmaßnahmen, mit denen Sabotage- oder Cyberoperationen nicht mehr lediglich beobachtet, sondern unter engen gesetzlichen Voraussetzungen auch beeinträchtigt werden könnten.
Damit zeichnet sich ein sicherheitspolitischer Paradigmenwechsel ab:
Erkennen allein genügt nicht mehr. Gefahren sollen möglichst früh identifiziert, verstanden und unter bestimmten Voraussetzungen bereits vor ihrer Entfaltung gestört werden.
Für Unternehmen ist genau dieser Gedanke entscheidend.
Die eigentliche Nachricht betrifft nicht nur BND und Verfassungsschutz
Natürlich kann und darf ein privates Unternehmen nicht wie ein Nachrichtendienst agieren.
Private Ermittler verfügen weder über hoheitliche Eingriffsbefugnisse noch über polizeiliche oder nachrichtendienstliche Sonderrechte. Auch professionelle Corporate Intelligence bewegt sich innerhalb klarer gesetzlicher Grenzen.
Aber die Methodik hinter moderner Sicherheitsarbeit lässt sich sehr wohl übertragen:
Gefahren erkennen.
Informationen zusammenführen.
Zusammenhänge verstehen.
Schwachstellen identifizieren.
Und möglichst handeln, bevor aus einem Risiko ein Schaden wird.
Genau an diesem Punkt verändert sich auch die Unternehmenssicherheit.
Wer erst ermittelt, wenn Daten verschwunden sind oder Sabotage stattgefunden hat, beginnt zu spät.
Spionage ist heute nicht mehr nur Cyber
Wenn von Wirtschaftsspionage gesprochen wird, denken viele Verantwortliche zuerst an Hacker.
Das ist zu kurz gedacht.
Moderne Angriffe können gleichzeitig auf mehreren Ebenen stattfinden.
Ein Angreifer recherchiert zunächst öffentlich verfügbare Informationen über ein Unternehmen.
Er identifiziert Schlüsselpersonen.
Er analysiert LinkedIn-Profile, öffentliche Register, Stellenanzeigen, Veröffentlichungen, Konferenzen, Lieferanten und Geschäftspartner.
Vielleicht wird anschließend ein Mitarbeiter telefonisch angesprochen.
Vielleicht erhält ein Beschäftigter eine überzeugend formulierte E-Mail.
Vielleicht versucht jemand, über einen Lieferanten Zugriff zu erhalten.
Vielleicht wird eine Führungskraft auf einer Geschäftsreise beobachtet.
Vielleicht tauchen Drohnen über einem Produktionsstandort auf.
Vielleicht ist ein Mitarbeiter oder Dienstleister bereits kompromittiert.
Und möglicherweise läuft parallel ein technischer Angriff.
Cyber, Mensch und physische Welt lassen sich bei modernen Angriffen kaum noch voneinander trennen.
Das Bundesamt für Verfassungsschutz warnt bereits seit Monaten vor dieser Entwicklung. BfV-Präsident Sinan Selen erklärte im Frühjahr 2026, autoritäre Staaten nutzten zunehmend hybride Mittel – darunter Spionage, Cyberangriffe, Sabotage, Desinformation und illegalen Wissensabfluss – gegen Wirtschaft, Forschung und kritische Infrastrukturen.
Für Unternehmen bedeutet das:
Sicherheitsvorfälle müssen als Gesamtbild betrachtet werden.
Was sind hybride Bedrohungen gegen Unternehmen?
Unter einer hybriden Bedrohung lässt sich vereinfacht eine Kombination unterschiedlicher Angriffsmethoden verstehen.
Dabei kann ein Gegner digitale, menschliche, wirtschaftliche, informationelle und physische Methoden miteinander verbinden.
Ein Angriff kann beispielsweise so aussehen:
1. OSINT und Aufklärung
Zunächst werden öffentlich zugängliche Informationen gesammelt.
Dazu können gehören:
- Mitarbeiter und Führungskräfte
- Verantwortlichkeiten
- Unternehmensstrukturen
- Tochtergesellschaften
- Geschäftspartner
- Lieferanten
- technische Systeme
- Stellenanzeigen
- Projekte und Forschungsfelder
- Reiseaktivitäten
- Fotos von Gebäuden oder Produktionsstätten
- Social-Media-Aktivitäten
Viele einzelne Informationen erscheinen für sich genommen vollkommen belanglos.
Erst ihre Kombination kann ein detailliertes Lagebild erzeugen.
2. Social Engineering
Anschließend wird der Mensch zum Angriffspunkt.
Ein Angreifer könnte sich beispielsweise als
- IT-Support,
- Dienstleister,
- Geschäftspartner,
- Bewerber,
- Lieferant,
- Kunde
oder sogar als Führungskraft ausgeben.
Informationen aus der vorherigen OSINT-Phase erhöhen dabei die Glaubwürdigkeit erheblich.
3. Technischer Zugriff
Erst danach kann der eigentliche Cyberangriff folgen.
Der technische Angriff ist dann möglicherweise nur der letzte Schritt einer längeren Vorbereitung.
4. Physische Aufklärung
Parallel können Standorte, Personen, Fahrzeuge oder Abläufe beobachtet werden.
Gerade bei Unternehmen aus Hochtechnologie, Rüstung, Energie, Logistik, Forschung oder kritischer Infrastruktur können Informationen über Zugangsmöglichkeiten, Produktionsprozesse oder Führungskräfte von erheblichem Interesse sein.
5. Insider und menschliche Quellen
Eine der größten Schwachstellen befindet sich häufig bereits innerhalb der Organisation.
Mitarbeiter, ehemalige Beschäftigte, Geschäftspartner, externe Dienstleister oder Auftragnehmer verfügen teilweise über Zugangsmöglichkeiten und Wissen, die von außen nur schwer zu erlangen wären.
Nicht jeder Insider handelt vorsätzlich.
Manchmal entstehen Informationsabflüsse durch:
- finanzielle Probleme,
- persönliche Konflikte,
- Frustration,
- Unachtsamkeit,
- Social Engineering,
- Erpressbarkeit,
- mangelnde Sicherheitskultur.
Deshalb darf Insider Risk nicht ausschließlich als IT-Thema betrachtet werden.
Der jüngste Drohnenvorfall zeigt die physische Dimension
Die Diskussion um die Reform findet nicht im luftleeren Raum statt.
Erst Anfang August sorgte ein explosiver Drohnenvorfall am Flughafen Leipzig/Halle für erhebliche Aufmerksamkeit. Die Ermittlungen wurden von Bundesbehörden übernommen. Der Flughafen ist aufgrund seiner Logistikfunktion und seiner Bedeutung für internationale Fracht- und NATO-bezogene Aktivitäten ein besonders sensibler Standort.
Unabhängig von der noch laufenden Bewertung einzelner Vorfälle zeigt sich dabei ein grundsätzliches Problem:
Die Grenze zwischen Aufklärung und Angriff wird zunehmend unscharf.
Eine Drohne kann fotografieren.
Sie kann technische Systeme erfassen.
Sie kann Bewegungen beobachten.
Sie kann testen, wie Sicherheitskräfte reagieren.
Und sie kann im schlimmsten Fall selbst zum Tatmittel werden.
Das gilt nicht nur für militärische Einrichtungen.
Auch Industrieanlagen, Forschungseinrichtungen, Rechenzentren, Energieunternehmen, Logistikzentren und Unternehmensstandorte können interessante Ziele darstellen.
Warum klassische Cybersecurity allein nicht mehr reicht
Firewalls sind wichtig.
Endpoint Protection ist wichtig.
Zero Trust ist wichtig.
MFA ist wichtig.
Aber keine Firewall erkennt automatisch, dass ein Mitarbeiter seit Wochen von einer fremden Person ausgefragt wird.
Keine Antivirensoftware erkennt zwangsläufig, dass ein ehemaliger Mitarbeiter Geschäftsgeheimnisse mitgenommen hat.
Und ein SOC erkennt nicht unbedingt, dass ein Wettbewerber über Strohleute Informationen zu einem Forschungsprojekt sammelt.
Deshalb braucht moderne Unternehmenssicherheit neben Cyber Intelligence auch Human Intelligence, Corporate Intelligence und klassische Ermittlungsarbeit.
Ein vollständiges Lagebild entsteht erst durch die Verbindung verschiedener Disziplinen
Aus unserer kriminalistischen Sicht gehören unter anderem folgende Bereiche zusammen:
OSINT – Open Source Intelligence
Systematische Recherche und Auswertung öffentlich verfügbarer Informationen.
Nicht wahlloses „Googeln“, sondern strukturierte Informationsgewinnung, Verifizierung, Bewertung und Verknüpfung.
Background Checks
Wer erhält Zugang zu sensiblen Informationen?
Wer wird Geschäftspartner?
Wer übernimmt eine Schlüsselposition?
Wer steht hinter einem Unternehmen?
Gerade bei sensiblen Funktionen kann eine professionelle Hintergrundprüfung ein wichtiger Bestandteil des Risikomanagements sein.
Corporate Intelligence
Unternehmen benötigen zunehmend eigene Fähigkeiten, externe Entwicklungen, Akteure, Netzwerke und Risiken frühzeitig zu erkennen.
Corporate Intelligence bedeutet dabei nicht „Spionage“.
Es bedeutet vielmehr, legal verfügbare Informationen strukturiert in Entscheidungswissen umzuwandeln.
TSCM – technische Lauschabwehr
Bei Verdachtsmomenten rund um Informationsabfluss können Räume, Fahrzeuge oder sensible Bereiche technisch überprüft werden.
IT- und Mobile-Forensik
Wenn bereits ein Vorfall stattgefunden hat, müssen digitale Spuren möglichst professionell gesichert, ausgewertet und dokumentiert werden.
Klassische Ermittlungen
Nicht jedes Problem lässt sich digital lösen.
Befragungen, Observationen, Vor-Ort-Recherchen, Quellenarbeit und die kriminalistische Bewertung von Widersprüchen bleiben wichtige Werkzeuge.
Executive Risk
Geschäftsführer, Vorstände, Unternehmer und andere exponierte Personen sind nicht nur physisch gefährdet.
Ihre öffentlichen Informationen, Reisebewegungen, Familienbezüge und digitalen Spuren können Ausgangspunkt für Social Engineering, CEO Fraud, Erpressung, Stalking oder gezielte Ausspähung sein.
Aus einzelnen Informationen wird ein Lagebild
Die entscheidende Fähigkeit moderner Ermittlungsarbeit liegt häufig nicht darin, eine spektakuläre Einzelinformation zu finden.
Sie liegt darin, Zusammenhänge zu erkennen.
Ein Beispiel:
Ein Unternehmen stellt plötzlich mehrere Spezialisten für eine neue Technologie ein.
Ein Mitarbeiter veröffentlicht auf LinkedIn Bilder aus einem bisher unbekannten Projektbereich.
Ein Zulieferer nennt in einer Referenzliste einen neuen Auftraggeber.
Eine Führungskraft besucht mehrfach einen bestimmten Standort.
Ein Wettbewerber gründet eine neue Tochtergesellschaft.
Gleichzeitig registriert die IT auffällige Zugriffsversuche.
Jede Information für sich könnte bedeutungslos sein.
Zusammen können sie eine völlig andere Geschichte erzählen.
Genau hier beginnt Intelligence.
Frühaufklärung statt Schadensverwaltung
Viele Ermittlungsmandate beginnen mit einem Schaden.
Daten fehlen.
Geld wurde überwiesen.
Ein Mitarbeiter ist mit Geschäftsgeheimnissen verschwunden.
Ein Wettbewerber kennt plötzlich vertrauliche Informationen.
Ein Geschäftspartner stellt sich als problematisch heraus.
Ein Unternehmen wurde gehackt.
Dann beginnt die Suche nach Antworten.
Professionelle Sicherheitsarchitektur sollte jedoch einen Schritt früher ansetzen.
Die zentrale Frage lautet nicht nur:
„Was ist passiert?“
Sondern:
„Welche Hinweise hätten wir vorher erkennen können?“
Diese Perspektive verändert Sicherheitsarbeit grundlegend.
Fünf Fragen, die sich Unternehmensleitungen jetzt stellen sollten
1. Was kann ein externer Angreifer über unser Unternehmen herausfinden?
Eine Red-Team-orientierte OSINT-Analyse kann zeigen, welche Informationen öffentlich verfügbar und miteinander verknüpfbar sind.
2. Welche Personen sind besonders exponiert?
Vorstände, Geschäftsführer, Entwickler, Forschungsleiter, Finanzverantwortliche, IT-Administratoren oder Mitarbeiter mit privilegierten Zugängen besitzen unterschiedliche Risikoprofile.
3. Kennen wir unsere Geschäftspartner wirklich?
Lieferanten, Vermittler, Berater und internationale Partner können zusätzliche Risiken in die Organisation bringen.
4. Gibt es Hinweise auf Informationsabfluss oder Insideraktivitäten?
Auffälligkeiten sollten weder vorschnell dramatisiert noch ignoriert werden.
Sie müssen strukturiert geprüft werden.
5. Sind physische und digitale Sicherheit miteinander verbunden?
Wer Cybersecurity, Werksschutz, Compliance, HR und Ermittlungen vollständig voneinander trennt, erzeugt zwangsläufig blinde Flecken.
Detegere: Ermittlungen beginnen mit einem Lagebild
Als Wirtschaftsermittler betrachten wir einen Verdacht nicht ausschließlich aus einer einzelnen Perspektive.
Je nach Fallstellung können unterschiedliche Spezialisten und Methoden miteinander verbunden werden.
Dazu gehören beispielsweise:
OSINT-Recherchen, Background Checks, Corporate Intelligence, Observationen, IT- und Mobile-Forensik, TSCM, internationale Ermittlungen sowie die strukturierte Analyse von Personen, Unternehmen und Netzwerken.
Entscheidend ist dabei nicht die größtmögliche Maßnahme.
Entscheidend ist die richtige Maßnahme zum richtigen Zeitpunkt.
Professionelle Ermittlungsarbeit folgt dem Grundsatz der Verhältnismäßigkeit und bewegt sich innerhalb der gesetzlichen Rahmenbedingungen.
Private Ermittler sind keine Nachrichtendienste.
Aber Unternehmen können aus professioneller Intelligence-Arbeit eine wichtige Lektion übernehmen:
Information wird erst dann wertvoll, wenn sie strukturiert erhoben, verifiziert, eingeordnet und in eine konkrete Entscheidung übersetzt wird.
E-E-A-T: Warum kriminalistische Erfahrung bei hybriden Bedrohungen entscheidend ist
Hybride Risiken lassen sich nicht ausschließlich mit Software bewerten.
Sie erfordern kriminalistisches Denken.
Wer handelt?
Welches Motiv könnte bestehen?
Welche Informationen besitzt der Gegner?
Welche Verbindung besteht zwischen zwei Ereignissen?
Ist eine Auffälligkeit Zufall oder Teil eines Musters?
Welche Hypothese wird durch die vorhandenen Fakten gestützt – und welche nicht?
Genau diese Fragen gehören zum Kern professioneller Ermittlungsarbeit.
Oliver Peth, Inhaber von Privat Investigation Service Detegere, arbeitet als Kriminalist und Profiler und verbindet klassische Ermittlungsmethodik mit modernen Instrumenten wie OSINT, Corporate Intelligence und digitaler Forensik. Detegere greift bei komplexen Mandaten zudem auf ein internationales Netzwerk spezialisierter Ermittler und Forensiker zurück.
Gerade bei grenzüberschreitenden Sachverhalten, Wirtschaftskriminalität, Informationsabfluss und komplexen Unternehmensstrukturen ist diese Verbindung verschiedener Disziplinen von besonderer Bedeutung.
Fazit: Deutschland verändert seine Sicherheitsarchitektur – Unternehmen sollten dasselbe tun
Die geplante Reform der Nachrichtendienste ist zunächst eine politische und rechtliche Entwicklung.
Aber sie erzählt gleichzeitig eine wesentlich größere Geschichte.
Deutschland reagiert darauf, dass sich Bedrohungen verändert haben.
Cyberangriffe, Spionage, Sabotage, Desinformation und physische Aufklärung existieren nicht mehr unabhängig voneinander.
Sie können Teil ein und derselben Operation sein.
Und genau deshalb sollten Unternehmen ihre Sicherheitsarchitektur ebenfalls neu denken.
Nicht jede Firma braucht eine eigene Intelligence-Abteilung.
Aber jedes Unternehmen mit wertvollem Know-how, sensiblen Daten, exponierten Führungskräften oder strategischer Bedeutung sollte wissen:
Wer interessiert sich für uns?
Welche Informationen sind über uns verfügbar?
Wo liegen unsere menschlichen, digitalen und physischen Schwachstellen?
Und würden wir die ersten Anzeichen eines gezielten Angriffs überhaupt erkennen?
Denn am Ende bleibt eine Erkenntnis:
Wer erst ermittelt, wenn Daten verschwunden sind oder Sabotage stattgefunden hat, beginnt zu spät.
FAQ – Hybride Bedrohungen, Wirtschaftsspionage und Corporate Intelligence
Was sind hybride Bedrohungen?
Hybride Bedrohungen kombinieren unterschiedliche Methoden. Dazu können Cyberangriffe, Spionage, Desinformation, Social Engineering, Sabotage, wirtschaftlicher Druck, Insideraktivitäten oder physische Aufklärung gehören. Ziel kann beispielsweise Informationsgewinnung, Einflussnahme, Störung oder wirtschaftliche Schädigung sein.
Sind nur Rüstungsunternehmen und kritische Infrastrukturen betroffen?
Nein. Besonders attraktiv können Unternehmen mit technologischem Know-how, Forschung und Entwicklung, Patenten, sensiblen Kundendaten, strategischen Lieferketten oder bedeutenden Marktpositionen sein. Das BfV warnt ausdrücklich vor hybriden Angriffen gegen Wirtschaft, Forschungseinrichtungen und kritische Infrastruktur.
Was bedeutet OSINT?
OSINT steht für Open Source Intelligence. Dabei werden öffentlich zugängliche Informationen systematisch recherchiert, verifiziert, analysiert und miteinander verknüpft. Dazu können unter anderem Websites, soziale Netzwerke, Register, Presseberichte, Unternehmensinformationen oder andere legale offene Quellen gehören.
Ist OSINT dasselbe wie Hacking?
Nein. Professionelle OSINT-Arbeit basiert grundsätzlich auf legal zugänglichen Informationen und unterscheidet sich damit von einem unbefugten Zugriff auf geschützte Systeme.
Was ist Corporate Intelligence?
Corporate Intelligence bezeichnet die strukturierte Gewinnung, Bewertung und Analyse von Informationen, die für unternehmerische Entscheidungen oder die Bewertung von Risiken relevant sind. Dazu können Personen, Unternehmen, Netzwerke, Geschäftspartner oder Bedrohungsindikatoren gehören.
Wann ist ein Background Check sinnvoll?
Ein Background Check kann insbesondere bei Schlüsselpositionen, sensiblen Zugangsberechtigungen, neuen Geschäftspartnern, Beteiligungen oder internationalen Geschäftsbeziehungen sinnvoll sein. Umfang und Tiefe müssen dabei immer zum konkreten Zweck und zum rechtlichen Rahmen passen.
Wie können Unternehmen Insider-Risiken erkennen?
Es gibt keinen einzelnen Indikator, der einen Insider zuverlässig identifiziert. Auffälligkeiten müssen vielmehr im Zusammenhang betrachtet werden. Dazu können ungewöhnliche Informationsabflüsse, Zugriffsmuster, Interessenkonflikte oder andere konkrete Hinweise gehören. Wichtig sind stets Verhältnismäßigkeit, Datenschutz und eine sachliche Prüfung.
Was ist TSCM?
TSCM steht für Technical Surveillance Counter-Measures. Dabei werden sensible Bereiche technisch auf mögliche Abhör- oder Überwachungstechnik untersucht. Solche Maßnahmen können insbesondere bei konkreten Verdachtsmomenten auf Informationsabfluss relevant sein.
Können private Ermittler dieselben Maßnahmen einsetzen wie Nachrichtendienste?
Nein. Nachrichtendienste verfügen aufgrund gesetzlicher Regelungen über besondere hoheitliche Befugnisse. Private Ermittler besitzen diese Befugnisse nicht und müssen ihre Maßnahmen innerhalb des allgemeinen gesetzlichen Rahmens durchführen.
Was können Unternehmen präventiv tun?
Ein sinnvoller Ausgangspunkt ist die Erstellung eines realistischen Lagebildes. Dazu können je nach Risikoprofil beispielsweise eine OSINT-Expositionsanalyse, Überprüfung kritischer Geschäftspartner, Analyse exponierter Schlüsselpersonen, technische Sicherheitsprüfungen sowie klar definierte Prozesse für Verdachtsfälle gehören.
Warum reicht reine IT-Security nicht mehr aus?
Weil moderne Angriffe nicht ausschließlich auf technische Systeme abzielen. Menschen, Geschäftspartner, öffentliche Informationen, physische Standorte und Lieferketten können ebenfalls Teil eines Angriffspfades sein. Effektive Sicherheit verbindet deshalb technische, organisatorische und kriminalistische Perspektiven.
Quellen und Einordnung
Grundlage dieses Beitrags ist der Informationsstand vom 12. August 2026. Das Bundeskabinett hat den Entwurf zur Reform des Nachrichtendienstrechts beschlossen; das parlamentarische Verfahren ist noch nicht abgeschlossen. Maßgebliche Informationen stammen aus der Veröffentlichung des Bundesinnenministeriums sowie der aktuellen Berichterstattung von Reuters und Associated Press.
Hinweis: Dieser Beitrag dient der allgemeinen Information und sicherheitsfachlichen Einordnung. Er stellt keine Rechtsberatung dar.
Bild: KI generiert
