Die neue Bedrohung für deutsche Unternehmen
Stand: 9. September 2026
Cyberangriffe sind längst keine reine Aufgabe der IT-Abteilung mehr.
Denn moderne Angriffe auf Unternehmen können gleichzeitig digital, physisch und menschlich erfolgen.
Ein Hacker sucht eine Schwachstelle im Netzwerk. Ein anderer Akteur beschafft Informationen über Mitarbeiter. Gleichzeitig wird ein Unternehmensstandort ausgekundschaftet. Und möglicherweise werden zusätzlich falsche Informationen verbreitet.
Genau diese Kombination macht hybride Bedrohungen so gefährlich.
Neue Zahlen des Instituts der deutschen Wirtschaft zeigen, wie ernst die Lage inzwischen ist.
19 Prozent der deutschen Unternehmen berichten bereits von starken oder sehr starken Auswirkungen hybrider Bedrohungen aus dem Ausland.
Bei Unternehmen mit mindestens 250 Beschäftigten sind es sogar 39 Prozent.
Zu diesen Bedrohungen zählen unter anderem Cyberangriffe, Spionage, Sabotage und Desinformation. Grundlage ist eine Befragung von mehr als 1.000 Unternehmen im IW-Zukunftspanel aus dem Sommer 2026.
Die Zahlen zeigen deshalb etwas Entscheidendes:
Unternehmenssicherheit muss heute ganzheitlich gedacht werden.
IT-Sicherheit allein reicht nicht mehr.
Was sind hybride Angriffe?
Hybride Angriffe kombinieren unterschiedliche Methoden.
Dabei kann es um Cyberangriffe gehen. Aber genauso um Industriespionage, Sabotage, Desinformation oder menschliche Informationsbeschaffung.
Auch wirtschaftliche Einflussnahme kann eine Rolle spielen.
Das Bundesamt für Verfassungsschutz beschreibt hybride Bedrohungen ebenfalls als Kombination unterschiedlicher Instrumente. Dazu gehören unter anderem Cyberangriffe, Spionage, wirtschaftliche Einflussnahme, Desinformation und Sabotage.
Das Problem liegt deshalb häufig in der Betrachtungsweise.
Ein IT-Leiter sieht einen ungewöhnlichen Login.
Der Werkschutz bemerkt ein verdächtiges Fahrzeug.
Ein Mitarbeiter erhält eine ungewöhnliche Kontaktanfrage über LinkedIn.
Die Personalabteilung registriert plötzlich auffälliges Verhalten eines Beschäftigten.
Und die Geschäftsführung entdeckt gleichzeitig vertrauliche Informationen im Internet.
Jedes Ereignis für sich kann harmlos erscheinen.
Zusammen ergeben diese Informationen möglicherweise ein vollkommen anderes Lagebild.
Genau hier beginnt Protective Intelligence.
96 Prozent der Unternehmen betroffen oder mit entsprechendem Verdacht
Auch eine aktuelle Bitkom-Untersuchung zeigt die Dimension.
Nach Angaben des Digitalverbands waren zuletzt 96 Prozent der Unternehmen von Datendiebstahl, Industriespionage oder Sabotage betroffen oder vermuten entsprechende Angriffe.
Noch bemerkenswerter ist eine andere Zahl.
37 Prozent der betroffenen Unternehmen konnten mindestens einen Angriff einem ausländischen Nachrichtendienst zuordnen.
2023 waren es laut Bitkom lediglich sieben Prozent.
Der durch Datendiebstahl, Industriespionage und Sabotage entstandene beziehungsweise zugerechnete Schaden wird inzwischen auf mehr als 211 Milliarden Euro beziffert.
Das ist keine abstrakte Sicherheitsdiskussion mehr.
Es geht um Geld.
Es geht um Technologie.
Es geht um Wettbewerbsvorteile.
Und es geht zunehmend um die Funktionsfähigkeit von Unternehmen und kritischer Infrastruktur.
Fallbeispiel 1: Sabotage am deutschen Stromnetz
Wie verletzlich Infrastruktur sein kann, zeigt eine aktuelle Serie von Sabotagefällen.
Am 8. September 2026 nahm die Polizei Köln einen 48-jährigen Tatverdächtigen im Umfeld des Kraftwerks Weisweiler fest.
Nach Angaben von Staatsanwaltschaft und Polizei hatte der Mann bei seiner Festnahme weitere Sprengmittel dabei. Außerdem fanden Einsatzkräfte in unmittelbarer Nähe ein Zelt mit weiteren Sprengladungen.
Die Ermittlungen betreffen Sabotagehandlungen beziehungsweise entsprechende Versuche gegen Hochspannungsleitungen und Anlagen in mehreren Bundesländern.
Dabei soll unter anderem versucht worden sein, mit selbstgebauten Vorrichtungen leitfähiges Material auf Hochspannungsleitungen zu bringen und dadurch Kurzschlüsse auszulösen.
Wichtig ist jedoch eine klare Trennung.
Bislang ist damit nicht bewiesen, dass es sich um einen staatlich gesteuerten oder ausländischen hybriden Angriff gehandelt hat.
Nach bisherigen Erkenntnissen steht vielmehr ein anderes Tatmotiv im Raum. Gleichzeitig prüfen die Behörden die Hintergründe und mögliche weitere Zusammenhänge.
Gerade diese Unterscheidung ist wichtig.
Denn professionelle Sicherheitsanalyse bedeutet nicht, vorschnell einen Täter oder Auftraggeber zu bestimmen.
Sie bedeutet, Hypothesen zu entwickeln und anschließend Fakten zu prüfen.
Der Fall zeigt dennoch eindrucksvoll, wie wenige Handlungen ausreichen können, um Infrastruktur und Unternehmen erheblich zu gefährden.
Fallbeispiel 2: Tesla Grünheide – ein Strommast stoppt eine Fabrik
Ein früherer Fall zeigt die wirtschaftliche Dimension noch deutlicher.
Am 5. März 2024 wurde ein Strommast in der Nähe der Tesla-Gigafactory in Grünheide durch einen Brandanschlag beschädigt.
Die Stromversorgung des Werkes wurde unterbrochen.
Und dadurch musste die Produktion zeitweise eingestellt werden.
Eine linksextremistische Gruppierung bekannte sich zu dem Anschlag. Reuters berichtete damals über den Produktionsstillstand und die später erfolgte Wiederherstellung der Stromversorgung.
Das Beispiel zeigt eine wichtige Erkenntnis:
Der Angreifer muss nicht zwingend das Unternehmen selbst betreten.
Es reicht möglicherweise, eine Abhängigkeit außerhalb des Werkgeländes zu identifizieren.
Das kann eine Stromleitung sein.
Es kann ein Rechenzentrum sein.
Es kann ein Logistikdienstleister sein.
Oder es kann ein einzelner Zulieferer sein.
Deshalb gehört zur modernen Protective Intelligence auch die Analyse des Unternehmensumfeldes.
Der gefährlichste Zugang befindet sich manchmal innerhalb des Unternehmens
Besonders kritisch sind Innentäter.
Denn sie besitzen etwas, das externe Angreifer zunächst mühsam beschaffen müssen:
Zugang und Wissen.
Das Bundesamt für Verfassungsschutz weist ausdrücklich darauf hin, dass Sabotage sowohl von außen als auch von innen erfolgen kann.
Innentäter verfügen häufig über detaillierte Kenntnisse der Unternehmensabläufe. Außerdem besitzen sie möglicherweise Zugangsberechtigungen zu Gebäuden, Anlagen oder IT-Systemen. Dadurch können sie für IT-Manipulationen oder physische Sabotage besonders wertvoll sein.
Und ein Innentäter muss nicht immer von Beginn an ein Täter sein.
Mitarbeiter können angeworben werden.
Sie können erpresst werden.
Sie können finanziell motiviert sein.
Oder sie können aus Frust handeln.
Deshalb darf Insider Threat Management nicht erst beginnen, wenn Daten verschwunden sind.
HUMINT: Der Mensch bleibt ein entscheidender Angriffspunkt
Technische Systeme werden immer besser.
Doch der Mensch bleibt erreichbar.
Das Bundesamt für Verfassungsschutz weist deshalb ausdrücklich auf Social Engineering hin.
Angreifer nutzen menschliche Eigenschaften wie Vertrauen, Hilfsbereitschaft, Angst, Respekt oder Neugierde aus. Dadurch versuchen sie, Zielpersonen zu manipulieren und Informationen zu erhalten.
Genau deshalb spielt Human Intelligence – HUMINT – auch im wirtschaftlichen Kontext eine wichtige Rolle.
Angreifer recherchieren Mitarbeiter.
Sie analysieren soziale Netzwerke.
Sie erkennen persönliche Interessen.
Sie identifizieren Hierarchien.
Und sie suchen Personen mit Zugang zu relevanten Informationen.
Dann erfolgt möglicherweise die Kontaktaufnahme.
Nicht immer offensichtlich.
Manchmal beginnt sie mit einer völlig normalen LinkedIn-Anfrage.
Oder mit einer vermeintlichen Recruiting-Anfrage.
Oder mit einer Einladung zu einer Konferenz.
Oder mit einem angeblichen Geschäftskontakt.
Und genau deshalb muss Wirtschaftsschutz auch den Faktor Mensch berücksichtigen.
Warum Background-Checks wichtiger werden
Background-Checks werden häufig nur bei Neueinstellungen durchgeführt.
Das greift jedoch zu kurz.
Besonders sensible Positionen sollten risikobasiert betrachtet werden.
Das gilt beispielsweise für Mitarbeiter mit Zugang zu:
- Geschäftsgeheimnissen,
- Forschungsdaten,
- Produktionssystemen,
- kritischer Infrastruktur,
- administrativen IT-Rechten,
- strategischen Planungen,
- M&A-Projekten,
- Finanzinformationen
- oder sicherheitsrelevanten Bereichen.
Dabei geht es nicht darum, Mitarbeiter unter Generalverdacht zu stellen.
Es geht vielmehr darum, Risiken frühzeitig zu erkennen und gesetzeskonform zu bewerten.
Corporate Intelligence verbindet einzelne Informationen
Ein modernes Sicherheitskonzept benötigt deshalb mehr als Kameras und Firewalls.
Es benötigt Informationen.
Corporate Intelligence kann dabei unterschiedliche Informationsquellen zusammenführen.
Beispielsweise:
Ein unbekanntes Fahrzeug erscheint wiederholt vor einem Werk.
Gleichzeitig erhält ein Entwicklungsingenieur ungewöhnliche Kontaktanfragen.
Parallel treten Phishing-Versuche gegen die Geschäftsführung auf.
Und kurz danach werden vertrauliche Informationen öffentlich.
Die entscheidende Frage lautet dann nicht mehr:
„Was ist passiert?“
Sondern:
„Hängen diese Ereignisse zusammen?“
Genau dafür müssen Informationen zentral analysiert werden.
Protective Intelligence statt reiner Reaktion
Viele Unternehmen reagieren erst nach einem Vorfall.
Doch dann ist möglicherweise bereits erheblicher Schaden entstanden.
Protective Intelligence verfolgt deshalb einen anderen Ansatz.
Informationen werden frühzeitig gesammelt.
Risiken werden bewertet.
Schwachstellen werden identifiziert.
Und mögliche Angriffsvorbereitungen werden erkannt.
Dabei können unter anderem folgende Maßnahmen sinnvoll sein:
Öffentlich zugängliche Informationen können Hinweise auf Bedrohungen, Täterstrukturen oder Informationsabflüsse liefern.
Background-Checks
Personen und Geschäftspartner können risikobasiert überprüft werden.
Corporate Intelligence
Unternehmensstrukturen, Netzwerke, wirtschaftliche Verbindungen und potenzielle Interessenkonflikte werden analysiert.
HUMINT
Menschliche Informationsquellen können wichtige Erkenntnisse liefern, sofern die Maßnahmen rechtlich zulässig und professionell durchgeführt werden.
Bei konkreten Verdachtsmomenten kann eine rechtlich zulässige Observation helfen, Sachverhalte zu verifizieren oder zu widerlegen.
Insider-Ermittlungen
Auffälligkeiten innerhalb eines Unternehmens müssen strukturiert untersucht werden.
Lauschabwehr und TSCM
Bei besonders sensiblen Gesprächen und Informationen kann auch die Suche nach unerlaubten Abhör- oder Übertragungseinrichtungen erforderlich sein.
Ein realistisches Angriffsszenario
Nehmen wir ein fiktives mittelständisches Technologieunternehmen.
Das Unternehmen entwickelt eine neue Technologie.
Ein Wettbewerber oder fremder Akteur möchte an die Entwicklungsdaten gelangen.
Zunächst werden über OSINT Schlüsselpersonen identifiziert.
Dann erhält ein Entwicklungsingenieur eine Kontaktanfrage eines angeblichen Recruiters.
Gleichzeitig versucht ein Angreifer, über Phishing Zugang zum E-Mail-Konto eines anderen Mitarbeiters zu erhalten.
Parallel wird beobachtet, wann bestimmte Mitarbeiter das Firmengebäude verlassen.
Ein externer Dienstleister mit Zugang zum Werk wird ebenfalls angesprochen.
Schließlich gelangen interne Informationen nach außen.
Keiner dieser Schritte muss isoliert betrachtet besonders auffällig sein.
Doch zusammen ergibt sich ein Muster.
Das ist genau das Problem hybrider Bedrohungen.
Sie nutzen unterschiedliche Schwachstellen gleichzeitig.
Was Unternehmen jetzt tun sollten
Unternehmen sollten ihre Sicherheitsstrategie deshalb überprüfen.
Dabei sollten mindestens folgende Fragen gestellt werden:
- Welche Informationen sind für unser Unternehmen besonders wertvoll?
- Welche Mitarbeiter besitzen Zugang zu diesen Informationen?
- Welche externen Dienstleister besitzen Zugriff auf Systeme oder Gebäude?
- Welche Abhängigkeiten bestehen außerhalb unseres Firmengeländes?
- Gibt es Hinweise auf Ausspähung oder ungewöhnliche Kontaktversuche?
- Werden Cybersecurity, Werkschutz und Corporate Security gemeinsam ausgewertet?
- Gibt es einen Prozess für Insider-Verdachtsfälle?
- Werden relevante Führungskräfte und Schlüsselpersonen regelmäßig sensibilisiert?
- Gibt es ein funktionierendes Krisenmanagement?
- Wer übernimmt die Ermittlungen, wenn tatsächlich ein Verdacht entsteht?
Auch das Bundesamt für Verfassungsschutz empfiehlt Unternehmen eine umfassende Risikobeurteilung. Dabei sollen relevante Daten identifiziert, Angriffsszenarien analysiert und Sicherheitsmaßnahmen regelmäßig auf ihre Wirksamkeit überprüft werden.
Meine Erfahrung aus mehr als 10 Jahren Kriminalitätsbekämpfung
Ich beschäftige mich seit mehr als 10 Jahren beruflich mit Kriminalität, Täterverhalten und Sicherheitsrisiken.
Als Kriminalist, Profiler und Inhaber der Privat Investigation Service Detegere befasse ich mich heute insbesondere mit Wirtschaftskriminalität, Corporate Intelligence, Observationen, Background-Checks, OSINT, Insider-Ermittlungen und komplexen Ermittlungsverfahren.
Dabei zeigt sich immer wieder ein Grundsatz:
Ein Täter betrachtet ein Unternehmen nicht nach Abteilungen.
Er fragt nicht, ob eine Schwachstelle zur IT, zum Werkschutz oder zur Personalabteilung gehört.
Er sucht den einfachsten Zugang.
Und deshalb müssen auch Unternehmen lernen, ihre Risiken aus der Perspektive eines möglichen Angreifers zu betrachten.
Genau dieser Perspektivwechsel ist für mich ein zentraler Bestandteil professioneller Ermittlungs- und Präventionsarbeit.
Hybride Bedrohungen erfordern hybriden Wirtschaftsschutz
Die aktuellen Zahlen des IW und des Bitkom zeigen eine klare Entwicklung.
Unternehmen stehen nicht mehr nur klassischen Cyberkriminellen gegenüber.
Sie müssen gleichzeitig mit Industriespionage, Sabotage, Informationsbeschaffung, Insider-Risiken und Desinformation rechnen.
Deshalb darf moderne Unternehmenssicherheit nicht in einzelnen Silos organisiert werden.
IT-Security ist wichtig.
Werkschutz ist wichtig.
Compliance ist wichtig.
Personal Security ist wichtig.
Corporate Intelligence ist wichtig.
Aber erst das Zusammenspiel erzeugt ein belastbares Lagebild.
Denn der nächste Angriff beginnt möglicherweise nicht mit Schadsoftware.
Vielleicht beginnt er mit einer LinkedIn-Anfrage.
Mit einem fremden Fahrzeug vor dem Werk.
Mit einem unzufriedenen Mitarbeiter.
Mit einem vermeintlichen Geschäftspartner.
Oder mit jemandem, der zunächst nur eine scheinbar harmlose Frage stellt.
Die entscheidende Fähigkeit besteht deshalb darin, schwache Signale frühzeitig zu erkennen und miteinander zu verbinden.
FAQ: Hybride Angriffe auf Unternehmen
Was ist ein hybrider Angriff?
Ein hybrider Angriff verbindet verschiedene Angriffsmethoden. Dazu können Cyberangriffe, Spionage, Sabotage, Desinformation und wirtschaftliche Einflussnahme gehören. Häufig wird versucht, die tatsächliche Urheberschaft zu verschleiern.
Sind nur große Unternehmen gefährdet?
Nein.
Große Unternehmen sind besonders attraktive Ziele, aber auch mittelständische Unternehmen besitzen wertvolles Know-how.
Gerade sogenannte Hidden Champions verfügen häufig über Technologien und Spezialwissen, die für Wettbewerber oder staatliche Akteure interessant sein können.
Welche Rolle spielen Innentäter?
Eine sehr große.
Innentäter besitzen häufig Zugang zu Informationen, Gebäuden oder IT-Systemen. Außerdem kennen sie interne Sicherheitsmaßnahmen. Deshalb können sie für externe Angreifer besonders interessant sein.
Was bedeutet Protective Intelligence?
Protective Intelligence bedeutet, Informationen über mögliche Gefahren frühzeitig zu sammeln, zu analysieren und zu bewerten.
Ziel ist es, eine Bedrohung möglichst zu erkennen, bevor daraus ein konkreter Schaden entsteht.
Welche Rolle spielt OSINT?
OSINT steht für Open Source Intelligence.
Dabei werden öffentlich verfügbare Informationen systematisch recherchiert und ausgewertet.
Damit können beispielsweise Personen, Unternehmensstrukturen, Netzwerke, digitale Spuren und mögliche Risiken identifiziert werden.
Wann kann eine Observation sinnvoll sein?
Eine Observation kann sinnvoll sein, wenn konkrete tatsächliche Anhaltspunkte für ein Fehlverhalten oder eine Bedrohung bestehen und die Maßnahme rechtlich zulässig sowie verhältnismäßig ist.
Sie kann helfen, einen Verdacht zu bestätigen.
Sie kann ihn aber genauso widerlegen.
Beides ist für professionelle Ermittlungsarbeit wichtig.
Wie können Unternehmen hybride Bedrohungen erkennen?
Einzelne Auffälligkeiten sollten nicht isoliert betrachtet werden.
Cybersecurity, Corporate Security, Werkschutz, Compliance und gegebenenfalls externe Ermittler sollten relevante Informationen zusammenführen.
Denn erst dadurch können Muster sichtbar werden.
Was sollten Unternehmen bei einem konkreten Verdacht tun?
Zunächst sollten Beweise gesichert und Informationen nur nach dem Need-to-know-Prinzip weitergegeben werden.
Danach sollte ein strukturiertes Lagebild erstellt werden.
Je nach Situation können IT-Forensik, OSINT, Background-Checks, Interviews, Observationen, Corporate Intelligence oder weitere Ermittlungsmaßnahmen erforderlich sein.
Bei strafrechtlich relevanten Sachverhalten müssen außerdem die zuständigen Behörden und gegebenenfalls spezialisierte Rechtsanwälte einbezogen werden.
Quellen und weiterführende Informationen
Institut der deutschen Wirtschaft (IW), 5. September 2026:
„Jedes fünfte Unternehmen spürt starke Auswirkungen hybrider Angriffe“
IW – Jedes fünfte Unternehmen spürt starke Auswirkungen hybrider Angriffe
Institut der deutschen Wirtschaft – IW-Kurzbericht Nr. 60/2026:
„Hybride Bedrohungen treffen deutsche Unternehmen“
IW-Kurzbericht – Hybride Bedrohungen treffen deutsche Unternehmen
Bitkom, 26. August 2026:
„Angriffe auf die deutsche Wirtschaft: Spur führt immer öfter zu ausländischen Geheimdiensten“
Bitkom – Angriffe auf die deutsche Wirtschaft
Polizei Köln / Staatsanwaltschaft Köln, 8. September 2026:
„Sabotage an Hochspannungsleitung in Weisweiler – Tatverdächtiger festgenommen“
Polizei Köln – Festnahme nach Sabotage an Hochspannungsleitung
Bundesamt für Verfassungsschutz:
„Schutz vor Sabotage“
BfV – Wirtschaftsschutz und Schutz vor Sabotage
Bundesamt für Verfassungsschutz:
Präventionsansatz im Wirtschafts- und Wissenschaftsschutz
BfV – Präventionsansatz Wirtschaftsschutz
Reuters, März 2024:
Berichterstattung zum Brandanschlag auf die Stromversorgung der Tesla-Gigafactory in Grünheide.
Bild: KI generiert
Wenn Sie gerade einen konkreten Verdacht haben:
Warten kostet Beweise. Sprechen Sie jetzt diskret mit uns:
Kostenfreie diskrete Erstberatung unter:
☎️ 08 00/0 12 02 23 (nur national erreichbar)
For International Customers: +49 (0)6023 9 29 68 80
Für Wirtschaftsdelikte, Observationen und internationale Ermittlungen.
📩 oliver.peth@kriminalistik.info
📞 +49 (0)6023 9 29 68 80
+49 (0)170 24 8 12 78
Hinweis zu Einsatzgebieten*
Die auf dieser Website genannten Städte, Regionen und Länder bezeichnen operative Einsatzgebiete. Sie stellen keine Niederlassungen oder Firmensitze dar.
Alle Einsätze werden zentral über die Detektei Detegere in Alzenau koordiniert. Aus Gründen des Datenschutzes, der Vertraulichkeit und zum Schutz unserer Mandanten sind dargestellte Fallbeispiele fiktiv oder an reale Sachverhalte angelehnt. Namen, Orte, Zeitangaben und einzelne Umstände wurden verändert.
Verantwortlich für diesen Inhalt:
Dieser Inhalt wurde fachlich verantwortet durch Oliver Peth, Kriminalist, Profiler und Inhaber der Detektei Detegere. Die Detektei Detegere verfügt über Erfahrung in Wirtschaftsdetektei, OSINT-Recherchen, Observationen, internationalen Ermittlungen und gerichtsfester Dokumentation.
Unser Anspruch ist es, Mandanten klar, diskret und rechtssicher zu unterstützen. Deshalb werden unsere Inhalte regelmäßig geprüft, aktualisiert und an neue rechtliche, wirtschaftliche und ermittlungstaktische Entwicklungen angepasst.
Zuletzt aktualisiert: August 2026