Cybernation oder Cyberillusion? Was uns ein Blick nach Großbritannien über Deutschlands Cybersicherheit verrät
Warum Europas Cyberabwehr an einem Wendepunkt steht, künstliche Intelligenz unsere alten Probleme gnadenlos offenlegt und Deutschland dringend über mehr als neue Gesetze und politische Programme sprechen muss.
Warum ich ausgerechnet nach Großbritannien schaue
Manchmal lohnt es sich, einfach mal über den eigenen Tellerrand zu schauen. Und damit meine ich nicht automatisch die USA oder China, die in nahezu jeder Diskussion über Technologie, künstliche Intelligenz und Cybersicherheit als Vergleich herhalten müssen.
Natürlich sind beide Länder technologisch hochinteressant. Allerdings bewegen sie sich hinsichtlich ihrer wirtschaftlichen Möglichkeiten, ihrer technologischen Ökosysteme, ihrer staatlichen Ressourcen und nicht zuletzt ihrer geopolitischen Ambitionen in einer ganz anderen Liga. Ob man daraus immer die richtigen Schlussfolgerungen für Deutschland ableiten kann, wage ich deshalb gelegentlich zu bezweifeln.
Mich interessiert vielmehr, was eigentlich bei unseren europäischen Nachbarn passiert. Wie gehen andere Länder mit Cyberbedrohungen um? Welche Probleme beschäftigen sie? Welche politischen und technologischen Antworten entwickeln sie darauf? Und vor allem, was funktioniert tatsächlich, jenseits von Strategiedokumenten, politischen Ankündigungen und wohlklingenden Programmnamen?
Denn eines sollte uns mittlerweile klar sein. Nur weil ein Land eine Cybersicherheitsstrategie veröffentlicht hat, bedeutet das noch lange nicht, dass es deshalb auch sicherer geworden ist.
Natürlich lassen sich europäische Länder nicht einfach eins zu eins miteinander vergleichen. Der Digitalisierungsgrad, die wirtschaftliche Struktur, die gesetzlichen Rahmenbedingungen, die Organisation staatlicher Sicherheitsbehörden und die historische Entwicklung der IT-Landschaften unterscheiden sich teilweise erheblich.
Trotzdem, oder vielleicht gerade deshalb, finde ich solche Vergleiche ausgesprochen spannend.
Man erkennt Gemeinsamkeiten, entdeckt unterschiedliche Lösungsansätze und stößt gelegentlich auf Entwicklungen, die andere Länder bereits hinter sich haben, während wir in Deutschland noch darüber diskutieren, welches Ministerium eigentlich zuständig sein sollte.
Und manchmal ist es auch umgekehrt. Deutschland hat durchaus eigene Stärken, Erfahrungen und regulatorische Ansätze, von denen andere Staaten lernen können. Es geht mir deshalb ausdrücklich nicht darum, einen weiteren Beitrag darüber zu schreiben, warum anderswo angeblich alles besser funktioniert und Deutschland mal wieder den Anschluss verpasst hat.
Diese Erzählung ist mir zu einfach, und meistens hält sie einer genaueren Betrachtung ohnehin nicht stand.
Viel interessanter finde ich die Frage, ob sich aus unterschiedlichen Entwicklungen gemeinsame Muster erkennen lassen und welche Konsequenzen wir daraus für die kommenden Jahre ziehen sollten.
Genau deshalb lohnt sich für mich ein Blick nach Großbritannien.
Auch wenn das Vereinigte Königreich seit dem Brexit politisch nicht mehr zur Europäischen Union gehört, bleibt es wirtschaftlich, technologisch und sicherheitspolitisch ein wichtiger europäischer Akteur. Mit dem National Cyber Security Centre (NCSC) verfügt Großbritannien außerdem über eine Institution, die Cybersicherheit seit inzwischen zehn Jahren aus einer nationalen, strategischen und zugleich ausgesprochen operativen Perspektive betrachtet.
Am 3. November 2026 veröffentlichte das NCSC seinen aktuellen Jahresbericht mit dem Titel The State of the Cyber Nation. Der Bericht betrachtet den Zeitraum vom 1. September 2025 bis zum 31. August 2026 und beschäftigt sich gleichzeitig mit den Herausforderungen des kommenden Jahrzehnts. [1]
Das Dokument ist weit mehr als eine Leistungsbilanz einer Behörde. Es beschreibt die Bedrohungslage, bewertet die Auswirkungen künstlicher Intelligenz, beschäftigt sich mit staatlichen Angreifern und wirtschaftlichen Schäden und entwickelt eine Vorstellung davon, wie nationale Cyberabwehr künftig funktionieren könnte.
Bemerkenswert finde ich dabei vor allem die Offenheit, mit der die britischen Sicherheitsbehörden ihre eigenen Defizite beschreiben.
NCSC-Chef Richard Horne stellt bereits im Vorwort fest, dass die Cyberresilienz des Vereinigten Königreichs noch längst nicht dort angekommen ist, wo sie sein müsste. Die Bedrohung habe sich schneller entwickelt als die Verteidigungsfähigkeiten, wodurch weiterhin zu viele Organisationen durch eigentlich vermeidbare Angriffe verwundbar seien. [1]
Das ist eine bemerkenswerte Aussage für eine Institution, deren Auftrag es ist, die nationale Cybersicherheit zu stärken.
Und genau da wird es für mich interessant.
Denn wenn selbst ein Land mit etablierten nationalen Cyberabwehrstrukturen feststellt, dass bekannte Schwachstellen, technische Altlasten, kompromittierte Zugangsdaten und unzureichende Sicherheitsgrundlagen weiterhin einen wesentlichen Teil des Problems ausmachen, sollte uns das in Deutschland durchaus zu denken geben.
Wir diskutieren über künstliche Intelligenz, autonome Cyberagenten, nationale Cyberabwehrplattformen und immer neue regulatorische Anforderungen. Gleichzeitig kämpfen viele Unternehmen und öffentliche Einrichtungen noch damit, ihre eigene IT-Landschaft vollständig zu kennen, Schwachstellen zeitnah zu beseitigen oder nach einem größeren Sicherheitsvorfall den Betrieb zuverlässig wiederherzustellen.
Das ist keine ausschließlich deutsche Besonderheit.
Aber es ist eine, die wir ernst nehmen sollten.
Ich möchte deshalb den britischen Bericht nicht einfach zusammenfassen oder seine Aussagen ungeprüft auf Deutschland übertragen. Mich interessiert, wo sich die Lagebilder überschneiden, wo sich die Strategien unterscheiden und ob die Briten bei bestimmten Entwicklungen tatsächlich schon weiter sind.
Vielleicht gibt es Ansätze, von denen wir lernen können. Vielleicht erkennen wir aber auch Probleme, die dort gerade erst entstehen und die uns in Deutschland ebenso bevorstehen könnten.
Und natürlich interessiert mich, ob aus den ambitionierten britischen Plänen tatsächlich mehr Cybersicherheit entsteht oder am Ende vor allem neue Programme, Zuständigkeiten und Präsentationen.
Denn davon haben wir in Deutschland bekanntlich auch schon eine ganz ordentliche Sammlung.
Schauen wir uns also an, was die Briten über ihre eigene Cybernation berichten, was davon für Deutschland relevant ist und welche unbequemen Fragen wir uns dabei möglicherweise selbst stellen müssen.
1. Die unbequeme Wahrheit aus Großbritannien – unsere Angreifer sind moderner geworden, unsere Probleme nicht
Wer sich regelmäßig mit Cybersecurity beschäftigt, kennt die Schlagzeilen.
KI-gestützte Cyberangriffe, autonome Hackeragenten, staatliche Cyberoperationen, Zero-Day-Exploits und eine Bedrohungslandschaft, die angeblich täglich komplexer wird.
Das alles ist nicht grundsätzlich falsch. Die technologischen Möglichkeiten entwickeln sich tatsächlich mit erheblicher Geschwindigkeit. Allerdings entsteht durch diese Berichterstattung gelegentlich der Eindruck, als müssten wir unsere gesamte Vorstellung von Cyberangriffen neu erfinden.
Genau hier setzt das NCSC einen bemerkenswert nüchternen Kontrapunkt.
Der Bericht beginnt seine Betrachtung der vergangenen zehn Jahre mit Ereignissen aus dem Jahr 2015. Damals griff die russische Gruppe Sandworm die ukrainische Stromversorgung an. In den USA wurden Daten der Bundespersonalbehörde Office of Personnel Management kompromittiert. Gleichzeitig sorgten größere Datendiebstähle und Ransomware-Angriffe für erhebliche Schäden. [1]
Die Beschreibung könnte mit einigen Anpassungen auch aus dem Jahr 2026 stammen.
Und genau das ist die eigentliche Botschaft.
Die Technologie hat sich verändert, die grundlegenden Angriffsmuster erstaunlich wenig.
88 Prozent und vier bekannte Einfallstore
Besonders interessant sind die operativen Erkenntnisse des NCSC.
Im Berichtszeitraum erhielt das britische Incident-Management-Team insgesamt 1.831 Meldungen zu Cyberangriffen. Nach einer ersten Bewertung erforderten 337 Vorfälle eine Unterstützung durch das NCSC. Davon wurden wiederum 80 als national bedeutsam eingestuft. [1]
Hinzu kommt eine weitere Zahl, die ich besonders interessant finde. Über seinen Early-Warning-Dienst informierte das NCSC rund 8.500 Organisationen über Ereignisse, die auf eine mögliche Kompromittierung ihrer Systeme hinwiesen.
Hier zeigt sich bereits ein wesentlicher Unterschied zwischen klassischer Incident Response und einem stärker präventiven Ansatz. Das NCSC versucht nicht ausschließlich, auf bereits eingetretene Sicherheitsvorfälle zu reagieren, sondern Organisationen möglichst frühzeitig vor verdächtigen Entwicklungen zu informieren.
Diese Zahlen sollte man allerdings richtig einordnen.
Es handelt sich nicht um sämtliche Cyberangriffe auf britische Organisationen. Der Bericht bildet vor allem jene Vorfälle ab, die dem NCSC gemeldet wurden und teilweise eine operative Unterstützung erforderlich machten. Daraus lässt sich weder die Gesamtzahl erfolgreicher Angriffe noch ohne Weiteres eine repräsentative Verteilung aller Angriffsmethoden ableiten.
Trotzdem sind die Ergebnisse ausgesprochen aufschlussreich.
Bei großen Organisationen entfielen nach der NCSC-Auswertung 88 Prozent der betrachteten Vorfälle auf lediglich vier Wege des initialen Zugriffs.
Die Ausnutzung öffentlich erreichbarer Anwendungen, Phishing, der Missbrauch gültiger Benutzerkonten und die Ausnutzung externer Remote-Dienste. [1]
Keine besonders exotische Liste.
Im Gegenteil. Wer sich seit einigen Jahren professionell mit Incident Response oder Threat Hunting beschäftigt, dürfte sich fragen, ob er gerade einen aktuellen Jahresbericht oder die Zusammenfassung einer Schulung aus dem vergangenen Jahrzehnt liest.
Und das ist keineswegs als Kritik am NCSC gemeint.
Es ist vielmehr eine Kritik an unserem Umgang mit Cybersicherheit.
Wir kennen diese Angriffsmethoden. Wir kennen die typischen Schwachstellen. Wir kennen die erforderlichen Gegenmaßnahmen. Teilweise kennen wir sogar die betroffenen Systeme und die notwendigen Sicherheitsupdates.
Und trotzdem funktioniert es immer wieder.
Das Problem besteht offensichtlich nicht ausschließlich darin, dass wir zu wenig über Cyberangriffe wissen. Es besteht zunehmend darin, dass wir unser vorhandenes Wissen nicht konsequent genug in funktionierende Sicherheitsmaßnahmen übersetzen.
Genau diese Differenz zwischen Erkenntnis und Umsetzung zieht sich durch den gesamten britischen Bericht.
Wenn technische Schulden zum nationalen Sicherheitsrisiko werden
Ein Begriff taucht im Bericht immer wieder auf, der in vielen Unternehmen noch viel zu häufig als Problem der IT-Abteilung behandelt wird.
Technical Debt, also technische Schulden.
Damit sind nicht einfach alte Server oder vergessene Anwendungen gemeint. Technische Schulden entstehen überall dort, wo kurzfristige Entscheidungen langfristige technische, organisatorische oder sicherheitsrelevante Verpflichtungen erzeugen.
Eine Anwendung wird eingeführt, obwohl sie sich nur eingeschränkt aktualisieren lässt. Ein System bleibt produktiv, weil die Ablösung zu teuer erscheint. Eine Schnittstelle wird kurzfristig freigeschaltet und später nicht mehr hinterfragt. Ein Hersteller stellt den Support ein, aber die Anwendung wird weiterhin benötigt.
Jede einzelne Entscheidung kann nachvollziehbar sein.
In der Summe entstehen daraus jedoch komplexe, schwer wartbare und zunehmend verwundbare IT-Landschaften.
Das Problem ist keineswegs auf Deutschland oder Großbritannien beschränkt. Insbesondere in Industrie, Gesundheitswesen und öffentlicher Verwaltung treffen lange Nutzungszyklen auf immer kürzere Innovations- und Sicherheitszyklen.
In Krankenhäusern beispielsweise hängen medizinische Anwendungen häufig an spezialisierten Systemen, deren Aktualisierung nicht allein von der lokalen IT entschieden werden kann. Herstellerfreigaben, regulatorische Anforderungen, klinische Verfügbarkeit und technische Abhängigkeiten begrenzen die Möglichkeiten.
Ähnliche Situationen finden sich in der industriellen Automatisierung, in Energieversorgungsnetzen oder bei kommunalen Fachverfahren.
Hier reicht es nicht, einem Administrator zu erklären, er solle doch bitte endlich patchen.
Man muss verstehen, warum das System überhaupt noch in diesem Zustand betrieben wird, wer die Verantwortung dafür trägt und welche Alternativen tatsächlich existieren.
Genau deshalb ist die Aussage des NCSC wichtig, dass künstliche Intelligenz diese Schwächen nicht erschaffen hat. Sie macht sie lediglich schneller und systematischer ausnutzbar. [1]
Die technische Schuld wurde gestern gemacht. Die Rechnung könnte morgen deutlich schneller fällig werden.
Ein Cyberangriff kann eine ganze Volkswirtschaft treffen
Wie weitreichend die wirtschaftlichen Folgen inzwischen sein können, zeigt der britische Bericht am Beispiel Jaguar Land Rover.
Der Cyberangriff im September 2025 führte zu erheblichen Störungen in Produktion und Vertrieb des Automobilherstellers. Die Auswirkungen reichten über das Unternehmen hinaus bis in seine Lieferketten. [1][2]
Lieferanten waren von ausfallenden Bestellungen, gestörten Produktionsabläufen und finanziellen Unsicherheiten betroffen. Für zahlreiche kleinere Unternehmen kann eine solche Unterbrechung schnell existenzielle Auswirkungen haben.
Jaguar Land Rover bezifferte die unmittelbaren cyberbezogenen Kosten laut NCSC auf rund 196 Millionen britische Pfund.
Darüber hinaus verweist der Bericht auf Auswirkungen auf die britische Wirtschaftsleistung im dritten Quartal 2025. Das Wirtschaftswachstum lag dort bei lediglich 0,1 Prozent. [1]
Wichtig ist allerdings die Unterscheidung zwischen Korrelation und Kausalität.
Nicht das gesamte schwache britische Wirtschaftswachstum lässt sich auf diesen einen Cyberangriff zurückführen. Der Vorfall trug nach Einschätzung des NCSC zur wirtschaftlichen Belastung bei. Wie groß sein isolierter Anteil an der gesamtwirtschaftlichen Entwicklung tatsächlich war, lässt sich aus dem Bericht allein nicht zuverlässig bestimmen.
Dennoch zeigt das Beispiel sehr deutlich, dass Cybersecurity längst keine rein betriebswirtschaftliche Angelegenheit mehr ist.
Wenn ein großer Automobilhersteller wochenlang nur eingeschränkt produzieren kann, betrifft das nicht lediglich seinen IT-Betrieb. Es betrifft Beschäftigte, Zulieferer, Logistikunternehmen, Händler und möglicherweise ganze Regionen.
Für Deutschland ist das besonders relevant.
Unsere wirtschaftliche Struktur ist stark durch industrielle Wertschöpfung, spezialisierte Zulieferer und komplexe internationale Lieferketten geprägt.
Die deutsche Automobilindustrie ist dafür ein besonders anschauliches Beispiel.
Ein moderner Hersteller ist nicht einfach eine Fabrik, in der Fahrzeuge gebaut werden. Er ist Teil eines hochgradig vernetzten Ökosystems aus Entwicklung, Logistik, Just-in-Time-Produktion, Softwareplattformen, Cloud-Diensten und Tausenden beteiligten Unternehmen.
Fällt ein zentraler Bestandteil aus, lässt sich der Schaden nicht auf die ursprünglich kompromittierte IT-Infrastruktur begrenzen.
Cyberresilienz ist damit zunehmend eine Frage wirtschaftlicher Stabilität. Und genau deshalb gehört sie auf die Agenda der Unternehmensführung und nicht ausschließlich in das nächste IT-Sicherheitsbudget.
China, Russland und die geopolitische Dimension
Der NCSC-Bericht unterscheidet bei staatlichen Akteuren bemerkenswert klar zwischen unterschiedlichen strategischen Bedrohungen.
China wird als besonders anspruchsvolle und langfristig angelegte Herausforderung beschrieben. Großbritannien sieht insbesondere die Verbindung aus technologischer Entwicklung, staatlicher Steuerung, wirtschaftlichen Interessen und nachrichtendienstlichen Aktivitäten kritisch.
Russland wird dagegen als besonders offensiver und risikobereiter Akteur betrachtet, dessen Cyberoperationen zunehmend mit geopolitischen Konflikten, Sabotage und hybrider Einflussnahme verbunden sind. [1]
Diese Differenzierung halte ich für sinnvoll.
Nicht jeder staatliche Cyberangriff verfolgt dasselbe Ziel.
Manche Operationen sollen Informationen sammeln, andere wirtschaftliche Vorteile schaffen. Wieder andere dienen der Vorbereitung möglicher militärischer Konflikte oder sollen gezielt gesellschaftliche Unsicherheit erzeugen.
Die langfristige Kompromittierung eines Telekommunikationsnetzes kann beispielsweise zunächst der Informationsgewinnung dienen. Gleichzeitig entsteht dadurch möglicherweise die Fähigkeit, zu einem späteren Zeitpunkt Kommunikationsdienste zu stören.
Besonders kritisch wird es, wenn solche Fähigkeiten über Jahre unentdeckt bleiben.
Auch für Deutschland ist das kein theoretisches Szenario.
Das Bundesamt für Verfassungsschutz beschreibt seit Jahren Aktivitäten staatlich gesteuerter Cyberakteure, insbesondere aus Russland und China. Dabei stehen sowohl politische Einrichtungen als auch wirtschaftlich und technologisch interessante Unternehmen im Fokus. [3]
Die britische Einschätzung deckt sich somit in wesentlichen Punkten mit dem deutschen Lagebild.
Allerdings sollten wir bei staatlichen Zuschreibungen grundsätzlich sauber bleiben.
Die technische Herkunft eines Angriffs, die verwendete Infrastruktur und die tatsächliche staatliche Steuerung sind unterschiedliche Fragen. Gerade bei professionellen Operationen ist eine belastbare Attribution aufwendig und nicht immer öffentlich nachvollziehbar.
Auch Geheimdienstbewertungen sind keine unabhängig reproduzierbaren wissenschaftlichen Experimente.
Sie besitzen aufgrund der verfügbaren Erkenntnisse eine hohe sicherheitspolitische Relevanz, müssen aber als nachrichtendienstliche Einschätzungen behandelt werden.
Was für mich aus diesem ersten Kapitel bleibt, ist deshalb weniger die Frage, welcher Staat gerade als gefährlichster Angreifer gilt.
Es ist vielmehr die Erkenntnis, dass sehr unterschiedliche Angreifer immer wieder von denselben grundlegenden Sicherheitsmängeln profitieren.
Und das sollte uns deutlich mehr beschäftigen als die nächste spektakuläre Angriffsmethode.
2. Deutschland im Realitätscheck – hohe Schäden, neue Gesetze und die alten Baustellen
Der Blick nach Deutschland macht die britischen Erkenntnisse nicht weniger relevant.
Eher im Gegenteil.
Auch hier werden seit Jahren steigende Cyberrisiken, größere Angriffsflächen, eine zunehmende Professionalisierung krimineller Gruppen und wachsende geopolitische Spannungen beschrieben.
Das Bundesamt für Sicherheit in der Informationstechnik, das Bundeskriminalamt und das Bundesamt für Verfassungsschutz betrachten diese Entwicklung aus unterschiedlichen Perspektiven.
Dabei entsteht ein Lagebild, das in wesentlichen Punkten mit den britischen Beobachtungen übereinstimmt.
Die europäische Cybersicherheitsagentur ENISA bestätigt diese Entwicklung ebenfalls. In ihrem am 22. September 2026 veröffentlichten Threat Landscape Report 2026 beschreibt sie Ransomware weiterhin als eine der folgenreichsten kurzfristigen Bedrohungen. Gleichzeitig bleiben staatlich unterstützte Angriffe, geopolitisch motivierte DDoS-Kampagnen und die zunehmende Abhängigkeit von digitalen Dienstleistern zentrale Risiken. [4]
Die öffentliche Verwaltung gehört europaweit zu den besonders häufig betroffenen Bereichen.
32 Prozent der von ENISA für den Bericht erfassten betroffenen Organisationen entfielen auf diesen Sektor. Dabei ist zu beachten, dass ein großer Anteil der beobachteten Vorgänge DDoS-Aktivitäten waren. Laut ENISA machten diese 82 Prozent der erfassten Ereignisse im öffentlichen Verwaltungssektor aus. [4]
Die Zahl bedeutet deshalb nicht, dass knapp ein Drittel aller schweren europäischen Sicherheitsvorfälle erfolgreiche Kompromittierungen von Behörden waren.
Gerade diese Differenzierung geht in der öffentlichen Diskussion häufig verloren.
Ein blockiertes Behördenportal, ein erfolgreicher Ransomware-Angriff und eine langfristige nachrichtendienstliche Kompromittierung sind sicherheitstechnisch vollkommen unterschiedliche Ereignisse.
Ihre Auswirkungen können erheblich sein, aber ihre Ursachen und die erforderlichen Gegenmaßnahmen sind nicht identisch.
211 Milliarden Euro Schaden. Aber was sagt diese Zahl eigentlich aus?
Besonders eindrucksvoll sind die aktuellen Zahlen des Digitalverbands Bitkom.
Die Studie Wirtschaftsschutz 2026 schätzt den jährlichen Schaden durch Datendiebstahl, Industriespionage und Sabotage in der deutschen Wirtschaft auf einen Korridor von 211 bis 270,8 Milliarden Euro. [5]
Das sind zweifellos erhebliche Größenordnungen.
Allerdings lohnt sich auch hier ein genauer Blick auf die Methodik.
Die Studie basiert auf einer repräsentativ angelegten Befragung von 1.003 Unternehmen mit mindestens zehn Beschäftigten und mindestens einer Million Euro Jahresumsatz. Die Schäden werden aus den Unternehmensangaben hochgerechnet. Es handelt sich also nicht um eine vollständige buchhalterische Erfassung sämtlicher tatsächlich entstandener Schäden.
Insbesondere die Bewertung vermuteter Angriffe und indirekter wirtschaftlicher Folgen bringt Unsicherheiten mit sich. Bitkom weist deshalb 2026 erstmals ausdrücklich einen Schadenskorridor aus. [5]
Die Untergrenze basiert auf Schäden, die Unternehmen beziffern konnten, welche einen Angriff sicher nachgewiesen haben. Für die Obergrenze werden zusätzlich bestimmte vermutete Angriffe berücksichtigt.
Ich halte diese Einordnung für wichtig.
Wer solche Zahlen verwendet, sollte sie nicht einfach als mathematisch exakte Realität präsentieren.
Gleichzeitig wäre es falsch, die Aussagekraft der Studie deshalb grundsätzlich infrage zu stellen.
Denn selbst wenn einzelne Schadenspositionen methodisch diskutiert werden können, bleibt die wirtschaftliche Dimension erheblich.
Und die Entwicklung zeigt noch etwas Interessantes.
Viele Unternehmen registrieren eine wachsende Bedrohung, während die Anforderungen an ihre Sicherheitsorganisation gleichzeitig steigen.
Man könnte daraus schließen, dass das Problembewusstsein zunimmt.
Man könnte aber ebenso fragen, weshalb wir trotz jahrelanger Investitionen und zunehmender Regulierung offenbar weiterhin Schwierigkeiten haben, ein überzeugendes Sicherheitsniveau zu erreichen.
Deutschland investiert. Aber investieren wir auch richtig?
Der deutsche Markt für IT-Sicherheit wächst weiter.
Für 2026 erwartet Bitkom auf Basis von IDC-Marktdaten Ausgaben von rund 14,3 Milliarden Euro. Das entspricht einem Wachstum von 11,7 Prozent gegenüber dem Vorjahr. Für 2027 werden bereits 15,8 Milliarden Euro prognostiziert. [6]
Diese Entwicklung klingt zunächst erfreulich.
Mehr Investitionen in Cybersecurity sollten grundsätzlich zu besseren Sicherheitsfähigkeiten führen.
Allerdings funktioniert dieser Zusammenhang nicht automatisch.
Ein Unternehmen kann erhebliche Summen für Endpoint Detection and Response, Security Information and Event Management, Vulnerability Management, Netzwerküberwachung und Threat Intelligence ausgeben.
Das bedeutet noch lange nicht, dass die Lösungen vollständig integriert sind, relevante Informationen liefern oder im Ernstfall eine wirksame Reaktion ermöglichen.
Ich sehe hier eine strukturelle Herausforderung, die in vielen Sicherheitsprogrammen unterschätzt wird.
Wir investieren häufig in zusätzliche Sicherheitsfähigkeiten, während die Voraussetzungen für deren wirksamen Betrieb nicht im gleichen Tempo verbessert werden.
Ein neues SIEM macht eine unvollständige Protokollierung nicht automatisch besser.
Ein modernes EDR schützt keine Systeme, auf denen es nicht installiert werden kann.
Ein Schwachstellenscanner reduziert keine Risiken, wenn kritische Findings anschließend monatelang unbearbeitet bleiben.
Und eine beeindruckende SOC-Präsentation hilft im Ernstfall wenig, wenn unklar ist, wer die notwendige Abschaltung eines kompromittierten Systems tatsächlich anordnen darf.
Der Wert einer Sicherheitslösung entsteht nicht durch ihre Beschaffung, sondern durch ihre konsequente operative Nutzung.
Das klingt selbstverständlich.
In der Praxis ist es das erstaunlich häufig nicht.
Natürlich braucht moderne Cyberabwehr leistungsfähige Technologien. Ich halte es sogar für unvermeidlich, dass wir erheblich stärker automatisieren und spezialisierte Plattformen einsetzen.
Aber Technologie ist kein Ersatz für funktionierende Prozesse, klare Verantwortlichkeiten und eine belastbare technische Grundlage.
NIS2 – mehr Verantwortung auf dem Papier
Regulatorisch hat sich in Deutschland in den vergangenen Monaten einiges getan.
Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Damit wurden die europäischen Vorgaben für ein deutlich größeres Spektrum wichtiger und besonders wichtiger Einrichtungen in nationales Recht überführt. [7]
NIS2 erweitert die Anforderungen an Risikomanagement, Sicherheitsmaßnahmen, Vorfallmeldungen und die Verantwortung der Leitungsebene.
Die grundsätzliche Stoßrichtung halte ich für richtig.
Cybersicherheit kann nicht dauerhaft als freiwillige Zusatzleistung der IT betrachtet werden.
Wenn Unternehmen oder Einrichtungen wesentliche gesellschaftliche Leistungen erbringen, muss deren Sicherheit angemessen organisiert und überprüfbar sein.
Allerdings sollten wir uns nichts vormachen.
Eine gesetzliche Verpflichtung erzeugt nicht automatisch eine technische Fähigkeit.
Ein Unternehmen kann eine Risikomanagementrichtlinie erstellen, Verantwortliche benennen, ein umfangreiches Maßnahmenregister aufbauen und externe Audits durchführen lassen.
Das alles kann sinnvoll sein.
Aber wenn gleichzeitig kritische Systeme nicht aktualisiert werden, administrative Zugänge unzureichend geschützt sind und die Wiederherstellung nach einem Cyberangriff niemals realistisch getestet wurde, bleibt der tatsächliche Sicherheitsgewinn begrenzt.
Hier liegt aus meiner Sicht eine der größten Gefahren zunehmender Regulierung.
Wir dürfen regulatorische Konformität nicht mit operativer Resilienz verwechseln.
Dabei ist NIS2 nicht das Problem. Das Gesetz fordert durchaus konkrete technische und organisatorische Maßnahmen.
Das Problem entsteht, wenn Organisationen die Umsetzung vor allem als Dokumentations- und Nachweisprojekt verstehen.
Dann wird aus Cybersicherheit schnell eine Disziplin, in der man nachweisen kann, dass man sich mit Risiken beschäftigt hat, ohne diese ausreichend reduziert zu haben.
Und das ist ein Unterschied, den ein Angreifer erstaunlich schnell erkennt.
Das KRITIS-Dachgesetz und die neue Bedeutung physischer Resilienz
Seit dem 17. März 2026 gilt in Deutschland außerdem das KRITIS-Dachgesetz. Es ergänzt die bisher stark auf Informationssicherheit ausgerichtete Betrachtung kritischer Infrastrukturen um Anforderungen an die physische Resilienz. [8]
Das ist eine notwendige Entwicklung.
Denn kritische Infrastruktur besteht nicht nur aus Netzwerken, Servern und Anwendungen.
Sie besteht aus Energieversorgung, Gebäuden, Produktionsanlagen, Kommunikationsverbindungen, technischen Komponenten und Menschen.
Ein Krankenhaus kann gegen Ransomware technisch hervorragend geschützt sein und trotzdem durch den Ausfall seiner Energieversorgung oder einer zentralen medizinischen Versorgungsanlage handlungsunfähig werden.
Ein Rechenzentrum kann seine Server umfassend überwachen und dennoch durch physische Sabotage an einer zentralen Kommunikationsverbindung ausfallen.
Cybersicherheit und physische Sicherheit sind in solchen Umgebungen längst keine voneinander unabhängigen Disziplinen mehr.
Allerdings befindet sich die Umsetzung des KRITIS-Dachgesetzes noch im Aufbau. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe weist darauf hin, dass mehrere erforderliche Rechtsverordnungen und Konkretisierungen noch erarbeitet werden. [9]
Auch hier müssen wir also zwischen einem geltenden gesetzlichen Rahmen und seiner vollständigen praktischen Umsetzung unterscheiden.
Europa macht mit dem Cyber Resilience Act einen wichtigen Schritt
Eine Entwicklung halte ich für besonders relevant, weil sie ein Problem adressiert, das sich auf Betreiberseite nur eingeschränkt lösen lässt.
Mit dem Cyber Resilience Act, der Verordnung (EU) 2024/2847, schafft die Europäische Union verbindliche Anforderungen an die Cybersicherheit zahlreicher Produkte mit digitalen Elementen. [10]
Hersteller müssen künftig stärker berücksichtigen, wie ihre Produkte entwickelt, abgesichert, aktualisiert und über ihren Lebenszyklus hinweg gepflegt werden.
Die Meldepflichten nach Artikel 14 gelten bereits seit dem 11. September 2026. Die wesentlichen allgemeinen Produktanforderungen werden ab dem 11. Dezember 2027 anwendbar. [10]
Das ist ein entscheidender Unterschied zur klassischen Betreiberregulierung.
Während NIS2 vor allem Organisationen verpflichtet, ihre Risiken angemessen zu beherrschen, setzt der Cyber Resilience Act direkt bei den Produkten an, aus denen digitale Infrastrukturen überhaupt erst entstehen.
Denn seien wir einmal realistisch.
Ein Betreiber kann noch so viele Prozesse etablieren. Wenn ein Hersteller eine sicherheitskritische Anwendung entwickelt, die sich praktisch nicht aktualisieren lässt, wird daraus über kurz oder lang ein Problem.
Wenn Netzwerkgeräte keine ausreichenden forensischen Informationen bereitstellen, wird eine wirksame Incident Response unnötig erschwert.
Wenn Softwarehersteller keine nachvollziehbaren Sicherheitsupdates liefern, verlagern sie einen erheblichen Teil des Risikos auf ihre Kunden.
Genau hier sehe ich einen wesentlichen Hebel.
Wir müssen stärker verhindern, dass unsichere Produkte überhaupt in großer Zahl in unsere Infrastrukturen gelangen.
Nicht jede Schwachstelle wird sich vermeiden lassen. Auch der Cyber Resilience Act wird keine fehlerfreie Software garantieren.
Aber er kann dazu beitragen, Sicherheitsanforderungen stärker in die wirtschaftliche Verantwortung der Hersteller zu verschieben.
Das ist aus meiner Sicht nachhaltiger, als über Jahrzehnte immer neue Schutzschichten um strukturell unsichere Produkte herumzubauen.
Was uns der deutsche Zustand tatsächlich sagt
Deutschland steht damit vor einer interessanten Situation.
Wir haben einen deutlich erweiterten regulatorischen Rahmen. Wir verfügen mit dem BSI über eine technisch kompetente nationale Sicherheitsbehörde. Wir besitzen leistungsfähige Forschungseinrichtungen, eine umfangreiche industrielle Basis und einen wachsenden Cybersecurity-Markt.
Es wäre deshalb unzutreffend, Deutschland grundsätzlich als technologisch abgehängt darzustellen.
Gleichzeitig sind unsere Herausforderungen erheblich.
Die Digitalisierung vieler Einrichtungen ist historisch gewachsen. Zuständigkeiten sind häufig verteilt. Technische Altlasten lassen sich nicht kurzfristig beseitigen. Kritische Dienstleistungen hängen von spezialisierten Produkten und externen Dienstleistern ab.
Hinzu kommen begrenzte personelle Ressourcen und teilweise langwierige Entscheidungsprozesse.
Gerade im öffentlichen Sektor erschweren föderale Strukturen, unterschiedliche Beschaffungsmodelle und heterogene IT-Architekturen eine schnelle Vereinheitlichung.
Diese Strukturen haben durchaus legitime Gründe. Föderalismus und organisatorische Eigenständigkeit sind nicht automatisch Sicherheitsprobleme.
Sie werden aber dann zur Herausforderung, wenn schnelle, einheitliche und koordinierte Reaktionen erforderlich sind.
Mein Eindruck ist deshalb nicht, dass Deutschland grundsätzlich zu wenig über Cybersicherheit weiß.
Wir haben vor allem ein Problem damit, Sicherheitsanforderungen über große, komplexe und historisch gewachsene Strukturen hinweg konsequent umzusetzen.
Und genau an dieser Stelle lohnt sich der nächste Blick nach Großbritannien.
3. Die nächste Stufe der Cyberabwehr – KI, Cyber Shield und Deutschlands geplanter Cyberdome
Ein großer Teil des britischen Jahresberichts beschäftigt sich mit der Frage, wie künstliche Intelligenz die Cybersicherheit in den kommenden Jahren verändern wird.
Bemerkenswert ist dabei, dass das NCSC keineswegs ausschließlich eine düstere Zukunft zeichnet.
Natürlich beschreibt der Bericht erhebliche Risiken.
KI kann die Suche nach Schwachstellen beschleunigen, große Mengen technischer Informationen auswerten, Social-Engineering-Angriffe verbessern und die Entwicklung von Angriffswerkzeugen unterstützen.
Gleichzeitig unterscheidet das NCSC ausdrücklich zwischen bereits beobachteten Entwicklungen und möglichen zukünftigen Fähigkeiten. [1]
Diese Unterscheidung ist wichtig.
Denn rund um KI und Cybersecurity hat sich mittlerweile ein eigener Markt für spektakuläre Zukunftserzählungen entwickelt.
Mal steht angeblich unmittelbar der vollständig autonome Hacker bevor. Mal wird behauptet, dass künstliche Intelligenz sämtliche klassischen Sicherheitsmaßnahmen überflüssig machen werde.
Die Realität ist bislang wesentlich differenzierter.
KI verändert vor allem die Geschwindigkeit
Das NCSC geht davon aus, dass KI zunächst vor allem bestehende Angriffsmethoden schneller, effizienter und skalierbarer macht.
Ein erfahrener Angreifer kann große Codebestände schneller untersuchen, Informationen über mögliche Ziele automatisiert sammeln und unterschiedliche Angriffshypothesen parallel bewerten.
Ein weniger erfahrener Angreifer kann Tätigkeiten durchführen, für die bislang deutlich mehr Fachwissen erforderlich war.
Allerdings bedeutet das nicht, dass jede KI-generierte Schwachstelle tatsächlich ausnutzbar ist oder jeder automatisierte Angriff erfolgreich funktioniert.
Auch die britischen Sicherheitsbehörden erwarten auf absehbare Zeit weiterhin eine wichtige Rolle menschlicher Operatoren.
Besonders erfahrene Angreifer dürften sogar überproportional profitieren, weil sie die Fähigkeiten und Grenzen der eingesetzten Systeme besser einschätzen können. [1]
Genau das halte ich für einen entscheidenden Punkt.
KI demokratisiert bestimmte technische Fähigkeiten. Sie ersetzt aber nicht automatisch Erfahrung, Urteilskraft oder ein belastbares Verständnis komplexer Systeme.
Ein schlecht konfigurierter KI-Agent kann auch auf Angreiferseite erheblichen Unsinn anrichten.
Trotzdem verändert sich die wirtschaftliche Rechnung.
Wenn ein Angreifer für die Untersuchung einer großen Anzahl potenzieller Ziele weniger Zeit benötigt, steigen Geschwindigkeit und Reichweite seiner Operationen.
Für Verteidiger bedeutet das vor allem eines.
Die Zeit zwischen dem Bekanntwerden einer Schwachstelle und ihrer möglichen Ausnutzung kann sich weiter verkürzen.
Die kommende Patch-Welle
Das NCSC spricht in diesem Zusammenhang von einer möglichen Patch Wave.
Gemeint ist eine Entwicklung, bei der KI-gestützte Schwachstellensuche dazu führt, dass in kürzerer Zeit deutlich mehr Sicherheitsprobleme entdeckt und entsprechende Updates veröffentlicht werden. [1]
Das klingt zunächst positiv.
Schließlich ist es besser, Sicherheitslücken zu finden und zu schließen, als sie über Jahre unentdeckt in Produkten zu belassen.
Allerdings entsteht daraus ein erhebliches operatives Problem.
Viele Unternehmen sind bereits heute damit beschäftigt, eine kaum überschaubare Anzahl von Schwachstellen zu bewerten, zu priorisieren und abzuarbeiten.
Wenn die Zahl neuer Erkenntnisse deutlich steigt, wird der klassische Prozess aus monatlichem Scan, Risikobewertung, Ticket und regulärem Patchfenster zunehmend an seine Grenzen stoßen.
Wobei wir auch hier differenzieren müssen.
Nicht jede Schwachstelle ist kritisch.
Nicht jede Schwachstelle ist aus dem Internet erreichbar.
Nicht jede theoretisch mögliche Ausnutzung hat unter realen Bedingungen eine relevante Eintrittswahrscheinlichkeit.
Deshalb wird die Qualität der Priorisierung immer wichtiger.
Entscheidend ist nicht die Anzahl der gefundenen Schwachstellen, sondern die Fähigkeit, diejenigen Risiken schnell zu reduzieren, die unter den konkreten Bedingungen der eigenen Infrastruktur tatsächlich relevant sind.
Dafür benötigen wir deutlich bessere technische Zusammenhänge.
Welche Systeme sind betroffen? Welche Dienste sind erreichbar? Welche Berechtigungen bestehen? Gibt es Hinweise auf aktive Ausnutzung? Welche Geschäftsprozesse hängen daran? Und welche Gegenmaßnahmen lassen sich ohne unverhältnismäßige Betriebsrisiken umsetzen?
Genau an dieser Stelle sehe ich enormes Potenzial für KI.
Nicht als Ersatz für die notwendigen Entscheidungen, sondern als Werkzeug, um technische Informationen schneller miteinander zu verbinden und handlungsfähige Bewertungen zu erzeugen.
Großbritannien denkt Cyberabwehr als nationales Ökosystem
Mit der National Detect Strategy beschreibt das NCSC einen Ansatz, der über die klassische Unterstützung einzelner Organisationen hinausgeht.
Die Strategie befindet sich noch in einer Pilotphase und verfolgt langfristige Ziele bis 2030.
Sie soll die Erkennung bekannter Angriffsmethoden verbessern, gemeinsame Verteidiger-Communities stärken und einen besseren Informationsaustausch zwischen Staat, Unternehmen, Technologieanbietern und Wissenschaft ermöglichen. [1]
Besonders interessant finde ich dabei die Idee einer nationalen Koordinierungsfunktion.
Denn viele Organisationen beobachten dieselben Angreifer, dieselben Schwachstellen und teilweise dieselben Angriffskampagnen.
Trotzdem analysieren sie diese Informationen häufig weitgehend unabhängig voneinander.
Das ist nicht nur ineffizient, sondern kann auch sicherheitsrelevante Zeit kosten.
Wenn beispielsweise mehrere Energieversorger, Krankenhäuser oder Telekommunikationsunternehmen ungewöhnliche Aktivitäten derselben Angreifergruppe erkennen, entsteht durch den Austausch dieser Erkenntnisse ein erheblich besseres Lagebild.
Die Herausforderung besteht darin, diesen Austausch technisch, organisatorisch und rechtlich so zu gestalten, dass er schnell genug funktioniert.
Ein PDF mit Indicators of Compromise, das drei Tage später per E-Mail verteilt wird, kann durchaus hilfreich sein.
Bei hoch automatisierten Angriffskampagnen wird es aber zunehmend nicht mehr ausreichen.
Cyber Shield – ein nationaler Schutzschirm aus Daten und Agenten
Noch weiter geht das britische Programm Cyber Shield.
Das NCSC beschreibt darin die Vision eines nationalen Ökosystems für KI-gestützte Cyberabwehr, das über einen Zeitraum von fünf Jahren entwickelt werden soll. [1]
Die Idee ist, dass defensive Agenten innerhalb teilnehmender Organisationen Sicherheitsinformationen auswerten, Bedrohungen erkennen und ausgewählte Gegenmaßnahmen unterstützen.
Das NCSC soll dabei zentrale Informationen, Bedrohungsdaten und technische Grundlagen bereitstellen.
Gleichzeitig sollen Erkenntnisse aus den teilnehmenden Organisationen wieder in das nationale Lagebild zurückfließen.
Auf diese Weise könnte ein System entstehen, in dem viele Organisationen voneinander profitieren, ohne sämtliche Sicherheitsfähigkeiten selbst entwickeln zu müssen.
Ich halte diesen Ansatz grundsätzlich für sehr interessant.
Gerade kleinere Organisationen verfügen häufig nicht über die personellen Ressourcen, um hoch spezialisierte Detection-Engineering-Teams oder eigene Threat-Intelligence-Funktionen aufzubauen.
Ein gemeinsames Ökosystem könnte hier Fähigkeiten zugänglich machen, die bislang vor allem großen Unternehmen und staatlichen Einrichtungen vorbehalten waren.
Allerdings sollte man sich von der Vision nicht blenden lassen.
Ein nationales Cyber-Shield-System entsteht nicht dadurch, dass man möglichst viele Daten sammelt und anschließend einen KI-Agenten darüber laufen lässt.
Die wesentlichen Herausforderungen liegen tiefer.
Welche Daten dürfen ausgetauscht werden? Wie wird ihre Qualität sichergestellt? Wer darf auf Grundlage dieser Informationen Maßnahmen auslösen? Welche Konsequenzen entstehen bei Fehlentscheidungen? Und wer übernimmt die Verantwortung, wenn eine automatisierte Abwehrmaßnahme selbst einen größeren Ausfall verursacht?
Gerade in kritischen Infrastrukturen sind diese Fragen entscheidend.
Eine automatisierte Isolation eines kompromittierten Büroarbeitsplatzes mag unter bestimmten Voraussetzungen relativ unproblematisch sein.
Eine automatisierte Unterbrechung einer medizinischen Anwendung, eines industriellen Steuerungssystems oder einer zentralen Kommunikationsverbindung ist eine vollkommen andere Größenordnung.
Interessanterweise ist sich das NCSC dieser Risiken durchaus bewusst.
Cyber Shield soll deshalb zunächst vor allem Erkennungs- und Blockierungsfunktionen unterstützen. Komplexere autonome Wiederherstellungs- und Remediation-Maßnahmen sollen erst später folgen. [1]
Das halte ich für einen vernünftigen Ansatz.
Nicht jede technisch mögliche Automatisierung ist automatisch eine betrieblich verantwortbare Automatisierung.
Project DROMOS – von der Vision zur konkreten Anwendung
Ein weiteres Beispiel liefert das britische Project DROMOS.
Im Jahr 2026 begannen britische Regierungsstellen gemeinsam mit Sicherheits- und KI-Experten, große Software-Repositories mithilfe leistungsfähiger KI-Modelle auf Schwachstellen zu untersuchen.
Nach einer zunächst vierwöchigen Pilotphase wurde das Verfahren auf ausgewählte Regierungsumgebungen ausgeweitet.
Laut NCSC konnten dabei Hunderte potenzielle Sicherheitsprobleme identifiziert werden, darunter auch kritische Schwachstellen. [1]
Wichtig ist allerdings die Formulierung.
Der Bericht spricht von potenziellen Problemen und beschreibt ausdrücklich die Notwendigkeit menschlicher Überprüfung.
Es wäre deshalb falsch, daraus abzuleiten, dass Hunderte tatsächlich ausnutzbare Schwachstellen vollständig automatisiert entdeckt und behoben wurden.
Trotzdem zeigt das Projekt einen nachvollziehbaren Anwendungsfall.
Große Softwarebestände lassen sich mit KI-Unterstützung systematischer analysieren. Fachleute können ihre Zeit stärker auf die Bewertung kritischer Erkenntnisse konzentrieren.
Genau solche Anwendungen finde ich deutlich überzeugender als manche Vorstellung eines vollständig autonomen Cybersecurity-Teams.
Hier wird eine konkrete operative Herausforderung adressiert.
Und der Nutzen lässt sich grundsätzlich messen.
Wie viele valide Schwachstellen wurden gefunden? Wie viele Fehlalarme entstanden? Wie viel Zeit wurde eingespart? Und wie viele relevante Risiken konnten tatsächlich beseitigt werden?
Das sind die Fragen, die mich interessieren.
Nicht, wie viele Agenten in einer PowerPoint-Präsentation miteinander kommunizieren.
Und Deutschland? Wir planen den Cyberdome
Auch Deutschland beschäftigt sich mit einer stärker automatisierten nationalen Cyberabwehr.
Die Bundesregierung verfolgt mit dem sogenannten Cyberdome ein mehrjähriges Vorhaben, das bestehende Systeme vernetzen, zusätzliche Sensorik ermöglichen und die Erkennung sowie Bewertung von Cyberbedrohungen verbessern soll.
Nach den Angaben der Bundesregierung sollen Bundesinnenministerium und BSI bis Ende 2026 ein Realisierungskonzept ausarbeiten. [11]
Konzeptionell bestehen deutliche Parallelen zum britischen Cyber Shield.
Beide Ansätze setzen auf bessere nationale Sichtbarkeit, technische Zusammenarbeit und schnellere Reaktionen.
Allerdings unterscheiden sich die öffentlich beschriebenen Entwicklungsstände.
Großbritannien legt bereits ein relativ detailliertes Zielbild vor, das nationale Datenfusion, defensive Agenten, technologische Standards und die Beteiligung unterschiedlicher Akteure miteinander verbindet.
Deutschland befindet sich mit dem Cyberdome nach den bisher veröffentlichten Informationen noch stärker in der konzeptionellen Phase.
Daraus lässt sich allerdings nicht automatisch schließen, dass Großbritannien technologisch bereits deutlich weiter ist.
Ein detaillierteres Strategiedokument ist noch kein Nachweis einer erfolgreich betriebenen Infrastruktur.
Und auch die britischen Programme befinden sich in wesentlichen Teilen noch in Entwicklung oder Erprobung.
Der interessante Unterschied liegt für mich deshalb zunächst in der Art, wie die Zielbilder kommuniziert werden.
Großbritannien beschreibt vergleichsweise konkret, welche Fähigkeiten entstehen sollen und welche technischen Herausforderungen dafür gelöst werden müssen.
Deutschland beschreibt bislang stärker die politischen Ziele eines nationalen Schutzsystems.
Das kann sich mit einem belastbaren Realisierungskonzept ändern.
Entscheidend wird aber sein, ob daraus eine Architektur entsteht, die bestehende Sicherheitsfähigkeiten tatsächlich miteinander verbindet.
Deutschland braucht Integration, nicht noch mehr Insellösungen
Deutschland verfügt bereits über zahlreiche staatliche und privatwirtschaftliche Strukturen zur Cyberabwehr.
Das BSI übernimmt wichtige Aufgaben bei Prävention, Detektion und Reaktion.
Das Nationale Cyber-Abwehrzentrum dient der behördenübergreifenden Zusammenarbeit. Hinzu kommen die Fähigkeiten von Polizei, Nachrichtendiensten, Bundeswehr, Landesbehörden und sektorspezifischen Organisationen.
Im privatwirtschaftlichen Bereich existieren eigene Security Operations Center, Computer Emergency Response Teams und Managed Detection and Response Services.
Das alles ist grundsätzlich sinnvoll.
Problematisch wird es jedoch, wenn Informationen nicht rechtzeitig zusammengeführt werden, technische Schnittstellen fehlen oder Zuständigkeiten unklar bleiben.
Ein nationaler Cyberdome sollte deshalb aus meiner Sicht nicht als weitere zentrale Plattform verstanden werden, die alle bereits vorhandenen Lösungen ersetzen soll.
Viel sinnvoller erscheint mir ein föderierter Ansatz.
Bestehende Sicherheitsfähigkeiten bleiben in den Organisationen erhalten, werden aber über standardisierte Verfahren, gemeinsame Datenmodelle und belastbare Vertrauensbeziehungen miteinander verbunden.
Dafür braucht es klare rechtliche Grundlagen, technische Interoperabilität und vor allem den Willen, relevante Informationen tatsächlich auszutauschen.
Auch hier wird die Herausforderung weniger darin bestehen, eine besonders beeindruckende KI zu entwickeln.
Die größere Aufgabe dürfte sein, historisch gewachsene organisatorische Grenzen zu überwinden.
Digitale Souveränität wird zur Sicherheitsfrage
Ein Aspekt kommt in dieser Diskussion häufig zu kurz.
Wenn wir KI-gestützte Cyberabwehr in großem Maßstab etablieren wollen, benötigen wir erhebliche Mengen technischer Telemetrie, leistungsfähige Analyseplattformen und Zugriff auf aktuelle Bedrohungsinformationen.
Viele dieser Fähigkeiten werden heute von wenigen international dominierenden Technologieanbietern bereitgestellt.
Das ist nicht automatisch ein Sicherheitsproblem.
Gerade große Cloud- und Security-Anbieter verfügen über umfangreiche internationale Datenbestände und Fähigkeiten, die einzelne europäische Unternehmen oder Behörden kaum in vergleichbarer Qualität entwickeln könnten.
Allerdings entstehen Abhängigkeiten.
Wer kontrolliert die Daten? Wer definiert die technischen Schnittstellen? Unter welchen rechtlichen Bedingungen können Informationen verarbeitet werden? Und wie handlungsfähig bleibt eine Organisation, wenn ein wesentlicher Anbieter ausfällt oder seine Vertragsbedingungen verändert?
Diese Fragen werden mit zunehmender Automatisierung wichtiger.
Denn wenn Cyberabwehr nicht mehr nur Informationen analysiert, sondern perspektivisch selbst operative Maßnahmen auslöst, wird die Kontrolle über diese Systeme zu einem strategischen Faktor.
Digitale Souveränität bedeutet für mich dabei nicht, sämtliche amerikanischen oder asiatischen Technologien grundsätzlich abzulehnen.
Das wäre weder realistisch noch automatisch sicherer.
Es bedeutet vielmehr, wesentliche Abhängigkeiten zu verstehen, kritische Entscheidungen selbst kontrollieren zu können und dort Alternativen zu schaffen, wo ein Ausfall oder Kontrollverlust nicht akzeptabel wäre.
Ein nationaler Cyberdome sollte deshalb auch daran gemessen werden, wie offen seine Architektur ist und wie gut sich unterschiedliche europäische und internationale Anbieter integrieren lassen.
Sonst schaffen wir womöglich eine neue sicherheitspolitische Abhängigkeit, während wir gerade versuchen, bestehende Risiken zu reduzieren.
4. Was Deutschland jetzt wirklich braucht – weniger Sicherheitsfolklore, mehr operative Resilienz
Nach der Lektüre des britischen Berichts und dem Vergleich mit der deutschen Situation bleibt für mich eine zentrale Erkenntnis.
Wir wissen erstaunlich genau, was viele unserer Probleme sind.
Wir kennen die Angriffswege.
Wir kennen die technischen Schwachstellen.
Wir wissen, welche Bedeutung Identitäten, Segmentierung, Protokollierung, Schwachstellenmanagement und funktionierende Wiederherstellungsprozesse besitzen.
Wir wissen außerdem, dass wirtschaftliche Abhängigkeiten und Lieferketten die Auswirkungen einzelner Sicherheitsvorfälle erheblich verstärken können.
Trotzdem diskutieren wir häufig lieber über neue Technologien, zusätzliche regulatorische Anforderungen und nationale Großprogramme.
Nicht, weil diese grundsätzlich falsch wären.
Sondern weil sie politisch, wirtschaftlich und kommunikativ deutlich attraktiver erscheinen als die mühsame Arbeit an technischen Grundlagen.
Ein neues nationales Sicherheitsprogramm lässt sich hervorragend ankündigen.
Die konsequente Ablösung einer seit fünfzehn Jahren betriebenen, geschäftskritischen Altanwendung eignet sich dagegen nur bedingt für eine Pressekonferenz.
Dabei dürfte Letzteres unter Umständen einen wesentlich größeren unmittelbaren Sicherheitsgewinn erzeugen.
CyberGovSecure – ein Blick auf die eigentlichen Baustellen
Im Jahr 2026 beschloss die Bundesregierung mit CyberGovSecure ein Programm zur Verbesserung der Cybersicherheit in der Bundesverwaltung.
Es umfasst unter anderem Assetmanagement, Schwachstellenmanagement, sichere Konfigurationen, Systemhärtung, Netzwerksicherheit, Logging und Detektion. [12]
Das sind zweifellos sinnvolle Maßnahmen.
Aber genau diese Liste macht die eigentliche Situation sichtbar.
Wir sprechen im Jahr 2026 über grundlegende Fähigkeiten, die seit vielen Jahren zum professionellen IT-Sicherheitsbetrieb gehören sollten.
Und offenbar besteht selbst in zentralen staatlichen Strukturen weiterhin ausreichend Handlungsbedarf, um daraus ein eigenes Regierungsprogramm zu machen.
Man kann das positiv betrachten.
Die Probleme werden erkannt und systematisch adressiert.
Man kann aber auch kritisch fragen, warum diese Fähigkeiten nicht längst flächendeckend und belastbar etabliert sind.
Die faire Antwort dürfte irgendwo dazwischenliegen.
Große öffentliche IT-Landschaften sind komplex. Ihre Modernisierung erfordert erhebliche Ressourcen und lässt sich nicht unabhängig von Haushaltsrecht, Personal, Beschaffung und organisatorischen Zuständigkeiten durchführen.
Trotzdem muss sich staatliche Cybersicherheit am Ende an Ergebnissen messen lassen.
Nicht daran, ob ein Programm beschlossen wurde.
Sondern daran, ob sich die tatsächliche Angriffsfläche reduziert, kritische Schwachstellen schneller geschlossen werden und wesentliche Dienstleistungen nach einem Vorfall schneller wieder zur Verfügung stehen.
Wir brauchen andere Kennzahlen
Ich halte es für dringend notwendig, Cybersicherheit stärker über operative Ergebnisse zu bewerten.
In vielen Organisationen wird heute umfangreich über die Anzahl von Sicherheitsmeldungen, offenen Schwachstellen, abgeschlossenen Schulungen oder durchgeführten Audits berichtet.
Diese Kennzahlen sind nicht wertlos.
Allerdings beantworten sie häufig nicht die entscheidende Frage.
Wie widerstandsfähig ist die Organisation tatsächlich?
Ein Unternehmen kann 100.000 Schwachstellen im zentralen Managementsystem dokumentieren und trotzdem eine deutlich bessere Sicherheitslage besitzen als ein Unternehmen mit nur 10.000 Findings, wenn dessen gefährlichste Systeme nicht einmal vollständig erfasst werden.
Entscheidend ist deshalb die Qualität der technischen Transparenz und Risikoreduktion.
Ich würde deutlich stärker danach fragen, wie vollständig das Assetinventar ist, wie schnell aktiv ausgenutzte Schwachstellen beseitigt werden, wie hoch die Abdeckung relevanter Systeme durch Detection-Technologien ist und wie zuverlässig kritische Dienste wiederhergestellt werden können.
Ebenso wichtig ist die Reaktionsfähigkeit.
Wie lange dauert es vom ersten verwertbaren Sicherheitssignal bis zur fundierten Bewertung? Wie schnell kann eine kompromittierte Identität gesperrt werden? Wie lange dauert die Isolation eines betroffenen Systems? Und wann kann ein geschäftskritischer Prozess wieder sicher betrieben werden?
Solche Kennzahlen sind nicht immer einfach zu erheben.
Sie liefern aber wesentlich mehr Erkenntnisse über die tatsächliche Sicherheitsfähigkeit als eine bloße Aufzählung implementierter Technologien.
Der Faktor Zeit wird entscheidend
Wenn künstliche Intelligenz Angriffe schneller macht, müssen wir unsere Verteidigung entsprechend weiterentwickeln.
Dabei geht es nicht darum, sämtliche Entscheidungen zu automatisieren.
Es geht darum, unnötige Verzögerungen zu beseitigen.
Ein typischer Cybervorfall scheitert in seiner Bearbeitung nicht ausschließlich an fehlender Technologie.
Häufig entstehen Verzögerungen durch fehlende Kontakte, unklare Verantwortlichkeiten, unvollständige Informationen oder komplizierte Freigabeprozesse.
Das kann gerade in großen Konzernen und föderierten Organisationen erhebliche Auswirkungen haben.
Wenn ein CERT-Team erst über mehrere organisatorische Ebenen klären muss, wer für einen betroffenen Standort zuständig ist, bevor eine notwendige Maßnahme eingeleitet werden kann, verlieren wir wertvolle Zeit.
Solche Probleme lassen sich nicht allein durch künstliche Intelligenz lösen.
Sie erfordern klare Entscheidungsbefugnisse, belastbare Eskalationswege und regelmäßig erprobte Prozesse.
Die technische Automatisierung muss anschließend genau diese Prozesse unterstützen.
Nicht umgekehrt.
Resilienz beginnt dort, wo Prävention scheitert
Ein weiterer Punkt des NCSC-Berichts verdient aus meiner Sicht besondere Aufmerksamkeit.
Die Briten betrachten Cyberresilienz nicht ausschließlich als Fähigkeit, Angriffe zu verhindern.
Sie beschäftigen sich ausdrücklich mit der Frage, wie Organisationen schwere Sicherheitsvorfälle überstehen und ihren Betrieb wiederherstellen können. [1]
Das ist ein wichtiger Perspektivwechsel.
Denn auch bei hervorragender Prävention wird es weiterhin erfolgreiche Angriffe geben.
Eine hundertprozentige Verhinderung sämtlicher Sicherheitsvorfälle ist weder technisch noch wirtschaftlich realistisch.
Entscheidend ist deshalb, wie stark ein Vorfall eskalieren kann und wie gut eine Organisation darauf vorbereitet ist.
Gerade bei kritischen Dienstleistungen ist das zentral.
Ein Krankenhaus muss nicht nur seine IT-Systeme schützen. Es muss wissen, wie medizinische Leistungen bei einem größeren Ausfall aufrechterhalten werden können.
Ein Energieversorger muss nicht nur Angriffe erkennen. Er muss sicherstellen, dass wesentliche Versorgungsprozesse auch unter erheblich eingeschränkten digitalen Bedingungen kontrollierbar bleiben.
Ein Industrieunternehmen muss nicht nur seine Produktionsnetzwerke überwachen. Es muss beurteilen können, welche Prozesse bei einem Sicherheitsvorfall sicher abgeschaltet und anschließend geordnet wieder gestartet werden können.
Das ist kein Thema, das sich ausschließlich durch IT-Sicherheitsmaßnahmen lösen lässt.
Hier treffen Incident Response, Business Continuity Management, Krisenmanagement, technische Betriebsführung und Unternehmensleitung unmittelbar aufeinander.
Deshalb halte ich realistische Übungen für unverzichtbar.
Nicht die Übungen, bei denen jeder Teilnehmer seine vorbereitete Rolle abliest und am Ende ohnehin alles funktioniert.
Sondern solche, bei denen Entscheidungswege tatsächlich unter Druck geraten, Informationen fehlen und sich Verantwortliche mit unangenehmen Alternativen beschäftigen müssen.
Denn genau so verlaufen größere Sicherheitsvorfälle in der Realität.
Hackbacks – die deutsche Debatte um aktive Cyberabwehr
In Deutschland wird derzeit zusätzlich darüber diskutiert, staatlichen Behörden weitergehende Eingriffsmöglichkeiten zur Abwehr schwerer Cyberangriffe einzuräumen.
Der entsprechende Gesetzentwurf zur Stärkung der Cybersicherheit wurde 2026 parlamentarisch beraten.
Bei einer Anhörung im Bundestag am 5. Oktober 2026 wurde deutlich, dass die grundsätzliche Notwendigkeit wirksamer staatlicher Cyberabwehr weitgehend anerkannt wird, über die konkreten Befugnisse jedoch erhebliche Meinungsverschiedenheiten bestehen. [13]
Das ist nachvollziehbar.
Wenn staatliche Stellen schwere Cyberangriffe erkennen, erscheint es zunächst sinnvoll, nicht ausschließlich passiv reagieren zu können.
Gerade bei laufenden Angriffskampagnen kann eine schnelle technische Unterbrechung erhebliche Schäden verhindern.
Allerdings wird die Diskussion kompliziert, sobald Eingriffe in fremde Systeme möglich werden sollen.
Professionelle Angreifer nutzen häufig kompromittierte Infrastruktur unbeteiligter Dritter.
Ein Server, über den ein Angriff durchgeführt wird, gehört deshalb keineswegs zwangsläufig dem eigentlichen Täter.
Eine staatliche Gegenmaßnahme kann somit erhebliche rechtliche, technische und diplomatische Konsequenzen haben.
In der Bundestagsanhörung wurden deshalb unter anderem Fragen zur Verhältnismäßigkeit, zum Richtervorbehalt, zum Schutz unbeteiligter Dritter und zur Abstimmung zwischen den Sicherheitsbehörden diskutiert. [13]
Ich halte diese Diskussion für notwendig, würde aber eine klare fachliche Priorität setzen.
Bevor wir umfangreich darüber sprechen, wie staatliche Stellen in fremde Systeme eingreifen dürfen, sollten wir sicherstellen, dass unsere eigenen kritischen Systeme ausreichend geschützt und widerstandsfähig sind.
Das ist kein Argument gegen sämtliche aktiven Maßnahmen.
Es ist ein Argument gegen die Vorstellung, dass offensive Fähigkeiten fehlende defensive Grundlagen kompensieren könnten.
Der britische NCSC-Bericht setzt hier zumindest in seiner öffentlich dargestellten Zukunftsstrategie einen anderen Schwerpunkt.
Er konzentriert sich auf die bessere Erkennung, Koordinierung und Automatisierung defensiver Maßnahmen.
Das schließt andere staatliche Fähigkeiten Großbritanniens selbstverständlich nicht aus. Das NCSC ist Teil des britischen Nachrichtendienstumfelds, und der Bericht bildet nicht sämtliche staatlichen Cyberoperationen ab.
Dennoch finde ich die Schwerpunktsetzung bemerkenswert.
Das eigentliche Risiko ist die wachsende Sicherheitskluft
Vielleicht ist eine der wichtigsten Prognosen des NCSC die zunehmende Differenz zwischen Organisationen mit hoher und niedriger Sicherheitsreife.
Der Bericht erwartet, dass KI diese Entwicklung zusätzlich verstärken könnte. [1]
Große Unternehmen mit modernen Infrastrukturen, qualifizierten Teams und belastbaren Prozessen werden KI nutzen können, um ihre Sicherheitsfähigkeiten weiter auszubauen.
Kleinere Organisationen oder Einrichtungen mit veralteter Technologie und begrenzten Ressourcen könnten dagegen Schwierigkeiten bekommen, mit der steigenden Geschwindigkeit der Bedrohung Schritt zu halten.
Das ist für Deutschland besonders relevant.
Unsere Wirtschaftsstruktur besteht nicht nur aus internationalen Großkonzernen.
Ein erheblicher Teil der Wertschöpfung entsteht in mittelständischen Unternehmen, spezialisierten Zulieferbetrieben und regionalen Dienstleistungsstrukturen.
Viele dieser Unternehmen verfügen weder über ein eigenes Security Operations Center noch über rund um die Uhr verfügbare Incident-Response-Spezialisten.
Das muss auch nicht zwingend der richtige Weg sein.
Nicht jede Organisation benötigt sämtliche Sicherheitsfähigkeiten im eigenen Haus.
Aber sie benötigt einen verlässlichen Zugang zu diesen Fähigkeiten.
Hier können Managed Security Services, gemeinsame Branchenlösungen, staatliche Frühwarnangebote und standardisierte Sicherheitsplattformen einen wichtigen Beitrag leisten.
Gerade deshalb finde ich den britischen Ansatz national koordinierter Verteidiger-Communities interessant.
Es geht nicht darum, jedem mittelständischen Unternehmen die vollständige Sicherheitsarchitektur eines internationalen Konzerns aufzuzwingen.
Es geht darum, grundlegende Sicherheitsfähigkeiten auch dort verfügbar zu machen, wo sie wirtschaftlich allein kaum aufgebaut werden können.
Was ich mir für Deutschland wünsche – und was wir besser heute als morgen angehen sollten
Nach der Lektüre des britischen NCSC-Berichts bleibt bei mir weniger die Sorge vor einer völlig neuen Generation von Cyberangriffen. Vielmehr beschäftigt mich die Frage, warum wir uns mit vielen Problemen noch immer herumschlagen, deren Ursachen wir seit Jahren kennen.
Und genau deshalb finde ich diesen Blick nach Großbritannien so wertvoll.
Nicht, weil dort alles besser funktioniert. Das behaupten nicht einmal die Briten selbst. Im Gegenteil. Sie beschreiben ziemlich offen, wo ihre eigenen Defizite liegen und weshalb die bisherige Entwicklung der Cyberabwehr nicht ausreicht, um mit der wachsenden Bedrohung Schritt zu halten. [1]
Was mir daran gefällt, ist die Konsequenz, mit der sie aus diesen Erkenntnissen eine Vorstellung für die kommenden Jahre entwickeln. Sie beschäftigen sich nicht ausschließlich damit, wie die nächste regulatorische Anforderung umgesetzt werden kann. Sie fragen, wie Cyberabwehr künftig überhaupt funktionieren muss, wenn Angriffe schneller, automatisierter und möglicherweise deutlich umfangreicher werden.
Eine solche Diskussion würde ich mir auch in Deutschland noch stärker wünschen.
Natürlich haben wir mit dem BSI eine leistungsfähige Institution, verfügen über technische Expertise und entwickeln unsere regulatorischen Rahmenbedingungen weiter. Auch die geplanten nationalen Cyberabwehrmaßnahmen zeigen, dass sich etwas bewegt.
Aber ich wünsche mir, dass wir uns künftig weniger daran messen, welche Programme verabschiedet, welche Strategien veröffentlicht oder wie viele neue gesetzliche Anforderungen formuliert wurden.
Mich interessiert, was sich dadurch tatsächlich verbessert.
Wie viel schneller erkennen wir Angriffe? Wie gut kennen wir unsere eigenen Infrastrukturen? Wie lange dauert es, bis eine aktiv ausgenutzte Schwachstelle geschlossen wird? Und wie schnell können wir wesentliche Dienstleistungen wiederherstellen, wenn die Prävention einmal nicht funktioniert hat?
Das sind für mich die entscheidenden Fragen.
Wir müssen schneller werden, ohne unüberlegt zu handeln
Einer der wichtigsten Gedanken des britischen Berichts ist für mich die Veränderung des Faktors Zeit.
Wenn künstliche Intelligenz die Suche nach Schwachstellen, die Vorbereitung von Angriffen und die Auswertung technischer Informationen beschleunigt, können wir uns nicht dauerhaft darauf verlassen, dass unsere bisherigen Entscheidungs- und Reaktionsprozesse ausreichend schnell bleiben.
Das bedeutet nicht, dass zukünftig eine KI selbstständig irgendwelche Systeme abschalten sollte, sobald ihr etwas verdächtig erscheint.
Gerade bei kritischen Infrastrukturen wäre eine solche Vorstellung gefährlich.
Es bedeutet aber, dass wir uns ernsthaft damit beschäftigen müssen, welche Entscheidungen automatisiert vorbereitet, welche Maßnahmen innerhalb klarer Grenzen selbstständig ausgeführt und welche organisatorischen Abstimmungen erheblich beschleunigt werden können.
Ich würde mir wünschen, dass wir genau hier mutiger werden.
Nicht bei der Ankündigung neuer Technologien, sondern bei ihrer tatsächlichen Integration in funktionierende Sicherheitsprozesse.
Denn wenn ein Angreifer innerhalb weniger Minuten Schwachstellen identifizieren und ausnutzen kann, während die betroffene Organisation noch damit beschäftigt ist, den richtigen Ansprechpartner zu finden oder eine Freigabe einzuholen, haben wir ein strukturelles Problem.
Das lässt sich nicht durch noch mehr Sicherheitssoftware lösen.
Wir sollten unsere technischen Altlasten endlich als das behandeln, was sie sind
Ein zweiter Punkt ist für mich beinahe noch wichtiger.
Technische Schulden dürfen nicht länger ausschließlich als unangenehmes Problem der IT betrachtet werden.
Veraltete Anwendungen, nicht mehr unterstützte Betriebssysteme, unzureichend dokumentierte Schnittstellen und Systeme, die sich kaum noch aktualisieren lassen, sind längst ein unternehmerisches Risiko.
In kritischen Infrastrukturen können sie darüber hinaus zu einem gesellschaftlichen Risiko werden.
Ich weiß aus der operativen Praxis, dass sich solche Probleme nicht immer einfach lösen lassen. Nicht jedes System kann kurzfristig ersetzt werden. Nicht jede Anwendung lässt sich ohne Weiteres modernisieren. Und manchmal gibt es tatsächlich keine vernünftige technische Alternative.
Aber genau deshalb brauchen wir eine ehrliche Risikobetrachtung.
Welche Systeme können wir weiterbetreiben? Welche müssen wir zusätzlich absichern? Wo brauchen wir verbindliche Ablösepläne? Und welche Risiken akzeptieren wir bewusst, weil eine unmittelbare Änderung unverhältnismäßig wäre?
Was ich mir wünsche, ist mehr Verbindlichkeit.
Wenn eine Organisation über Jahre hinweg weiß, dass ein geschäftskritisches System nicht mehr sicher betrieben werden kann, sollte daraus irgendwann eine verbindliche Managemententscheidung entstehen.
Nicht einfach das nächste akzeptierte Risiko mit einem neuen Wiedervorlagedatum.
Denn künstliche Intelligenz wird diese technischen Schulden nicht verschwinden lassen.
Sie könnte lediglich dafür sorgen, dass sie schneller und systematischer ausgenutzt werden.
Cybersicherheit muss stärker gemeinsam funktionieren
Besonders interessant finde ich den britischen Gedanken einer national vernetzten Cyberabwehr.
Wir haben in Deutschland zahlreiche Unternehmen, Behörden, Forschungseinrichtungen und Sicherheitsdienstleister mit erheblicher technischer Kompetenz.
Was wir daraus noch stärker entwickeln sollten, ist eine gemeinsame operative Fähigkeit.
Natürlich existieren bereits Informationsverbünde, Branchenstrukturen, CERT-Netzwerke und etablierte Formen der Zusammenarbeit. Wir fangen also keineswegs bei null an.
Aber ich würde mir wünschen, dass wir diese Zusammenarbeit wesentlich stärker technisch integrieren.
Wenn ein Unternehmen einen neuen Angriffsweg erkennt, sollten relevante Erkenntnisse möglichst schnell anderen potenziell Betroffenen zur Verfügung stehen.
Wenn eine neue Schwachstelle in einer weitverbreiteten Technologie aktiv ausgenutzt wird, sollten betroffene Organisationen automatisiert und möglichst präzise darüber informiert werden können.
Und wenn mehrere Betreiber kritischer Infrastrukturen mit denselben Angriffsmustern konfrontiert sind, sollten sie nicht alle unabhängig voneinander dieselben Analysen durchführen müssen.
Dabei müssen Datenschutz, Vertraulichkeit, Geschäftsgeheimnisse und unterschiedliche Sicherheitsanforderungen selbstverständlich berücksichtigt werden.
Aber diese Herausforderungen sollten wir als technische und organisatorische Gestaltungsaufgabe verstehen, nicht als grundsätzlichen Grund, auf engere Zusammenarbeit zu verzichten.
Der geplante deutsche Cyberdome könnte dafür eine wichtige Grundlage schaffen.
Ich hoffe allerdings, dass wir dabei nicht versuchen, eine weitere zentrale Insellösung zu entwickeln.
Wir sollten vielmehr bestehende Fähigkeiten miteinander verbinden und dafür sorgen, dass Organisationen unterschiedlicher Größe und technischer Reife davon profitieren können.
Denn gerade kleinere Unternehmen, kommunale Einrichtungen und spezialisierte Betreiber werden sich die immer anspruchsvoller werdenden Fähigkeiten einer modernen Cyberabwehr kaum vollständig selbst aufbauen können.
Wenn wir verhindern wollen, dass die Sicherheitskluft zwischen großen und kleinen Organisationen weiter wächst, müssen wir ihnen einen praktikablen Zugang zu gemeinsamen Verteidigungsfähigkeiten ermöglichen.
Wir sollten heute vorbereiten, was morgen nicht mehr aufzuholen ist
Was mich am britischen Bericht besonders beschäftigt, ist nicht einmal das pessimistische Szenario für 2028, in dem weitgehend autonome Cyberangriffe erhebliche gesellschaftliche Schäden verursachen könnten.
Das NCSC beschreibt dieses Szenario ausdrücklich als mögliche Entwicklung, nicht als sichere Vorhersage. [1]
Die viel wichtigere Aussage steckt für mich zwischen den Zeilen.
Wir haben noch die Möglichkeit, uns auf veränderte technische Rahmenbedingungen vorzubereiten.
Aber dieses Zeitfenster sollten wir nicht unnötig verstreichen lassen.
Wer erst dann über die Modernisierung seines Schwachstellenmanagements nachdenkt, wenn KI-gestützte Werkzeuge in erheblich größerem Umfang Sicherheitslücken entdecken, wird Schwierigkeiten haben, die notwendigen Prozesse kurzfristig aufzubauen.
Wer erst nach einem schweren Ransomware-Angriff feststellt, dass seine Wiederherstellungspläne nicht funktionieren, hat den entscheidenden Test zu spät durchgeführt.
Und wer erst dann seine Lieferketten untersucht, wenn ein wichtiger Dienstleister vollständig ausfällt, wird möglicherweise überrascht sein, wie viele kritische Geschäftsprozesse tatsächlich von diesem einen Anbieter abhängen.
Ähnlich sehe ich die Vorbereitung auf Post-Quanten-Kryptografie.
Auch hier zeigt der NCSC-Bericht, dass es nicht darum geht, morgen sämtliche kryptografischen Verfahren auszutauschen. Aber Organisationen sollten bereits heute verstehen, wo sie Kryptografie einsetzen, welche Abhängigkeiten bestehen und welche Systeme langfristig migriert werden müssen. [1]
Das NCSC empfiehlt, Bestandsaufnahme und Migrationsplanung bis 2028 abzuschließen, prioritäre Migrationsschritte bis 2031 umzusetzen und den Übergang zu Post-Quanten-Kryptografie bis 2035 abzuschließen. Diese Zeitpunkte sind britische Planungsempfehlungen und nicht automatisch rechtliche Verpflichtungen für deutsche Organisationen.
Sie zeigen aber, welche langfristigen Vorbereitungszeiträume bei großen technologischen Veränderungen erforderlich sein können.
Das klingt wenig spektakulär.
Aber genau diese Vorbereitungen entscheiden darüber, ob eine spätere technologische Umstellung kontrolliert erfolgt oder unter erheblichem Zeitdruck improvisiert werden muss.
Und davon haben wir in der IT eigentlich schon genug erlebt.
Weniger über Sicherheit reden, mehr Sicherheit nachweisen
Am Ende wünsche ich mir vor allem eine Veränderung in unserer Erwartungshaltung.
Wir sollten uns nicht damit zufriedengeben, dass Organisationen erklären können, wie ihre Cybersecurity aufgebaut ist.
Wir sollten stärker danach fragen, ob sie unter realistischen Bedingungen tatsächlich funktioniert.
Eine vorhandene Incident-Response-Richtlinie ist noch keine erfolgreiche Incident Response.
Ein dokumentierter Notfallplan ist noch keine nachgewiesene Wiederherstellungsfähigkeit.
Ein abgeschlossenes Audit ist noch kein Beweis dafür, dass ein Unternehmen einen gezielten Angriff überstehen kann.
Und die Einführung einer KI-basierten Sicherheitsplattform ist noch kein Nachweis dafür, dass Bedrohungen schneller erkannt oder wirksamer abgewehrt werden.
Ich wünsche mir deshalb mehr realistische Übungen, unabhängige technische Überprüfungen und vor allem den Mut, dabei festgestellte Schwächen offen zu benennen.
Nicht, um Verantwortliche vorzuführen.
Sondern weil wir nur die Probleme verbessern können, die wir tatsächlich kennen und akzeptieren.
Gerade hier können wir aus Großbritannien etwas mitnehmen. Das NCSC versucht, seine Sicherheitsprogramme stärker an messbaren Ergebnissen, gemeinsamer operativer Wirksamkeit und praktischer Resilienz auszurichten. Ob alle diese Vorhaben erfolgreich sein werden, muss sich erst zeigen.
Aber die Richtung ist interessant.
Für Deutschland würde ich mir wünschen, dass wir diesen Gedanken stärker aufnehmen und ihn nicht wieder ausschließlich in neue regulatorische Nachweispflichten übersetzen.
Denn irgendwann müssen wir anfangen, den Erfolg unserer Cybersicherheit daran zu messen, wie gut wir Angriffe verhindern, begrenzen und überstehen können.
Nicht daran, wie überzeugend wir unsere Maßnahmen dokumentieren.
Vielleicht ist das auch die eigentliche Motivation hinter meinem Blick nach Großbritannien.
Es geht mir nicht darum, einen europäischen Sieger im Wettbewerb um die beste Cybersicherheitsstrategie zu küren.
Es geht darum, rechtzeitig zu erkennen, welche Entwicklungen auf uns zukommen, welche Fehler wir vermeiden können und welche Entscheidungen wir besser heute treffen sollten.
Die kommenden Jahre werden technologisch sicherlich spannend. Künstliche Intelligenz wird unsere Möglichkeiten in der Cyberabwehr verändern, neue Werkzeuge schaffen und hoffentlich auch Probleme lösen, an denen wir uns bislang seit Jahren abarbeiten.
Aber sie wird uns die Verantwortung nicht abnehmen, unsere eigenen Infrastrukturen vernünftig zu betreiben, Risiken zu reduzieren und uns auf ernsthafte Störungen vorzubereiten.
Wenn wir aus dem britischen Bericht nur eine Erkenntnis mitnehmen, dann hoffentlich diese: Die Zukunft unserer Cybersicherheit entscheidet sich nicht erst dann, wenn die nächste Generation von Cyberangriffen Realität wird. Sie entscheidet sich durch die Maßnahmen, die wir heute ergreifen oder wieder einmal auf später verschieben.
Und möglicherweise wäre es für Deutschland schon ein bemerkenswerter Fortschritt, wenn wir weniger Zeit damit verbringen würden, immer neue Sicherheitsanforderungen zu beschreiben, und mehr Zeit dafür hätten, die bereits bekannten konsequent umzusetzen.
Quellen und Referenzen
[1] National Cyber Security Centre (NCSC)
The State of the Cyber Nation – Annual Review 2026. 3. November 2026. Berichtszeitraum 1. September 2025 bis 31. August 2026. Insbesondere Seiten 14–29, 31–37, 53–63 und 65–75.
https://www.ncsc.gov.uk/collection/annual-review-2026
[2] National Cyber Security Centre (NCSC)
Incident impacting Jaguar Land Rover. 5. September 2025. Die detaillierten wirtschaftlichen Auswirkungen werden ergänzend in Quelle [1] behandelt.
https://www.ncsc.gov.uk/news/jlr-incident
[3] Bundesministerium des Innern / Bundesamt für Verfassungsschutz
Verfassungsschutzbericht 2024. 10. Juni 2025. Insbesondere die Darstellungen zur Cyberabwehr, Spionage und staatlich gesteuerten Angriffen.
https://www.verfassungsschutz.de/DE/service/publikationen/verfassungsschutzberichte/verfassungsschutzberichte_node.html
[4] European Union Agency for Cybersecurity (ENISA)
ENISA Threat Landscape 2026. 22. September 2026. Der Bericht analysiert Ereignisse aus dem Zeitraum Januar bis Dezember 2025.
https://www.enisa.europa.eu/topics/cyber-threats/threat-landscape
[5] Bitkom e. V. / Bitkom Research
Angriffe auf die deutsche Wirtschaft: Spur führt immer öfter zu ausländischen Geheimdiensten. Ergebnisse der Wirtschaftsschutzstudie 2026, veröffentlicht im September 2026.
https://www.bitkom.org/Presse/Presseinformation/Angriffe-auf-deutsche-Wirtschaft-Spur-auslaendische-Geheimdienste
[6] Bitkom e. V. / IDC
IT-Sicherheit: Deutscher Markt wächst zweistellig und knackt 2027 die 15-Milliarden-Euro-Marke. 28. Oktober 2026.
https://www.bitkom.org/Presse/Presseinformation/IT-Sicherheit-Deutscher-Markt-waechst-zweistellig
[7] Bundesregierung / Bundesministerium des Innern
Umsetzung der NIS-2-Richtlinie beschlossen – Mehr digitale Sicherheit. 8. Dezember 2025. Zum Inkrafttreten des deutschen Umsetzungsgesetzes am 6. Dezember 2025.
https://www.bundesregierung.de/breg-de/bundesregierung/bundeskanzleramt/nis-2-richtlinie-deutschland-2373174
[8] Bundesministerium der Justiz / Bundesamt für Justiz
KRITIS-Dachgesetz – Gesetz zur Stärkung der physischen Resilienz kritischer Anlagen. Gesetz vom 11. März 2026, überwiegend in Kraft seit 17. März 2026.
https://www.gesetze-im-internet.de/kritisdachg/BJNR0420B0026.html
[9] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK)
Fragen und Antworten zum KRITIS-Dachgesetz. Informationen zu geltenden Anforderungen und noch ausstehenden Rechtsverordnungen, Stand November 2026.
https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/Strategien-und-rechtlicher-Rahmen/KRITISDachG/FAQ/faq_node.html
[10] Europäisches Parlament und Rat der Europäischen Union
Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber Resilience Act). 23. Oktober 2024. Insbesondere Artikel 14, Artikel 71 und Anhang I.
https://eur-lex.europa.eu/eli/reg/2024/2847/oj/deu
[11] Bundesregierung
Fragen und Antworten zu Künstlicher Intelligenz. 2. November 2026. Enthält Angaben zum geplanten Cyberdome und seinem Realisierungskonzept.
https://www.bundeskanzler.de/bk-de/aktuelles/faq-kuenstliche-intelligenz-2458970
[12] Bundesregierung
Programm zur Steigerung der Cybersicherheit in der Bundesverwaltung (CyberGovSecure). Regierungsinformationen 2026, unter anderem zu Assetmanagement, Schwachstellenmanagement und Systemhärtung.
https://www.bundeskanzler.de/bk-de/aktuelles/faq-kuenstliche-intelligenz-2458970
[13] Deutscher Bundestag
Lob und Kritik zum Cyberabwehr-Gesetzentwurf. Öffentliche Anhörung des Innenausschusses vom 5. Oktober 2026 zum Entwurf eines Gesetzes zur Stärkung der Cybersicherheit.
https://www.bundestag.de/dokumente/textarchiv/2026/kw41-pa-inneres-cybersicherheit-1221640
Redaktionsstand: 4. November 2026. Die Aussagen des NCSC zu möglichen Entwicklungen bis 2028 und darüber hinaus werden als Prognosen beziehungsweise Szenarien behandelt. Eigene fachliche Einschätzungen sind ausdrücklich als solche formuliert. Zahlen aus britischen und deutschen Erhebungen sind aufgrund ihrer unterschiedlichen Erfassungsmethoden nicht unmittelbar miteinander vergleichbar.