Die öffentliche Anhörung der Präsidenten der deutschen Nachrichtendienste am 5. Oktober 2026 lässt wenig Raum für eine beruhigende Interpretation der Sicherheitslage. BND, Bundesamt für Verfassungsschutz und Militärischer Abschirmdienst beschreiben Russland inzwischen als die größte sicherheitspolitische Herausforderung für Deutschland. Dabei geht es ausdrücklich nicht nur um klassische Spionage oder um Cyberangriffe.
Verfassungsschutzpräsident Sinan Selen sprach von hybriden Angriffen auf Deutschlands Souveränität. BND-Präsident Martin Jäger bezeichnete Russland als den aktuell gefährlichsten Gegner Deutschlands. MAD-Präsidentin Martina Rosenberg wiederum machte deutlich, dass aus einer früher eher abstrakten Gefährdungslage konkrete Angriffe geworden seien.
Für Unternehmen ist diese Entwicklung von erheblicher Bedeutung. Denn hybride Bedrohungen treffen längst nicht mehr ausschließlich staatliche Institutionen, Streitkräfte oder Nachrichtendienste. Transportwege, Energieversorgung, Telekommunikation, Logistik, industrielle Produktion, IT-Dienstleister und Lieferketten sind Teil derselben gesellschaftlichen Infrastruktur. Unternehmen können deshalb sowohl unmittelbares Ziel als auch Kollateralschaden einer Auseinandersetzung sein, die zunächst gar nicht gegen sie gerichtet war.
Der Konflikt findet längst unterhalb der Kriegsschwelle statt
Der Begriff „hybrid“ wird inzwischen häufig verwendet, bleibt aber in der betrieblichen Praxis oft abstrakt. Gemeint ist die Kombination verschiedener staatlicher und nichtstaatlicher Mittel: Cyberangriffe, Spionage, Sabotage, Desinformation, Einflussoperationen, wirtschaftlicher Druck und teilweise auch physische Gewalt.
Das Entscheidende ist die Verbindung dieser Instrumente.
Ein Cyberangriff kann beispielsweise einen Logistikbetrieb stören. Zeitgleich verbreitete Desinformation kann Zweifel an der Ursache oder am Krisenmanagement erzeugen. Die Ausspähung von Transportbewegungen kann wiederum die Vorbereitung weiterer Maßnahmen ermöglichen. Physische Sabotage kann schließlich technische Störungen hervorrufen, die zunächst wie ein gewöhnlicher Betriebsunfall wirken.
Genau diese Mehrdeutigkeit gehört zur Logik hybrider Angriffe.
Der Angreifer versucht nicht zwangsläufig, möglichst spektakulär aufzutreten. Oft ist das Gegenteil sinnvoller: Unsicherheit darüber, was überhaupt geschehen ist, erschwert Reaktion, Attribution und politische Konsequenzen.
Für Unternehmen ergibt sich daraus ein grundlegendes Problem. Klassische Risikobetrachtungen trennen häufig zwischen Cybersecurity, physischer Sicherheit, Business Continuity, Lieferkettenrisiken und Krisenkommunikation. Ein hybrider Angriff hält sich nicht an diese organisatorischen Grenzen.
Transport, Logistik und Infrastruktur geraten besonders in den Fokus
Der Verfassungsschutz nennt aktuell insbesondere Transport und Verkehr, die Verteidigungsindustrie sowie militärische Infrastruktur als gefährdete Bereiche.
Das ist zunächst nachvollziehbar: Moderne Gesellschaften und Streitkräfte funktionieren nur, solange Waren, Energie, Daten und Menschen bewegt werden können. Wer diese Verbindungen stört, benötigt nicht zwingend einen Angriff auf ein militärisches Ziel.
Ein ausgefallener Umschlagplatz, eine gestörte Bahnstrecke, ein kompromittierter Logistikdienstleister oder eine manipulierte Energieversorgung können erhebliche Folgewirkungen entwickeln.
Dabei endet die Betrachtung nicht beim Betreiber einer kritischen Infrastruktur.
Ein produzierendes Unternehmen kann nach wenigen Stunden betroffen sein, wenn Vormaterial nicht geliefert wird. Ein Krankenhaus kann unter Druck geraten, wenn Versorgungswege ausfallen. Einzelhandel und Logistik sind abhängig von Energie, Kommunikation, Kraftstoff, Zahlungsverkehr und Transportkapazitäten. Selbst ein Unternehmen ohne jede formale KRITIS-Einstufung kann damit erhebliche Abhängigkeiten von kritischen Infrastrukturen besitzen.
Das eigentliche Risiko liegt deshalb häufig nicht im eigenen Unternehmen, sondern einige Stufen davor.
Eine moderne Business-Impact-Analyse sollte diese Abhängigkeiten sichtbar machen.
Low-Level-Agenten verändern das Sabotagerisiko
Besonders relevant ist eine Entwicklung, vor der die deutschen Sicherheitsbehörden bereits seit einiger Zeit warnen: der Einsatz sogenannter Low-Level-Agenten.
Dabei handelt es sich nicht um klassische, langfristig geführte Nachrichtendienstmitarbeiter. Menschen können über soziale Netzwerke oder Messenger für vergleichsweise einfache Aufgaben angeworben werden. Das Spektrum reicht von Fotografien und Ausspähung bis zu Sachbeschädigungen oder Sabotage.
Der Aufwand für den Auftraggeber kann gering sein.
Genau darin liegt das Problem.
Ein Unternehmen muss bei Sabotage nicht mehr zwangsläufig mit einem professionell ausgebildeten Täter rechnen, dessen Verhalten frühzeitig auffällt. Bestimmte Aufgaben können an Personen ausgelagert werden, die über wenig Fachwissen verfügen und lediglich konkrete Anweisungen erhalten.
Damit verändern sich auch Schutzkonzepte.
Technische Hochsicherheit allein reicht nicht aus, wenn einfache Schwachstellen bestehen: frei zugängliche Nebeneingänge, schlecht überwachte Außenbereiche, öffentlich dokumentierte Betriebsabläufe, ungeschützte technische Einrichtungen oder Informationen, die Beschäftigte beiläufig über soziale Netzwerke veröffentlichen.
Auch scheinbar banale Beobachtungen können relevant werden. Wiederholte Fotografien technischer Anlagen, ungewöhnliche Fragen zu Betriebszeiten oder Lieferwegen, manipulierte Zugangseinrichtungen oder auffällige Drohnenflüge müssen nicht automatisch Ausdruck einer feindlichen Handlung sein. Sie sollten aber auch nicht grundsätzlich als bedeutungslos betrachtet werden.
Entscheidend ist ein funktionierender Meldeweg.
Beschäftigte müssen nicht selbst beurteilen, ob sie gerade Spionage oder Sabotage beobachten. Sie müssen wissen, wo eine ungewöhnliche Beobachtung gemeldet werden kann und wer sie anschließend bewertet.
Cyber und physische Sicherheit lassen sich kaum noch trennen
Noch immer behandeln viele Organisationen Informationssicherheit und physische Sicherheit als getrennte Disziplinen.
Das entspricht zunehmend nicht mehr dem tatsächlichen Risiko.
Ein Cyberangriff kann physische Prozesse beeinflussen. Eine physische Manipulation kann wiederum den Zugang zu digitalen Systemen ermöglichen. Informationen aus sozialen Netzwerken können zur Vorbereitung eines Einbruchs dienen. Kompromittierte Kameras können Bewegungen beobachten. Gestohlene Zugangsdaten ermöglichen möglicherweise die Vorbereitung physischer Maßnahmen.
Die russischen Aktivitäten gegen westliche Logistikorganisationen zeigen diese Verbindung besonders deutlich. Sicherheitsbehörden mehrerer Staaten haben vor Kampagnen gewarnt, bei denen Logistikunternehmen und Technologieanbieter ausgespäht wurden. Dabei standen nicht ausschließlich Unternehmensdaten im Mittelpunkt. Auch Informationen über Transportbewegungen und logistische Abläufe können von erheblichem strategischem Wert sein.
Für Unternehmen verändert sich damit die Frage, welche Informationen eigentlich schützenswert sind.
Nicht nur vertrauliche Dokumente oder personenbezogene Daten besitzen einen Wert.
Auch Informationen darüber, wann bestimmte Lieferungen eintreffen, welche Transportwege genutzt werden, wann ein Standort besonders schwach besetzt ist oder welche Systeme bei einem Ausfall zuerst benötigt werden, können ein Lagebild ermöglichen.
Informationsschutz muss deshalb stärker vom möglichen Nutzen für einen Angreifer aus gedacht werden.
Vernetzter Extremismus ist ein zweites Risikofeld
Neben staatlichen Bedrohungen warnen die Nachrichtendienste ausdrücklich vor internationalem Terrorismus und gewaltorientiertem Extremismus.
Besonders auffällig ist dabei die zunehmende digitale Vernetzung.
Radikalisierungsprozesse können heute sehr schnell stattfinden. Menschen bewegen sich in digitalen Gemeinschaften, in denen Gewalt legitimiert, Feindbilder verstärkt und Aktionen teilweise gegenseitig angefeuert werden. Sicherheitsbehörden beobachten dabei auch sehr junge Akteure und Minderjährige mit hoher Gewaltbereitschaft.
Für Unternehmen entsteht daraus ein weiteres Risikospektrum.
Standorte mit politischer, gesellschaftlicher oder symbolischer Bedeutung können Ziel extremistischer Aktionen werden. Gleiches gilt für Energieanlagen, Verkehrswege oder Unternehmen, die bestimmten Branchen zugerechnet werden.
Dabei ist eine saubere Trennung wichtig.
Russische Nachrichtendienste, Terrororganisationen und gewaltorientierte Extremisten sind unterschiedliche Akteure mit unterschiedlichen Motiven. Ähnliche Ziele oder Methoden bedeuten nicht automatisch eine organisatorische Verbindung.
Für das Krisenmanagement ist jedoch häufig zunächst etwas anderes entscheidend: Die Auswirkungen können ähnlich sein.
Ein Brandanschlag auf eine technische Einrichtung führt unabhängig von der später ermittelten Motivation zunächst zu denselben betrieblichen Fragen. Menschen müssen geschützt, Bereiche gesichert, Ersatzverfahren aktiviert und Kommunikation organisiert werden.
Die Attribution ist für Sicherheitsbehörden wichtig. Die Aufrechterhaltung des Betriebs ist Aufgabe des Unternehmens.
Das größte Problem sind häufig voneinander getrennte Informationen
Hybride Bedrohungen machen eine organisatorische Schwäche besonders sichtbar: Informationen liegen häufig an unterschiedlichen Stellen.
Der Werkschutz registriert einen ungewöhnlichen Vorfall am Zaun.
Die IT entdeckt verdächtige Netzwerkaktivitäten.
Der Einkauf erhält merkwürdige Anfragen zu einem Lieferanten.
Ein Mitarbeiter meldet einen auffälligen Kontakt über LinkedIn.
Die Kommunikationsabteilung bemerkt plötzlich verbreitete Falschinformationen über das Unternehmen.
Jedes Ereignis für sich kann eine harmlose Erklärung haben.
Die entscheidende Frage lautet deshalb nicht, ob jeder ungewöhnliche Vorfall sofort als Angriff interpretiert werden sollte. Das wäre ebenso falsch wie gefährlich.
Die Frage lautet vielmehr, ob eine Organisation überhaupt erkennen würde, wenn mehrere scheinbar unabhängige Ereignisse zusammengehören.
Dafür braucht es ein gemeinsames Lagebild.
Security, Informationssicherheit, BCM, Betrieb, Kommunikation und gegebenenfalls Corporate Intelligence müssen Informationen in definierten Situationen zusammenführen können. Dabei sollte konsequent zwischen bestätigten Tatsachen, Annahmen und offenen Fragen unterschieden werden.
Ein gutes Lagebild produziert keine Gewissheit, wo keine vorhanden ist.
Es reduziert Unsicherheit so weit, dass Entscheidungen getroffen werden können.
Business Continuity muss von Abhängigkeiten ausgehen
Aus Sicht des Business Continuity Managements führen hybride Bedrohungen zurück zu einer sehr klassischen Frage:
Welche Leistungen müssen auch dann noch funktionieren, wenn wesentliche Voraussetzungen plötzlich nicht mehr verfügbar sind?
Die Antwort darf nicht bei IT-Systemen enden.
Unternehmen benötigen Strom, Telekommunikation, Gebäude, Personal, Lieferanten, Logistik, Zahlungsverkehr, externe Dienstleister und funktionierende Entscheidungsstrukturen.
Aus der Business-Impact-Analyse muss deshalb eine Abhängigkeitsanalyse werden.
Besonders kritisch sind dabei sogenannte Common-Mode-Failures.
Zwei Internetanschlüsse schaffen beispielsweise nur dann echte Redundanz, wenn sie nicht über dieselbe physische Trasse laufen. Zwei Rechenzentren helfen wenig, wenn beide von derselben Stromversorgung oder demselben Netzbetreiber abhängen. Ein alternativer Kommunikationskanal ist nutzlos, wenn seine Authentifizierung wiederum vom ausgefallenen Identity Provider abhängt.
Ähnliches gilt für Lieferketten.
Ein Unternehmen kann fünf Lieferanten besitzen und trotzdem keine wirkliche Redundanz haben, wenn alle dieselbe Rohstoffquelle, denselben Hafen oder denselben Logistikdienstleister verwenden.
Resilienz entsteht nicht durch die Anzahl von Alternativen.
Sie entsteht durch deren tatsächliche Unabhängigkeit.
Krisenkommunikation wird selbst zum Angriffsziel
Ein weiterer Aspekt hybrider Bedrohungen betrifft die Kommunikation.
In einer Krise reicht es nicht, technisch weiterhin Nachrichten versenden zu können. Ein Unternehmen muss auch sicherstellen können, dass Informationen authentisch sind.
Was passiert, wenn plötzlich Nachrichten angeblich von der Geschäftsführung auftauchen?
Was geschieht, wenn Screenshots interner Kommunikation veröffentlicht werden?
Was passiert, wenn echte Informationen mit manipulierten Inhalten kombiniert werden?
Generative KI verschärft dieses Problem zusätzlich. Gefälschte Texte, Stimmen, Bilder und Videos lassen sich inzwischen mit geringem Aufwand erzeugen. Entscheidend ist deshalb nicht, jede Fälschung technisch zweifelsfrei erkennen zu können.
Organisationen benötigen verlässliche Vertrauensanker.
Für besonders kritische Entscheidungen muss festgelegt sein, wie eine Anweisung unabhängig bestätigt werden kann. Krisenstäbe brauchen alternative Kommunikationswege. Ansprechpartner und Eskalationswege müssen auch außerhalb der regulären IT verfügbar sein.
Ein Krisenkommunikationsplan sollte daher nicht nur die Frage beantworten, über welchen Kanal kommuniziert wird.
Er sollte auch beantworten, wann diesem Kanal noch vertraut werden kann.
Unternehmen sollten keine Geheimdienste spielen
Eine Gefahr bei der Beschäftigung mit hybriden Bedrohungen besteht darin, anschließend überall feindliche Aktivitäten zu vermuten.
Das wäre kontraproduktiv.
Nicht jede technische Störung ist Sabotage. Nicht jede Drohne betreibt Spionage. Nicht jeder ungewöhnliche Kontakt ist ein Nachrichtendienstmitarbeiter. Und politische Kritik an einem Unternehmen ist selbstverständlich keine Sicherheitsbedrohung.
Professionelles Sicherheitsmanagement benötigt deshalb nachvollziehbare Kriterien.
Meldungen müssen dokumentiert, bewertet und gegebenenfalls mit anderen Informationen abgeglichen werden. Bei ernsthaften Verdachtsmomenten müssen Sicherheitsbehörden eingebunden werden.
Unternehmen sollen keine Nachrichtendienstanalyse betreiben.
Ihre Aufgabe besteht darin, relevante Auffälligkeiten überhaupt erkennen zu können, Beweise nicht unnötig zu zerstören und im Ernstfall handlungsfähig zu bleiben.
Übungen müssen Unsicherheit erzeugen
Gerade hybride Szenarien eignen sich hervorragend für Krisenübungen.
Allerdings sollten solche Übungen nicht daraus bestehen, dem Krisenstab zu Beginn mitzuteilen: „Russland führt gerade einen hybriden Angriff gegen Ihr Unternehmen durch.“
Im wirklichen Ereignis wird diese Information kaum vorliegen.
Ein realistisches Szenario beginnt anders.
Ein Produktionssystem verhält sich ungewöhnlich.
Kurz darauf fällt ein Dienstleister aus.
Eine Drohne wird über dem Betriebsgelände beobachtet.
In sozialen Netzwerken erscheinen Fotos einer angeblichen Störung.
Ein Mitarbeiter erhält eine ungewöhnliche Kontaktanfrage.
Eine journalistische Anfrage erreicht die Kommunikation.
Niemand weiß zunächst, ob diese Ereignisse zusammengehören.
Genau dort beginnt Krisenmanagement.
Der Stab muss Informationen sammeln, Hypothesen bilden, Entscheidungen treffen und gleichzeitig vermeiden, aus Vermutungen Tatsachen zu machen.
Das ist eine wesentlich anspruchsvollere Übung als ein bekanntes Ransomware-Szenario mit klar erkennbarem Auslöser.
Denn die eigentliche Herausforderung einer hybriden Lage ist Unsicherheit.
Resilienz wird damit zur Führungsaufgabe
Die Aussagen der Nachrichtendienstpräsidenten sollten nicht dazu führen, dass Unternehmen plötzlich geopolitische Szenarien in jede Risikoanalyse aufnehmen.
Sie sollten aber dazu führen, bestehende Annahmen zu überprüfen.
Die Sicherheitslage Europas hat sich verändert. Staatliche Akteure setzen Cyberangriffe, Spionage, Sabotage und Informationsoperationen ein. Gleichzeitig entstehen durch terroristische und extremistische Netzwerke weitere Bedrohungen.
Unternehmen können diese Entwicklungen nicht verhindern.
Sie können jedoch beeinflussen, wie verwundbar sie gegenüber deren Auswirkungen sind.
Dazu gehören belastbare Abhängigkeitsanalysen, funktionierende Business-Continuity-Strukturen, sichere Kommunikation, ein Zusammenspiel von physischer und digitaler Sicherheit und vor allem regelmäßig geübte Krisenorganisationen.
Für Geschäftsleitungen ergibt sich daraus eine vergleichsweise einfache Prüfgröße:
Wenn morgen gleichzeitig ein wesentlicher IT-Dienstleister ausfällt, ein Standort nicht erreichbar ist und die Zuverlässigkeit der regulären Kommunikationswege infrage steht – weiß die Organisation dann, wer entscheidet, wie kommuniziert wird und welche Leistungen unbedingt weiterlaufen müssen?
Wenn diese Frage nicht klar beantwortet werden kann, liegt das eigentliche Risiko weniger darin, welcher Akteur Deutschland möglicherweise angreift.
Es liegt in der eigenen Vorbereitung.
Quellen und weiterführende Informationen
Deutscher Bundestag, 5. Oktober 2026: „Nachrichtendienste sehen Russland als gefährlichsten Gegner“. Zusammenfassung der öffentlichen Anhörung von BND-Präsident Martin Jäger, BfV-Präsident Sinan Selen und MAD-Präsidentin Martina Rosenberg vor dem Parlamentarischen Kontrollgremium. Deutscher Bundestag – Nachrichtendienste sehen Russland als gefährlichsten Gegner
Deutscher Bundestag, 5. Oktober 2026: Öffentliche Anhörung der Präsidenten der Nachrichtendienste des Bundes vor dem Parlamentarischen Kontrollgremium. Deutscher Bundestag – Öffentliche Anhörung der Nachrichtendienste
Bundesamt für Verfassungsschutz, Mai 2025: „Gefährdungen durch russische Spionage, Sabotage und Desinformation“. Die Veröffentlichung beschreibt unter anderem Sabotage gegen kritische Infrastruktur, Lieferketten und Verkehrswege sowie den Einsatz sogenannter Low-Level-Agenten. BfV – Gefährdungen durch russische Spionage, Sabotage und Desinformation
Bundesamt für Sicherheit in der Informationstechnik: BSI-Standard 200-4 „Business Continuity Management“. Der Standard beschreibt den Aufbau und Betrieb eines BCMS einschließlich Business-Impact-Analyse, Kontinuitätsstrategien, Wiederanlaufplanung sowie Übungen und Tests. BSI – Standard 200-4 Business Continuity Management
Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: LÜKEX 23 „Cyberangriff auf das Regierungshandeln“. Die Übung behandelte unter anderem den Ausfall staatlicher IT-Infrastruktur, erhebliche Einschränkungen kritischer Prozesse und eine begleitende Medienkampagne. BBK – LÜKEX 23 Cyberangriff auf das Regierungshandeln
BBK: Auswertungsbericht zur LÜKEX 23. Der Bericht enthält Erkenntnisse zur ressort- und organisationsübergreifenden Zusammenarbeit, Aufrechterhaltung kritischer Funktionen, Krisenorganisation und Kommunikation. BBK – Auswertungsbericht LÜKEX 23
Bundesregierung, 7. September 2026: Regierungspressekonferenz unter anderem zur sichergestellten Drohne am Flughafen Leipzig/Halle, Drohnenabwehr und zum Cyberangriff auf das Berliner Landesnetz. Bundesregierung – Regierungspressekonferenz vom 7. September 2026
DER SPIEGEL, 5. Oktober 2026: Berichterstattung über die öffentliche Anhörung der Nachrichtendienstchefs und deren Warnungen vor Russland sowie vernetzten extremistischen Strukturen. Der Beitrag war Ausgangspunkt für diesen Artikel.
Weiterführend: Die vollständige Aufzeichnung der Anhörung vom 5. Oktober 2026 ist über die Mediathek des Deutschen Bundestages verfügbar.
