Datum 16.02.2025

Claudia Plattner

---

Technologie und Digitalisierung sind die treibenden Kräfte unserer Zeit – sie verändern die Welt und die Menschen in atemberaubendem Tempo. Diese Transformation findet in einer geopolitisch angespannten Lage statt. Die internationale Ordnung ist zunehmend von Hegemonialbestrebungen und ideologisch geprägter Systemkonkurrenz bestimmt. Technologie und Digitalisierung bestimmen diese Konfliktlagen unmittelbar mit. Damit rückt das Thema Cybersicherheit direkt ins Zentrum aller Bestrebungen, unsere Werte und unseren Wohlstand zu schützen. Und: In einer Welt, in der technologische Dominanz weitreichend über wirtschaftliche und politische Macht entscheidet, ist Cybersicherheit zu einem globalen Faktor geworden.

Wir müssen uns also als Gesellschaft klarmachen, dass die klassischen Weltordnungsdimensionen Wirtschaft und Sicherheit um eine dritte Dimension erweitert wurden: die digitale. Hier spielt die Musik, wenn Tech-Giganten zu globalen Quasi-Monopolisten werden. Hier spielt die Musik, wenn geopolitische Konflikte remote ausgetragen werden. Hier spielt die Musik, wenn fremde Staaten Einfluss nehmen auf das innenpolitische Geschehen in Deutschland.

Wobei Musik ja erst mal etwas Wunderbares ist. Genau wie Technologie. So, wie Musik eine Anziehungskraft hat, entfaltet auch die digitale Dimension einen ungeheuren, zunächst konstruktiven Impact. Ich würde sogar so weit gehen zu behaupten: Genau wie die Musik ist das Digitale zu einer Universalie der menschlichen Kultur geworden. Und ist dabei längst nicht mehr nur Mittel zum Zweck, sondern auch Selbstzweck. Oder, um es mit McLuhan zu sagen: The medium is the massage. (sic!) 

Im 21. Jahrhundert tanzen wirtschaftliche und politische Interessen zur selben Musik. Die digitale Dimension ist das, was alle bewegt: Digitale Wertschöpfung – das "Digital GDP" – entscheidet über Wettbewerbsfähigkeit und wirtschaftliche Stärke. Politische Macht – und mit ihr nationale Sicherheit - hängt ebenso von Hochtechnologie ab. Im digitalen Zeitalter ist Technologie der Ausgangspunkt von allem, genau wie der richtige Song zur richtigen Zeit fast alle auf die Tanzfläche zieht. 

Aber was ist, wenn es regnet? Was, wenn sich über die Tanzfläche eine Wolke schiebt, ihre Schleusen öffnet und sowohl die Tanzenden als auch die Band mit einem heftigen Dauerregen überzieht? Die Antwort ist banal: Für solche Szenarien braucht man ein schützendes Dach. Einen Schutzschirm, der nicht nur leichten Schauern, sondern auch echten Gewittern trotzt.  

Nun ist der Kampf um eine neue Weltordnung leider keine Party. Wirtschaftlich geht es um klassische Faktoren wie Geld, Marktanteile und Einfluss. Um politische Macht zu manifestieren, setzen Staaten militärische Mittel ein – sichtbar in der Ukraine oder in afrikanischen Stellvertreterkonflikten. Drohnen, Satelliten, KI-gestützte Systeme – sie prägen heutige Konflikte. Daraus folgt: Wer Sicherheit, wer Stabilität gewährleisten will – ob wirtschaftlich oder politisch – muss Technologie können. Aber auch das reicht nicht: Man muss Technologie, man muss die digitale Dimension auch schützen können. Und da kommen wir ins Spiel. 

Wir beim Bundesamt für Sicherheit in der Informationstechnik (BSI) schützen den digitalen Raum in Deutschland vor äußeren Einflüssen. Wir sind Teil des schützenden Dachs, des starken und breiten Schutzschirms, der unser Land gegen das resilient macht, was wir als Cyberaggression bezeichnen: Dazu zählen wir sowohl Cyber Crime (Straftaten im digitalen Raum, die vorrangig aus finanziellen Motiven begangen werden), als auch Cyber Conflict (staatlich gelenkte Angriffe mit ideologischem, politischem oder militärischem Hintergrund), als auch Cyber Dominance (Einflussnahme durch digitale Produkte, die Herstellern Zugriff auf Informationen und Funktionen ermöglichen). Die zerstörerische Kraft von Cyberaggression ist immens und betrifft sowohl die wirtschaftliche als auch die (sicherheits-)politische Dimension. Die Bedrohungen prasseln permanent auf uns ein – und zwar nicht als leichter Nieselregen, sondern als heftiger Dauerregen.

Wie Cyberaggression unsere Gesellschaft bedroht

In der wirtschaftlichen Dimension bedroht Cyberaggression unseren Wohlstand. Ein gezielter Cyberangriff kann für ein einzelnes Unternehmen existenzgefährdend sein. Auf volkswirtschaftlicher Ebene beläuft sich der Schaden durch Cyberangriffe in Deutschland im Jahr 2024 laut einer Schätzung des Digitalverbands Bitkom auf 179 Milliarden Euro – eine unfassbare Summe, die 38 % des Bundeshaushalts des gleichen Jahres ausmacht (476,8 Milliarden Euro). Die Methoden reichen von Ransomware-Angriffen bis hin zu Industriespionage. In der politischen Dimension bedroht Cyberaggression unsere Sicherheit und unsere Lebensgrundlagen. Angriffe auf Satelliten, Internetkabel oder Kritische Infrastrukturen zeigen das immer häufiger.  

In den Sicherheitsbehörden sehen wir auch, dass sich im digitalen Raum ein neuer, hybrider Einflussbereich aufgetan hat. Die Grenzen zwischen wirtschaftlich und politisch motivierter Cyberaggression verschwimmen, denn ein Verschlüsselungsangriff auf einen Energieversorger inkl. Lösegelderpressung (Ransomware) richtet nicht nur massive wirtschaftliche Schäden an: Gegen die Ukraine wurden Cyberangriffe gezielt zur Sabotage der Energieversorgung eingesetzt, um Unsicherheit und Chaos zu stiften.  

Kriminelle Gruppen agieren heute häufig in staatlichem Auftrag. Dadurch verschwimmen die Grenzen zwischen Wirtschafts- und Sicherheitsdimensionen immer weiter. So verhält es sich z.B. auch in der Telekommunikationsbranche, wo Cyberangriffe z.B. der (Wirtschafts-)Spionage oder der militärischen Sabotage eines Netzes dienen können. Ist ein Angreifer erst einmal im System, liegen zwischen Spionage und Sabotage leider oft nur zwei Klicks. Noch gefährlicher wird es, wenn Hersteller digitaler Produkte dauerhaften Zugriff auf ihre beim Kunden verbauten Systeme haben, etwa durch regelmäßige Updates. Deshalb ist es essenziell, dass nur vertrauenswürdige Hersteller für Kritische Infrastrukturen wie 5G-Netze in Betracht kommen. 

Nicht zuletzt geraten auch unsere Demokratie und unser gesellschaftlicher Zusammenhalt zunehmend ins Visier von Cyberaggressoren. Einflussoperationen durch digital verbreitete Desinformation und gezielte Informationsmanipulation schüren Unsicherheit und untergraben das Vertrauen in staatliche Institutionen. Oft beginnt dies mit vergleichsweise harmlosen Cyberangriffen wie DDoS-Attacken – also Überlastangriffe, deren Schadwirkung anschließend propagandistisch überhöht wird. Bei Hack-and-Leak-Angriffen, etwa auf politische Akteure, werden sensible Informationen entwendet (hack) und anschließend in manipulative Narrative versponnen (leak).  

Dabei spielen digitale „Dual-Use“-Produkte eine zentrale Rolle: Social-Media-Plattformen bestimmen maßgeblich, welche Informationen wir sehen und welche Meinungen sich daraus formen. Missbräuchlich genutzt werden sie zu einer schlagkräftigen Waffe. Auch moderne Autos mit integrierten Kameras und Standortdaten ermöglichen nicht nur Komfort, sondern auch weitreichende Überwachungsmöglichkeiten. Wer Zugriff darauf hat, kann auch Kenntnis darüber erlangen, wer sich wann und wo aufhält. So können Alltagsprodukte als Werkzeuge innerhalb globaler Konflikte missbraucht werden – wenn man sie nicht vernünftig absichert.  

Cybersicherheit ist damit grundlegende Voraussetzung für den Schutz unserer Gesellschaft. Wir müssen Digitalisierung und Cybersicherheit immer zusammen denken und umsetzen: Wer Digitalisierung nicht beherrscht, wird auch Cybersicherheit nicht beherrschen – und umgekehrt. So hängt der Schutz unserer Gesellschaft von unseren digitalen Fähigkeiten ab und davon, wie gut wir den digitalen Raum gegen Cyberaggression verteidigen können.  

Die damit verknüpften Fragestellungen sind vielfältig. Wie beschränkt man Überwachungsmacht durch Technologie? Lassen sich technische Standards definieren, die langfristige Sicherheit gewährleisten? Wie ordnen wir Angriffe ein – sind sie Teil eines politischen Konflikts oder das Werk „gewöhnlicher“ Krimineller? Wie schützen wir potenzielle Opfer am besten – präventiv, durch frühzeitige Detektion oder durch effektive Reaktionsmechanismen? Wie erkennen wir systemische Risiken in digitalen Lieferketten? Wann deutet eine Vielzahl von Vorfällen auf eine Eskalation hin, und wie integrieren wir diese Erkenntnisse in unser Lagebild?

Entscheidend ist: Cybersicherheit für Deutschland kann nur dann effektiv umgesetzt werden, wenn wir das Thema holistisch betrachten, die Zusammenhänge verstehen, Wechselwirkungen im Blick haben und gezielt an den richtigen Hebeln ansetzen. Dafür bedarf es einer Cybersicherheitsarchitektur, die all diese Aspekte integriert. Deutschland ist dafür bereits besser aufgestellt als viele andere Länder, denn die Zuständigkeiten sind grundsätzlich sinnvoll verteilt: Auch im Cyberraum liegt die militärische Zuständigkeit bei der Bundeswehr und den dazugehörigen Einrichtungen. Die nachrichtendienstliche Zuständigkeit im In- und Ausland ist vertreten durch die Dienste. Die Strafverfolgung und die Zerschlagung von Angreifer-Infrastrukturen obliegt den Polizeien. Die Zuständigkeit für den Schutz und die Resilienz von Staat, Wirtschaft und Gesellschaft – also unsere zivile Verteidigung im Cyberraum – liegt bei uns, beim BSI.  

Um diese Aufgabe erfüllen zu können, bedarf es aus unserer Sicht trotzdem noch einiger Anpassungen innerhalb der Cybersicherheitsarchitektur in Deutschland. So hält die derzeitige Kooperation zwischen Bund und Ländern einer großen Krise noch nicht stand: Es braucht neben der horizontalen Zusammenarbeit auf Bundesebene eine bessere vertikale Abstimmung zwischen Bund und Ländern. Besonders in puncto Krisenmanagement, Lagebild und gemeinsamer technischer Infrastruktur gibt es Nachholbedarf. Die genannten Aspekte fallen unter den Begriff "Zentralstellenfunktion" und sind eine föderalistische Herausforderung.  

Um die Cybersicherheitsdefizite in der Verwaltung abzubauen, ist ein strukturiertes Programm zur Behebung gravierender Cybersicherheitsmängel notwendig – von Bundesbehörden bis hin zu Kommunen. Als zentraler Pfeiler der nationalen Sicherheit muss Cybersicherheit zudem auf höchster politischer Ebene behandelt werden. Ein Nationaler Sicherheitsrat oder ein vergleichbares Gremium könnte sicherstellen, dass die Cybersicherheitslage schnell und strategisch in politische Entscheidungen einfließt – insbesondere mit Blick auf hybride Bedrohungsszenarien. 

Wir müssen eine Grundlage für sichere Kommunikations- und Geschäftsbeziehungen in der digitalen Welt schaffen. Dazu sollte die EU-weit nutzbare EUDI-Wallet (European Digital Identity) für digitale Identitäten, die neben den Personalausweisdaten auch weitere Nachweise wie den Führerschein oder den Berufsausweis enthalten kann, schnellstmöglich implementiert und als Standard für alle staatlichen und öffentlichen Leistungen gesetzt, die Verwendung in der Wirtschaft gefördert werden. So schaffen wir die Grundlage für sichere Kommunikations- und Geschäftsbeziehungen in der digitalen Welt. 

Die wichtigsten Instrumente zur Erhöhung der Resilienz und Reduzierung der Verwundbarkeit sind auf EU-Ebene die NIS-2-Richtlinie (Network Information Security) und die CRA-Verordnung (Cyber Resilience Act). Diese müssen umgehend in nationales Recht umgesetzt werden. NIS-2 verpflichtet Unternehmen, sich angemessen um ihre Cybersicherheit zu kümmern. Der CRA sorgt für sichere digitale Produkte und reduziert die Angriffsfläche für Cyberangriffe auf Consumer signifikant.

Wie das BSI für Sicherheit sorgt 

Deutschland steht unmittelbar vor einer Bundestagswahl. Nie zuvor stand der öffentliche Meinungsbildungsprozess dabei unter derart großem Druck von außen. Desinformation, Destabilisierung, Demokratiegefährdung sind omnipräsente Schlagworte in den deutschen Sicherheitsbehörden. Diese geopolitische Aggression bedroht die Sicherheit unserer Gesellschaft. Sie bedroht sie durch einen Angriffskrieg gegen die Ukraine. Sie bedroht sie durch Cyberangriffe zur Spionage, Sabotage und Desinformation. Und sie bedroht sie durch hybride Aktionen, bei denen die Grenzen zwischen dem digitalen Raum und unserer täglichen Lebenswirklichkeit verschwimmen.  

Manchmal wirken diese Herausforderungen überwältigend. Doch genau dann ist die Zeit für diejenigen, die den Kopf nicht in den Sand stecken – für alle, die nach dem Motto "Nicht meckern, sondern machen" handeln. Es ist die Zeit für diejenigen, die die Zusammenhänge erkennen und das große Ganze im Blick haben. Die Bedrohungslage im Cyberraum – die Gesamtheit der Cyberaggressionen – ist besorgniserregend, und trotz der bestehenden Herausforderungen sind wir ihr nicht schutzlos ausgeliefert!  

Im BSI kümmern wir uns um Technologien und Forschung, z.B. um die Sicherheit von Satelliten oder die Auswirkungen auf Kritische Infrastrukturen, wenn sie ausfallen. Zur Erinnerung: der russische Angriffskrieg gegen die Ukraine begann mit einem Cyberangriff auf einen Kommunikationssatelliten. Sein Ausfall hatte Auswirkungen in halb Europa, auch in Deutschland, wo die Fernwartung von Windenergieanlagen ausgefallen ist. Dank obligatorischer Redundanzen blieb die Steuerung der Anlagen aber intakt.  

Wir kümmern uns um Unternehmen, die digitale Produkte nutzen, und um Hersteller, die sie produzieren. Als im Juli 2024 millionenfach Computer gestört waren, mussten Flugzeuge am Boden bleiben, Supermärkte schließen, Produktionsstraßen angehalten werden. Das BSI hat unmittelbar auf Hersteller wie Crowdstrike und Microsoft eingewirkt und erreicht, dass die Prozesse angepasst wurden und sich ein solcher Vorfall schwerlich wiederholt. Diese Maßnahmen entfalten eine wichtige Schutzwirkung auch für die deutsche Wirtschaft.  

Wir adressieren den Hochsicherheitsbereich, die Bundesverwaltung und den digitalen Verbraucherschutz. Wir führen Sicherheitsoperationen durch, moderieren internationale Abstimmungen und gestalten die Technik der Zukunft. Wir analysieren Risiken – von klein bis groß – und entwickeln Lösungen. Wir betrachten und verstehen Wirtschaft und Sicherheit gleichermaßen. Und wenn es darauf ankommt, greifen unsere Notfall-Teams praktisch ein, egal ob in der Bundesverwaltung oder bei Kritischen Infrastrukturen.  

Kurz: Wir verbinden die Dimensionen Wirtschaft, Sicherheit und Digitales und bieten damit unserer Gesellschaft ein schützendes Dach. Let the music play.