Seit knapp 25 Jahren berate ich mit der @-yet GmbH und der @-yet Industrial IT Security GmbH Unternehmen in IT- und OT-Sicherheit. Heute blicke ich mit Sorge und Unverständnis auf die deutsche Industrie – insbesondere angesichts des möglichen Einstiegs des zivilen Mittelstands in den Verteidigungssektor. Gespräche mit ukrainischen Kollegen auf der Fachkonferenz Zukunft.DEFENCE zeigen, was Resilienz in Krisenzeiten bedeutet: Israel und die Ukraine verteidigen sich unter massivem geopolitischem und militärischem Druck ganzheitlich – auch in produzierenden Unternehmen. Ohne kompromisslose Cybersicherheit liefern sie sich ihren Angreifern aus.
Dem steht das verzerrte Eigenbild vieler deutscher Unternehmen gegenüber. Laut TÜV-Studie von 2025 glauben 91 Prozent der Betriebe, bei der Cybersicherheit gut oder sehr gut aufgestellt zu sein. Das ist aus meiner forensischen Praxis schlicht falsch. Bei @-yet erleben wir täglich, wie Erpressung, Finanzbetrug, Spionage, Infiltration und physische Sabotage die Wirtschaft schädigen. Weltweit sind Cyberangriffe seit 2023 um 70 Prozent gestiegen; der Bitkom beziffert den Schaden für die deutsche Wirtschaft 2025 auf 290 Milliarden Euro – 4,7 Prozent der Wirtschaftsleistung. Wir setzen dem Vorgehen der Angreifer oft nur einen Flickenteppich entgegen. Manipulation und Desinformation über soziale Medien destabilisieren Gesellschaften und Unternehmen.
Wer als ziviles Produktionsunternehmen in die Sicherheits- und Verteidigungsindustrie will, muss wissen: Herausragende Cybersicherheit ist die Eintrittskarte. Systemhäuser und OEMs werden ihre Lieferketten mindestens so tief schützen wie in der Automobilindustrie. Nötig ist ein nachgewiesenes und gelebtes Informationssicherheits-Managementsystem (ISMS), idealerweise nach ISO 27001, besser noch auf Basis des BSI IT-Grundschutzes. Zertifikate an der Wand nützen nichts, wenn die technische IT-Sicherheit miserabel ist – genau dort greifen Hacker an.
Zunehmend werden eine VS-NfD-Umgebung – für Verschlusssachen, die nur für den Dienstgebrauch bestimmt sind – und generelle Geheimschutzfähigkeit erforderlich. Sicherheitsbereiche wie Forschung und Entwicklung sowie kritische Geschäftsstrategien müssen abgesichert, Berechtigungen restriktiv und Netze strikt segmentiert sein. Hacker oder böswillige Innentäter dürfen sich im Unternehmensnetz nicht ungehindert bewegen. Hinzu kommt die OT-Security: Produktionsanlagen und Firmengelände müssen geschützt werden, damit Lieferungen nicht manipuliert werden oder Qualitätsmängel mit lebensbedrohlichen Folgen entstehen.
Der europäische Cyber Resilience Act (CRA) wird künftig grundlegende Sicherheitsanforderungen für digitale Produkte definieren. NIS2, KRITIS und DSGVO müssen ohnehin erfüllt werden. Auch der Mensch ist eine Schwachstelle: sensible Bereiche erfordern Personalüberprüfungen und klare Social-Media-Regeln. Ich habe in der eigenen Familie erlebt, wie mein Neffe einst auf Linkedin seinen neuen Job in einem sicherheitskritischen Umfeld und technische Herausforderungen veröffentlichte. Solche Informationen können Nachrichtendiensten und Angreifern per Social Engineering den ersten Zugang eröffnen.
Warum ist die deutsche Wirtschaft dennoch schlecht aufgestellt? Es fehlt an ernsthafter Management-Attention in den Chefetagen. Führungskräfte glauben dem geschönten Eigenbild, investieren zu wenig in Governance und überlassen die Verantwortung IT-Leitern und Administratoren, die dafür oft nicht tief genug ausgebildet sind. Klassische IT-Systemhäuser liefern isolierte Produkte, aber meist keine geschlossenen Konzepte für eine militärische Bedrohungslage. Mein Appell an Geschäftsführer und Vorstände lautet: Wer in den Defence-Sektor will, muss seine sicherheitstechnischen Hausaufgaben machen. Cybersecurity ist kein lästiger Kostenfaktor, sondern zentrale Überlebensstrategie, Schutzschild für das geistige Eigentum und Grundvoraussetzung für eine Rolle in Europas Sicherheitsarchitektur.
