Aktive Cyberabwehr im digitalen Dschungel der Cybernation

Guns N‘ Roses und der Wirtschaftsrat logierten zufällig gleichzeitig im Berliner Waldorf Astoria. Die einen besangen den Untergang („It gets worse here every day“) in der Uber Arena, die anderen stellten unbequeme Fragen zum Konzept Cybernation im Konferenzraum: Was lässt sich überhaupt absichern, und wie? Seit KI das Jagen fast umsonst macht, ist kein Unternehmen zu klein, kein System sicher und kein Angreifer zu entfernt. Guns N‘ Roses nennt das Stück: Welcome to the Jungle.

„We’re not ready”#

Diesen Satz lieh sich Claudia Plattner, die Präsidentin des BSI, aus dem englischsprachigen Vortrag des PayPal-Sicherheitschefs, der vor ihr gesprochen hatte. Plattner beschreibt damit den Zustand unserer Systeme. Selbstheilende Systeme seien eine Lösung, auch wenn keiner genau wisse, was das genau heiße. Konkret wurde sie bei dem, was liegengeblieben ist. Man müsse endlich tun, was man in den vergangenen fünf Jahren hätte tun sollen: die unspektakulären Grundlagen, etwa das Segmentieren der Netze. Auf Knopfdruck gehe das nicht.

Cybernation, das Wort, unter dem der Kongress lief, führen der Wirtschaftsrat¹ und das BSI² gleichermaßen: Cybersicherheit als nationale Aufgabe. Gemeint ist, Cybersicherheit ins Zentrum des nationalen Selbstverständnisses zu rücken. Vorerst nur ein Begriff, den man noch füllen müsse. Zudem gibt es einen Podcast zu dem Thema, der unabhängig vom Wirtschaftsrat an dem Thema arbeitet: https://cybernation.fm/³.

Definition: Was ist die Cybernation?

Cybernation bezeichnet das Leitbild, Cybersicherheit ins Zentrum des nationalen Selbstverständnisses zu rücken: eine digital wehrhafte, resiliente und souveräne Nation, die IT-Sicherheit mit Wirtschafts-, Innovations- und Sicherheitspolitik verbindet.

Es kann jeden treffen: Warum jetzt jeder zum Ziel wird#

Bereits einen Tag vor dem Kongress warnte das BSI allianz-fuer-cybersicherheit.de ↗. Künstliche Intelligenz, heißt es darin, senke „Aufwand, Zeitbedarf und Einstiegshürden für offensive Cyberfähigkeiten“. Schwachstellen würden teilweise autonom angegriffen. Vor ein paar Jahren wurde nicht gefragt, ob ein Unternehmen sicher ist. Es war ein Axiom. Digitalisierung und Künstliche Intelligenz senken die Kosten eines Angriffs so weit, dass sich das Jagen auf jeden lohnt, auch auf den Kleinsten. Im Dschungel ist eben jeder Beute.

Softwarefehler müsse man künftig innerhalb weniger Stunden, besser Minuten beheben. Supportverträge, die meist mehr als dreißig Tage Zeit zur Behebung einräumten, verfehlen die neue Bedrohungslage. Die mittlere Zeit bis zur Ausnutzung liege bei minus sieben Tagen: Schwachstellen würden im Schnitt eine Woche genutzt, bevor sie behoben werden. Frontier-Modelle (wie bspw. Claude Mythos oder OpenAI GPT-5.5), die in großem Stil Schwachstellen finden, erhöhen die Gefahr. (Analysen von Anthropic⁴ und dem britischen AI Security Institute⁵)

Der Vortrag des CISO von PayPal blieb selbst an der Oberfläche, lieferte aber einen Befund: Die Zeit zwischen Fund und Angriff sei von Wochen auf Stunden geschrumpft, die üblichen Dreißig-Tage-Patchfristen hielten nicht mehr. Der gemeinsame Nenner all dieser Sätze ist der Preis. Was früher Wochen, Spezialwissen und Geld kostete, kostet heute fast nichts. Deshalb trifft es nicht mehr nur die Großen.

Grenzenlose Cyberangriffe und Abwehr, die keine Grenze kennt#

Den Staat findet man in diesem Dschungel in einer eigentümlichen Lage. Er kann, sagte die zuständige Abteilungsleiterin des Innenministeriums, operativ und technisch, aber er warte aufs Parlament. Die Vizepräsidentin des Bundeskriminalamts brachte es schärfer: Man dürfe aktuell erst handeln, wenn das Kind in den Brunnen gefallen ist.

Worauf beide warten, hat das Kabinett am 27. Mai beschlossen, das „Gesetz zur Stärkung der Cybersicherheit⁶”. Ein Wort vermeiden alle Beteiligten dabei sorgfältig: Hackback. Die Regierung spricht von aktiver Cyberabwehr, und das ist nicht nur Etikett, denn das Spektrum reicht von unstrittig defensiven Maßnahmen wie dem Umleiten von Schadverkehr bis zu Eingriffen, die Kritiker für offensiv halten. Das eigentlich Heikle ist nicht das vermiedene Wort, sondern die fehlende Kante: BKA und Bundespolizei sollen Daten auf fremden Systemen erheben, löschen oder verändern und Rechner abschalten⁷ dürfen, das BSI schon bei Anhaltspunkten eingreifen.

Dahinter steht ein Rollenwechsel. Wenn Bürger und Unternehmen ihre Systeme achtlos kapern lassen, muss der Staat aufräumen, um andere zu schützen. Die eigentliche Frage ist deshalb, wie tief er dafür in fremde, private Systeme greifen darf.

Entsprechend breit ist die Kritik. Der Verfassungsblog⁸ hält die neuen Befugnisse für einen Eingriff ohne Sicherheitsgewinn, weil Angreifer gekaperte Server Dritter nutzen und der Gegenschlag also Unbeteiligte trifft. Die AG KRITIS⁹ warnt vor Kollateralschäden bis zum Versorgungsausfall, der Datenschutzbeauftragte vor Grundrechtseingriffen, netzpolitik.org¹⁰ vermisst ein Schwachstellenmanagement, das den Staat verpflichtet, Lücken zu schließen statt sie offenzuhalten. Am 25. Juni lief die erste Lesung im Bundestag bundestag.de ↗.

Die Lieferkette wird angegriffen: Privatpersonen betreiben 30.000 Badbox Server, versehentlich.#

Dass der Staat auch ohne neues Gesetz handeln kann, zeigt der Fall Badbox. Auf billigen Android-Fernsehboxen von AliExpress steckt die Schadsoftware BadBox, ab Werk. Das BSI räumte sie per Sinkholing bsi.bund.de ↗ ab, heute auf Grundlage von § 16 BSIG gesetze-im-internet.de ↗, und ließ über Vodafone die Kunden warnen.

Wer den Vorgang im Detail nachliest, etwa in der technischen Analyse auf cool-web.de cool-web.de ↗, sieht zweierlei. Erstens dauert es. Der BSI-Vorgang datiert auf den 20. Oktober 2024, die Vodafone-Warnung an den Endkunden auf den 21. Dezember, gut zwei Monate später. Zweitens scheitert die Erkennung an der Sache selbst: Die Malware sitzt auf Systemebene wie ein Rootkit, ihre Kommunikation ist verschlüsselt und läuft über DNS-over-HTTPS, ein Virenscanner findet da nichts. Beide Geräte im Test waren befallen. Die Wurzel liegt nicht im nächsten Gesetz, sondern in der Lieferkette: vorinstalliert beim Hersteller, ausgeliefert als Hardware. Das BSI schätzt allein in Deutschland 30.000 betroffene Geräte und eine hohe Dunkelziffer.

Souveränität soll Spielraum gestalten | Sicherheit und Staat#

Am konkretesten wurde der Kongress beim Reizthema Abhängigkeit, und befreite den Begriff Souveränität vom Pathos. Digitale Souveränität, sagte ein Strategieberater, sei kein Zustand der Unabhängigkeit, sondern eine Frage der Gestaltung: Man lebe in einer Welt der Interdependenz, dürfe dabei nicht zynisch werden und müsse architektonisch herangehen, also fragen, wie man in diesem Raum gestaltet. Souveränität als Gestaltungsspielraum, nicht als Autarkie. Das ist mehr als ein IT-Thema.

Wie wenig souverän Deutschland ist, sagte der Cyber-Chef der Bundeswehr selbst: Man nutze viele amerikanische Systeme. Ein anderer Redner ergänzte, selbst die in der Truppe eingesetzte SAP-Software brauche Google dahinter, und den Amerikanern gehe es nicht anders. Das unausgesprochene Beispiel der Runde war der Datenanalyse-Konzern Palantir republik.ch ↗, bei dem ein Schweizer Armeegutachten festhielt, ein Datenabfluss in die USA sei technisch nicht zu verhindern, und der eine Recherche der Republik mit einer Klage überzog, die er verlor netzpolitik.org ↗. Souveränität, das schwingt hier mit, ist auch eine Frage der Presse- und Informationsfreiheit.

Der Hebel, mit dem der Staat gestalten will, ist unspektakulär: die Beschaffung. Im Vergabe-Beschleunigungsgesetz soll Souveränität zum Zuschlagskriterium werden, eines neben Preis und Leistung. Sind zwei Produkte vergleichbar und eines europäisch, soll das europäische gekauft werden. Ein Förderprojekt namens Sophie soll ein quelloffenes Basismodell für die Industrie liefern. Ob das reicht, ist offen: Während Deutschland sich über fünf Milliarden für KI freue, rechnete ein früherer Unionsfraktionschef vor, würden weltweit 2,6 Billionen ausgegeben. Souveränität, sagte er, sei wichtiger als die nächste Tranche für Panzer, und der Politik fehle der Mut, sich an konkreten Zahlen messen zu lassen.

Dass die viel beklagte föderale Zersplitterung lösbar ist, zeigt Nordrhein-Westfalen: Über den Dachverband KDN ist die kommunale IT weitgehend gebündelt, zentral betrieben, kommunal getragen, nur ein paar gallische Dörfer rechnen noch selbst. Ein Redner mit Sparkassen-Vergangenheit lieferte das Bild dazu: das Sparkassenprinzip, eigenständige Träger, gemeinsame Technik.

Cybersicherheitsversicherung: Ist die Gefahr gedeckt?#

Den beunruhigendsten Satz sagte eine Regierungsvertreterin fast nebenbei. Es bereite ihr zunehmend Sorge, dass den kleinen und mittleren Betrieben die Absicherung wegbreche, bis hin zur Möglichkeit, sich überhaupt noch zu versichern. Ein Riesenproblem laufe da auf das Land zu, man treffe Existenzen, eine verheerende Kombination. Wer meldet einen Schaden, für den er keine Deckung erhält?

Der Markt gibt ihr recht. Versicherer lehnen inzwischen fast jeden dritten Antrag experten.de ↗ auf eine Cyberpolice ab, meist weil Grundlagen fehlen. Zwei spezialisierte Anbieter, Cogitanda und Element, sind pleite. Die BaFin bafin.de ↗ verzeichnet eine Schaden-Kosten-Quote über hundert Prozent, das Geschäft ist für die Versicherer strukturell defizitär, und der Rückversicherer Munich Re munichre.com ↗ hält den Ausfall kritischer Infrastruktur schlicht für nicht versicherbar. Wer noch eine Police will, muss sich prüfen lassen: Manche Unternehmen lassen sich aktiv auditieren, um ihre Obliegenheiten zu klären, also jene Pflichten, ohne deren Erfüllung der Schutz erlischt. Das Bewusstsein dafür, räumte ein Teilnehmer ein, sei in der Breite noch nicht vorhanden. Dass es nicht alles der Staat richten muss, sagte ausgerechnet die Bildungsministerin, als sie das Engagement der Schwarz-Gruppe lobte.

Jede Technologie öffnet neue Türen für Cyberangriffe.#

Die letzte Front eröffnet die Digitalisierung gegen sich selbst. Die Recherche von 670 Webseiten zeigte dies: Firmendaten wurden durch die Nutzung von Vibe Coding und Supabase für jedermann zugänglich. Doch auch auch Unternehmen, die auf den unbedarften Einsatz von agentischem Programmieren verzichten, sind regulatorisch verpflichtet, neue Technologien einzuführen.

Zum Beispiel gilt seit 2025 die E-Rechnungspflicht. Diese elektronische Rechnung ist kein Brief mehr, sondern Code. In Zukunft werden Rechnungen weder einen charakteristischen Briefkopf noch Layout bieten, um eine Rechnung zu prüfen. Technische XML‑Dateien werden vom System automatisch verarbeitet. Fachleute weisen bereits heute darauf hin bdo.de ↗, dass dieser Datei eine Integritätssicherung fehlt: keine Pflichtsignatur, keine Prüfsumme.

Wer ein System unterwandert, kann im XML die Bankverbindung ändern, während das sichtbare PDF die richtige zeigt. Und der Empfang läuft bei vielen Firmen nicht über das gesicherte Peppol-Netz, sondern schlicht per E-Mail. Tobias Weiß, der bei der whitemacs GmbH zu Social Engineering arbeitet, hat nachgewiesen, worauf das hinausläuft: Eine zweite Welle kommt nicht über IT-Schwachstellen, sondern über den Posteingang und Mitarbeiter.

Die Regulierung versucht, an der Wurzel anzusetzen, dort, wo BadBox sitzt. Der Cyber Resilience Act bsi.bund.de ↗ (EU 2024/2847) verpflichtet Hersteller digitaler Produkte zu einer maschinenlesbaren Software-Stückliste, einer SBOM, die jede Komponente samt Version, Lieferant und kryptografischem Hash aufführt. Ab September 2026 gelten Meldepflichten, ab Dezember 2027 die volle SBOM-Pflicht. Denn etwa drei Viertel jeder Software stammen aus fremden Open-Source-Bausteinen. Es ist zugleich eine Zutatenliste, kein Schloss: Transparenz über die Bestandteile, nicht Sicherheit. Und die Wirkung kommt spät. Hardware wie die infizierten TV-Boxen, die heute im Umlauf ist, fällt nicht rückwirkend darunter.

Uausgesprochene benennenswerte Hintergründe der Cybernation#

Eine Größe durchzog den Tag wie ein Glaubensbekenntnis: rund 200 Milliarden Euro Schaden für die deutsche Wirtschaft, mal als höchste je gemessene Summe zitiert. Oft genannt, nie erklärt. Dabei ist sie keine Messung. Sie stammt aus einer Verbandsumfrage von Bitkom bitkom.org ↗, in der rund tausend Unternehmen ihren eigenen Schaden schätzen, Imageverluste inklusive, hochgerechnet auf die Gesamtwirtschaft. Erhoben so, wie man Menschen nach ihrer Körpergröße oder ihrem Weinkonsum fragt: Jeder nennt eine Zahl, nachgemessen hat sie keiner.

Zwei Klischees hat der Tag nebenbei beerdigt. Die Zeit des Hackers im Kapuzenpulli, der Pizzakartons im fensterlosen Keller stapelt, ist vorbei. Das andere blieb unausgesprochen und stand einfach auf der Bühne. Dass IT eine Männersache sei, behauptete an diesem Tag niemand. Die BSI-Präsidentin, die Vizepräsidentin des BKA und die Bundesbildungsministerin erklärten einem mehrheitlich männlichen Publikum die Lage. Dass es keine vollständige Sicherheit gibt, war der einfache Teil. Den schweren ließ der Kongress offen: Was lässt sich überhaupt absichern, und wie?