Eingriffe durch mögliche ausländische Nachrichtendienste haben sich im Bereich der kritischen Infrastruktur (Kritis) wohl stark erhöht. Zu diesem Ergebnis kam der Digitalverband Bitkom in seiner aktuellen "Wirtschaftsschutz-Studie". Befragte Kritis-Unternehmen die Opfer von Datendiebstahl, Industriespionage oder Sabotage wurden, nannten zu 45 Prozent ausländische Nachrichtendienste als mögliche Täter.
Im Jahr 2022 waren es noch rund neun Prozent. Bei der Fragestellung war jeweils Mehrfachnennung möglich. Als größte Gruppe wurde im Jahr 2026 die organisierte Kriminalität beziehungsweise Banden genannt. Im Jahr 2026 meldeten 33 Prozent aller befragten Kritis-Unternehmen einen Ransomware-Angriff der Schaden zur Folge hatte.
Informationen zur Methodik
Bitkom Research befragte im Auftrag des Digitalverbands Bitkom telefonisch 1003 Unternehmen in Deutschland mit mindestens zehn Beschäftigten und einem Jahresumsatz von mindestens einer Million Euro. Die repräsentative Erhebung lief von der 16. bis zur 23. Kalenderwoche 2026. Die statistische Fehlerspanne beträgt laut Bitkom plus/minus drei Prozentpunkte. Bei den Angaben zu Tätergruppen und Herkunftsregionen waren Mehrfachnennungen möglich. Die Kritis-Gruppe ist nicht mit Stadtwerken gleichzusetzen. Die Repräsentativität und die Fehlerspanne beziehen sich auf die Gesamtstichprobe und gelten nicht automatisch für jede Untergruppe. Hier geht es zur Studie.
Nachrichtendienste rücken vor
Der Anstieg zeigt sich auch im Mehrjahresvergleich. Im Jahr 2023 nannten 15 Prozent der betroffenen Kritis-Unternehmen ausländische Nachrichtendienste als mögliche Täter. Im Jahr 2024 waren es 24 Prozent, im Jahr 2025 bereits 30 Prozent. Außerhalb der Kritis-Unternehmen lag der Wert im Jahr 2026 bei 35 Prozent.
Insgesamt zeigt sich das Täterbild gemischt. Im Jahr 2026 nannten 37 Prozent der betroffenen Kritis-Unternehmen Privatpersonen oder Aktivisten, die nicht mit dem Unternehmen verbunden waren. 20 Prozent nannten im Jahr 2026 unabsichtlich handelnde Beschäftigte oder ehemalige Beschäftigte, 15 Prozent vorsätzlich handelnde Beschäftigte oder ehemalige Beschäftigte. Die Zahlen beschreiben Wahrnehmungen und Zuordnungen der betroffenen Unternehmen, nicht in jedem Fall handelt es sich dabei um strafrechtlich gesicherte Taten.
Bei den möglichen Herkunftsregionen nannten im Jahr 2026 55 Prozent der betroffenen Kritis-Unternehmen China, 49 Prozent Russland und 44 Prozent osteuropäische Staaten außerhalb der Europäischen Union und Russlands. Mehrfachnennungen waren auch hier möglich. Die Angaben beruhen auf technischen Hinweisen oder Vermutungen und belegen nicht automatisch, von wo aus ein Angriff tatsächlich gesteuert wurde.
Das Dunkelfeld wächst
Im Jahr 2026 bezeichneten sich 75 Prozent der Kritis-Unternehmen als von Datendiebstahl, Industriespionage oder Sabotage betroffen. Weitere 22 Prozent der Kritis-Unternehmen vermuteten laut der aktuellen Studie eine Betroffenheit. Zum Vergleich: In der von Bitkom als "Nicht-Kritis" ausgewiesenen Gruppe, gaben in der aktuellen Studie 65 Prozent an, betroffen zu sein; 31 Prozent vermuteten eine Betroffenheit. Im Jahr 2025 bezeichneten sich 88 Prozent der Kritis-Unternehmen als betroffen, zehn Prozent vermuteten im Jahr 2025 eine Betroffenheit.
Die Entwicklung könnte auf ein größeres Dunkelfeld hindeuten. Jedoch könnten Unternehmen auch sensibler geworden sein. Wodurch Vorfälle nicht mehr vorschnell als gesichert eingestuft würden. Von den Kritis-Unternehmen, die Erkenntnisse über Täter oder Herkunft der Angriffe gewonnen hatten, gaben im Jahr 2026 76 Prozent an, dafür Log-Dateien oder Sicherheitsprotokolle ausgewertet zu haben. 61 Prozent nannten Informationen von Behörden oder Sicherheitsdiensten als ausschlaggebend. Außerhalb des Kritis-Bereichs lagen die Vergleichswerte im Jahr 2026 bei 66 (Log-Dateien und Protokolle) beziehungsweise 47 Prozent (Behörden).
Ransomware trifft den Betrieb
Die strategische Bedrohung hat eine betriebliche Seite. Ransomware verschlüsselt oder blockiert Daten und Systeme. Im Anschluss wird meist Lösegeld für deren Freigabe gefordert. Im Jahr 2026 meldeten 33 Prozent der Kritis-Unternehmen einen Ransomeware-Angriff mit Schaden, weitere 20 Prozent einen Angriff ohne Schaden.
In der Gesamtstichprobe verursachten Ransomware-Angriffe im Jahr 2026 bei 25 Prozent der Unternehmen einen Schaden. Im Jahr 2025 waren es 34 Prozent. Ob der Rückgang auf bessere Schutzmaßnahmen, veränderte Angriffsmuster oder eine andere Erfassung der Vorfälle zurückgeht, lässt die Befragung offen.
Die Schadenssumme bleibt eine Hochrechnung
Die wirtschaftliche Dimension der Angriffe lässt sich nur als Hochrechnung darstellen. Bitkom beziffert die Schäden durch Datendiebstahl, Industriespionage und Sabotage im Jahr 2026 auf 211 bis 270,8 Milliarden Euro. Die Summe umfasst unter anderem Betriebs- und Produktionsausfälle, Kosten für Ermittlungen und Ersatzmaßnahmen, Rechtsstreitigkeiten, Erpressung sowie Umsatzeinbußen durch Plagiate und den Verlust von Wettbewerbsvorteilen.
Auf Cyberattacken entfielen nach der Bitkom-Auswertung 76 Prozent der Gesamtschäden. Das entspricht laut Bitkom-Presseinformation 160,4 bis 205,8 Milliarden Euro. Die Zahlen beziehen sich auf die Gesamtstichprobe und nicht speziell auf Kritis-Unternehmen, Stadtwerke oder einzelne Ransomware-Fälle. Konkrete Durchschnittskosten pro Angriff lassen sich daraus nicht ableiten.
Detmold zeigt die Folgen
Nach dem Cyberangriff auf die Stadtwerke Detmold im November 2025 wird wegen Erpressung gegen unbekannt ermittelt. Nach Angaben der Stadtwerke waren die Kommunikationswege betroffen, die Versorgung blieb stabil. Telefon und E-Mail standen zum Jahresbeginn 2026 wieder zur Verfügung. Mehr zum Ermittlungsverfahren und zur ursprünglichen Meldung aus Detmold.
Ob bei dem Angriff Ransomware eingesetzt wurde, ist öffentlich nicht endgültig bestätigt. Der Fall zeigt dennoch, wie ein Cyberangriff die Kommunikation eines kommunalen Unternehmens über Wochen beeinträchtigen kann.
Vorbereitung wird zurückhaltender bewertet
Im Jahr 2026 stimmten 45 Prozent der Kritis-Unternehmen der Aussage zu, ihr Unternehmen sei sehr gut auf Cyberangriffe vorbereitet. Im Jahr 2025 waren es 63 Prozent. Für die vergangenen zwölf Monate berichteten in diesem Jahr 26 Prozent der Kritis-Unternehmen von einer starken und 38 Prozent von einer eher starken Zunahme der Cyberangriffe. Mit Blick auf die folgenden zwölf Monate erwarteten 32 Prozent der Kritis-Unternehmen eine starke und 33 Prozent eine eher starke Zunahme.
Für Stadtwerke zählt deshalb nicht nur, ob sie einen Angriff abwehren. Entscheidend ist auch, wie schnell sie Kommunikations- und Arbeitssysteme wiederherstellen, Beweise sichern und die Versorgung unabhängig vom Vorfall stabil halten. Eine ZFK-Analyse zur Bedeutung von Cyberangriffen für die Versorgungssicherheit ordnet diese Herausforderung aus Sicht der Stadtwerke ein.
