Ein Saboteur durchtrennt nachts ein Glasfaserkabel an einer Bahnstrecke. Zur gleichen Zeit kursiert in sozialen Netzwerken eine gefälschte Meldung über einen angeblichen Chemieunfall in der Nachbarschaft. Wenige Stunden später meldet die IT-Abteilung eines mittelständischen Zulieferers ungewöhnlichen Datenverkehr auf einem Produktionsserver. Für Unternehmen bedeutet hybride Kriegsführung vor allem eines: Resilienz darf nicht mehr getrennt nach IT-Sicherheit, physischem Schutz und Kommunikation gedacht werden, sondern muss als Gesamtsystem funktionieren, wenn mehrere Bedrohungsvektoren gleichzeitig auftreten.
Warum Unternehmensresilienz das entscheidende Stichwort ist
Der Verfassungsschutz und das BSI warnen seit 2023 wiederholt vor einer Zunahme staatlich gelenkter und staatlich toleranter Sabotage-, Spionage- und Desinformationsaktivitäten. Der Angriff muss nicht direkt auf das eigene Haus zielen, um ein Unternehmen zu treffen – es reicht, wenn ein Zulieferer, Logistikpartner oder Energieversorger in der eigenen Wertschöpfungskette betroffen ist. Resilienz bedeutet hier: die Fähigkeit, trotz eines Vorfalls in der eigenen Lieferkette oder Infrastruktur handlungsfähig zu bleiben.
Vier Wirkungsfelder, die Unternehmen absichern müssen
Sabotage kritischer Infrastruktur: Durchtrennte Glasfaserkabel, beschädigte Unterseekabel und Anschläge auf Stromtrassen zeigen, dass physische Perimetersicherung wieder Priorität braucht. Desinformation: gefälschte Presseerklärungen und manipulierte Bilder angeblicher Störfälle belasten die Unternehmenskommunikation zusätzlich. Kombinierte Cyber-physische Angriffe: ein Cyberangriff auf eine Leitwarte, koordiniert mit einer physischen Störung, erschwert die Lagebeurteilung erheblich. Drohnenüberflüge: systematische Aufklärung sensibler Standorte erfordert Drohnenerkennung als eigenständigen Sicherheitsbaustein.
Der regulatorische Druck: NIS2 und KRITIS-Dachgesetz als Resilienz-Treiber
Die NIS2-Richtlinie erweitert den Kreis regulierter Unternehmen auf mittelgroße Betriebe in Sektoren wie Energie, Verkehr, Gesundheit und verarbeitendem Gewerbe – mit Risikomanagement-, Melde- und Nachweispflichten. Das KRITIS-Dachgesetz ergänzt dies um Anforderungen an bauliche Sicherung, Redundanzen und Resilienzpläne. Für Unternehmen heißt das: Cyber- und physische Resilienz lassen sich nicht mehr getrennt planen.
Resilienz konkret aufbauen: Erkennen, Eskalieren, Integrieren, Üben
Ein wirksamer Resilienzansatz braucht vier Fähigkeiten: Detektion – Auffälligkeiten aus IT, Werkschutz und Kommunikation systematisch zusammenführen; Eskalation – klare Schwellenwerte und Meldewege mit 24/7-Erreichbarkeit; BCM-Integration – hybride Szenarien als eigene Risikoklasse in die Business-Impact-Analyse aufnehmen; Übung – Tabletop-Exercises, die mehrere Bedrohungsvektoren gleichzeitig simulieren.
Resilienz-Checkliste für Sicherheitsverantwortliche
- Bedrohungsbild regelmäßig mit BSI- und Verfassungsschutz-Lageberichten abgleichen
- Perimeter- und Objektschutz inklusive Drohnenerkennung prüfen
- Cyber-physische Schnittstellen (OT) von der Büro-IT segmentieren
- Meldeketten mit 24/7-Erreichbarkeit definieren
- Social-Media-Monitoring und Freigabeprozesse für Desinformationsfälle vorbereiten
- Kritische Zulieferer auf eigene Resilienz und Meldefähigkeit prüfen
- NIS2- und KRITIS-Betroffenheit klären und Governance verankern
- Jährliche Tabletop-Übungen mit kombinierten Bedrohungsvektoren durchführen
FAQ
Was unterscheidet Unternehmensresilienz von klassischem Risikomanagement?
Resilienz zielt nicht nur auf Risikovermeidung, sondern auf Handlungsfähigkeit trotz eines eingetretenen Vorfalls – insbesondere wenn mehrere Bedrohungsvektoren gleichzeitig auftreten.
Welche Unternehmen sollten zuerst handeln?
Betreiber kritischer Infrastruktur und deren Zulieferer, aber durch NIS2 zunehmend auch der breitere Mittelstand.
Wie beginnt man mit dem Aufbau hybrider Resilienz?
Mit einer aktuellen Bedrohungsanalyse, klaren Eskalationswegen und einer ersten Tabletop-Übung, die einen kombinierten Cyber- und physischen Vorfall simuliert.
Die Deutsche Akademie für Krisenmanagement unterstützt Unternehmen mit praxisnahen Trainings und Übungsformaten für hybride Bedrohungslagen. Die kostenlose Checkliste „Die ersten 60 Minuten“ liefert einen ersten, sofort einsetzbaren Baustein für die eigene Resilienzstruktur.
