Was staatlich gesteuerte Cyberangriffe auszeichnet

Staatlich gesteuerte oder staatlich nahestehende Angreifer handeln im Interesse eines Staates. Ihre Ziele können Spionage, Sabotage, Vorbereitung auf spätere Konflikte oder politische Einflussnahme sein. Sie verfügen häufig über Zeit, Fachwissen und Infrastruktur. Trotzdem ist nicht jeder technisch anspruchsvolle Angriff automatisch staatlich gesteuert. Eine solche Zuordnung braucht belastbare technische, nachrichtendienstliche und politische Erkenntnisse.

Das BSI verwendet für besonders gut ausgebildete, oft staatlich gesteuerte Gruppen den Begriff Advanced Persistent Threat, kurz APT. ENISA unterscheidet in seinen Lagebildern unter anderem staatlich verbundene Akteure, Cyberkriminelle, Hacktivisten und private offensive Anbieter. Die Grenzen können unscharf sein: Werkzeuge werden geteilt, kriminelle Gruppen geduldet und öffentliche Bekennerschreiben verfolgen eigene Zwecke. Ein Logo im Telegram-Kanal ist noch keine forensische Attribution.

Für ein betroffenes Unternehmen ist die Urheberschaft zunächst oft zweitrangig. Entscheidend sind Umfang, betroffene Systeme, möglicher Datenabfluss und die Fähigkeit, den Betrieb zu sichern. Herkunft und Motiv werden später wichtig, etwa für Meldewege, Sanktionen und die Bewertung weiterer Angriffe. Im ersten Moment gilt: Keiner ist verletzt, also klären wir den Sachverhalt. Wenn wir ihn verstehen, können wir ihn lösen.

Welche Ziele Staaten im Cyberraum verfolgen

Cyberoperationen können vertrauliche Informationen beschaffen, Lieferketten auskundschaften oder kritische Dienste beeinträchtigen. Wirtschaftsspionage richtet sich nicht nur gegen offensichtliche Hochtechnologie. Konstruktionsdaten, Forschungsstände, Verhandlungspositionen, Kundenbeziehungen und Informationen über Lieferanten können strategisch interessant sein. Auch ein kleiner Dienstleister kann relevant werden, wenn er Zugang zu einem größeren Ziel besitzt.

Andere Kampagnen zielen auf öffentliche Sichtbarkeit. DDoS-Angriffe überlasten erreichbare Dienste und werden häufig mit politischen Ereignissen verbunden. ENISA berichtete für die öffentliche Verwaltung in der EU 2024 über viele meist kurzlebige DDoS-Angriffe; Datenvorfälle und Ransomware waren zahlenmäßig seltener, aber häufig folgenreicher. Lautstärke und Schadwirkung sind also nicht dasselbe.

Besonders ernst sind langfristige Zugriffe, die unbemerkt Informationen sammeln oder in Infrastrukturen Positionen für spätere Aktionen schaffen. Solche Angriffe nutzen nicht zwingend exotische Technik. Gestohlene Zugangsdaten, ungepatchte Randgeräte, schwache Fernzugänge und kompromittierte Dienstleister reichen oft aus. Der berühmte Zero Day ist möglich. Der seit Monaten offene bekannte Fehler ist im Alltag allerdings der deutlich weniger glamouröse Kandidat.

Warum auch normale Unternehmen betroffen sein können

Ein Unternehmen muss keine Behörde oder ein Rüstungskonzern sein, um in den Blick zu geraten. Es kann über Wissen, technische Zugänge oder eine Position in der Lieferkette verfügen. Es kann außerdem zufällig von breit eingesetzten Angriffswerkzeugen getroffen werden. Digitalisierung verbindet Prozesse, Partner und Systeme. Damit wachsen Nutzen und Angriffsfläche gleichzeitig.

Die ENISA Threat Landscape 2025 beschreibt staatlich verbundene Aktivitäten gegen öffentliche Verwaltung, Verkehr, digitale Infrastruktur, Telekommunikation, Industrie und Zivilgesellschaft. Die Auswahl folgt strategischen Interessen, nicht unserer internen Einschätzung, dass die eigenen Daten doch eigentlich niemanden interessieren. Angreifer dürfen diese Einschätzung bedauerlicherweise selbst treffen.

Risiko entsteht aus dem Zusammenspiel von Bedrohung, erreichbarer Angriffsfläche, konkreter Gefährdung und möglicher Schadwirkung. Ein hochfähiger Akteur ist nicht automatisch das wichtigste Risiko, wenn er keinen sinnvollen Zugang und kein Interesse hat. Umgekehrt kann ein technisch einfacher Angriff erheblichen Schaden auslösen, wenn zentrale Systeme schlecht geschützt oder Wiederanlaufpläne ungeprüft sind.

Welche Schutzmaßnahmen tatsächlich helfen

  • kritische Prozesse, Datenbestände und externe Abhängigkeiten kennen
  • internetnahe Systeme aktuell halten und nicht benötigte Dienste abschalten
  • administrative und externe Zugänge mit starker Mehrfaktor-Authentisierung schützen
  • Berechtigungen begrenzen und privilegierte Aktivitäten nachvollziehbar protokollieren
  • Netze und Identitäten so trennen, dass ein einzelner Zugang nicht alles öffnet
  • Sicherungen getrennt aufbewahren und die Wiederherstellung regelmäßig testen
  • Meldewege, Ansprechpartner und Entscheidungen für den Vorfall vorbereiten

Diese Maßnahmen sind wenig spektakulär, aber wirksam gegen viele Akteursgruppen. Spezifische Warnungen zu Angriffsmustern und Schwachstellen ergänzen die Grundlagen. Sie ersetzen sie nicht. Ein Unternehmen, das jede neue APT-Meldung liest, aber alte Administratorkonten und ungepatchte Systeme behält, betreibt eher Nachrichtenkonsum als Informationssicherheit.

Je größer die mögliche Schadwirkung, desto wichtiger werden Angriffserkennung, Protokollierung und Übungen. Dabei sollten Technik, Fachbereiche, Kommunikation, Datenschutz und Führung gemeinsam handeln können. Ein Angriff hält sich nicht an Organigramme. Die Vorbereitung sollte es deshalb ebenfalls nicht tun.

Wie Meldungen und Zuschreibungen zu bewerten sind

Öffentliche Zuschreibungen enthalten unterschiedliche Grade an Gewissheit. Behörden können technische Indikatoren, bekannte Vorgehensweisen und weitere Erkenntnisse zusammenführen. Unternehmen sehen meist nur einen Teil davon. Eine seriöse Einordnung benennt deshalb Quelle, Datum und Aussagegrenze: Ist eine Kampagne bestätigt, wahrscheinlich zugeordnet oder nur von einem Anbieter vermutet?

Technische Indikatoren haben außerdem eine begrenzte Lebensdauer. IP-Adressen, Domains und Schadsoftware können wechseln oder bewusst fremde Spuren tragen. Dauerhafter sind Verhaltensmuster, angegriffene Systeme und genutzte Schwachstellen. Auch sie liefern keine mathematische Gewissheit. Attribution ist eine fachliche Bewertung, kein Länderkennzeichen im Datenpaket.

Für die eigene Reaktion reicht häufig eine vorsichtigere Frage: Passt die beschriebene Vorgehensweise zu unserer Angriffsfläche? Wenn eine Behörde vor Angriffen auf bestimmte Randgeräte warnt, sollten diese Geräte geprüft werden – unabhängig davon, ob die letzte Prozentzahl der Zuschreibung bereits feststeht. Handlungsfähigkeit braucht belastbare Hinweise, aber keine perfekte geopolitische Gewissheit.

Kurz gesagt

Staatlich gesteuerte Cyberangriffe sind real, langfristig relevant und nicht auf staatliche Stellen beschränkt. Unternehmen sollten sie weder dramatisieren noch wegwünschen. Sinnvoll sind eine klare Bewertung der eigenen Werte und Abhängigkeiten, gepflegte Systeme, geschützte Zugänge, begrenzte Rechte, erkennbare Auffälligkeiten und geübte Wiederherstellung. Hoffnung ist keine Strategie. Panik ist allerdings auch keine.

Quellen und weiterführende Informationen

Zuletzt fachlich geprüft:

Passend zum Thema