Der Cyberangriff auf Berlin wäre anders ausgegangen.
Interview zum Cyberangriff auf Berlin mit Sebastian Struwe
Der Cyberangriff auf das Berliner Landesnetz zeigt, wie verwundbar öffentliche Infrastruktur ist. Klassischer Schutz allein hätte ihn nicht gestoppt. Es geht um Angriffserkennung, Deception-Technologie und digitale Souveränität.
Cyberangriff auf Berlin: Ablauf und Lehren
Die jüngsten Cyberattacken in Berlin zeigen beispielhaft und erneut, wie verwundbar öffentliche und private Organisationen und Unternehmen sind. Hätte die Angriffserkennung von Cybersense den Angriff ins Leere laufen lassen können?
Der wesentliche Beitrag unserer Angriffserkennung liegt darin, Angreifer frühzeitig zu erkennen, sobald sie sich im Netzwerk bewegen, Systeme auskundschaften oder versuchen, ihre Zugriffsrechte auszuweiten. Nach dem öffentlich bekannten Ablauf des Berliner Angriffs wären durch uns dabei Aktivitäten sichtbar geworden, die auf eine Ausbreitung innerhalb der Infrastruktur hindeuten. Das hätte Sicherheitsverantwortlichen die Chance gegeben, früher einzugreifen, den Angriff einzudämmen und insbesondere einen möglichen Datenabfluss zu verhindern. In diesem Sinne ist frühzeitige Erkennung durchaus eine wirksame Form der Schadensvermeidung. Und die ganz kurze Antwort auf Ihre Frage: Ja. Berlin wäre mit uns höchstwahrscheinlich anders ausgegangen.
Sind deutsche Unternehmen und öffentliche Einrichtungen heute ausreichend vor Cyberangriffen geschützt?
Der bestehende Schutz reicht in vielen Fällen nicht aus, weil sich die Angreifer permanent weiterentwickeln. Neue Sicherheitslücken entstehen, Angriffsmethoden werden professioneller und kriminelle Gruppen gehen zunehmend arbeitsteilig vor.
Das bedeutet jedoch nicht, dass etablierte Schutzmaßnahmen wie Firewalls, Endpoint-Schutz oder Zugangskontrollen komplett wirkungslos wären. Sie bleiben unverzichtbar. Entscheidend ist, sie nicht als abschließende Sicherheitsstrategie zu verstehen. Organisationen brauchen zusätzlich Sichtbarkeit innerhalb ihres Netzwerks – also die Fähigkeit zu erkennen, was passiert, nachdem ein Angreifer eine erste Schutzschicht überwunden hat. An diesem Punkt ergänzt Deception-Technologie Deception-Technologie die bestehende Sicherheitsarchitektur: Sie schafft gezielte Täuschungsobjekte und überwachte Bereiche im Netzwerk. Sobald ein Angreifer diese untersucht oder nutzt, entsteht ein hochrelevantes Warnsignal.
Späte Erkennung und richtiges Handeln
Warum werden Angriffe oft erst erkannt, wenn bereits Schaden entstanden ist?
Sicherheit scheitert nicht immer an fehlender Technik. Häufig fehlen Ressourcen für die kontinuierliche Analyse von Warnmeldungen und ungewöhnlichen Aktivitäten. Das betrifft Personal, Zeit, Fachwissen und Budgets gleichermaßen. Im Nachhinein lässt sich bei vielen Vorfällen gut nachvollziehen, wie sich ein Angriff entwickelt hat. Die entscheidende Frage lautet deshalb: Warum wurde dieses Verhalten nicht in dem Moment als Angriff erkannt? In der Praxis sind Security-Teams oft mit einer hohen Zahl an Meldungen konfrontiert. Ohne klare, belastbare Signale gehen kritische Hinweise unter oder werden zu spät priorisiert.
Wie sollten Verantwortliche in Berlin und weitere Entscheider in Deutschland jetzt handeln?
Für uns gilt „Assume Breach". Wir gehen davon aus, dass der Angreifer bereits im Netz ist. Man sollte einen kompetenten Partner hinzuziehen, der Erfahrung in der Angriffserkennung, Incident Response und forensischen Analyse hat. Wir haben bereits für Organisationen im bundespolitischen Umfeld gearbeitet und konnten dort erfolgreich einen Angriff frühzeitig stoppen. Entscheidend ist dabei, nicht nur den konkreten Vorfall zu bereinigen. Es ist wichtig, die Ursachen und blinden Flecken im Sicherheitskonzept zu schließen. Für Geschäftsführungen und IT-Verantwortliche geht es dabei um eine zentrale Frage: Können wir Angriffe erkennen, bevor sie geschäftskritische Systeme, sensible Kunden- oder Bürgerdaten und die eigene Reputation gefährden?
Mehr zu digitaler Souveränität
Der Cyberangriff auf Berlin zeigt, wie eng Angriffserkennung und digitale Souveränität zusammenhängen. Michael Pütz erklärt im Interview, welche Abhängigkeiten Unternehmen kennen sollten und wie viel Kontrolle sie wirklich haben.
Interview mit Michael Pütz lesenCybersecurity als Führungsthema
Warum wird Cybersecurity von Entscheidern noch immer nicht als geschäftskritisches Prio-1-Thema behandelt?
Wenn Sicherheitsmaßnahmen gut funktionieren, bleiben sie unsichtbar. Das ist ihr Erfolg, aber zugleich ihr Problem. Es wird Geld investiert, ohne dass unmittelbar sichtbar wird, welchen Schaden diese Investition verhindert hat. Vor allem produzierende Unternehmen betrachten IT-Sicherheit daher teilweise noch als notwendigen Kostenfaktor. Doch dieses Denken verändert sich. Maschinen, Lieferketten, Planung, Kommunikation und Verwaltung sind heute tief von IT-Systemen abhängig. Fällt die IT aus, kann häufig auch der operative Betrieb nicht mehr zuverlässig funktionieren. Cybersecurity ist somit ein Bestandteil von Betriebsfähigkeit, Wertschöpfung und Unternehmensführung.
Wie hoch ist der wirtschaftliche Schaden durch Cyberangriffe?
Die Schätzungen von BKA und Bitkom liegen in Deutschland 2025 im guten dreistelligen Milliardenbereich. Es ist davon auszugehen, dass die Belastung weiter steigt. Noch teurer als Betriebsunterbrechungen, Wiederherstellung, Forensik oder rechtliche Beratung ist der immaterielle Schaden durch Reputationsverlust. Dieser lässt sich nicht kurzfristig durch Geld ausgleichen.
Verteidigung stärken, Souveränität ausbauen
Braucht Deutschland mehr Möglichkeiten zum digitalen Gegenangriff?
Der Fokus sollte vor allem auf einer wirksamen Verteidigung liegen. Ein gegenseitiges digitales Wettrüsten schafft nicht automatisch mehr Sicherheit. Für Unternehmen, Verwaltungen und kritische Infrastrukturen ist die vorrangige Aufgabe klar: Angriffe früh erkennen, Systeme schützen, Auswirkungen begrenzen und schnell wieder handlungsfähig werden. Eine starke, mehrschichtige Verteidigung ist nachhaltiger als die Hoffnung, Angreifer durch einen digitalen Gegenangriff abzuschrecken.
Ist die digitale Souveränität in Deutschland und Europa aus Ihrer Sicht ausreichend priorisiert?
Deutschland und Europa müssen bei der Cyberabwehr eigene Kompetenzen aufbauen und stärken. Die großen internationalen Anbieter, insbesondere aus den USA und Israel, verfügen über hohe Expertise. Gleichzeitig gibt es aber auch in Deutschland leistungsfähige Unternehmen und Fachkräfte. Wir sind ein Beispiel dafür.
Digitale Souveränität braucht konkrete Investitionen, qualifizierte Fachkräfte, Forschung, belastbare Sicherheitsstrukturen und Aufträge für europäische beziehungsweise nationale Anbieter.
Die wichtigste Lehre für Entscheider
Ihre wichtigste Botschaft an Geschäftsführungen und IT-Verantwortliche?
Verlassen Sie sich nicht darauf, dass ein Angriff an der äußeren Schutzmauer stoppt. Planen Sie damit, dass Angreifer einzelne Schutzmechanismen überwinden können und sorgen Sie dafür, dass sie dann im Netzwerk sichtbar werden. Cyberabwehr muss heute aus Prävention, Erkennung, Reaktion und Wiederherstellung bestehen. Wer diese vier Bereiche zusammendenkt, schützt nicht nur Systeme, Daten, die eigene Handlungsfähigkeit und das Vertrauen von Kunden, Partnern und Mitarbeitenden, und somit seine Zukunft.
Würde so ein Angriff bei Ihnen früh auffallen?
Genau dafür ist unsere Angriffserkennung gemacht.
Lassen Sie uns in den Austausch gehen und darüber sprechen, wie wir Sie unterstützen könne
Ihr Ansprechpartner
Sebastian Struwe