2025 explodiert die Zahl der DDoS-Angriffe auf kritische Infrastrukturen in Deutschland. Behörden und Energieversorger geraten ins Visier, während technische Schwächen und neue Angriffsstrategien die Abwehr erschweren.
Im Juli 2026 fiel Wiesbaden digital aus. Online-Dienste der Stadt waren stundenlang nicht erreichbar. In Mülheim an der Ruhr griffen Unbekannte ein kommunales System an, beim Energiedienstleister Enseco verschwanden sensible Daten. Solche Vorfälle häufen sich. Das Bundeskriminalamt zählt für 2025 exakt 36.706 gemeldete DDoS-Angriffe. Das sind 25 Prozent mehr als im Vorjahr. Besonders im Fadenkreuz: Behörden und Energieversorger. Doch bislang fehlen unabhängige Primärquellen oder offizielle Dokumente der zuständigen Bundesbehörden wie BKA oder BSI, die diese Zahlen und Vorfälle bestätigen. Eine zusätzliche Überprüfung bleibt ausstehend.
Die Bedrohungslage hat sich spürbar verschärft. Cyberkriminelle jagen nach schnellen Gewinnen durch Datendiebstahl oder Erpressung. Staatlich gesteuerte Gruppen verfolgen dagegen langfristige Ziele. Das Bundesamt für Verfassungsschutz warnt vor gezielten Ausspähungen durch ausländische Nachrichtendienste. Sie suchen Schwachstellen in Energieversorgungsnetzen, um später gezielt zuzuschlagen. Der Annual Threat Report 2026 von Darktrace beschreibt hybride Operationen: Cyberangriffe verschmelzen mit Spionage und Desinformation, oft in Zusammenarbeit mit kriminellen Gruppen. Das BSI verweist auf mehr russische Cyberaktivitäten seit Beginn des Ukraine-Kriegs. Genaue Zahlen oder vollständige Listen der Vorfälle bleiben aber unter Verschluss. Im Oktober 2026 kündigten Deutschland und Großbritannien ein gemeinsames Projekt zur Abwehr von Sabotage und Cyberangriffen auf kritische Infrastrukturen an. Internationale Partnerschaften sollen ausgebaut werden.
Für Betreiber kritischer Infrastrukturen reicht ein einzelner Schutzmechanismus nicht mehr. Angreifer investieren massiv und bleiben oft monatelang unentdeckt in IT-Umgebungen. Ihr Ziel: dauerhafter Zugang zu sensiblen Systemen, um Daten auszuspähen oder im Ernstfall gezielt zu stören. Die EU-NIS2-Richtlinie (EU 2022/2555) und die deutschen KRITIS-Vorgaben verlangen deshalb systematische Risikoanalysen und eine Überwachung, die über reine Compliance hinausgeht.
Die EU-NIS2-Richtlinie zwingt Unternehmen, Sicherheitsmaßnahmen lückenlos zu dokumentieren und nachzuweisen. Doch Compliance deckt nicht alle Risiken ab. Ein Kernproblem bleibt die fehlende Sichtbarkeit im eigenen Netzwerk. Klassische Perimetersicherheit zeigt nicht, was intern passiert. Die Verschmelzung von IT und Operational Technology (OT) verschärft das Problem. Moderne OT-Umgebungen nutzen IT-Komponenten, Cloud-Dienste und externe Wartungszugänge. Angreifer schlagen über kompromittierte Lieferantenkonten oder gestohlene Zugangsdaten zu.
Laut einer aktuellen BSI-Studie sieht sich nur etwa jedes zehnte deutsche Unternehmen ausreichend auf KI-basierte Angriffe vorbereitet. Neue Bedrohungen durch KI lassen sich nicht vollständig mit klassischen IT-Sicherheitsansätzen abdecken, weshalb Schutzmaßnahmen an neue Angriffsszenarien angepasst werden müssen.
Cloud- und SaaS-Dienste sowie vertrauenswürdige Plattformen tauchen im Annual Threat Report als besondere Risiken auf. Angreifer umgehen klassische Abwehrmechanismen und verankern sich dauerhaft in der Infrastruktur. Die Grenze zwischen externen und internen Bedrohungen verschwimmt. Das erschwert Überwachung und Reaktion. In einer Untersuchung von BSI und TÜV-Verband im Oktober 2026 meldete rund ein Sechstel der befragten Unternehmen, in den letzten zwölf Monaten mit KI-gestützten Cyberangriffen oder Betrugsversuchen konfrontiert worden zu sein. Diese Zahl bezieht sich explizit auf KI-basierte Bedrohungen und ist nicht mit der Gesamtzahl aller Cyberangriffe gleichzusetzen. Details liefert die offizielle BSI-Pressemitteilung.
Die EU-NIS2-Richtlinie verlangt eine durchgehende Überwachung interner Netzwerke und Prozesse für eine effektive Incident Response. In der Praxis bleibt das schwierig. OT-Umgebungen ändern sich laufend, etwa durch Herstellerzugriffe oder technische Anpassungen. Monitoring muss normale Änderungen von sicherheitsrelevanten Abweichungen unterscheiden. Spezielle OT-Netzwerksensoren binden zusätzliche Datenquellen ein und machen Kommunikationswege sichtbar, die klassische Systeme übersehen.
Ein weiterer blinder Fleck entsteht durch KI-Systeme und autonome Agenten. Sie bewegen sich mit regulären Berechtigungen durch die Infrastruktur und führen Aktionen aus, die für klassische Monitoring-Systeme wie normales Verhalten aussehen. Sicherheitsteams müssen daher nicht nur Netzwerkaktivitäten, sondern auch das tatsächliche Handeln von KI-Systemen im Blick behalten.
Die aktuellen Zahlen des Bundeskriminalamts und dokumentierte Angriffe auf Städte und Energieversorger zeigen, dass Deutschland vor einer strukturellen Herausforderung steht. Einzelmaßnahmen und Compliance reichen nicht mehr, um die komplexen und langfristig angelegten Angriffsstrategien abzuwehren. Unternehmen müssen ihre Verteidigung auf kontinuierliche Sichtbarkeit und die Analyse interner Kommunikation ausrichten. Nur so lassen sich laufende Angriffe frühzeitig erkennen und Sicherheitslücken schließen. Auch andere Sektoren, etwa das Fintech Ryft, das kürzlich eine Expansion ankündigte, stehen vor der Aufgabe, ihre Sicherheitsarchitektur an die veränderte Bedrohungslage anzupassen.
Die Abwehr von Cyberangriffen auf kritische Infrastrukturen verlangt ein tiefes Verständnis der eigenen Netzwerkarchitektur und eine kontinuierliche Überwachung aller relevanten Systeme. Die klassische Trennung zwischen IT und OT ist in modernen Umgebungen kaum noch haltbar. Unternehmen müssen auch verdeckte Angriffe erkennen, die sich über längere Zeiträume entwickeln. Technische Innovation und regulatorischer Druck machen Cybersicherheit zur Daueraufgabe für Betreiber kritischer Infrastrukturen.
Die EU-NIS2-Richtlinie verpflichtet Betreiber kritischer Infrastrukturen und digitaler Dienste, umfassende Maßnahmen zur Cybersicherheit zu ergreifen und nachzuweisen. Ziel ist es, die Widerstandsfähigkeit gegen Cyberangriffe zu erhöhen und die Zusammenarbeit zwischen den Mitgliedstaaten zu stärken. Die Richtlinie verlangt nicht nur technische Schutzmaßnahmen, sondern auch eine kontinuierliche Überwachung und ein effektives Incident Response Management. Unternehmen müssen ihre Sicherheitsarchitektur regelmäßig überprüfen und an neue Bedrohungslagen anpassen. Die Umsetzung der NIS2-Richtlinie bleibt ein zentraler Hebel für die Cybersicherheit in Europa.
