Geopolitik im Cyberraum

Der Cyberraum ist längst kein rein technologisches oder kriminelles Phänomen mehr, sondern ein vollwertiger Wirkungsraum. Cyberoperationen dienen heute der strategischen Aufklärung, der operativen Störung und der asymmetrischen Machtprojektion, die mit herkömmlichen, kinetischen Wirkmitteln so kaum möglich wären. Die aktuelle KPMG/KSÖ Studie „Cybersecurity in Österreich 2026“, basierend auf den Angaben von 1.396 befragten Expert:innen und Führungskräften, untermauert diese drastische Verschiebung: Cyberangriffe verzeichnen in den letzten 12 Monaten ein Wachstum von 25 Prozent. Für die umfassende Landesverteidigung bedeutet dies, dass informationelle Resilienz, Lieferkettensicherheit und personelle Zuverlässigkeit als Kernpfeiler operativer Führungsfähigkeit verstanden werden müssen.

In der klassischen Militärdoktrin ist die Dimensionierung von Bedrohungen an greifbare Dislozierungen und kinetische Potenziale gekoppelt. Im Cyberraum hingegen vollzieht sich eine Entgrenzung der Kampfführung, die hoheitliche Akteure, die kritische Infrastruktur und die wehrtechnische sowie zivile Sachgesamtheit gleichermaßen trifft. Die Annahme, es handle sich bei Cyberkriminalität primär um finanziell motivierte Delikte (Ransomware), greift sicherheitspolitisch zu kurz. Der Cyberraum wird zunehmend als Instrument hybrider Einflussnahme genutzt, um die industrielle Leistungsfähigkeit, die Versorgungssicherheit und letztlich den politischen Willen eines Staates zu schwächen.

Zwar weist das Lagebild die organisierte Kriminalität weiterhin als quantitativ dominanten Akteur aus, doch die Präsenz staatlich gestützter Advanced Persistent Threats (APTs) und ausländischer Nachrichtendienste tritt immer deutlicher hervor. Besonders alarmierend ist eine spezifische Lücke im Lagebild: Bei gut 40 Prozent aller erfassten Vorfälle ist eine klare Zuordnung, die sogenannte Attribution, unmöglich.

Diese Attribution Gap stellt eine erhebliche strategische Verwundbarkeit dar. Sie hebelt das klassische Prinzip der Abschreckung (Deterrence by Punishment) weitgehend aus, da völkerrechtliche oder operative Gegenmaßnahmen eine zweifelsfreie Identifizierung des Aggressors voraussetzen. Die Anonymität des Raumes erlaubt es staatlichen Akteur:innen, unterhalb der Schwelle eines bewaffneten Angriffs (Art. 51 UN-Charta) zu operieren, Aufklärung zu betreiben und digitale Brückenköpfe für den Ernstfall zu errichten.

Ein signifikanter Indikator für die Professionalisierung der Angriffe ist der massive Zuwachs beim Ausnutzen von Hardware- und Software-Schwachstellen um 58 Prozent. Angreifer:innen investieren vermehrt in Zero-Day-Exploits und automatisierte Scan-Verfahren, um Zugang zu Systemen zu erlangen, bevor Patches implementiert werden können.

Parallel dazu geraten Operational Technology (OT) und industrielle Steuerungssysteme (ICS) vermehrt ins Fadenkreuz. Damit verschiebt sich der Fokus des Risikomanagements fundamental: Es geht nicht mehr primär um den Schutz der Vertraulichkeit von Daten (klassische IT-Sicherheit), sondern um die Integrität und Verfügbarkeit physischer Prozesse – also um die Resilienz kritischer Funktionen. Ein erfolgreicher Angriff auf die OT-Umgebung eines Energieversorgers oder eines Logistikunternehmens entfaltet unmittelbar kinetische Wirkung und bedroht die staatliche Führungs- und Durchhaltefähigkeit.

Die digitale Souveränität erweist sich in der Praxis als hohles Konstrukt, solange globale Abhängigkeiten bei Cloud-Diensten, Plattformen und kritischen Komponenten bestehen. Ausländische Software- und Hardware-Hersteller sowie externe Dienstleister bilden im Krisenfall die Achillesferse der nationalen Sicherheitsarchitektur.

Laut der Studienergebnisse sind bereits 42 Prozent der Unternehmen von Angriffen über die Lieferkette (Supply Chain Attacks) betroffen. Sabotage oder Spionage müssen dabei nicht direkt beim Primärziel ansetzen. Angreifer wählen vermehrt den Weg des geringsten Widerstands und infiltrieren Zulieferer, Wartungsdienstleister oder sogar kooperierende Finanzinstitute, um von dort lateral (Lateral Movement) in die Zielnetzwerke vorzudringen. Für das Bundesheer und wehrwichtige Betriebe bedeutet dies, dass Drittparteienrisiken exakt wie operative oder taktische Abhängigkeiten im Gefecht bewertet und abgesichert werden müssen. Dass lediglich 15 Prozent der befragten Expert:innen Österreich für gut vorbereitet auf schwere Cyberangriffe gegen kritische Infrastrukturen halten, ist ein unüberhörbares strategisches Warnsignal.

Während Phishingnachrichten mit infizierten Links (69 Prozent) und Malware-Anhänge (78 Prozent) die klassischen Einfallstore über den Faktor Mensch bleiben, verzeichnet das Lagebild ein gefährliches Erstarken des sogenannten Insider Threats (Zuwachs um 4 Prozent in den letzten 12 Monaten). Dieses Phänomen, das im zivilen Sektor in den vergangenen drei Jahren kaum Beachtung fand, rückt nun schlagartig in den Fokus.

Im militärischen Bereich gehören erweitere Verlässlichkeitsprüfungen und strikte personelle Sicherheitsüberprüfungen zur gelebten, regulatorischen Praxis. Im zivilen Sektor und in Teilen der kritischen Infrastruktur sind sie hingegen oft noch eine Randerscheinung. Dabei muss ein Insider Risk nicht zwingend auf intentionaler Sabotage oder klassischer Spionage beruhen. Häufiger sind es kompromittierte Benutzer:innenkonten, Fehlverhalten, mangelnde Sensibilisierung oder die gezielte Übertölpelung mittels KI-gestützter Täuschungsszenarien (Deepfakes, hochentwickeltes Business-E-Mail-Compromise).

Zur kriminologischen und operativen Beurteilung des Insider-Risikos wird im professionellen Risikomanagement ein klassisches Drei-Faktoren-Modell herangezogen:

1. Der Anreiz (Motiv/Druck): Finanzielle Engpässe, ideologische Radikalisierung, persönliche Frustration oder Erpressbarkeit, die Akteur:innen zur Tat motivieren.
2. Die Rationalisierung: Die innere Rechtfertigung der Tat vor sich selbst (z. B. „Das Unternehmen schadet niemandem“, „Ich werde ungerecht behandelt“).
3. Die Gelegenheit: Umstände im System, die eine Tatausführung mit geringem Entdeckungsrisiko erlauben.

Aus Sicht der militärischen Führung und des Sicherheitsmanagements ist die operative Schlussfolgerung aus diesem Modell eindeutig: Während eine Organisation auf die Faktoren Anreiz und Rationalisierung bei Mitarbeitenden oder externen Dienstleistern kaum bis gar keinen direkten Einfluss nehmen kann, ist die Gelegenheit die einzige Stellschraube, die sich aktiv steuern und minimieren lässt. Das wirksamste Instrument zur Eliminierung dieser Gelegenheiten ist die kompromisslose Durchsetzung des Zugriffsschutzes nach dem „Need-to-know“-Prinzip (militärische Anbausystematik), lückenloses Identitätsmanagement und kontinuierliches Monitoring anomaler Verhaltensweisen im Netz.

Die Verteidigungsfähigkeit im 21. Jahrhundert entscheidet sich an der Interoperabilität von Mensch, Technik und Organisation. Cyber-Resilienz ist kein nachgelagertes IT-Projekt, sondern eine genuine, nicht delegierbare Führungsaufgabe des strategischen Managements und der militärischen Führungsebene.

Maßnahmen wie die flächendeckende Multi-Faktor-Authentifizierung (MFA), robuste Back-up- & Recovery-Strategien, ein stringentes Third-Party-Risk-Management sowie permanente, realitätsnahe Krisenübungen unter Einschluss zivil-militärischer Schnittstellen sind das digitale Äquivalent zu Schanzarbeiten, Munitionsbevorratung und Gefechtsdrills. Wer den Cyberraum nicht als integralen Bestandteil der modernen Konfliktführung begreift und Technik, Nachrichtengewinnung sowie strategische Kommunikation zusammendenkt, verliert die Handlungsfähigkeit, noch bevor der erste kinetische Schuss gefallen ist.