Warum hybride Angriffe zur größten Bewährungsprobe für Banken werden

Die deutsche Wirtschaft ist auf digitale Infrastrukturen angewiesen wie nie zuvor – und zugleich verletzlicher denn je. Laut einer aktuellen Bitkom-Erhebung könnten Unternehmen ihren Geschäftsbetrieb bei einem Internetausfall im Durchschnitt nur rund 20 Stunden aufrechterhalten, jedes fünfte Unternehmen müsste sogar sofort stoppen. Acht von zehn Unternehmen erwarten infolge hybrider Angriffe eine ernsthafte Krise in Deutschland. Die Zahlen zeigen: Die Bedrohung ist nicht abstrakt, sondern operativ relevant. Gerade für den Finanzsektor entsteht daraus eine neue Qualität des Risikos.

Hybride Angriffe kombinieren Cyberattacken, physische Sabotage, Desinformation und geopolitischen Druck. Sie zielen weniger auf den spektakulären Systemausfall als auf die schleichende Destabilisierung kritischer Prozesse. Für Banken und Sparkassen bedeutet das, dass nicht mehr allein klassische IT-Sicherheit im Fokus steht, sondern die durchgängige Aufrechterhaltung finanzwirtschaftlicher Funktionen unter Krisenbedingungen. Zahlungsverkehr, Liquiditätssteuerung, Wertpapierabwicklung, Kreditprozesse und Kundenkommunikation hängen unmittelbar an stabilen Netzen, funktionierenden Rechenzentren und verlässlichen Energie- sowie Telekommunikationsinfrastrukturen. Fallen diese gleichzeitig oder kaskadierend aus, entsteht ein Szenario, das sich nicht mit herkömmlichen Business-Continuity-Plänen beherrschen lässt.

Demnach könnten Unternehmen im Schnitt ihren Geschäftsbetrieb nur 20 Stunden aufrechterhalten, jedes fünfte (21 Prozent) müsste sogar sofort die Arbeit einstellen. Umgekehrt sind nur 8 Prozent sicher, länger als 48 Stunden weiterarbeiten zu können. Zugleich rechnen drei Viertel der Unternehmen (74 Prozent) wegen der zunehmenden Spannungen zwischen Russland und der NATO mit einer erhöhten Gefahr hybrider Angriffe, 8 von 10 (83 Prozent) erwarten eine ernsthafte Krise in Deutschland in Folge von hybriden Angriffen. Das sind Ergebnisse einer Befragung von 604 Unternehmen ab 10 Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom, die heute im Vorfeld der Münchener Sicherheitskonferenz und der Munich Cyber Security Conference vorgestellt wurde. Aktuell sagen drei Viertel (73 Prozent) der Unternehmen, Deutschland sei im internationalen Vergleich unzureichend auf hybride Angriffe vorbereitet. Als besonders gefährdet gelten nach Ansicht der Unternehmen die Energieversorgung (90 Prozent) sowie Banken und Versicherungen (89 Prozent).

Die Unternehmen haben zwar eine Vielzahl von konkreten Vorkehrungen zum Umgang mit erfolgreichen hybriden Angriffen getroffen, es fehlt aber ein flächendeckender und umfassender Schutz. 58 Prozent verfügen für solche Fälle über alternative Kommunikationsmittel, 27 Prozent planen das. 57 Prozent verfügen über Backups ihrer Daten und haben auch erfolgreiche Restore-Tests durchgeführt, 15 Prozent haben das vor. In 51 Prozent gibt es Ausweicharbeitsplätze bzw. Homeoffice-Regelungen für den Fall, dass im Unternehmen nicht gearbeitet werden kann (Planung: 25 Prozent).

Finanzinstitute im Zentrum systemischer Risiken

Die Bitkom-Zahlen unterstreichen, dass unter anderem Energieversorgung, Finanzwesen und Kommunikationsnetze als neuralgische Punkte wahrgenommen werden. Genau hier liegt die systemische Rolle der Kreditwirtschaft. Banken sind nicht nur selbst betroffen, sondern fungieren als Stabilitätsanker für die Gesamtwirtschaft. Wenn Unternehmen nicht mehr zahlen können, Geldautomaten stillstehen oder elektronische Zahlungswege ausfallen, wird aus einer technischen Störung schnell eine Vertrauenskrise. Finanzinstitute tragen damit eine doppelte Verantwortung: Sie müssen ihre eigene Betriebsfähigkeit sichern und gleichzeitig die Funktionsfähigkeit volkswirtschaftlicher Zahlungsströme gewährleisten.

Diese Perspektive deckt sich mit der zunehmenden regulatorischen Fokussierung auf operative Resilienz. Mit dem Digital Operational Resilience Act (DORA), den nationalen Anforderungen wie BAIT und VAIT sowie den KRITIS- und NIS2-Vorgaben verschiebt sich der Aufsichtsblick von der reinen Prävention hin zur nachweisbaren Durchhaltefähigkeit im Ernstfall. Entscheidend ist nicht mehr nur, ob ein Angriff abgewehrt werden kann, sondern ob kritische Dienstleistungen auch unter degradierter Infrastruktur weiter erbracht werden. Die Bitkom-Ergebnisse zeigen jedoch eine deutliche Lücke zwischen Risikobewusstsein und tatsächlicher Vorbereitung – eine Diskrepanz, die im hochregulierten Finanzsektor besonders problematisch ist.

Resilienz wird wichtiger als reine IT-Sicherheit

Für Banken und Sparkassen bedeutet das konkret, Szenarien zu beherrschen, die bislang eher theoretisch erschienen. Ein längerfristiger Ausfall externer Kommunikationsnetze zwingt Institute dazu, über „Offline-Fähigkeit“ nachzudenken – also über Prozesse, die temporär ohne zentrale Systeme funktionieren. Historisch gab es solche Mechanismen, etwa papierbasierte Notverfahren oder dezentrale Buchungslogiken. Viele dieser Fähigkeiten wurden im Zuge der Digitalisierung zurückgebaut. Nun rückt ihre moderne Neuinterpretation in den Vordergrund, etwa durch lokal begrenzte Transaktionsfreigaben, alternative Kommunikationskanäle oder resilient ausgelegte Zahlungsverkehrsplattformen.

Hinzu kommt die starke Abhängigkeit von Drittanbietern und Cloud-Dienstleistern. Die zunehmende Plattformökonomie im Banking erhöht Effizienz und Innovationsgeschwindigkeit, schafft aber neue Konzentrationsrisiken. Hybride Angriffe zielen gezielt auf solche Knotenpunkte. Fällt ein zentraler Dienstleister aus, betrifft das gleichzeitig zahlreiche Institute. DORA adressiert dieses Risiko explizit mit strengeren Anforderungen an das Third-Party-Risk-Management und der direkten Aufsicht über kritische IT-Dienstleister. Die Bitkom-Daten legen nahe, dass viele Unternehmen – auch außerhalb der Finanzbranche – hier noch am Anfang stehen.

Drittanbieter als neue Verwundbarkeitsachse

Ein weiterer kritischer Faktor ist die physische Dimension hybrider Angriffe. Sabotage an Kabeltrassen, Energieinfrastruktur oder Rechenzentrumsstandorten kann digitale Schutzmaßnahmen vollständig unterlaufen. Für Finanzinstitute bedeutet das, Standortstrategien und Redundanzkonzepte neu zu bewerten. Georedundanz allein reicht nicht mehr, wenn mehrere Infrastrukturen gleichzeitig betroffen sein können. Resilienz entsteht erst durch die Kombination aus technischer, organisatorischer und logistischer Vorsorge – einschließlich Notstromversorgung, alternativer Netzanbindungen und klar priorisierter Geschäftsprozesse.

Auch personell entstehen neue Herausforderungen. Die Bitkom-Studie weist darauf hin, dass Unternehmen im Krisenfall mit Ausfällen von Mitarbeitern rechnen müssen, etwa durch Verpflichtungen im Zivil- oder Katastrophenschutz. Banken und Sparkassen müssen daher stärker als bisher mit funktionsbezogenen Vertretungskonzepten arbeiten, die nicht an einzelne Schlüsselpersonen gebunden sind. Gerade in hochspezialisierten Bereichen wie Zahlungsverkehr, Treasury oder IT-Betrieb kann ein Personalausfall sonst schnell zum Engpass werden.

Gleichzeitig zeigt sich ein Kommunikationsparadox: Unternehmen erwarten im Krisenfall verlässliche Informationen vom Staat, fühlen sich aber aktuell nicht ausreichend eingebunden. Für den Finanzsektor, der traditionell eng mit Aufsicht und Zentralbank kooperiert, ergibt sich daraus die Chance, eine aktivere Rolle in öffentlich-privaten Resilienznetzwerken zu übernehmen. Gemeinsame Lagebilder, sektorenübergreifende Übungen und standardisierte Krisenkommunikation werden zu entscheidenden Bausteinen, um im Ernstfall nicht isoliert zu reagieren.

Die steigende Investitionsbereitschaft vieler Unternehmen in Sicherheits- und Resilienzmaßnahmen ist ein wichtiges Signal. Für Banken und Sparkassen geht es dabei jedoch weniger um zusätzliche Einzelmaßnahmen als um eine strategische Neujustierung. Operative Resilienz muss als integraler Bestandteil der Geschäftsstrategie verstanden werden, nicht als Erweiterung der IT-Sicherheit. Das betrifft Governance-Strukturen ebenso wie Risikoanalysen, Technologieentscheidungen und Notfallübungen. Resilienz wird damit zu einer Kernkompetenz moderner Finanzinstitute – vergleichbar mit Risikomanagement oder Compliance.

Der Faktor Mensch rückt wieder stärker in den Fokus

Hybride Bedrohungen markieren letztlich einen Paradigmenwechsel. Während klassische Cybersecurity vor allem den Schutz von Daten und Systemen adressiert, verlangt die neue Lage die Sicherstellung wirtschaftlicher Handlungsfähigkeit unter widrigen Bedingungen. Für die Kreditwirtschaft bedeutet das, Stabilität nicht nur zu versprechen, sondern unter Extrembedingungen beweisen zu können. Die Fähigkeit, Zahlungsströme, Liquidität und Kundenservice auch in einer gestörten Infrastruktur aufrechtzuerhalten, wird zunehmend zum entscheidenden Vertrauensfaktor im Wettbewerb wie auch für die Finanzstabilität insgesamt.

Die Bitkom-Zahlen sind daher weniger eine Momentaufnahme als ein Warnsignal. Sie machen deutlich, dass Resilienz zur zentralen Zukunftsaufgabe wird – für Wirtschaft, Staat und insbesondere für den Finanzsektor als Rückgrat der realwirtschaftlichen Wertschöpfung. Banken und Sparkassen, die diese Entwicklung frühzeitig in belastbare Strategien übersetzen, werden nicht nur regulatorische Anforderungen erfüllen, sondern auch ihre Rolle als Stabilitätsanker in einer zunehmend volatilen Welt behaupten können.tw