Hybride Angriffe auf Deutschland: Wie Gegenwehr ohne blinde Vergeltung gelingt

Ein Krankenhaus verliert den Zugriff auf Patientendaten. Fast gleichzeitig verbreiten Konten in sozialen Netzwerken die Behauptung, die Behörden würden einen viel größeren Ausfall verschweigen. An einem Umspannwerk wird eine beschädigte Leitung entdeckt, während eine politische Debatte mit gefälschten Dokumenten angeheizt wird. Jeder Vorgang für sich könnte Kriminalität, technisches Versagen, Vandalismus oder Desinformation sein. Erst das mögliche Zusammenspiel macht daraus eine hybride Bedrohung.

Genau darin liegt die Herausforderung: Hybride Angriffe sollen Wirkung erzeugen, ohne eine eindeutige Kriegserklärung abzugeben. Sie kombinieren digitale, physische, wirtschaftliche und informationelle Mittel, nutzen Stellvertreter und verschleiern Verantwortung. Die Antwort darauf darf weder passiv noch impulsiv sein. Deutschland braucht eine Gegenwehr, die Angriffe unattraktiv macht, Urheber belastbar identifiziert und den politischen Preis erhöht – ohne selbst zivile Systeme zu gefährden oder eine Eskalation auf Grundlage unsicherer Beweise auszulösen.

Kernpunkte

• Hybride Angriffe verbinden mehrere Mittel und bleiben bewusst unterhalb oder am Rand der Schwelle eines offenen bewaffneten Konflikts.
• Die wirksamste erste Verteidigung ist Resilienz: Wer Strom, Wasser, Gesundheit und Kommunikation auch im Störfall weiter betreibt, nimmt Angreifern ihren politischen Ertrag.
• Abschreckung besteht nicht nur aus einem digitalen Gegenschlag. Öffentliche Attribution, Strafverfolgung, Sanktionen, Ausweisungen, das Abschalten missbrauchter Infrastruktur und kollektive EU- oder NATO-Maßnahmen können gezielter wirken.
• Ein technischer Gegenangriff ist besonders riskant, wenn Herkunft, staatliche Verantwortung und mögliche Folgen für Unbeteiligte nicht sicher geklärt sind.
• Deutschland braucht vorab definierte Beweisstandards, Zuständigkeiten und Eskalationsstufen, damit im Ernstfall nicht Wut, sondern Recht und Strategie entscheiden.

Was einen Angriff „hybrid“ macht

Der Begriff wird schnell zur Sammelbezeichnung für alles Bedrohliche. Präziser ist die Definition der NATO: Hybride Akteure kombinieren unter anderem Desinformation, Cyberangriffe, wirtschaftlichen Druck sowie verdeckte oder offene militärische Mittel. Der Rat der Europäischen Union betont zusätzlich, dass solche Kampagnen häufig absichtlich unterhalb der Schwelle eines formellen Krieges bleiben. Nicht ein einzelnes Werkzeug ist also entscheidend, sondern die orchestrierte Wirkung.

Ein Angriff auf ein Wasserwerk kann den Betrieb stören. Eine parallel verbreitete Falschmeldung über angeblich vergiftetes Trinkwasser kann aus einer begrenzten technischen Störung eine gesellschaftliche Krise machen. Werden noch gestohlene interne Dokumente manipuliert oder lokale Entscheidungsträger unter Druck gesetzt, richtet sich der Angriff nicht nur gegen Technik. Er zielt auf Vertrauen, Handlungsfähigkeit und demokratische Entscheidungsprozesse.

Die Bedrohung ist nicht abstrakt. Im Ende Juni veröffentlichten Verfassungsschutzbericht 2025 beschreibt die Bundesregierung ein hohes Gefährdungsniveau durch Spionage, Sabotage und Cyberangriffe; als wichtigste staatliche Akteure werden Russland, China und Iran genannt. Das ist eine strategische Lagebewertung, keine Erlaubnis, jeden ungeklärten Ausfall vorschnell einem dieser Staaten zuzuschreiben. Gerade hybride Angriffe leben davon, dass Verdacht und Beweis auseinanderfallen.

Zwei Fälle zeigen die Spannweite. Am Flughafen Leipzig/Halle wurde in der Nacht zum 5. August 2026 eine Drohne mit einem Sprengsatz nahe ukrainischen Frachtmaschinen entdeckt. Bundesinnenminister Alexander Dobrindt sprach von einem „hybriden Anschlagsszenario“. Nach dem aktuellen Bericht von WDR, NDR und Süddeutscher Zeitung bei tagesschau.de war aber noch unklar, wer verantwortlich ist; auch zunächst verbreitete Angaben über Munition in einer benachbarten Maschine mussten korrigiert werden. Der Fall ist deshalb nicht nur ein Beispiel für eine mögliche hybride Tat, sondern auch für die Pflicht, Tatmittel, Ziel und Urheber nicht vorschnell gleichzusetzen.

Anders gelagert ist der 2024 vereitelte Plan gegen Rheinmetall-Chef Armin Papperger. Ein hochrangiger NATO-Vertreter bestätigte im Januar 2025 die Bedrohung und ordnete Mordpläne gegen Führungskräfte der Rüstungsindustrie in eine breitere Sabotagekampagne ein, wie Reuters berichtete. Westliche Geheimdienstinformationen schrieben den Papperger-Plan Russland zu; der Kreml wies den Vorwurf zurück. Hybride Angriffe können demnach nicht nur Netze und Anlagen, sondern gezielt Menschen treffen, deren Ausschaltung Produktion, Lieferketten oder politische Unterstützung schwächen soll.

Warum der Wunsch nach Vergeltung verständlich – und gefährlich – ist

Wer Krankenhäuser, Stromnetze oder Wasserwerke angreift, trifft nicht nur Server. Er trifft Operationen, Kühlketten, Notrufsysteme und das Sicherheitsgefühl einer Bevölkerung. Der Ruf nach einem ebenso harten Gegenschlag ist deshalb emotional nachvollziehbar. Strategisch kann eine blinde digitale Vergeltung jedoch genau die Lage schaffen, die der Angreifer beabsichtigt.

Erstens ist technische Herkunft nicht dasselbe wie politische Urheberschaft. Angriffe laufen über gekaperte Rechner, gemietete Infrastruktur und Systeme in Drittstaaten. Zweitens kann ein vermeintlich gegnerischer Server zugleich legitime Dienste für Unbeteiligte tragen. Drittens verrät ein schneller Gegenschlag eigene Fähigkeiten und kann Gegenmaßnahmen auslösen. Viertens besteht die Gefahr, dass ein Staat auf eine Provokation oder Täuschung reagiert und damit die falsche Seite trifft.

2026 berät der Bundestag über einen Gesetzentwurf zur Stärkung der Cyberabwehr; die erste Lesung fand am 25. Juni statt. In derselben Debatte lag ein Antrag gegen sogenannte Hackbacks vor. Der Entwurf ist damit Gegenstand des parlamentarischen Verfahrens, nicht bereits die endgültige Rechtslage. Schon diese Kontroverse zeigt, dass Befugnisse, Kontrolle und internationale Folgen vor einem Einsatz geklärt werden müssen.

Diese Unterscheidung ist wichtig: Gegenwehr ist notwendig. Aber „zurückhacken“ ist keine eigenständige Strategie und erst recht kein rechtsfreier Reflex.

Erste Verteidigungslinie: dem Angriff den Ertrag nehmen

Abschreckung funktioniert auf zwei Wegen. Der erste ist Abschreckung durch Verweigerung: Der Angriff erreicht sein Ziel nicht. Für zivile Infrastruktur heißt das, dass lebenswichtige Leistungen auch dann weitergehen, wenn einzelne digitale Komponenten ausfallen.

Dazu gehören segmentierte Netze, getestete Offline-Sicherungen, Ersatzkommunikation, manuelle Betriebsverfahren und regelmäßig geübte Notfallpläne. Ein Krankenhaus muss wissen, wie Medikamentenausgabe, Diagnostik und Patientenaufnahme ohne zentrale IT weiterlaufen. Ein Wasserwerk braucht sichere lokale Steuerungsmöglichkeiten. Ein Energieversorger muss kritische Betriebsnetze von weniger geschützten Büro- und Dienstleistungssystemen trennen.

Das ist keine spektakuläre Antwort. Aber sie trifft die Logik des hybriden Angriffs im Kern. Wer den Alltag nicht dauerhaft stören kann, kann Angst und politischen Druck schwerer verstärken. Unser Beitrag über Fehlertoleranz in guten technischen Systemen erklärt dieselbe Grundidee aus technischer Sicht: Sicherheit entsteht nicht aus der Annahme, dass nichts ausfällt, sondern aus der Fähigkeit, trotz Ausfällen kontrolliert weiterzuarbeiten.

Auch Kommunikation gehört zur Resilienz. Behörden und Betreiber sollten vor einer Krise festlegen, wer wann welche bestätigten Informationen veröffentlicht. Schweigen schafft in einer hybriden Lage ein Vakuum, das mit Gerüchten gefüllt wird. Gleichzeitig darf Schnelligkeit nicht zu Spekulation führen. Eine belastbare Botschaft kann lauten: Was ist ausgefallen? Welche Leistung funktioniert weiter? Was wird geprüft? Wann folgt das nächste Update? Diese Nüchternheit ist keine Schwäche, sondern operative Verteidigung.

Attribution ist Teamarbeit, kein Bauchgefühl

Eine glaubwürdige Reaktion braucht mehr als eine IP-Adresse. Technische Spuren müssen mit Erkenntnissen über Infrastruktur, Schadsoftware, Geldflüsse, Auftraggeber, zeitliche Muster und politische Absichten zusammengeführt werden. Auch die Frage, wie sicher eine Zuordnung ist und welche Teile der Beweise veröffentlicht werden können, gehört dazu.

Deutschland bündelt diese Perspektiven inzwischen institutionell stärker. Nach Angaben der Bundesregierung zum Umgang mit Desinformation nahm am 16. Juni 2026 das Gemeinsame Analysezentrum hybride Bedrohungen, kurz GAZ Hybrid, seine Arbeit auf. Es soll Informationen zu Spionage, Sabotage, Desinformation und weiteren hybriden Aktivitäten zusammenführen. Das löst das Attributionsproblem nicht automatisch. Es schafft aber eine Voraussetzung dafür, technische, nachrichtendienstliche, polizeiliche und politische Befunde nicht getrennt zu beurteilen.

Ebenso wichtig sind Partner. Ein Angriff kann Infrastruktur in mehreren Staaten nutzen und unterschiedliche Teile einer Kampagne in verschiedenen Ländern sichtbar machen. Gemeinsame Attribution durch mehrere Regierungen erhöht die Glaubwürdigkeit, erschwert das Ausspielen widersprüchlicher Deutungen und verteilt das Eskalationsrisiko. Die NATO beschreibt die Abwehr hybrider Bedrohungen deshalb zunächst als Aufgabe des betroffenen Staates, ergänzt durch Unterstützung des Bündnisses. Sie hält zugleich fest, dass hybride Handlungen im Einzelfall zu einer Entscheidung über Artikel 5 führen können. Das ist keine Automatik, sondern eine politische Entscheidung der Verbündeten.

Eine rechtsstaatliche Leiter der Gegenmaßnahmen

Deutschland sollte nicht zwischen Nichtstun und maximalem Gegenschlag wählen. Sinnvoller ist eine vorab definierte Leiter, auf der die Reaktion mit Beweislage, Schadenshöhe und fortdauernder Gefahr zunimmt.

Erstens: Wirkung begrenzen und Beweise sichern. Betroffene Systeme werden isoliert, sichere Betriebsarten aktiviert und Spuren gerichtsfest dokumentiert. Öffentliche Aussagen trennen bestätigte Tatsachen von Arbeitshypothesen.

Zweitens: Infrastruktur der Kampagne stören. Mit richterlichen, polizeilichen und internationalen Instrumenten können Domains, Server oder Konten abgeschaltet, kriminelle Betreiber verfolgt und Zahlungswege unterbrochen werden. Die aktuelle Bundestagsdebatte sieht stärkere Befugnisse und eine Neuordnung der Zusammenarbeit als mögliche Bausteine. Entscheidend ist, solche Maßnahmen gezielt gegen die verwendete Infrastruktur und verantwortliche Akteure zu richten – nicht gegen beliebige Systeme im Herkunftsland.

Drittens: Urheberschaft öffentlich machen. Eine nachvollziehbar begründete Attribution kann Tarnung zerstören. Sie erlaubt Verbündeten, Unternehmen und Öffentlichkeit, Muster zu erkennen und Schutzmaßnahmen zu koordinieren. Wo eine Veröffentlichung Quellen gefährden würde, muss der Staat dennoch intern einen klaren Beweisstandard erfüllen.

Viertens: politischen und wirtschaftlichen Preis erhöhen. Einbestellungen, Ausweisungen, Strafverfahren, Reisebeschränkungen, Kontensperren und sektorale Sanktionen sind reale Gegenmaßnahmen. Die EU verfügt über ein Instrumentarium, das diplomatische, wirtschaftliche, cyberpolitische und informationsbezogene Reaktionen verbindet. Der Vorteil: Der Verteidiger muss nicht die Methode des Angreifers spiegeln, um Kosten zu erzeugen.

Fünftens: kollektive Sicherheit aktivieren. Bei schweren oder fortgesetzten Kampagnen können EU und NATO Schutzteams, Lagebilder, technische Hilfe, Übungen und koordinierte politische Reaktionen bereitstellen. Das signalisiert, dass ein Angreifer nicht nur mit einem isolierten Zielstaat verhandelt.

Sechstens: intrusive technische Maßnahmen nur unter enger Kontrolle. Wo der Gesetzgeber solche Befugnisse schafft, brauchen sie eine klare Zuständigkeit, hohe Anforderungen an Attribution, Verhältnismäßigkeit, Schutz Unbeteiligter, parlamentarische und gerichtliche Kontrolle sowie Regeln für internationale Abstimmung. Ein technischer Eingriff darf nicht deshalb als präzise gelten, weil er unsichtbar ist.

Humanitäre Prinzipien für den digitalen Raum

Nicht jeder hybride Angriff ist automatisch ein bewaffneter Konflikt, auf den das humanitäre Völkerrecht vollständig anwendbar wäre. Trotzdem bieten seine Grundgedanken eine wichtige ethische Orientierung: zwischen militärischen und zivilen Zielen unterscheiden, unverhältnismäßige Schäden vermeiden und Vorsorge für Unbeteiligte treffen.

Bei ziviler Infrastruktur ist das besonders relevant, weil digitale und physische Funktionen eng gekoppelt sind. Ein Netzsegment kann zugleich Verwaltung, Notfallversorgung und kommerzielle Dienste tragen. Ein Eingriff in eine Energieversorgung kann nicht nur einen mutmaßlichen Täter, sondern Pflegeeinrichtungen, Haushalte und Verkehrssysteme treffen. Wer Schutz der eigenen Zivilbevölkerung verlangt, sollte denselben Maßstab auch an die eigene Reaktion anlegen.

Das bedeutet nicht, auf wirksame Maßnahmen zu verzichten. Es bedeutet, Wirkung, Ziel und Nebenfolgen präziser zu planen. Deutschland gewinnt strategisch nichts, wenn es nach einem Angriff die internationale Norm gegen Angriffe auf zivile Infrastruktur selbst aushöhlt.

Resilienz ist auch eine demokratische Fähigkeit

Hybride Kampagnen rechnen mit gesellschaftlichen Bruchlinien. Technischer Schutz allein reicht deshalb nicht. Eine Bevölkerung, die Quellen prüfen, Unsicherheit aushalten und legitimen Streit von manipulierter Empörung unterscheiden kann, ist schwerer zu steuern. Der Wissenschaftswelle-Beitrag über politische Bildung im Erwachsenenalter zeigt, warum Medienkompetenz und demokratische Urteilskraft nicht mit dem Schulabschluss enden.

Auch staatliche Glaubwürdigkeit entsteht vor der Krise. Wer bekannte Sicherheitslücken verschleppt, Zuständigkeiten unklar lässt oder Fehler nur widerwillig eingesteht, erleichtert später die Desinformation. Der Reformstaat-Beitrag beschreibt deshalb digitale Handlungsfähigkeit und robuste kritische Infrastruktur als Teil eines Staates, der wieder verlässlich liefern muss.

Stärke zeigt sich nicht in Symmetrie

Ein hybrider Angreifer möchte Deutschland zu Fehlern zwingen: zu Panik, voreiliger Zuschreibung, gesellschaftlicher Spaltung oder einem überzogenen Gegenschlag. Erfolgreiche Gegenwehr verweigert ihm diesen Gewinn. Sie hält lebenswichtige Dienste am Laufen, erklärt Unsicherheit ehrlich, führt Beweise zusammen und erhöht den Preis mit rechtlich kontrollierten, politisch abgestimmten Mitteln.

Manchmal kann dazu auch eine technische Operation gehören. Aber sie ist nur ein Werkzeug in einem größeren System aus Resilienz, Strafverfolgung, Diplomatie, Sanktionen und Bündnissolidarität. Die entscheidende Frage lautet nicht: Wie schlagen wir ebenso heimlich zurück? Sondern: Wie stellen wir sicher, dass der Angriff weder sein unmittelbares Ziel erreicht noch langfristig Schule macht?

Deutschland muss sich wehren können. Gerade deshalb darf es Gegenwehr nicht mit Rache verwechseln.