Die Cyberlage im August 2026

Der August zeigte erneut mehrere parallel verlaufende Entwicklungen.

Klassische Cyberkriminalität bleibt für Unternehmen eine unmittelbare Bedrohung. Gleichzeitig nehmen staatlich unterstützte Aktivitäten, Cyberespionage und Angriffe auf Infrastruktur weiter an Bedeutung zu.

Besonders auffällig waren im August:

• eine weiterhin hohe Zahl kritischer Sicherheitslücken
• aktive Ausnutzung von Zero-Day-Schwachstellen
• Angriffe auf internet erreichbare Fernzugangssysteme
• Ransomware gegen öffentliche Verwaltungen und Unternehmen
• Angriffe auf Software-Lieferketten
• zunehmende staatliche Cyberespionage
• hybride Aktivitäten gegen europäische Infrastruktur
• eine stärkere Verbindung von Cyberangriffen und geopolitischen Konflikten

Für Unternehmen wird es dadurch schwieriger, Sicherheitsmaßnahmen ausschließlich anhand klassischer Cybercrime-Szenarien zu planen.

Neben dem Schutz einzelner Endgeräte müssen zunehmend Identitäten, Netzwerkzugänge, Lieferketten, externe Dienstleister und die Widerstandsfähigkeit des gesamten Geschäftsbetriebs betrachtet werden.

Microsoft-Patchday: Erneut mehrere hundert Schwachstellen

Microsoft veröffentlichte im August erneut ein außergewöhnlich umfangreiches Sicherheitsupdate.

Je nach zugrunde gelegter Zählweise wurden rund 400 Schwachstellen in Windows, Office, Azure und weiteren Microsoft-Produkten behandelt.

Besonders relevant war die Schwachstelle CVE-2026-68820 im Windows Ancillary Function Driver for WinSock.

Microsoft bestätigte, dass die Schwachstelle bereits aktiv ausgenutzt wurde. Ein Angreifer mit lokalem Zugriff kann darüber seine Berechtigungen bis auf SYSTEM-Ebene erweitern.

Der August-Patchday unterstreicht erneut ein grundlegendes Problem: Die Veröffentlichung eines Sicherheitsupdates beendet das Risiko nicht.

Entscheidend ist, wie schnell das Update tatsächlich auf den betroffenen Systemen installiert wird.

Unternehmen sollten deshalb nachvollziehbar erfassen:

• welche Systeme betroffen sind
• welche Sicherheitsupdates fehlen
• welche Schwachstellen bereits aktiv ausgenutzt werden
• welche Systeme nicht automatisch aktualisiert werden können
• welche Installationen fehlgeschlagen sind
• welche Geräte nicht mehr vom Hersteller unterstützt werden

Patchmanagement bedeutet nicht, Updates bereitzustellen. Patchmanagement bedeutet, nachvollziehen zu können, ob sie tatsächlich auf allen relevanten Systemen angekommen sind.

Fernzugänge bleiben ein bevorzugtes Angriffsziel

Im August wurde erneut deutlich, wie attraktiv öffentlich erreichbare VPN- und Fernzugangssysteme für Angreifer sind.

Zwei kritische Schwachstellen der SonicWall-SMA1000-Plattform, CVE-2026-15409 und CVE-2026-15410, wurden aktiv ausgenutzt.

Die betroffenen Systeme werden unter anderem für den sicheren Fernzugriff auf Unternehmensnetzwerke eingesetzt.

Werden solche Systeme kompromittiert, befindet sich der Angreifer nicht mehr ausschließlich außerhalb des Unternehmens. Er kann einen direkten Einstiegspunkt in interne Netzwerke erhalten.

Besonders kritisch ist dies für:

• VPN-Gateways
• Firewalls
• Fernwartungssysteme
• Administrationsportale
• Cloud-Managementschnittstellen
• Remote-Desktop-Systeme

Internet erreichbare Sicherheits- und Fernzugangssysteme benötigen deshalb eine besonders hohe Priorität im Schwachstellenmanagement.

ChainDrop zeigt das Risiko moderner Software-Lieferketten

Anfang August wurde mit ChainDrop ein erheblicher Angriff auf die npm-Software-Lieferkette bekannt.

Dabei wurden mehrere hundert Softwarepakete kompromittiert. Die Schadsoftware konnte Zugangsdaten aus Entwicklungsumgebungen stehlen und sich mit den erbeuteten Berechtigungen automatisiert auf weitere Softwarepakete ausbreiten.

Besonders relevant ist dabei das Prinzip des Angriffs.

Ein Unternehmen muss nicht selbst direkt angegriffen werden. Es kann kompromittiert werden, weil:

• ein Softwarehersteller betroffen ist
• eine verwendete Bibliothek manipuliert wurde
• ein Entwicklerkonto kompromittiert wurde
• ein Dienstleister Schadsoftware unbeabsichtigt weiterverteilt
• ein Update aus einer eigentlich vertrauenswürdigen Quelle manipuliert wurde

Damit gewinnt die Sicherheit der Lieferkette auch für Unternehmen an Bedeutung, die selbst keine Software entwickeln.

Ransomware bleibt eine unmittelbare Bedrohung

Ende August wurde ein erheblicher Cyberangriff auf die Berliner Verwaltung öffentlich.

Die Ransomware-Gruppe Rhysida erklärte, mehrere Terabyte Daten aus dem Berliner Landesnetz erbeutet zu haben. Die Gruppe bot die Daten anschließend zum Verkauf an.

Die Berliner Verwaltung erklärte, nicht auf die Erpressungsforderung eingehen zu wollen.

Wichtig ist die Einordnung: Eine Tätigkeit einer Gruppe aus Russland oder Osteuropa bedeutet nicht automatisch eine staatliche Steuerung.

Cyberkriminelle Gruppen, Hacktivisten, staatliche Nachrichtendienste und private Dienstleister können technisch ähnliche Werkzeuge einsetzen. Eine seriöse Attribution muss deshalb zwischen diesen Gruppen unterscheiden.

Deutsche Unternehmen sehen stärker staatliche Akteure

Eine im August veröffentlichte Bitkom-Erhebung zeigt, dass deutsche Unternehmen die Bedrohung durch ausländische Nachrichtendienste deutlich stärker wahrnehmen als noch vor wenigen Jahren.

37 Prozent der befragten Unternehmen ordneten mindestens einen zurückliegenden Angriff ausländischen Nachrichtendiensten zu. Im Vorjahr waren es 28 Prozent, 2023 erst sieben Prozent.

Russland und China wurden dabei besonders häufig genannt.

Organisierte Cyberkriminalität bleibt mit Abstand eine der wichtigsten Bedrohungen. Die Grenzen zwischen staatlichen Akteuren, Cyberkriminellen und politisch motivierten Gruppen werden jedoch zunehmend unschärfer.

Bitkom beziffert den jährlichen Schaden durch Datendiebstahl, Industriespionage und Sabotage in Deutschland inzwischen auf mindestens 211 Milliarden Euro.

Schwerpunkt August: Was sind hybride Angriffe?

Ein hybrider Angriff besteht nicht zwingend aus einem einzelnen spektakulären Cyberangriff.

Unter hybriden Aktivitäten versteht man die Kombination verschiedener politischer, technischer, wirtschaftlicher und physischer Mittel, um einen Staat oder eine Gesellschaft unter Druck zu setzen, ohne unmittelbar einen klassischen militärischen Konflikt auszulösen.

Dazu können gehören:

• Cyberangriffe
• Cyberespionage
• Sabotage kritischer Infrastruktur
• Drohnenaktivitäten
• Störung von GPS- und Navigationssystemen
• Beschädigung von Unterseekabeln
• Desinformation und Einflussoperationen
• Angriffe auf demokratische Prozesse
• wirtschaftlicher Druck
• Ausnutzung strategischer Lieferkettenabhängigkeiten

Die einzelnen Ereignisse können jeweils relativ begrenzt erscheinen. In ihrer Kombination können sie jedoch die Widerstandsfähigkeit eines Landes erheblich beeinträchtigen.

Russland: Hybride Aktivitäten gegen Europa nehmen zu

Die Europäische Union beschreibt seit längerem eine koordinierte russische hybride Kampagne gegen EU-Mitgliedstaaten.

Dazu gehören nach Einschätzung europäischer Institutionen:

• Cyberangriffe
• Sabotage
• Angriffe auf kritische Infrastruktur
• Informationsmanipulation und Desinformation
• Einflussnahme auf politische Prozesse
• Aktivitäten staatlicher und nichtstaatlicher Stellvertreter

Dabei setzt Russland nicht ausschließlich eigene Nachrichtendienste ein.

Die EU beschreibt ein umfangreiches Cyberökosystem aus Nachrichtendiensten, privaten Unternehmen, Cyberkriminellen und selbsternannten Hacktivistengruppen.

Diese Struktur erschwert die eindeutige Attribution und ermöglicht Operationen unterhalb der Schwelle eines offenen militärischen Angriffs.

Russische Cybergruppen nehmen Energie und Wasser ins Visier

Im Juli verhängte die Europäische Union Sanktionen gegen mehrere Personen und Organisationen, die Teil des russischen Cyberökosystems sein sollen.

Besonders relevant für kritische Infrastruktur ist die Gruppe Z-Pentest beziehungsweise das Umfeld der Cyber Army of Russia Reborn.

Nach Angaben der EU wurden durch diese Akteure insbesondere Energie- und Wasserversorger sowie weitere kritische Einrichtungen angegriffen.

Die EU stellt außerdem Verbindungen zu russischen Nachrichtendienststrukturen her.

Ziel solcher Operationen ist nicht zwangsläufig sofort die vollständige Abschaltung einer Infrastruktur.

Angreifer können zunächst:

• Netzwerke kartieren
• Fernzugänge identifizieren
• Zugangsdaten sammeln
• Administrationssysteme kompromittieren
• dauerhafte Zugriffsmöglichkeiten vorbereiten
• technische Abläufe und Wiederherstellungsprozesse analysieren

Ein solcher Zugang kann später für Spionage, Sabotage oder eine gezielte Störung verwendet werden.

Leipzig/Halle: Vom Cyberraum zur physischen Sabotage

Ein besonders bedeutender Vorfall ereignete sich am 4. August am Flughafen Leipzig/Halle.

Dort wurde eine mit Sprengstoff bestückte Drohne in der Nähe eines ukrainischen Transportflugzeugs entdeckt.

Der Flughafen besitzt erhebliche Bedeutung für internationale Logistik und Unterstützungsleistungen für die Ukraine.

Ende August bezeichnete Bundesinnenminister Alexander Dobrindt den Vorfall bereits als mögliches hybrides Angriffsszenario.

Anfang September ordnete die Bundesregierung den Angriff schließlich Russland zu. Russland weist die Vorwürfe zurück.

Der Vorfall zeigt einen wichtigen Wandel:

Hybride Bedrohungen beschränken sich nicht auf Server und Netzwerke. Digitale Spionage, Drohnen, physische Sabotage und Einflussoperationen können Bestandteil derselben strategischen Auseinandersetzung sein.

Baltikum und Ostsee bleiben besonders exponiert

Die Ostsee gehört zu den sensibelsten Infrastrukturräumen Europas.

Dort verlaufen zahlreiche:

• Untersee-Datenkabel
• Stromverbindungen
• Gasleitungen
• Telekommunikationsverbindungen
• internationale Schifffahrtsrouten

Nach mehreren verdächtigen Beschädigungen solcher Infrastrukturen verstärken NATO- und EU-Staaten ihre Zusammenarbeit.

Ende August kündigten die Ostseeanrainer außerdem den Aufbau einer gemeinsamen Zusammenarbeit zur Drohnenabwehr an.

NATO-Vertreter verweisen ausdrücklich darauf, dass hybride Angriffe beispielsweise Energie- oder Datenverbindungen beeinträchtigen können, ohne dass ein klassischer militärischer Angriff stattfindet.

DDoS als Bestandteil hybrider Einflussoperationen

Pro-russische Hacktivistengruppen setzen weiterhin Distributed-Denial-of-Service-Angriffe gegen europäische Ziele ein.

Dabei wird ein Internetdienst mit einer großen Zahl automatisierter Anfragen überlastet und dadurch zeitweise unerreichbar.

Technisch verursachen solche Angriffe häufig keinen dauerhaften Schaden. Politisch können sie trotzdem wirksam sein.

Angegriffen werden beispielsweise:

• Behörden
• Verkehrsunternehmen
• Energieversorger
• Finanzunternehmen
• Medien
• öffentliche Dienstleistungen

Ziel ist häufig auch die öffentliche Wahrnehmung: Ein sichtbar nicht erreichbarer Dienst soll den Eindruck vermitteln, staatliche oder wirtschaftliche Infrastruktur sei unkontrollierbar.

China verfolgt eine andere Strategie

China und Russland sollten bei der Bewertung hybrider Bedrohungen nicht einfach gleichgesetzt werden.

Während Russland zunehmend mit offen disruptiven und teilweise physischen Aktivitäten gegen Europa in Verbindung gebracht wird, liegt der Schwerpunkt chinesischer Operationen bislang stärker auf:

• Cyberespionage
• langfristigem Netzwerkzugang
• Telekommunikationsinfrastruktur
• Lieferketten
• Netzwerk- und Sicherheitsgeräten
• strategischen wirtschaftlichen Abhängigkeiten

Die Europäische Kommission beschreibt China ausdrücklich als Akteur, der geopolitische Ziele unter anderem über Lieferkettenkontrolle, die Ausnutzung von Software-Schwachstellen und wirtschaftliche Abhängigkeiten verfolgt.

Für Europa entsteht daraus vor allem ein langfristiges strategisches Risiko.

Salt Typhoon und die Bedeutung der Telekommunikation

Besonders deutlich wird diese Strategie beim chinesisch zugeschriebenen Akteur Salt Typhoon.

Die Gruppe konzentriert sich auf Telekommunikationsunternehmen und zentrale Netzwerkkomponenten.

Solche Systeme sind besonders wertvoll, weil Telekommunikationsnetze zahlreiche andere Bereiche miteinander verbinden.

Ein erfolgreicher Zugang kann ermöglichen:

• Kommunikationsdaten zu erfassen
• Netzwerkstrukturen zu analysieren
• hochwertige Zielpersonen zu identifizieren
• Verbindungen zwischen Organisationen nachzuvollziehen
• dauerhafte Zugriffsmöglichkeiten aufzubauen

Die Europäische Kommission weist darauf hin, dass solche Zugänge nicht nur für Spionage relevant sind.

Eine langfristige Positionierung in kritischen Netzwerken kann im Konfliktfall auch Möglichkeiten zur Störung schaffen.

Chinesische Akteure setzen auf unscheinbare Netzwerkgeräte

Ein wiederkehrendes Muster chinesisch zugeschriebener Gruppen besteht darin, schlecht überwachte Netzwerkgeräte zu kompromittieren.

Dazu gehören beispielsweise:

• Router
• Firewalls
• VPN-Systeme
• IoT-Geräte
• kleine Netzwerkgeräte

Solche Geräte sind für Angreifer attraktiv, weil sie häufig jahrelang betrieben werden, ohne dass ihr Verhalten detailliert überwacht wird.

Bereits im Frühjahr hatten mehrere westliche Sicherheitsbehörden, darunter deutsche Stellen, vor China verbundenen Akteuren gewarnt, die kompromittierte Router und andere Internetgeräte als verdeckte Infrastruktur verwenden.

Neue Erkenntnisse zu chinesischer Cyberinfrastruktur im August

Ende August veröffentlichten amerikanische Sicherheitsbehörden neue Erkenntnisse über die China zugeschriebene Gruppe QTFY.

Die Gruppe soll spezielle Plattformen zum Scannen, Angreifen und Verschleiern von Cyberoperationen betrieben haben.

Im Mittelpunkt der bekannt gewordenen Untersuchungen standen amerikanische Regierungs- und Infrastrukturziele. Die verwendeten Plattformen waren jedoch auch für Angriffe auf ausländische Organisationen ausgelegt.

Die chinesische Regierung bestreitet die amerikanische Attribution und wirft den USA eine Politisierung des Themas vor.

Für europäische Unternehmen ist weniger der konkrete Einzelfall entscheidend als das erkennbare Muster:

China verbundene Gruppen bauen zunehmend eigene, weltweit verteilte technische Infrastrukturen auf, über die Netzwerkaufklärung, Zugriff und Cyberespionage langfristig organisiert werden können.

China und europäische Infrastruktur: Lieferketten werden sicherheitspolitisch

Die europäische Sicherheitsdebatte betrifft nicht nur Cyberangriffe.

Chinesische Unternehmen besitzen oder betreiben Beteiligungen beziehungsweise Technologien in unterschiedlichen Bereichen europäischer Infrastruktur.

Die Europäische Kommission nennt unter anderem:

• Häfen
• Flughäfen
• Zollinfrastruktur
• Stromversorgung
• Wind- und Solarenergie
• Telekommunikation

Daraus folgt nicht automatisch, dass diese Infrastruktur manipuliert oder für Angriffe genutzt wird.

Es entsteht jedoch eine sicherheitspolitische Abhängigkeit, die bei der Bewertung kritischer Lieferketten berücksichtigt werden muss.

Bei kritischer Infrastruktur reicht die Frage „Ist die Technik sicher?“ nicht mehr aus. Ebenso relevant wird die Frage: „Von wem sind Betrieb, Ersatzteile, Software, Updates und administrative Zugänge abhängig?“

Russland und China: Unterschiedliche Bedrohungsmodelle

Für Unternehmen ist eine differenzierte Betrachtung wichtig.

Das derzeit öffentlich erkennbare russische Bedrohungsmodell umfasst stärker:

• disruptive Cyberangriffe
• Sabotage
• DDoS-Angriffe
• Desinformation
• Drohnen und physische Aktivitäten
• Störungen kritischer Infrastruktur

Das chinesische Bedrohungsmodell konzentriert sich stärker auf:

• langfristige Cyberespionage
• Telekommunikationsnetze
• Netzwerkgeräte
• unauffällige dauerhafte Zugänge
• Technologie- und Informationsgewinn
• strategische Lieferketten und wirtschaftliche Abhängigkeiten

Bei China gibt es für August keinen öffentlich bestätigten physischen Sabotagefall gegen europäische Infrastruktur, der mit dem Leipzig-Vorfall vergleichbar wäre.

Das Risiko liegt vielmehr darin, Zugänge und Abhängigkeiten bereits lange vor einer möglichen geopolitischen Eskalation aufzubauen.

Welche europäischen Infrastrukturen besonders relevant sind

Besonders interessant für staatliche und staatlich unterstützte Angreifer sind Systeme, deren Ausfall Auswirkungen auf viele weitere Bereiche haben kann.

Dazu gehören insbesondere:

• Energieerzeugung und Stromnetze
• Telekommunikation und Internetknoten
• Untersee- und Glasfaserkabel
• Häfen und Flughäfen
• Bahn- und Logistiksysteme
• Wasser- und Abwasserversorgung
• Rechenzentren und Cloud-Infrastruktur
• öffentliche Verwaltung
• Gesundheitsversorgung
• Finanz- und Zahlungsverkehr

Moderne Infrastruktur ist zudem stark miteinander verknüpft.

Ein Ausfall der Telekommunikation kann beispielsweise Auswirkungen auf Energieversorgung, Zahlungsverkehr, Logistik und Unternehmenskommunikation haben.

Warum das auch normale Unternehmen betrifft

Die meisten mittelständischen Unternehmen betreiben selbst kein Kraftwerk, keinen Flughafen und kein Telekommunikationsnetz.

Trotzdem sind sie vollständig von kritischer Infrastruktur abhängig.

Typische Abhängigkeiten bestehen von:

• Stromversorgung
• Internet und Mobilfunk
• Microsoft 365 und anderen Cloud-Diensten
• Rechenzentren
• Banken und Zahlungsverkehr
• Logistikunternehmen
• Softwareherstellern
• externen IT-Dienstleistern

Informationssicherheit muss deshalb nicht nur verhindern, dass ein eigener Server angegriffen wird.

Unternehmen müssen auch überlegen, wie sie weiterarbeiten können, wenn ein externer Dienst plötzlich nicht mehr verfügbar ist.

Resilienz wird ebenso wichtig wie Prävention

Kritische Infrastruktur kann nicht gegen jeden denkbaren Angriff vollständig geschützt werden.

Darauf weisen inzwischen auch große europäische Infrastrukturbetreiber hin.

Deshalb gewinnt Resilienz an Bedeutung.

Unternehmen müssen sich zwei Fragen stellen:

1. Wie verhindern oder erkennen wir einen Angriff möglichst früh?
2. Wie schnell können wir den Geschäftsbetrieb wiederherstellen, wenn die Schutzmaßnahmen trotzdem versagen?

Zur Resilienz gehören unter anderem:

• getrennte und unveränderbare Datensicherungen
• regelmäßige Wiederherstellungstests
• alternative Kommunikationswege
• Notfallkontakte außerhalb der eigenen Systeme
• redundante Internetverbindungen, soweit erforderlich
• klare Eskalationswege
• priorisierte Wiederanlaufpläne
• Kenntnis kritischer Dienstleisterabhängigkeiten

Was Unternehmen aus der Lage im August ableiten sollten

Die Entwicklung bedeutet nicht, dass jedes mittelständische Unternehmen unmittelbar Ziel eines russischen oder chinesischen Nachrichtendienstes wird.

Die aktuellen Entwicklungen zeigen jedoch, dass Maßnahmen gegen klassische Cyberkriminalität gleichzeitig die Widerstandsfähigkeit gegen staatliche Akteure verbessern.

Besonders wichtig bleiben:

• vollständige Übersicht über Systeme und Benutzer
• konsequentes Patch- und Schwachstellenmanagement
• Absicherung internet erreichbarer Systeme
• Mehrfaktor-Authentifizierung und Passkeys
• getrennte Administratorkonten
• zentral überwachte Endpoint-Security
• Netzwerksegmentierung
• Monitoring sicherheitsrelevanter Ereignisse
• überwachte und getrennte Datensicherungen
• regelmäßige Wiederherstellungstests
• Kontrolle externer Dienstleisterzugänge
• Bewertung kritischer Lieferketten
• vorbereitete Notfall- und Wiederanlaufverfahren

Besonders wichtig: Netzwerkgeräte in die Überwachung aufnehmen

Staatliche Akteure konzentrieren sich zunehmend auf Komponenten, die im normalen IT-Betrieb wenig Aufmerksamkeit erhalten.

Dazu gehören:

• Firewalls
• Router
• VPN-Appliances
• Switche
• IoT-Geräte
• Fernwartungssysteme

Gerade chinesisch zugeschriebene Gruppen nutzen solche Geräte häufig als langfristige Zugriffspunkte oder als Infrastruktur zur Verschleierung weiterer Angriffe.

Unternehmen sollten deshalb prüfen, ob diese Systeme:

• noch vom Hersteller unterstützt werden
• aktuelle Sicherheitsupdates erhalten
• keine unnötigen Dienste aus dem Internet anbieten
• mit starken administrativen Zugangsdaten geschützt sind
• protokolliert und überwacht werden
• in der technischen Dokumentation vollständig erfasst sind

Cyberlage August 2026 für Unternehmen im Ruhrgebiet

Das Ruhrgebiet besitzt eine besonders hohe Konzentration industrieller und kritischer Infrastruktur.

Energieversorgung, Chemie, Logistik, Gesundheitswesen, Wasserwirtschaft, Telekommunikation, Verkehr und industrielle Produktion liegen räumlich eng beieinander und sind technisch stark miteinander verbunden.

Unternehmen in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Duisburg, Oberhausen, Mülheim an der Ruhr und den angrenzenden Regionen sind daher nicht nur von ihren eigenen IT-Systemen abhängig.

Störungen externer Infrastruktur können unmittelbar auf den eigenen Geschäftsbetrieb durchschlagen.

Gerade für kleine und mittlere Unternehmen ist es deshalb sinnvoll, neben dem klassischen Schutz vor Malware und Phishing auch ihre Abhängigkeiten von Energie, Internet, Cloud-Diensten, Telekommunikation und externen IT-Dienstleistern zu dokumentieren.

Die InoBit Datensysteme GmbH unterstützt Unternehmen im Ruhrgebiet dabei, technische Cyberabwehr und betriebliche Widerstandsfähigkeit gemeinsam zu betrachten.

Fazit: Die Grenze zwischen Cyberangriff und hybrider Bedrohung wird unschärfer

Der August 2026 zeigt eine Cyberlage, die von mehreren Bedrohungsebenen gleichzeitig geprägt ist.

Ransomware, Zero-Day-Schwachstellen, kompromittierte Fernzugänge und Software-Lieferketten bleiben unmittelbare Risiken für Unternehmen.

Gleichzeitig nimmt die strategische Dimension von Cyberangriffen zu.

Russland verbindet digitale Angriffe zunehmend mit Sabotage, Drohnenaktivitäten, Einflussoperationen und Druck auf kritische Infrastruktur.

China verfolgt bislang überwiegend eine langfristige Strategie aus Cyberespionage, Telekommunikationszugängen, Netzwerkkompromittierungen und strategischen Lieferkettenabhängigkeiten.

Beide Entwicklungen zeigen, dass Informationssicherheit nicht mehr ausschließlich als Schutz einzelner Computer verstanden werden kann.

Unternehmen müssen ihre Systeme, Identitäten, Lieferketten und Abhängigkeiten kennen und gleichzeitig auf einen möglichen Ausfall wichtiger Dienste vorbereitet sein.

Moderne Cyberabwehr bedeutet nicht nur, einen Angriff zu verhindern. Sie bedeutet auch, Angriffe früh zu erkennen, ihre Ausbreitung zu begrenzen und den Geschäftsbetrieb kontrolliert wiederherstellen zu können.

Wichtiger Hinweis

Dieser Cyberlagebericht fasst öffentlich verfügbare Informationen zur Cyber- und Sicherheitslage im August 2026 zusammen.

Bei staatlichen oder mutmaßlich staatlich unterstützten Angriffen ist eine eindeutige technische und politische Attribution häufig schwierig. Nicht jeder Angriff aus russischer oder chinesischer Infrastruktur ist automatisch einem staatlichen Akteur zuzurechnen.

Insbesondere bei laufenden Ermittlungen können sich Bewertungen, technische Erkenntnisse und staatliche Zuordnungen nachträglich verändern.

Der Beitrag ersetzt keine individuelle Bedrohungsanalyse. Welche Schutzmaßnahmen für ein konkretes Unternehmen erforderlich sind, hängt unter anderem von dessen Infrastruktur, Branche, Daten, Dienstleistern und geschäftskritischen Prozessen ab.