Corporate Security 2026: Warum Unternehmen ihre Sicherheit international selbst organisieren müssen

Corporate Security 2026: Warum Unternehmen ihre Sicherheit international selbst organisieren müssen

Eine vertrauliche Kundenliste taucht bei einem Wettbewerber auf. Ein ehemaliger Mitarbeiter nimmt Informationen zu laufenden Verhandlungen mit. Eine ausländische Tochtergesellschaft wird Opfer eines Cyberangriffs. Oder ein Unternehmer sieht sich plötzlich mit gezielten Drohungen und der Verbreitung interner Dokumente konfrontiert.

Was zunächst wie einzelne, voneinander unabhängige Vorfälle aussieht, kann für ein Unternehmen schnell zu einer existenziellen Herausforderung werden. Denn Informationen, technische Systeme, Geschäftsbeziehungen und die Handlungsfähigkeit der verantwortlichen Personen gehören heute zu den wichtigsten wirtschaftlichen Vermögenswerten.

Die aktuelle Diskussion um den ehemaligen Präsidenten des Bundesnachrichtendienstes, August Hanning, lenkt die Aufmerksamkeit auf den Umgang mit vertraulichen Informationen und auf die private Sicherheitsbranche. Unabhängig vom Ausgang des Verfahrens stellt sich für Unternehmer eine grundsätzliche Frage: Wie lassen sich Unternehmensinteressen schützen, wenn Risiken grenzüberschreitend entstehen, Informationen weltweit verfügbar sind und staatliche Zuständigkeiten an Landesgrenzen und Verfahrensregeln gebunden bleiben?

Der Fall August Hanning: Sensible Informationen und private Sicherheitsberatung

Anfang Oktober 2026 wurde der frühere BND-Präsident August Hanning festgenommen. Nach Angaben der Bundesanwaltschaft wird gegen ihn unter anderem wegen des Verdachts der landesverräterischen Ausspähung und weiterer Delikte ermittelt. Am 7. Oktober 2026 wurde Untersuchungshaft angeordnet.

Hanning leitete den Bundesnachrichtendienst von 1998 bis 2005. Nach seinem Ausscheiden aus dem Staatsdienst war er unter anderem als privater Sicherheitsberater tätig. Die Ermittlungen haben eine öffentliche Debatte darüber ausgelöst, wie mit vertraulichem Wissen ehemaliger Sicherheitsträger umzugehen ist und welche Regeln für Tätigkeiten in der privaten Sicherheitswirtschaft gelten sollten.

Für Hanning gilt die Unschuldsvermutung. Die Vorwürfe sind Gegenstand laufender Ermittlungen und dürfen nicht mit einer gerichtlichen Feststellung der Schuld gleichgesetzt werden. Auch lässt sich aus dem Verfahren nicht ableiten, dass private Sicherheitsberatung grundsätzlich rechtswidrig oder problematisch wäre. tagesschau.de

Der Fall zeigt jedoch, wie sensibel der Umgang mit Informationen, Zugriffsrechten und persönlichen Netzwerken ist. Gerade dort, wo staatliche Sicherheitsstrukturen und privatwirtschaftliche Interessen aufeinandertreffen, müssen Verantwortlichkeiten, zulässige Informationsquellen und rechtliche Grenzen klar definiert sein.

Unternehmenssicherheit ist längst eine internationale Aufgabe

Unternehmen bewegen sich heute über Ländergrenzen hinweg – unabhängig davon, ob sie selbst Niederlassungen im Ausland unterhalten. Sie nutzen internationale Cloud-Dienstleister, arbeiten mit ausländischen Lieferanten, führen grenzüberschreitende Verhandlungen und speichern Informationen auf Systemen, deren Nutzer und technische Infrastruktur sich in verschiedenen Staaten befinden können.

Damit entstehen Risiken, die sich nicht auf einen einzigen Standort beschränken. Ein Angriff kann über ein ausländisches Benutzerkonto erfolgen. Vertrauliche Dateien können über mehrere Dienstleister weitergegeben werden. Ein Geschäftspartner kann seinen Sitz in einem anderen Rechtsraum haben als die Personen, die tatsächlich Zugriff auf Informationen erhalten.

Für das betroffene Unternehmen ist die wirtschaftliche Auswirkung häufig unmittelbar: Produktionsunterbrechungen, verlorene Kunden, gestörte Transaktionen, Erpressungsversuche oder der Verlust von Know-how.

Die rechtliche und tatsächliche Aufklärung ist dagegen oft deutlich langsamer. Verschiedene nationale Behörden müssen ihre Zuständigkeit prüfen, Informationen austauschen und gegebenenfalls auf Rechtshilfe zurückgreifen. Unterschiedliche Rechtsordnungen und technische Gegebenheiten können die Aufklärung zusätzlich erschweren.

Daraus folgt nicht, dass staatliche Behörden wirkungslos wären. Sie verfügen über wichtige Ermittlungsbefugnisse und sind insbesondere bei Straftaten unverzichtbar. Allerdings können sie nicht jede Unternehmensinformation im Vorfeld schützen und auch nicht gewährleisten, dass verlorenes Wissen später wieder zurückgeholt wird.

Für Unternehmen bedeutet das: Wer erst reagiert, nachdem Daten abgeflossen sind oder ein Angriff stattgefunden hat, hat möglicherweise bereits einen wesentlichen Teil seines Handlungsspielraums verloren.

Die Bedrohung betrifft nicht nur Großkonzerne

Wirtschaftsspionage und Cyberangriffe werden häufig mit internationalen Konzernen oder staatlichen Geheimdiensten verbunden. Tatsächlich können aber auch mittelständische Unternehmen attraktive Ziele sein.

Ein spezialisierter Maschinenbauer kann über technisches Wissen verfügen, das für Wettbewerber wertvoll ist. Ein Handelsunternehmen besitzt möglicherweise Informationen über Bezugsquellen und Einkaufspreise. Eine Beratungsgesellschaft arbeitet mit vertraulichen Unternehmensdaten. Ein Familienunternehmen verhandelt über einen Verkauf, bei dem interne Zahlen und Zukunftspläne besonders schutzwürdig sind.

Nach der Studie „Wirtschaftsschutz 2026“ des Digitalverbands Bitkom waren 96 Prozent der befragten Unternehmen von Datendiebstahl, Industriespionage oder Sabotage betroffen oder vermuteten dies. Dabei ist die Unterscheidung wichtig: 67 Prozent konnten einen erfolgreichen Angriff nach eigenen Angaben sicher feststellen, weitere 29 Prozent vermuteten einen Vorfall, ohne ihn sicher belegen zu können.

Bitkom schätzt den jährlichen wirtschaftlichen Schaden auf eine Spanne von rund 211 bis 270,8 Milliarden Euro. Diese Werte sind Hochrechnungen aus einer Befragung und keine Summe einzeln gerichtlich nachgewiesener Schäden. Die Befragung umfasste 1.003 Unternehmen in Deutschland mit mindestens zehn Beschäftigten und einem Jahresumsatz von mindestens einer Million Euro. Bitkom e. V.

Die Zahlen zeigen vor allem eines: Unternehmenssicherheit darf nicht erst dann zum Thema werden, wenn bereits ein konkreter Schaden entstanden ist.

Geschäftsgeheimnisse sind nur geschützt, wenn Unternehmen sie schützen

Viele Unternehmer gehen davon aus, dass vertrauliche Informationen allein deshalb rechtlich geschützt sind, weil sie für das Unternehmen wichtig sind. Das ist zu kurz gedacht.

Nach dem deutschen Gesetz zum Schutz von Geschäftsgeheimnissen muss eine Information unter anderem Gegenstand angemessener Geheimhaltungsmaßnahmen sein, damit sie als Geschäftsgeheimnis im Sinne des Gesetzes geschützt wird. Welche Maßnahmen angemessen sind, hängt von den Umständen des Einzelfalls ab.

Ein hochsensibles technisches Verfahren kann andere Schutzmaßnahmen erfordern als eine allgemeine interne Arbeitsanweisung. Auch Unternehmensgröße, wirtschaftlicher Wert der Information, Zugriffsmöglichkeiten und praktische Umsetzbarkeit spielen bei der Beurteilung eine Rolle. Gesetz zum Schutz von Geschäftsgeheimnissen

Für Unternehmen beginnt der Schutz deshalb mit einer Bestandsaufnahme: Welche Informationen sind tatsächlich geschäftskritisch? Wo werden sie gespeichert? Wer hat Zugriff? An welche Personen oder Dienstleister werden sie weitergegeben? Und was geschieht, wenn ein Mitarbeiter oder Geschäftspartner ausscheidet?

Auf dieser Grundlage können abgestufte Maßnahmen entwickelt werden. Dazu gehören beispielsweise Zugriffsberechtigungen, Mehr-Faktor-Authentifizierung, sichere Datenräume, Verschlüsselung, vertrauliche Kennzeichnung von Dokumenten und passende vertragliche Regelungen.

Ein pauschales Geheimhaltungsversprechen allein wird häufig nicht ausreichen, wenn dieselben Informationen anschließend für einen großen und unkontrollierten Personenkreis zugänglich sind.

Wichtig ist auch die Dokumentation. Im Streitfall kann es darauf ankommen, welche Informationen geschützt wurden und welche Maßnahmen das Unternehmen tatsächlich umgesetzt hat.

Die Grenzen staatlicher Schutzsysteme

Der Staat hat eine zentrale Aufgabe: Er setzt rechtliche Rahmenbedingungen, verfolgt Straftaten und stellt Gerichte und Behörden zur Verfügung. Unternehmen können sich an Polizei, Staatsanwaltschaften und zuständige Sicherheitsbehörden wenden. Bei einem konkreten Vorfall kann dies ein entscheidender Schritt sein.

Dennoch sind die Interessen eines Unternehmens und die Aufgaben staatlicher Stellen nicht immer deckungsgleich.

Strafverfolgungsbehörden müssen prüfen, ob ein Anfangsverdacht für eine Straftat besteht und welche Ermittlungen rechtlich zulässig sind. Ein Unternehmen muss dagegen häufig sofort entscheiden, wie es seinen Geschäftsbetrieb fortführt, Kunden informiert, Zugriffe sperrt und wirtschaftlichen Schaden begrenzt.

Hinzu kommt: Nicht jeder wirtschaftlich bedrohliche Vorgang ist bereits eine Straftat. Und selbst wenn ein Gericht später einen Anspruch bestätigt, kann die praktische Durchsetzung über Landesgrenzen hinweg Zeit und Ressourcen erfordern.

Das ist keine Frage des Vertrauens in den Rechtsstaat. Es ist eine Frage unterschiedlicher Aufgaben und Möglichkeiten. Der Staat kann einen rechtlichen Rahmen schaffen und auf Verstöße reagieren. Die fortlaufende Organisation der eigenen Sicherheit bleibt eine Aufgabe der Unternehmensleitung.

Sicherheit muss deshalb als Teil der unternehmerischen Verantwortung verstanden werden – vergleichbar mit Liquiditätsplanung, Risikomanagement und dem Schutz betrieblicher Abläufe.

Privat handeln heißt professionell und rechtmäßig handeln

Wenn Unternehmen ihre Sicherheit selbst organisieren, bedeutet das nicht, dass sie staatliche Befugnisse übernehmen oder sich über rechtliche Grenzen hinwegsetzen dürfen.

Private Sicherheitsmaßnahmen müssen sich innerhalb der jeweils geltenden Gesetze bewegen. Das gilt insbesondere bei personenbezogenen Daten, internen Untersuchungen, dem Einsatz von Detekteien und der Auswertung technischer Systeme.

Ein Unternehmen darf nicht ohne Weiteres auf private Konten oder Geräte zugreifen, Kommunikation abfangen oder Mitarbeiter verdeckt überwachen. Ob und in welchem Umfang Untersuchungsmaßnahmen zulässig sind, muss vorab anhand des jeweiligen Sachverhalts und des anwendbaren Rechts geprüft werden. Bei internationalen Sachverhalten können mehrere Rechtsordnungen betroffen sein.

Professionelle Corporate Security beginnt daher nicht mit einer verdeckten Maßnahme, sondern mit einer sauberen Auftragsklärung:

Welche Gefahr besteht? Welche Tatsachen sind bereits bekannt? Welche Informationen fehlen? Welche Maßnahmen sind erforderlich, verhältnismäßig und zulässig? Wer darf sie durchführen? Und wie werden Ergebnisse dokumentiert und geschützt?

Je nach Situation können spezialisierte Rechtsanwälte, IT-Forensiker, Datenschutzexperten, Sicherheitsdienstleister oder rechtmäßig tätige Detekteien eingebunden werden. Wichtig ist, ihre Aufgaben klar voneinander abzugrenzen und ihre Zusammenarbeit zu koordinieren.

Internationale Sicherheitslösungen für Unternehmen

Ein international ausgerichtetes Sicherheitskonzept muss nicht bedeuten, überall eigene Mitarbeiter oder Niederlassungen zu unterhalten. Entscheidend ist vielmehr, dass ein Unternehmen seine Risiken standortübergreifend versteht und für konkrete Vorfälle auf geeignete Ansprechpartner und Verfahren zurückgreifen kann.

Dazu gehört zunächst eine unternehmensweite Risikoanalyse. Sie sollte berücksichtigen, welche Standorte, Personen, Informationen und Geschäftsbeziehungen besonders schutzbedürftig sind.

Darauf aufbauend können für einzelne Bereiche passende Maßnahmen entwickelt werden: technische Sicherheitsstandards für internationale Zugriffe, abgestufte Berechtigungen für externe Partner, Sicherheitsanforderungen an Dienstleister und klare Meldewege für verdächtige Vorgänge.

Ebenso wichtig ist ein Plan für den Ernstfall. Wenn beispielsweise vertrauliche Daten bei einem ausländischen Geschäftspartner abgeflossen sein könnten, müssen Zuständigkeiten und die nächsten Schritte schnell feststehen. Wer bewertet den Vorfall? Wer sichert vorhandene Informationen? Wer prüft vertragliche und rechtliche Möglichkeiten? Wer entscheidet über die Kommunikation mit Kunden und Behörden?

Ein abgestimmter Ablauf ersetzt keine individuelle Rechtsprüfung. Er verhindert aber, dass wertvolle Zeit durch ungeklärte Zuständigkeiten verloren geht.

Auch die Auswahl externer Sicherheitsdienstleister ist Teil des Risikomanagements. Unternehmen sollten prüfen, welche Qualifikationen und Befugnisse ein Anbieter für die jeweilige Aufgabe besitzt, welche Informationen er benötigt, wie er mit Daten umgeht und ob Interessenkonflikte bestehen.

Vertraulichkeit entsteht nicht dadurch, dass ein Dienstleister sich als diskret bezeichnet. Sie muss organisatorisch, vertraglich und technisch abgesichert werden.

Was Unternehmer jetzt überprüfen sollten

Eine Bestandsaufnahme muss nicht mit einem umfangreichen Sicherheitsprojekt beginnen. Entscheidend ist zunächst, die wichtigsten Fragen ehrlich zu beantworten.

Welche Informationen wären für Wettbewerber, Angreifer oder andere Dritte besonders wertvoll? Wer kann derzeit darauf zugreifen? Sind ehemalige Mitarbeiter und externe Partner technisch und organisatorisch sauber aus früheren Projekten ausgeschieden?

Wissen die Verantwortlichen, an wen sie sich bei einem konkreten Verdacht wenden? Gibt es eine sichere Möglichkeit, Vorfälle intern zu melden? Sind die Kontaktdaten von IT-Dienstleistern, Rechtsberatung und gegebenenfalls weiteren Spezialisten verfügbar, wenn ein Angriff außerhalb der üblichen Geschäftszeiten stattfindet?

Und schließlich: Sind Schutzmaßnahmen tatsächlich umgesetzt oder existieren sie nur auf dem Papier?

Gerade bei Unternehmenskäufen, Gesellschafterkonflikten, Finanzierungsgesprächen und Veränderungen im Führungskreis steigt häufig die Zahl der Personen, die Zugang zu sensiblen Informationen erhalten. In solchen Phasen sollten Berechtigungen und Weitergaben besonders sorgfältig gesteuert werden.

Corporate Security als Bestandteil der Unternehmensstrategie

Unternehmenssicherheit ist keine isolierte technische Frage. Sie betrifft die Strategie, die Organisation, die Menschen und die wirtschaftliche Handlungsfähigkeit eines Unternehmens.

Der aktuelle Fall um den ehemaligen BND-Präsidenten zeigt, wie groß die öffentliche und wirtschaftliche Bedeutung sensibler Informationen sein kann. Über die konkreten Vorwürfe werden die zuständigen Stellen und gegebenenfalls Gerichte zu entscheiden haben.

Für Unternehmer liegt die praktische Aufgabe bereits heute auf der Hand: Sie müssen wissen, welche Werte und Informationen für ihr Unternehmen entscheidend sind, wo Risiken bestehen und wie sie im Ernstfall handlungsfähig bleiben.

Staatliche Stellen und rechtliche Verfahren bleiben wichtige Partner. Wer seine Sicherheit jedoch allein von einer späteren behördlichen Reaktion abhängig macht, überlässt einen wesentlichen Teil seiner unternehmerischen Handlungsfähigkeit dem Zufall.

Professioneller Schutz beginnt im eigenen Unternehmen – durch klare Zuständigkeiten, geeignete Maßnahmen und die Zusammenarbeit mit qualifizierten Fachleuten.

ANGELUS unterstützt Unternehmen bei der wirtschaftlich-organisatorischen Einordnung von Bedrohungslagen, der Strukturierung von Maßnahmen und der Koordination externer Spezialisten. Rechtliche Fragen und gegebenenfalls erforderliche Ermittlungs- oder Sicherheitsleistungen werden von entsprechend befugten und beauftragten Fachleuten übernommen.