Verteidigung: Bedingt abwehrfähig – Mittelstand ist auf Ernstfall nicht ausreichend vorbereitet

Mittelständische Unternehmen sind bereit, im Spannungs- und Verteidigungsfall Verantwortung zu übernehmen, zeigt eine Umfrage. Doch trauen sie sich da nicht selbst zu viel zu?

86 Prozent der Unternehmen sind grundsätzlich bereit, Kapazitäten für die Landesverteidigung bereitzustellen. Doch zwischen der Bereitschaft und den Fähigkeiten klafft eine große Lücke.

Um herauszufinden, wie es um die „Defense Readiness“ des Mittelstands bestellt ist, hat das Meinungsforschungsinstitut Civey im Juli und August 1000 Führungskräfte befragt.

Eine große Schwachstelle bei vielen Unternehmen ist die IT-Resilienz, weil Kriterien wie Offline-Backups, Multi-Faktor-Authentifizierung oder regelmäßige Notfallübungen nicht erfüllt werden.

Berlin. In Deutschland sind nur 3,1 Prozent der Mittelständler vollumfänglich darauf vorbereitet, im Spannungs- oder Verteidigungsfall einen wertvollen Beitrag zu leisten. Das zeigt eine Erhebung der Management- und IT-Beratung MHP und des Zentrums Nachhaltige Transformation der Berliner Quadriga Hochschule. Sie liegt dem Handelsblatt vorab vor.

86 Prozent der Unternehmen sind zwar grundsätzlich bereit, Kapazitäten für die Landesverteidigung bereitzustellen. Doch zwischen der Bereitschaft und den Fähigkeiten klafft eine große Lücke. „Die Selbsteinschätzung ist viel zu optimistisch, die tatsächliche Vorbereitung des Managements wird dem nicht gerecht“, sagt MHP-Partner John Eisenhauer, der den Bereich Verteidigung und öffentlicher Sektor leitet.

Worum es im Zweifel geht, zeigt dieses fiktive, aber nicht unrealistische Szenario: In Estland haben bewaffnete Kämpfer ohne Hoheitsabzeichen die Grenze verletzt, die Bundeswehr verlegt Soldaten und Gerät ins Baltikum. Deutschland wird zum Durchmarschgebiet alliierter Truppen auf dem Weg an die Ostflanke, die untergebracht und versorgt werden müssen. Cyberangriffe auf Energieversorger und Banken führen zu Stromausfällen, die Geldautomaten funktionieren zeitweise nicht. In der Bevölkerung greifen zunehmend Ängste um sich. Was, wenn bald die Supermärkte schließen und es auch kein Benzin mehr gibt? Es kommt zu Hamsterkäufen, an den Tankstellen bilden sich lange Schlangen.

In einer solchen Situation käme es ganz entscheidend auch auf die Unternehmen an. Sie müssten bei Bedarf nicht nur die Bundeswehr und die Alliierten unterstützen – mit der Freistellung von Reservisten, mit Transport- und Unterbringungskapazitäten, mit Ersatzteilen und Verpflegung. Sie müssten zudem, so gut es geht, auch den eigenen Betrieb und damit das „normale Leben“ in Deutschland am Laufen halten. Bundesverteidigungsminister Boris Pistorius (SPD) formulierte es im Juni bei der Innenministerkonferenz so: „Ohne eine leistungsfähige zivile Basis bleibt militärische Stärke wirkungslos.“

Um herauszufinden, wie es um die „Defense Readiness“ des Mittelstands bestellt ist, hat das Meinungsforschungsinstitut Civey im Juli und August 1000 Führungskräfte aus privatwirtschaftlichen Unternehmen mit 50 Millionen bis fünf Milliarden Euro Jahresumsatz befragt.

Neben der Selbsteinschätzung wurden auch Parameter abgefragt, die darauf hindeuten, wie gut die Unternehmen tatsächlich darauf vorbereitet sind, auch in schwierigen Zeiten zu bestehen. Zum Beispiel, wie widerstandsfähig die eigene IT ist, ob das Unternehmen Notfallpläne für den Verteidigungsfall entwickelt hat oder wie transparent und belastbar seine Lieferketten sind.

„Für die Defense Readiness kommt es darauf an, welche Leistungen Unternehmen im Ernstfall tatsächlich bereitstellen können – in welcher Menge, mit welcher Vorlaufzeit und über welchen Zeitraum“, erklärt Torsten Oltmanns, geschäftsführender Direktor des Zentrums Nachhaltige Transformation.

Und hier sind die Ergebnisse eher ernüchternd. Zwar ordnen 93 Prozent der Unternehmen ihre jeweilige Branche als relevant für die Versorgungssicherheit ein. Aber nur gut drei Prozent erfüllen alle abgefragten Grundlagen für die Fähigkeit, Krisen und Schocks wie den Verteidigungsfall zu bewältigen. Fast die Hälfte – 48,4 Prozent – erfüllte keine oder nur eine einzige Grundlage. Nur etwa vier von zehn Mittelständlern haben ihre mögliche Rolle in einer Verteidigungssituation überhaupt bereits vollständig identifiziert.

Eine große Schwachstelle bei vielen Unternehmen ist die IT-Resilienz, weil Kriterien wie Offline-Back-ups, Multi-Faktor-Authentifizierung oder regelmäßige Notfallübungen nicht erfüllt werden. Drei von vier Unternehmen können einen vollständigen Ausfall ihrer IT-Systeme höchstens ein bis drei Tage überbrücken. Gerade in den Branchen Transport und Logistik gibt es laut der Befragung große Defizite in diesem Bereich: „Ausgerechnet dort, wo Deutschland im Verteidigungsfall besonders auf die Wirtschaft angewiesen ist, sehen wir erhebliche Lücken bei der digitalen Resilienz“, sagt Oltmanns.

Die Vorbereitung für mögliche Krisenszenarien bleibe zu häufig noch an der Oberfläche, sagt auch der Präsident des Bundesverbands für Sicherheit in der Wirtschaft (VSW), Johannes Strümpfel. „Welches Unternehmen traut sich schon, sein Rechenzentrum komplett herunter- und aus einem Back-up wieder hochzufahren, wenn es dabei Gefahr läuft, dass die Produktion stillsteht?“, fragt der Manager, der für die Sicherheit im Siemens-Konzern verantwortlich ist.

Dass es um die Abwehrfähigkeit der deutschen Wirtschaft und Gesellschaft noch nicht zum Besten bestellt ist, zeigen auch andere Untersuchungen. Bereits 2025 hatte die Deutsche Krankenhausgesellschaft eine Studie vorgestellt, wonach deutsche Kliniken nur eingeschränkt krisen- und verteidigungsfähig sind. Nach einer Umfrage des IT-Verbands Bitkom gab fast ein Drittel der Unternehmen an, den eigenen Geschäftsbetrieb ohne Internet gar nicht oder für höchstens fünf Stunden aufrechterhalten zu können.

Die Politik hat durchaus reagiert, beispielsweise mit dem sogenannten Kritis-Dachgesetz oder dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Ersteres stellt Mindestanforderungen an die Sicherheit von Anlagen der kritischen Infrastruktur, also beispielsweise Kraftwerken. Letzteres erlegt Unternehmen verschiedener Branchen ab 50 Beschäftigten oder zehn Millionen Euro Jahresumsatz Pflichten für das Risikomanagement auf.

Der Präsident des VSW-Bundesverbands hält aber wenig davon, die Unternehmen darüber hinaus noch mit weiterer Regulatorik zu überziehen, die oft nur „zu Papierkram“ führe. „Es muss das ureigenste Interesse der Unternehmen sein, sich mit diesen Themen zu beschäftigen, weil es im Zweifel um ihre Existenz geht“, sagt Strümpfel.

Aus Sicht von MHP-Partner Eisenhauer muss Deutschland aber auch „nicht bei null anfangen“. In vielen Unternehmen gebe es bereits Technologien für ein resilientes Versorgungssystem. Jetzt komme es auf die Vernetzung an, damit „staatliche Stellen und Unternehmen im Krisenfall schnell erkennen können, welche Leistungen verfügbar sind, wo Abhängigkeiten bestehen und welche Alternativen zur Verfügung stehen“, sagt Eisenhauer.