Die Republik muss üben, was sie im Ernstfall leisten will

von Team Redaktion
7. Juni 2026

Die AFCEA-Fachausstellung in Bonn zeigte, weshalb Verteidigungsfähigkeit zur Systemfrage von Staat, Wirtschaft, Infrastruktur, Technologie und Bevölkerung wird

Bonn als Probe auf den Ernstfall

Im ehemaligen Plenarsaal des Bundestages begann die AFCEA-Fachausstellung nicht mit der üblichen Beschwörung neuer Technik. Der Ort selbst widersprach jeder Verengung. Bonn steht für Bundespolitik, föderale Ordnung, Bundeswehr, Bundesamt für Sicherheit in der Informationstechnik, Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, internationale Organisationen, Telekommunikation, Wissenschaft und Verwaltung. Wer dort über Sicherheit spricht, kann sie kaum auf Gerät, Truppe oder Haushaltszahlen reduzieren.

Die zentrale Frage dieser Fachausstellung lautete: Kann Deutschland seine vielen Fähigkeiten so verbinden, dass daraus im Ernstfall gemeinsames Handeln wird?

Generalmajor Armin Fleischmann setzte dafür den Rahmen. „Vernetzt denken und sicher handeln“ war kein Slogan für eine Messehalle. Es war eine Zustandsbeschreibung mit Prüfauftrag. Verteidigung ist keine rein militärische Aufgabe mehr. Sie reicht in kritische Infrastruktur, Katastrophenschutz, Industrie, Wissenschaft, Kommunen, Zivilgesellschaft und private Betreiber hinein. Entscheidend sind daher nicht allein neue Systeme, neue Plattformen, neue Sensoren. Entscheidend sind Übergänge.

Wo entsteht ein gemeinsames Lagebild? Wo existieren mehrere nebeneinander? Wo reißen Entscheidungsketten an Ländergrenzen, Ressortgrenzen oder Organisationsgrenzen? Was muss vor der Krise geklärt sein, damit in der Krise nicht improvisiert wird?

Das ist der Kern des Sicherheitsökosystems 2030. Es geht nicht um ein weiteres Schaubild. Es geht um eine Republik, die ihre Schnittstellen ernst nimmt.

Airbus und der Cyberraum ohne klare Grenze

Andreas Reinecke von Airbus brachte diese Systemfrage aus industrieller Perspektive auf den Punkt. Die Sicherheitslandschaft sei komplexer, dynamischer, systemischer geworden. Besonders der Cyberraum sprenge alte Unterscheidungen. Was ist dort noch militärisch, was zivil? Was gehört zur inneren Sicherheit, was zur äußeren Sicherheit? Was ist Angriff, was Störung, was Sabotage, was Vorbereitung, was Desinformation?

In dieser Lage helfen getrennte Antworten immer weniger. Cyberangriffe, Drohnenvorfälle, Störungen von Satellitensignalen, Sabotage an kritischer Infrastruktur, Angriffe auf Lieferketten, Störungen von Unterseekabeln oder koordinierte Desinformationskampagnen halten sich nicht an Zuständigkeitspläne. Sie laufen quer durch Staat und Wirtschaft.

Reineckes Hinweis auf den deutschen Föderalismus war daher kein beiläufiger Verwaltungssatz. Verteilte Kompetenzen können in normalen Zeiten Ausdruck demokratischer Balance sein. In hybriden Lagen können sie Tempo kosten. Das heißt nicht, dass der Föderalismus abgeschafft werden müsste. Es heißt, dass seine Verbindungen belastbar werden müssen.

Der Cyberraum zwingt Deutschland zu einer unbequemen Einsicht: Zuständigkeit schützt nicht vor Gleichzeitigkeit. Ein Angriff kann militärische, polizeiliche, kommunale, industrielle und zivile Folgen zugleich entfalten. Wer dann zuerst klärt, wer formell zuständig ist, verliert Zeit. Wer vorher geübt hat, welche Stelle welche Information erhält, welche Entscheidung trifft und welche Wirkung auslöst, gewinnt Handlungsfähigkeit.

2029 als Taktgeber

Die Jahreszahl 2029 schwebte über vielen Gesprächen. Sie steht inzwischen für eine sicherheitspolitische Warnmarke. Nicht als Prophezeiung, eher als Zeitmaß, an dem sich Reformen messen lassen müssen. General a. D. Jörg Vollmer erläuterte, wie solche Daten aus Rüstungsproduktion, Rekrutierungszahlen und militärischer Aufstellung abgeleitet werden. Sein entscheidender Gedanke lautete: Eine solche Zahl ist nur nützlich, falls man sich an ihr ausrichtet.

2029 zwingt zur Reihenfolge. Welche Brücken tragen? Welche Schienenwege sind verfügbar? Welche Häfen funktionieren unter Druck? Welche Krankenhäuser können Verwundete aufnehmen? Welche Kommunikationskanäle bleiben erreichbar? Welche Betreiber kritischer Infrastruktur kennen ihre Ansprechpartner? Welche Kommunen haben Notfallpläne geübt? Welche Unternehmen wissen, welche Fachkräfte im Ernstfall fehlen? Welche Daten dürfen geteilt werden? Welche Daten müssen geteilt werden?

Der Zeitdruck entlarvt die alte deutsche Methode, aus jeder Reform eine Langstrecke zu machen. In der Sicherheitspolitik wird Zeit selbst zum Gegner. Eine Meldekette, die erst nach dem Ereignis gebaut wird, ist keine Meldekette. Ein Lagebild, das erst in der Krise Rechte klärt, ist kein Lagebild. Eine Bevölkerung, die erst bei Ausfall von Strom und Mobilfunk lernt, was zu tun ist, wird zur zusätzlichen Belastung.

Google rückt den Prüfstein nach vorn: Übung

Bernd König, Geschäftsführer von Google Cloud Public Sector Deutschland, führte die Debatte an den Punkt zurück, an dem Konzepte ihre Schonfrist verlieren. Sein Maßstab ist knapp: Was nicht geübt wird, funktioniert im Ernstfall nicht.

Damit verschiebt König die Aufmerksamkeit von der Architektur zur Ausführung. Cloud, Datenräume, künstliche Intelligenz, automatisierte Sicherheitszentren und Plattformen können staatliche Handlungsfähigkeit erhöhen. Doch sie erzeugen keine Krisenfähigkeit aus sich heraus. Eine Plattform ist noch keine Entscheidung. Ein Lagebild ist noch keine Handlung. Ein Datenstrom ist noch keine Warnung. Eine App ist noch kein Bevölkerungsschutz.

König hält Deutschland den Unterschied zwischen Ankündigung und Fähigkeit vor. Konzepte werden geschrieben, Zuständigkeiten vermerkt, Gremien eingerichtet, Programme verabschiedet. Danach entsteht häufig die Illusion, ein Problem sei bearbeitet, weil es beschrieben wurde. Der Ernstfall fragt anders. Er fragt, wer übt, wer meldet, wer entscheidet, wer korrigiert, wer Verantwortung trägt und wer am Ende überprüft, ob die Maßnahme gewirkt hat.

Ein Warntag, der ohne echte Übung bleibt, prüft Technik und erzeugt Routine auf niedrigem Niveau. Er zeigt vielleicht, ob eine Sirene läuft. Er zeigt noch nicht, ob Bürger wissen, was sie tun sollen, ob Kommunen Rückmeldungen verarbeiten, ob Schulen Verfahren kennen, ob Kliniken auf Lageänderungen reagieren, ob Betreiber kritischer Infrastruktur eingebunden sind. Eine Übung stört Abläufe. Sie legt Fehler offen. Sie macht Zuständigkeiten unbequem. Genau deshalb ist sie unverzichtbar.

Die Meldekette als Wahrheitsprobe

Besonders konkret wird Königs Beitrag beim Ahrtal. Die Katastrophe zeigte nicht allein ein Technikproblem. Entscheidend war die gebrochene Meldekette. Informationen wurden erfasst, bewertet, weitergegeben, kamen aber nicht so in Handlung, wie es die Lage verlangt hätte. Zwischen Bund, Ländern und Kommunen riss der Zusammenhang.

Diese Lehre trifft das Sicherheitsökosystem im Kern. Daten müssen einen Weg zur Entscheidung haben. Dieser Weg beginnt bei der Erfassung, führt über Bewertung, Priorisierung, Weiterleitung und Verständlichkeit bis zur Zuständigkeit. Am Ende muss jemand handeln: eine Kommune evakuieren, ein Betreiber ein Netz sichern, eine Klinik Kapazitäten melden, eine Schule schließen, ein Lagezentrum warnen, ein Krisenstab entscheiden.

Wird diese Kette nicht geübt, funktioniert sie im Ernstfall nicht plötzlich aus eigener Kraft. Die beste Cloud bleibt wirkungslos, falls die Meldekette bricht. Die beste künstliche Intelligenz hilft wenig, falls niemand ihre Warnung in Verantwortung übersetzt. Die beste Datenplattform bleibt Dekor, falls sie keine Entscheidung beschleunigt.

Für ein Unternehmen wie Google Cloud ist diese Einsicht anspruchsvoll. König zieht die Debatte nicht in eine bloße Technologieerzählung. Er stellt die Wirkung in den Vordergrund. Digitale Infrastruktur muss Verfahren tragen, Rückmeldung ermöglichen, Verantwortlichkeiten sichtbar machen und Übung unterstützen. Wer nur Lizenzen beschafft, kauft noch keine Resilienz.

Die Drehscheibe ist kein Verkehrsschild

Vollmers Begriff von Deutschland als Drehscheibe der Bündnisverteidigung verdient besondere Aufmerksamkeit. Er klingt nach Logistik. Tatsächlich beschreibt er die Verwundbarkeit eines ganzen Landes.

Im Krisenfall würden Truppen, Material, Munition und Versorgung von West nach Ost bewegt. Alliierte Kräfte müssten aufgenommen, entladen, verlegt und versorgt werden. Zugleich kämen Verwundete zurück, Flüchtlinge müssten betreut, Straßen freigehalten, Kliniken vorbereitet, Bahntrassen gesichert, Brücken bewertet und Energieversorgung stabilisiert werden. Die Bewegungen liefen nicht nacheinander, sie liefen gleichzeitig. Damit wird Logistik zur Verteidigung. Und Infrastruktur zur Achillesferse.

Eine beschädigte Brücke ist dann kein lokales Bauproblem. Eine überlastete Bahntrasse ist kein Fahrplanärgernis. Ein Stromausfall ist kein Komfortverlust. Ein gestörtes Mobilfunknetz ist kein technisches Randproblem. In der Drehscheibe Deutschland wird jede Störung zum Faktor der Gesamtverteidigung.

Vollmers Formel von Informationsüberlegenheit, Führungsüberlegenheit und Wirkungsüberlegenheit führt hier weiter. Wer die Lage nicht sieht, kann sie nicht führen. Wer sie nicht führen kann, erzielt keine Wirkung. Diese Logik gilt militärisch, aber auch für Zivilschutz, Katastrophenschutz, Infrastrukturmanagement und Krisenkommunikation.

Arvato und die Rückkehr des Papiers

Norbert Ahrend von Arvato Systems lenkte den Blick auf eine scheinbar unspektakuläre, in Wahrheit zentrale Frage: Information muss weiterfließen, auch sobald digitale Systeme ausfallen. Das betrifft militärische Führungsnetze, Behörden, Betreiber kritischer Infrastruktur und Bürger. Es betrifft den Moment, in dem Strom fehlt, Mobilfunknetze überlastet sind, Server gestört werden, Apps nicht erreichbar sind und Menschen wissen müssen, welche Anweisung gilt.

Ahrend verbindet digitale Informationsversorgung mit analogen Rückfallebenen. Arvato Systems steht für Informationssicherheit und robuste digitale Prozesse. Zugleich verweist Ahrend auf Bertelsmanns Druckmöglichkeiten. Im Krisenfall kann Papier zur letzten Leitung des Staates werden.

Das wirkt zunächst gegen den Zeitgeist der Digitalisierung. Genau darin liegt seine Brisanz. Ein Aushang braucht kein Netz. Ein Handzettel hat keinen Akku. Eine gedruckte Karte stürzt nicht ab. Ein Merkblatt kann verteilt, kopiert, aufgehängt und weitergegeben werden. In Schulen, Rathäusern, Bahnhöfen, Apotheken, Feuerwehrhäusern, Notunterkünften, Supermärkten und Kliniken kann gedruckte Information Verhalten steuern, während digitale Kanäle ausfallen.

Redundanz ist hier kein Rückschritt. Sie ist Überlebensfähigkeit. Ein belastbares Sicherheitsökosystem braucht Cloud und Papier, Lagebild und Megafon, Datenraum und Aushang, Warn-App und Kurbelradio. Das ist keine Absage an Digitalisierung. Es ist erwachsene Digitalisierung. Ein System ist erst reif, sobald es seine eigene Störung mitdenkt.

Der Bleistift schlägt das Dashboard im falschen Augenblick

Königs Hinweis auf analoge Rückfallebenen führt in dieselbe Richtung. Kurbelradio, Megafon, Meldeblock und Bleistift wirken in Hochglanzpräsentationen armselig. Im Stromausfall können sie wertvoller sein als ein System, das nur unter Idealbedingungen glänzt. König erinnert daran, dass ein Bleistift auch auf nassem Papier schreibt.

Dieser Satz ist mehr als eine hübsche Formulierung. Er trennt robuste Sicherheitsarchitektur von digitaler Selbstzufriedenheit. Eine Verwaltung, die nur online arbeitet, bleibt im Stromausfall nicht arbeitsfähig. Ein Staat, der nur digital warnt, warnt nicht sicher. Eine Meldekette, die nur unter Idealbedingungen funktioniert, verdient ihren Namen nicht.

Die richtige Formel lautet daher nicht digital first um jeden Preis. Sie lautet: digital, solange es trägt; analog, sobald es nötig wird. Nur so entsteht eine Sicherheitsarchitektur, die Ausfall nicht als Pech behandelt, sondern als erwartbaren Teil der Lage.

Secunet und die Cyberkräfte der Fläche

Christine Skropke von Secunet, auch im Vorstand von AFCEA Bonn engagiert, verschob den Blick auf ein weiteres Defizit: Cybersicherheit ist eine Personalfrage. Deutschland verfügt über exzellente Hochschulstandorte. Die Ruhr-Universität Bochum steht mit dem Exzellenzcluster CASA und dem Horst-Görtz-Institut für IT-Sicherheit für akademische Spitze. Dort geht es um Kryptographie, Angriffserkennung, Schwachstellenanalyse, Netzwerksicherheit, Sicherheit vernetzter Systeme und Schutz der digitalen Gesellschaft.

Doch Skropkes wichtigster Hinweis liegt unterhalb der Universität. Spitzenforschung allein schützt keine kommunalen Netze, keine Klinikserver, keine Stadtwerke, keine mittelständischen Produktionsanlagen. Dafür braucht es Menschen, die im Alltag Updates sicher einspielen, Netzwerke überwachen, Angriffe erkennen, Verschlüsselung verstehen, Rechte sauber vergeben und Systeme im Notbetrieb stabil halten.

Deshalb gehört Cybersicherheit in die berufliche Ausbildung. Der Fachinformatiker ist bereits ein Schlüsselberuf der digitalen Republik. In der Fachrichtung Digitale Vernetzung liegen Sicherheitsbezüge schon heute nahe: Systeme planen, vernetzen, betreiben, schützen, Ausfälle vermeiden, Daten gegen unerlaubte Zugriffe sichern. Doch Skropkes Forderung geht weiter. Cybersicherheit muss verbindlicher, praxisnäher, sichtbarer in Ausbildungsordnungen, Berufsschulen, Prüfungen und Betrieben vorkommen. Langfristig kann daraus ein eigener Ausbildungsberuf entstehen.

Das ist ein Auftrag an Industrie- und Handelskammern, Berufsschulen, Ausbildungsbetriebe, das Bundesinstitut für Berufsbildung, Länder und zuständige Ministerien. Der Cyberraum wird nicht allein an Universitäten verteidigt. Er wird in Berufskollegs, kommunalen IT-Ämtern, Rechenzentren, Kliniken, Stadtwerken und mittelständischen Betrieben täglich stabilisiert.

Personalmanagement wird Sicherheitspolitik

Diese Secunet-Linie führt direkt in die Personaldebatte. Personalabteilungen galten lange als Orte für Recruiting, Bindung, Entwicklung, Vergütung und Arbeitsrecht. In der neuen Sicherheitslage werden sie Teil der Resilienzplanung.

Wer kann kritische Systeme bedienen? Wer besitzt Reservistenstatus? Wer kann bei Cybervorfällen handeln? Wer kann einen Notbetrieb führen? Wer ist in einem Betrieb unersetzbar, weil Wissen nicht dokumentiert ist? Wer kennt Lieferanten, Zugänge, Ersatzwege, Notfallkontakte? Welche Fachkräfte fehlen, sobald der Staat ruft? Welche Auszubildenden werden künftig gebraucht, damit Cybersicherheit nicht bei wenigen Spezialisten hängenbleibt?

Die Debatte über das Reservestärkungsgesetz von Verteidigungsminister Boris Pistorius zeigt, wie eng Personal, Wirtschaft und Gesamtverteidigung zusammenrücken. Wer freiwillig bei der Bundeswehr gedient hat, soll künftig über lange Phasen des Berufslebens zu Übungen herangezogen werden können. Für Unternehmen kann das Ausfälle bei IT, Logistik, Instandhaltung, Elektrotechnik, Produktion und Führung bedeuten. Zugleich braucht der Staat eine verlässliche Reserve.

Die Lösung kann weder in blindem Zugriff des Staates noch in völliger Blockade der Betriebe liegen. Sie braucht Transparenz, Planbarkeit, rechtssichere Informationen, Vertretungsmodelle, Ausbildungspfade und Übungen. Personalmanagement wird zur Schnittstelle zwischen betrieblicher Arbeitsfähigkeit und nationaler Sicherheitsfähigkeit.

Airbus, Google, Arvato und Secunet erzählen eine Lage aus vier Richtungen

Airbus spricht über hybride Bedrohungen, Cyberraum, Föderalismus und industrielle Systemfähigkeit. Google rückt Übung, Meldekette, Datenwirkung und Umsetzung in den Mittelpunkt. Arvato Systems spricht über Informationsversorgung, Redundanz, Druckkapazitäten und analoge Rückfallebenen. Secunet spricht über Cyberresilienz, europäische Koordination, Ausbildung und Fachkräfte. Vollmer spricht über Drehscheibe, Abschreckung, Wirkung und Zeit. Fleischmann spricht über das Sicherheitsökosystem, Lagebilder, Schnittstellen und Praxisrückmeldung.

Aus diesen Stimmen entsteht ein Gesamtbild der AFCEA-Fachausstellung: Deutschland hat viele Fähigkeiten, aber ihre Kopplung ist noch nicht robust genug. Die Lücke liegt nicht allein bei der Technik. Sie liegt in Orchestrierung, Übung, Personal, Kommunikation, Datenfreigabe, Zivilschutz und Bevölkerungsvorbereitung.

Ein Sicherheitsökosystem ist daher keine neue Modeformel. Es beschreibt die Arbeitsform, die Deutschland braucht, weil kein Akteur die Lage allein beherrscht. Die Bundeswehr braucht zivile Infrastruktur. Die Polizei braucht Daten und Kommunikation. Kommunen brauchen Lageinformationen und Ressourcen. Betreiber kritischer Infrastruktur brauchen Ansprechpartner und Schutz. Unternehmen brauchen Planbarkeit und Fachkräfte. Bürger brauchen Orientierung. Industrie braucht Nachfrage, Geschwindigkeit und klare Prioritäten.

Die Bevölkerung darf nicht Zuschauer bleiben

Ahrends Hinweis auf gedruckte Informationen, Skropkes Verweis auf Bürgerkampagnen, Königs Forderung nach Übung und Vollmers Diagnose des andauernden Konflikts führen zu einer unbequemen Frage: Welche Rolle spielt die Bevölkerung?

Deutschland hat Bürger lange als Empfänger staatlicher Warnmeldungen behandelt. Doch Resilienz verlangt mehr. Menschen müssen wissen, wie sie einige Tage zurechtkommen, wie sie Informationen prüfen, wie sie Nachbarn helfen, welche lokalen Anlaufstellen existieren, wie sie sich bei Stromausfall, Desinformation, Evakuierung, Trinkwasserwarnung oder Kommunikationsstörung verhalten.

Das ist keine Militarisierung des Alltags. Es ist Selbstbehauptung einer offenen Gesellschaft. Wer vorbereitet ist, bleibt handlungsfähig. Wer handlungsfähig bleibt, entlastet Hilfskräfte, Verwaltungen und Familien. Wer sich orientieren kann, wird weniger anfällig für Gerüchte und Panik.

Ein Warntag pro Jahr reicht dafür nicht. Übungen müssen in Länder, Regionen, Schulen, Betriebe, Volkshochschulen, Seniorenbildung, Feuerwehren, Hilfsorganisationen und Unternehmen hinein. Routine entsteht nicht durch Ankündigung. Sie entsteht durch Wiederholung.

Europa als Verstärker und Prüfstand

Die AFCEA-Debatte blieb nicht national. Deutschland liegt im Herzen Europas und wäre im Ernstfall logistische Drehscheibe. Cyberangriffe, Desinformation, Störungen im Luftverkehr, Unterseekabel, Satellitensignale, Roaming-Probleme und Lieferketten machen an Grenzen nicht halt.

Skropke fordert deshalb mehr europäische Koordination, sichere Kommunikation, ein gemeinsames Verständnis von Lagebildern und mehr Vertrauen beim Datenaustausch. Die Europäische Agentur für Cybersicherheit, das Bundesamt für Sicherheit in der Informationstechnik und andere nationale Behörden müssen enger zusammenarbeiten. Nationale Sonderwege dürfen im Krisenfall nicht dazu führen, dass Kommunikation an der Grenze abreißt.

Auch hier zeigt sich: Interoperabilität ist nicht nur Technik. Sie ist gemeinsame Sprache, geübtes Verfahren, rechtliche Klarheit, Vertrauen und Ausbildung. Europa braucht nicht nur Verträge. Europa braucht Krisenfähigkeit.

Der Bonner Prüfauftrag

Am Ende bleibt aus der AFCEA-Fachausstellung ein klarer Prüfauftrag. Deutschland muss seine Sicherheitsarchitektur vom Ereignis her denken. Nicht vom Ressort, nicht vom Organigramm, nicht vom Produkt, nicht vom Einzelprojekt.

Ein Cyberangriff auf ein Krankenhaus fragt nicht nach Zuständigkeitslogik. Ein Drohnenüberflug über einem Flugplatz wartet nicht auf Gremien. Ein Angriff auf ein Unterseekabel folgt nicht deutscher Verwaltungsordnung. Ein Stromausfall in einer Kommune prüft keine Strategie, er prüft Erreichbarkeit, Notstrom, Kommunikation, Personal und Vertrauen. Eine Truppenverlegung durch Deutschland testet Brücken, Bahntrassen, Häfen, Logistikunternehmen, Sanität, Polizei, Energie und politische Entscheidung.

Die Fachausstellung zeigte, dass viele Akteure diese Lage erkannt haben. Airbus sieht die Systemfrage. Google fordert Übung und Umsetzung. Arvato erinnert an die letzte Verbindung. Secunet rückt Ausbildung und Personal nach vorn. Vollmer benennt die Drehscheibenlogik. Fleischmann fordert Rückmeldung aus der Praxis und ein Sicherheitsökosystem, das vor der Krise funktioniert. Nun muss daraus Arbeit werden.

Aus Fähigkeit muss Zusammenhang werden

Deutschland ist kein leeres Blatt. Es besitzt Behörden, Unternehmen, Forschung, industrielle Kompetenz, Bundeswehr, Kommunen, Hilfsorganisationen, Rechenzentren, Cyberexperten, Logistiker, Energieversorger, Medien und engagierte Bürger. Das Problem liegt nicht im völligen Fehlen von Fähigkeit. Es liegt im fehlenden Zusammenhang.

Die Republik braucht ein Lagebild, das geteilt wird. Meldewege, die geübt sind. Personal, das verfügbar bleibt. Ausbildungswege, die Cyberkompetenz in die Fläche bringen. Digitale Systeme, die ausfallsicherer werden. Analoge Rückfallebenen, die vorbereitet sind. Infrastruktur, die ihre Rolle in der Bündnisverteidigung kennt. Kommunikation, die Menschen erreicht. Politik, die Prioritäten setzt, bevor die Lage sie erzwingt.

Das Sicherheitsökosystem 2030 entscheidet sich an diesen Übergängen. Deutschland muss sich selbst verbinden. Sonst bleibt es ein Land vieler Punkte, aus denen im Ernstfall kein Bild entsteht.