Globale Machtverschiebungen, hybride Angriffe, brüchige Lieferketten und gesellschaftliche Polarisierung verändern die Risikolage für Unternehmen. Dr. Konstantinos Tsetsos von der Universität der Bundeswehr München erklärt im Gespräch mit SECURITY INSIGHT, warum Unternehmen ihre Sicherheit und Handlungsfähigkeit strategischer planen sollten und wie sie dabei vorgehen können.
Herr Dr. Tsetsos, Ihr Vortrag beim NRW Sicherheitstag Ende Juni in Köln stand unter dem Titel „Surviving Geopolitics – Szenarien für Unternehmen in einer unsicheren Welt“. Was war Ihre zentrale Botschaft an die Unternehmensvertreter im Saal?
Die zentrale Botschaft ist relativ einfach: Die Welt um uns herum ist rauer geworden. Die Vorstellung, Unternehmen könnten sich in einer weitgehend stabilen Ordnung allein auf Profitmaximierung konzentrieren, funktioniert so nicht mehr. Auch die alte Idee „Wandel durch Handel“ hat sich weitgehend erledigt. Wir haben gesehen, dass wirtschaftliche Verflechtung nicht automatisch zu Demokratisierung oder politischer Annäherung führt. Für Unternehmen bedeutet das, dass sie heute genauso exponiert wie staatliche Akteure sind, je nachdem, in welcher Region sie tätig sind, welche Technologien sie besitzen und welche Rolle sie in Lieferketten spielen. Für systemische Konkurrenten sind europäische Unternehmen nicht einfach nur private Marktteilnehmer. Sie werden als Verlängerung europäischer Staatsmacht wahrgenommen.
Deshalb geraten Unternehmen so stark in den Fokus hybrider Angriffe?
Ja, Unternehmen werden unter anderem deshalb zum Ziel, weil sie die strategische Tiefe der Bundesrepublik Deutschland und der Europäischen Union bilden. Ihre Fähigkeiten sind Assets des Staates. Wer Deutschland in bestimmten Bereichen schwächen will, muss nicht zwingend zuerst eine Behörde angreifen. Es kann viel wirksamer sein, ein Unternehmen zu treffen, das eine zentrale Funktion erfüllt. Wenn man zum Beispiel Telekommunikation stören will, greift man nicht unbedingt die Bundesnetzagentur an, sondern eher die Telekommunikationsinfrastruktur selbst. Wenn ein zentraler Knoten ausfällt, kann das erhebliche Folgen haben. Der wirtschaftliche Schaden lähmt Unternehmen, kann gesellschaftliche Abläufe beeinträchtigen und die Handlungsfähigkeit eines Staates einschränken.
Das gilt nicht nur für große Konzerne. Ein mittelständischer Hidden Champion kann eine kritische Komponente für die Bahn, den Maschinenbau, die Chipindustrie, die Pharmaindustrie oder die Rüstungsindustrie liefern. Aus Sicht des Unternehmens ist das vielleicht nur ein Bauteil. Aus Sicht eines Angreifers kann genau dieses Bauteil der Hebel sein, um eine ganze Lieferkette lahmzulegen.
„Unternehmen sind die strategische Tiefe Deutschlands.“
Viele Mittelständler würden vermutlich dennoch sagen: Wir sind viel zu klein, um in geopolitischen Dimensionen eine Rolle zu spielen.
Das ist Wunschdenken. Wenn ein Unternehmen eine Schlüsselkomponente liefert, kann es ein Primärziel sein. Der Angreifer muss nicht den großen Namen attackieren. Er kann beim Zulieferer ansetzen. Wenn ein kleiner Betrieb eine Komponente liefert, ohne die ein größeres System nicht funktioniert, ist genau dieser Betrieb interessant. Hinzu kommt, dass kleine und mittlere Unternehmen häufig weniger resilient sind. Sie haben oft nicht die personellen und organisatorischen Ressourcen großer Konzerne. Im Mittelstand sitzen in der Sicherheitsorganisation oft sehr erfahrene Leute aus Polizei, Werkschutz oder Personenschutz. Das ist für viele Aufgaben wichtig. Aber wenn ein ausländischer Nachrichtendienst oder eine professionelle Hackergruppe gegen ein Unternehmen vorgeht, reicht das oft nicht mehr aus.
Was folgt daraus für die Unternehmensführung?
Geopolitik ist Chefsache. Sie muss permanent in unternehmerische Überlegungen einfließen, genauso wie Cybersicherheit, Recht, Strategie oder Geschäftsentwicklung. Unternehmen müssen längerfristiger denken. Gerade größere Organisationen schauen oft stark auf Quartale. Das greift aber zu kurz. Wenn ich in einem Land investiere, muss ich verstehen, wie stabil dieses Land politisch ist, welche Konflikte sich abzeichnen, welche Abhängigkeiten entstehen und welche Interessen andere Akteure haben. Klassische Risikobewertungen reichen dafür oft nicht aus. Eine betriebswirtschaftliche Analyse kann in einer Excel-Tabelle überzeugend aussehen. Aussagekräftig wird sie aber erst, wenn sie den politischen, regionalen und sicherheitspolitischen Rahmen berücksichtigt. Unternehmen müssen wissen, in welcher Welt sie sich bewegen.
Sie haben in Ihrem Vortrag auch gesagt, wir hätten bisher nur den „Trailer vom Teaser“ gesehen. Wie meinen Sie das?
Damit meine ich, dass es eher schwieriger als einfacher wird. Viele Risiken, die wir heute sehen, sind erst der Anfang. Der Krieg in der Ukraine hat vieles sichtbar gemacht, was vorher schon angelegt war. Aber die Tendenz geht weiter: mehr Blockbildung, mehr regionale Konflikte, mehr wirtschaftliche Instrumentalisierung, mehr hybride Angriffe.
Deshalb müssen Unternehmen ihre Verwundbarkeiten reduzieren. Dazu gehört, Lieferketten näher an Europa heranzuholen, stärker auf politisch verlässliche Partnerländer zu setzen und Abhängigkeiten von einzelnen Weltregionen schrittweise abzubauen. Muss ich wirklich in Bangladesch produzieren, weil es günstiger ist? Oder kann ich bestimmte Teile nach Rumänien oder nach Nordafrika verlagern? Vielleicht ist die Marge dann kleiner, aber die Lieferkette ist stabiler. Jedes reduzierte Risiko erhöht die Durchhaltefähigkeit.
Wie sollten Unternehmen ihre Lieferketten betrachten?
Sie müssen hinter die erste Ebene schauen. Viele Unternehmen sagen: Wir haben zehn Lieferanten. Wenn man genauer hinsieht, beziehen diese zehn Lieferanten aber alle aus demselben Land oder sogar aus derselben Region. Dann hat man de facto nicht zehn Alternativen, sondern eine einzige Abhängigkeit. Das betrifft Rohstoffe, Komponenten, Software, Daten, Know-how und Personal. Just-in-Time-Logistik ist sehr effizient, aber auch verwundbar. Eine kleine Disruption kann Kaskadeneffekte auslösen. Deshalb brauchen Unternehmen nicht nur alternative Lieferanten auf dem Papier, sondern realistische Ausweichoptionen. Sie müssen testen: Was passiert, wenn ein Standort ausfällt? Was passiert, wenn eine Transportverbindung nicht mehr verfügbar ist? Was passiert, wenn ein Lieferant plötzlich sanktioniert wird?
Sie betonten auch, Russland sei nicht unser größtes Problem. Viel wichtiger sei China. Warum?
Weil China wirtschaftlich, technologisch und politisch eine ganz andere Herausforderung ist. Dort geht es nicht nur um militärische Bedrohung, sondern um systemische Konkurrenz, Abhängigkeiten, Märkte, Rohstoffe, Patente, Daten und technologische Standards. Wer in China aktiv ist, sollte sich fragen, wie groß die eigene Abhängigkeit ist. Ich würde Unternehmen empfehlen, jedes Jahr einen kleinen Teil dieser Abhängigkeit herauszunehmen, etwa zwei bis drei Prozent. Es geht nicht zwingend um einen sofortigen Komplettausstieg. Es geht um eine kontrollierte Reduzierung von Verwundbarkeit. Wenn ein Konflikt um Taiwan eskaliert oder Lieferwege blockiert werden, ist es zu spät, dann erst mit der Analyse zu beginnen.
Sie haben auch von einer Erosion internationaler Normen gesprochen. Was bedeutet das für Unternehmen?
Wenn Normen erodieren, erodiert auch Rechtssicherheit. Unternehmen sind darauf angewiesen, dass Verträge gelten, Patente geschützt werden, Eigentumsrechte durchsetzbar sind und Gerichte funktionieren. Wenn ein Staat diese Regeln nicht mehr akzeptiert oder sie selektiv auslegt, wird es schwierig.
Nehmen Sie Patentrecht. Wenn ein Unternehmen in China seine Rechte durchsetzen will, kann es formal vielleicht klagen. Aber was nützt ein Urteil, wenn es praktisch nicht durchgesetzt wird? Dann haben Sie auf dem Papier Recht bekommen, aber Ihr geistiges Eigentum ist trotzdem verletzt. Genau das meine ich mit erodierender Rechtssicherheit.
Viele Unternehmen setzen auf Zertifizierungen, Standards und Compliance. Reicht das nicht mehr aus?
Zertifizierungen sind wichtig, aber sie sind nur ein Minimalstandard. Eine ISO-Zertifizierung kann ein sinnvoller erster Baustein sein. Sie zeigt, dass bestimmte Verfahren dokumentiert und überprüft wurden. Aber sie macht ein Unternehmen nicht automatisch resilient.
Das Problem ist, dass Zertifizierungen oft wie ein Beruhigungsmittel wirken. Man hat viel Aufwand betrieben, einen Ordner gefüllt, eine externe Prüfung bestanden und glaubt dann, man sei vorbereitet. In Wirklichkeit ist das nur der Anfang. Resilienz entsteht nicht durch ein abgeheftetes Zertifikat, sondern durch die Fähigkeit, unter Druck handlungsfähig zu bleiben.
Was heißt das konkret?
Unternehmen brauchen Stresstests und Szenarioanalysen. Sie müssen sich fragen: Was passiert, wenn ein zentraler Lieferant ausfällt? Was passiert, wenn ein Markt plötzlich politisch blockiert ist? Was passiert, wenn Mitarbeitende in einem bestimmten Land nicht mehr reisen können? Was passiert, wenn Cyberangriffe mehrere Standorte gleichzeitig treffen?
Solche Fragen darf man nicht erst stellen, wenn die Krise da ist. Dann ist es zu spät. Unternehmensführungen werden dafür bezahlt, vorher zu denken. Wenn der Krisenstab erst nach Eintritt des Ereignisses fragt: „Und nun?“, hat die Organisation vorher etwas versäumt.
„Wenn es in der Zeitung steht, ist es zu spät.“
Welche Rolle spielt Desinformation in diesem Zusammenhang?
Desinformation betrifft nicht nur Wahlen oder öffentliche Debatten. Sie kann auch Unternehmen treffen. Marken können diskreditiert, Lieferbeziehungen politisch aufgeladen und Mitarbeitende verunsichert werden. In der Anfangsphase des Ukraine-Krieges gab es beispielsweise Kampagnen gegen Unternehmen, die weiterhin Geschäfte in Russland machten. Das hatte eine moralische und politische Dimension, aber auch einen klaren Druckeffekt auf Unternehmen.
Desinformation kann von gegnerischen Staaten kommen, aber nicht ausschließlich. Auch Partner oder befreundete Akteure können Informationskampagnen nutzen, um Unternehmen oder Gesellschaften zu beeinflussen. Unternehmen müssen deshalb verstehen, dass Kommunikation, Reputation und Sicherheitslage enger zusammenhängen als früher.
Sie haben sinngemäß auch gesagt, gesellschaftliche Polarisierung ende nicht am Arbeitsplatz. Wie meinen Sie das?
Wenn eine Gesellschaft polarisiert ist, spiegelt sich das in Unternehmen wider. Beschäftigte bringen ihre politischen, religiösen oder ideologischen Konflikte mit an den Arbeitsplatz. Das kann zunächst ganz alltäglich wirken: Debatten über Russland, Israel, Palästina, Migration, Klimapolitik oder Parteien. Aber wenn diese Konflikte eskalieren, beeinträchtigen sie Zusammenarbeit, Vertrauen und Produktivität. Im Extremfall kann daraus auch ein Sicherheitsrisiko werden. Wenn Beschäftigte aus politischen oder ideologischen Gründen Entscheidungen verzögern, Informationen zurückhalten oder Projekte sabotieren, entsteht Verwundbarkeit von innen. Das muss nicht der Regelfall sein. Aber Unternehmen sollten verstehen, dass innere Stabilität ein Teil von Resilienz ist.
Welche Folgen hat diese Polarisierung für die Wirtschaft insgesamt?
Eine starke Demokratie und eine starke marktwirtschaftliche Ordnung gehören zusammen. Demokratie schafft Rechtssicherheit, Vertrauen, Investitionsbereitschaft und Innovationsfähigkeit. Wenn dieses Umfeld schwächer wird, verstärkt sich das Gefühl der Unsicherheit. Unternehmen investieren vorsichtiger, gehen weniger Risiken ein und verlieren mit der Zeit an Innovationskraft. Europa kann im globalen Wettbewerb nicht über niedrige Lohnkosten gewinnen. Dafür ist unser Lebensstandard zu hoch. Wir müssen über Innovation gewinnen. Wenn aber Polarisierung, Bürokratie und Unsicherheit die Handlungsfähigkeit lähmen, verlieren wir diesen Vorsprung.
Sie sprechen Bürokratie an. Ist das aus Ihrer Sicht auch ein Sicherheits- und Resilienzthema?
Ja, weil übermäßige Bürokratie Organisationen starr macht. Bürokratie ist zwar zunächst vor allem ein Zeichen zivilisatorischer Entwicklung, die Nachvollziehbarkeit und Kontrolle schafft. Aber ab einem bestimmten Punkt ernährt sie nur noch sich selbst. Dann kostet sie Zeit, Geld und Aufmerksamkeit, ohne die Handlungsfähigkeit zu erhöhen.
Ein Beispiel aus der Bundeswehr ist der klassische Laufzettel: Wer in eine Kaserne kommt oder sie wieder verlässt, muss verschiedene Stellen ablaufen und Unterschriften einholen. Dieses Verfahren stammt noch aus dem preußischen Meldewesen, also aus einer völlig anderen Verwaltungslogik. Heute müsste man sich fragen, welche dieser Prozesse wirklich noch notwendig sind und welche sich längst einfacher lösen ließen. Denn wenn ein Unternehmen oder ein Staat in einer Krise erst Formulare, Zuständigkeiten und Verfahren abarbeiten muss, die für eine andere Zeit gemacht wurden, wird wertvolle Zeit verloren. Wir sollten deshalb viel stärker prüfen, welche Prozesse wir wirklich noch brauchen und was nur noch Ritual ist.
Welche geopolitischen Szenarien sollten Unternehmen heute durchspielen?
Das hängt vom Geschäftsmodell ab. Für ein global aktives Unternehmen gehören Fragen dazu wie: Was passiert, wenn China Taiwan angreift? Was passiert, wenn die Straße von Malakka blockiert wird? Was passiert, wenn ein Konflikt zwischen Israel und der Türkei eskaliert? Was passiert, wenn sich die politische Orientierung Deutschlands oder anderer europäischer Staaten grundlegend verändert?
Es geht nicht darum, ein Ereignis exakt vorherzusagen. Das kann niemand. Es geht darum, alternative Entwicklungen vor dem geistigen Auge durchzuspielen und vorzubereiten. Unternehmen sollten wissen, welche Entscheidungen sie treffen müssten, wenn ein bestimmtes Szenario eintritt.
Wie weit sollten Unternehmen vorausdenken?
Mindestens fünf Jahre. Nicht im Sinne einer starren Planung, sondern im Sinne strategischer Vorausschau. Wer heute in Lateinamerika, China, der Türkei oder Nordafrika investiert, muss sich fragen, welche politischen, wirtschaftlichen und sicherheitspolitischen Entwicklungen dort bis 2030 plausibel sind.
Das betrifft auch Deutschland. Was bedeutet es für Unternehmen, wenn sich politische Mehrheiten verschieben, wenn europäische Regeln in Frage gestellt werden oder wenn sich Handelsbeziehungen verändern? Der Brexit hat gezeigt, welche Folgen solche Entwicklungen für Mittelständler haben können: Zölle, Mobilitätsprobleme, neue Standorte, höhere Kosten, mehr Aufwand. Auch das hätte man vorher stärker antizipieren können.
Wie können Unternehmen solche Szenarien praktisch nutzen?
Szenarien helfen Unternehmen, mögliche Entwicklungen vorab durchzuspielen. Es geht nicht darum, ein einzelnes Ereignis exakt vorherzusagen. Entscheidend ist, sich rechtzeitig zu fragen: Wenn X passiert, was bedeutet das für unser Geschäftsmodell, unsere Lieferketten, unsere Standorte und unsere Sicherheit?
Dafür müssen Unternehmen mehrere denkbare Entwicklungen vor dem geistigen Auge durchgehen und einen Teil der Maßnahmen bereits vorbereiten. Wenn eine Krise eintritt und die Unternehmensführung erst dann fragt: „Was machen wir jetzt?“, ist es zu spät. Szenarioarbeit muss deshalb regelmäßig überprüft und angepasst werden. Die Welt verändert sich, und mit ihr verändern sich auch die Risiken.
Was bedeutet Resilienz unter diesen Bedingungen?
Resilienz ist kein Zustand, den man einmal erreicht und dann abhakt. Sie ist ein permanenter Transformationsprozess. Unternehmen müssen immer wieder prüfen, ob ihre Annahmen noch stimmen, ob Abhängigkeiten reduziert wurden und ob ihre Ausweichmöglichkeiten tatsächlich funktionieren.
Resilienz bedeutet nicht, jede Krise zu verhindern. Das ist unmöglich. Sie bedeutet, unter veränderten Bedingungen handlungsfähig zu bleiben. Dazu gehören Alternativen in der Lieferkette, schnellere Entscheidungsprozesse und die Bereitschaft, sich immer wieder an neue Entwicklungen anzupassen.
Was wären die ersten Schritte für ein mittelständisches Unternehmen?
Erstens: Das Unternehmen sollte ehrlich prüfen, wo es für andere besonders wichtig ist. Welche Produkte, Komponenten oder Dienstleistungen liefert es? Wo hängt vielleicht ein größerer Kunde, eine Branche oder eine sicherheitsrelevante Lieferkette von ihm ab?
Zweitens: Abhängigkeiten sichtbar machen. Dabei geht es nicht nur um direkte Lieferanten, sondern auch um Vorlieferanten, Länder, Transportwege, Software, Daten und Schlüsselpersonen.
Drittens: Szenarien entwickeln und durchspielen. Was passiert, wenn ein Markt wegfällt, ein Lieferant ausfällt, ein Cyberangriff mehrere Systeme trifft oder ein politischer Konflikt Geschäftspartner gegeneinanderstellt?
Viertens: Entscheidungswege klären. In der Krise zählt Geschwindigkeit. Wer entscheidet was? Welche Informationen braucht die Geschäftsführung? Welche Maßnahmen können schon vorbereitet werden?
Wenn Sie Geschäftsführern und Sicherheitsverantwortlichen zum Schluss eine Botschaft mitgeben müssten, welche wäre das?
Anticipate or die – antizipieren oder untergehen. Das klingt hart, aber es beschreibt die Lage. Resilienz ist keine Pflichtübung, sondern sie sichert das Überleben des Unternehmens. Sicherheit ist kein reiner Kostenfaktor mehr. Sie ist ein Enabler.
Unternehmen müssen Geopolitik und Resilienz dauerhaft mitdenken. Wer das tut, wird nicht jede Krise vermeiden. Aber er wird besser vorbereitet sein und schneller reagieren können.
Das Gespräch führte Andreas Albrecht.
Zur Person
Dr. phil. Konstantinos Tsetsos studierte Politikwissenschaft, Neuere und Neueste Geschichte sowie Recht für Sozialwissenschaften an der Ludwig-Maximilians-Universität München. 2014 promovierte er an der Universität der Bundeswehr München. Seine Forschungsschwerpunkte liegen in den Bereichen internationale Sicherheit, Geopolitik, hybride Kriegsführung, strategische Vorausschau und politische Risikoanalyse.
Tsetsos ist Head of Foresight beim Metis Institut für Strategie und Vorausschau und berät das Bundesministerium der Verteidigung zu strategischen Fragen der internationalen Politik. Darüber hinaus ist er in verschiedenen Arbeits- und Forschungsgruppen von NATO und EU tätig und lehrt in den Bereichen Intelligence und International Security Studies.
Mit der von ihm gegründeten Sicyon Risk Consulting UG überträgt er wissenschaftliche Methoden der strategischen Vorausschau und geopolitischen Risikoanalyse in die Unternehmenspraxis.
