Deutschland rüstet auf wie seit Jahrzehnten nicht. Das Sondervermögen ist verplant, der Etat wächst Richtung des neuen NATO-Ziels von 3,5 Prozent, das Beschleunigungsgesetz verkürzt Vergaben, die Industrie baut Kapazitäten aus. Doch der Hochlauf hat einen blinden Fleck: Wer nur Produktion skaliert, skaliert auch Angriffsflächen. Jedes neue System, jeder neue Zulieferer, jede neue Schnittstelle ein Einfallstor.
Software entscheidet, nicht Stahl
Denn moderne Verteidigungssysteme sind softwaredefiniert. Die Wirksamkeit einer Drohne, einer Flugabwehr oder eines Führungssystems entsteht im Code, nicht im Stahl. Sie sind vernetzt, tauschen Daten mit Sensoren und Gefechtsständen und hängen an tiefen, wachsenden Lieferketten für Software und Elektronik. Der Krieg in der Ukraine zeigt, wie schnell elektronische Kampfführung und Gegenmaßnahmen Systeme entwerten. Wer seine Systeme nicht gegen Angriffe härten und im Einsatz sicher anpassen kann, verliert an Wirkung. Wer manipulierbare Software verbaut, liefert dem Gegner die Waffe frei Haus.
Sicherheit als Zulassungsbedingung
Trotzdem behandelt die Beschaffung Cybersecurity vielerorts als nachgelagertes Compliance-Thema: ein Kapitel im Anhang, ein Audit am Ende, ein Häkchen vor der Abnahme. Das ist die falsche Logik. Für Beschaffer wird jede Sicherheitslücke zum Programmrisiko: Sie verzögert Zulassung und Einsatzreife und macht nachträgliche Absicherung um ein Vielfaches teurer, als Sicherheit von Beginn an einzubauen. Cybersecurity muss zur industriellen Zulassungsfähigkeit werden, so selbstverständlich nachweisbar wie Materialgüte. Software ohne Sicherheitsnachweis darf in kein Waffensystem, so wenig wie ein Getriebe ohne Festigkeitsnachweis in ein Fahrzeug.
Was das konkret heißt, zeigt die Praxis laufender Verteidigungsprojekte. Sicherheitsanforderungen gehören ins Lastenheft, nicht in den Nachtrag. Architekturen müssen Angriffe von Beginn an einkalkulieren. Software-Stücklisten, sogenannte SBOMs, verzeichnen alle verbauten Komponenten und schaffen Transparenz über Fremdanteile. Systeme brauchen sichere Updatefähigkeit über Jahrzehnte, Zulieferer belastbare Nachweise, Betreiber die Fähigkeit, Angriffe zu erkennen und zu beherrschen.
Der Mittelstand kann vom Automobilbau lernen
Das trifft besonders den Mittelstand. Der Hochlauf zieht Zulieferer aus Automobil, Energie, Bahn und Industrie in die Defence-Lieferkette. Sie bringen Fertigungsexzellenz mit, aber selten die im Verteidigungsumfeld geforderte Cyber-Nachweisfähigkeit. Dass eine ganze Lieferkette umstellen kann, hat die Automobilindustrie bewiesen: Mit der UN-Regelung Nr. 155 und der Norm ISO/SAE 21434 wurde nachweisbare Cybersecurity binnen weniger Jahre zur Zulassungsbedingung, vom Konzern bis zum Komponentenlieferanten. Wer sie begleitet hat, weiß: Sie gelingt, wenn Nachweise praxistauglich gestuft sind und Zulieferer befähigt statt aussortiert werden. Diese Erfahrung ist auf die Verteidigungsindustrie übertragbar.
Enablement statt Bürokratie
Deutschland braucht deshalb ein pragmatisches Cyber-Enablement-Programm für die Lieferkette: gestufte Nachweisniveaus statt Zertifizierungsbürokratie. Für unkritische Komponenten genügt ein strukturierter Selbstnachweis, für Waffensystemsoftware braucht es auditierte Sicherheitsnachweise – und Onboarding statt Ausschluss. Neue Zulieferer brauchen einen Pfad, der in Monaten zur Lieferfähigkeit führt, nicht in Jahren. Das US-Zertifizierungsmodell CMMC zeigt die Richtung, aber auch, wie man es nicht macht: Jahrelange Anlaufzeiten und überbordende Auditpflichten kann sich Europa nicht leisten. Wer den Mittelstand mit Bürokratie aussperrt, bekommt keine sichere Lieferkette, sondern eine kurze.
Verteidigungsfähigkeit entsteht nicht durch mehr Systeme, sondern durch beherrschbare, resiliente und nachweisbar sichere Systeme. Die härteste Währung der Abschreckung ist nicht die Stückzahl, sondern die Gewissheit, dass jedes System im Ernstfall ausschließlich das tut, was es soll.