Sie werden dafür bezahlen“: Eine Drohne, die beladen mit dem Plastiksprengstoff Semtex die Tragfläche einer ukrainischen Frachtmaschine ansteuert und wohl nur durch einen glücklichen Zufall nicht explodiert. Professionelle Planung mutmaßlich durch russische Geheimdienste, die gescheiterte Anschlagsausführung durch weniger professionelle „Low-Level-Agenten“. Was die Ermittler seit jenem „Drohnenvorfall“ am Abend des 4. August auf dem Leipziger Flughafen herausgefunden haben, hat Deutschland mit dem eingangs zitierten Diktum von Bundeskanzler Friedrich Merz zur bislang schärfsten Reaktion auf vermutete russische hybride Angriffe motiviert.
Ungefähr vier Wochen später scheint die Nachmittagssonne in das kleine Büro in Köln-Lindenthal, als Maximilian Koch Espresso serviert. Mit Hornbrille, Schnauzbart und lässigem dunklen Cordhemd sieht er ungefähr so aus, wie man sich einen jungen Tech-Gründer vorstellt. Dass der Kaffee schmeckt, freut Koch sichtlich. Er bereitet ihn mit einer Siebträgermaschine zu und hat lange experimentiert, um das Ergebnis zu optimieren.
Paul Niclas von Ambüren, helle Locken, Hemd und Chinohose, sitzt an einem mit Hortensien geschmückten Besprechungstisch und kommentiert die Drohnenvorfälle am Leipziger Flughafen. „Die Bundesregierung hat sehr professionell reagiert“, erklärt er in ruhigem Ton. „Man hat sich zunächst zurückgenommen, die Ermittlungsergebnisse abgewartet und ist erst dann vor die Presse getreten.“
Pragmatischer Umgang in der Ukraine
Von Ambüren, Koch und ihr Mitgründer Maximilian Bischoff beschäftigen sich nicht erst seit Leipzig oder den Anschlägen auf zwei Umspannwerke im brandenburgischen Jänschwalde und Bergheim bei Köln mit hybriden Bedrohungen. Koch spricht schnell und mit großer Begeisterung, als er die Gründungsgeschichte erzählt. Mit der endgültigen Eskalation des Kriegs Russlands gegen die Ukraine am 24. Februar 2022 begannen die drei politisch interessierten Freunde, sich intensiv mit dem Schutz ziviler Infrastruktur auseinanderzusetzen. Denn während der Bundestag schon wenige Tage später ein 100 Milliarden Euro schweres Sondervermögen für die Aufrüstung der Bundeswehr beschloss, blieb der Zivilschutz, also der Schutz von Zivilisten und Infrastruktur fernab der Front in Debatten meistens auf der Strecke. Weil die entsprechende Gesetzgebung in Deutschland teils über zehn Jahre alt war, schauten sie sich an, wie andere Länder damit umgingen, etwa die Schweiz und zunehmend auch Osteuropa.
Ein Schlüsselmoment für Koch war eine Reise in die Ukraine 2024, wo ihn besonders der pragmatische und gemeinschaftliche Ansatz im Umgang der Zivilbevölkerung mit massiven Bombardements und Drohnen- und Raketenangriffen auf die Städte beeindruckte. 2025 gründeten die drei schließlich „BlueRock“, um dort, wo der deutsche Staat ihrer Meinung nach versagte, selbst Lösungen anzubieten. Bischoff und Koch bringen dabei eigene Start-up-Erfahrung, der Politologe von Ambüren sein umfangreiches Netzwerk in Politik, Verwaltung und Zivilgesellschaft in Deutschland und Osteuropa ins Unternehmen ein. Zu ihrer Zielgruppe gehören sowohl kleine und mittlere Unternehmen als auch alle Betreiber von kritischer Infrastruktur und deren Zulieferer. Von Stadtverwaltungen über Rüstungsunternehmen bis hin zur Wäscherei, die das nächste Krankenhaus beliefert: Sie alle kommen als potenzielle Angriffsziele in Frage.
Das Programm erstellt einen digitalen Zwilling
Bislang bieten die Unternehmer ihre Dienste nur einem ausgewählten Kreis von Testkunden an, Ende September planen sie mit der Marktreife ihres Produkts. Dabei handelt es sich um eine selbst entwickelte Software, deren Funktionsweise Koch am Bildschirm erklärt, während ihm die atlantikblaue Benutzeroberfläche ins Gesicht leuchtet.
Das Programm erstellt einen digitalen Zwilling des jeweiligen Kunden, der sämtliche unternehmensinternen Prozesse und Dienstleistungen sowie Anlagen und Lieferketten in einem hohen Detailgrad abbildet, und identifiziert anhand dieses etwaige Schwachstellen. Bei einem Testkunden, einem produzierenden Unternehmen, fiel beispielsweise sofort auf, dass dieser keine getrennten WLAN-Router für Verwaltung und Produktion nutzte. Eine Phishing-Mail, die etwa von einer Mitarbeiterin in der Personalabteilung geöffnet wird, könnte unter diesen Bedingungen nicht nur für einen Ausfall der IT sorgen, sondern gleich die Produktionstrasse mit lahmlegen. Des Weiteren ist die Software in der Lage, hybride Angriffe gegen den digitalen Zwilling zu simulieren. Dazu nutzt sie eine Datenbank, mit deren Aufbau von Ambüren bereits 2021 begonnen hat und die sämtliche hybriden Angriffe in Europa umfasst. Inzwischen wird diese fortlaufend von einer KI befüllt und ist auf über 10000 Fälle angewachsen, von denen etwa 1000 mit hoher Wahrscheinlichkeit auf staatliche Akteure zurückzuführen sind.
Dezentraler Zivilschutz
Besonders stolz ist BlueRock auf den aktiven Wissenstransfer von Ost- und Nordeuropa und insbesondere aus dem Baltikum, wo man in Bezug auf hybride Gefahren deutlich robuster aufgestellt ist, nach Deutschland. Zum Beraterkreis des Start-ups zählen profilierte Experten aus der Praxis, wie der deutsche Nato-Berater Frank Umbach und der ehemalige litauische Justizminister Remigijus Simasius, der als Oberbürgermeister von Vilnius selbst Zivilschutzmaßnahmen in seiner Stadt, wie den Bau von Schutzräumen, umgesetzt hat. Als Koch einmal das Unternehmen bei einer estnischen IT-Sicherheitsbehörde vorstellte, konnten sich die sonst zurückhaltenden Esten während des Vortrages vor Lachen kaum halten. „Max, we’re doing exactly the same!“ (wir machen selbst genau das Gleiche), klärten ihn seine Zuhörer schließlich über ihre Belustigung auf.
Die Stärke der Osteuropäer sieht von Ambüren in der Kombination aus einem handlungsfähigen Staat und einem hohen Grad an Autarkie auf regionaler und kommunaler Ebene im Krisenfall. Was wie ein Widerspruch klingen kann, muss keiner sein – und in Deutschland ist bislang beides mangelhaft umgesetzt. Weithin bekannt ist das Dilemma beim Umgang mit Drohnen: Nur die Polizei darf diese abschießen, aber bis Ende 2025 hatte nur die Bundeswehr die Fähigkeiten dazu. Doch auch die Kommunen sind kaum für Bedrohungen gewappnet. Besonders ernüchternd war für die Gründer das Gespräch mit einem Bürgermeister einer deutschen Großstadt. Konfrontiert mit einem hypothetischen Szenario, bei dem Angriffe über unterschiedliche Vektoren simultan stattfinden, musste dieser zugeben, dass in diesem Fall jede Abteilung auf sich gestellt sei und es keine Notfallpläne gebe.
Die Ukrainer auf der anderen Seite, die im Krieg ständigen Angriffen auf ihre Energieversorgung ausgesetzt sind, haben diese dezentralisiert und kleine regionale Inseln gebildet, die relativ autark handeln können. Personal vor Ort wird geschult und Ersatzteile sind überall vorhanden, anstatt diese von zentralen Stellen aus anliefern zu müssen. Das Baltikum und die Ukraine machen vor, dass Wehrfähigkeit nicht mit einem zentralisierten Staat einhergehen muss. Vielleicht ist die Schaffung eines funktionierenden Zivilschutzes in Deutschland gar eine Chance für mehr Subsidiarität? BlueRock ist zuversichtlich, dafür die richtigen Lösungen parat zu haben. Und was Merz der russischen Regierung zurief, stimmt angesichts der wachsenden Bedrohung zweifellos auch in einem viel banaleren Sinn: Die Nachfrage nach Schutz ist da. Und man wird dafür bezahlen.
Der Autor lebt in Köln und arbeitet als Finanzanalyst in der Filmbranche.
Jetzt die „Tagespost“ abonnieren und nichts mehr verpassen.
