Das Bundesamt für Verfassungsschutz (BfV) warnt in seinem Sicherheitshinweis für die Wirtschaft 02/2026 vom 23. Juli 2026: Die Gefährdung für Unternehmen der Sicherheits- und Verteidigungswirtschaft in Deutschland durch Spionage, Sabotage und Social Engineering bleibt hoch. Im Zentrum der Warnung steht eine zentrale Erkenntnis, die für jedes Unternehmen der Branche relevant ist: Angriffe beginnen immer häufiger nicht bei der Firewall, sondern bei einem Menschen mit Zugang zu sensiblen Informationen. Genau hier setzt Human Risk Management an – die strukturierte, risikobasierte Prüfung von Personen, bevor sie Zugriff auf kritische Systeme, Projekte oder Standorte erhalten.


Dieser Beitrag ordnet die wichtigsten Aussagen des BfV-Hinweises ein und zeigt, welche Rolle Background Checks im Rahmen eines ganzheitlichen Risikomanagements spielen können – ohne die Aussagen der Behörde zu überzeichnen.

Was hat das BfV konkret gemeldet?

Der Sicherheitshinweis 02/2026 listet eine Reihe realer Vorfälle aus den Monaten März bis Juli 2026 auf, die das Ausmaß der Bedrohung verdeutlichen:

  1. Eine im April 2026 kursierende Liste des russischen Verteidigungsministeriums mit 21 europäischen Unternehmen, darunter drei mit Sitz in Deutschland, die mit Drohnenlieferungen an die Ukraine in Verbindung gebracht werden.
  2. Mehrere Festnahmen der Bundesanwaltschaft im März und April 2026 wegen mutmaßlicher geheimdienstlicher Agententätigkeit, unter anderem im Umfeld deutscher Drohnen- und Robotikunternehmen.
  3. Ein Kamerafund am Bahnhof Minden in unmittelbarer Nähe eines dort stationierten Pionierbrückenbataillons.
  4. Bahnsabotageakte in Polen gegen Nachschubrouten für die Ukraine.
  5. Eine seit Frühjahr 2026 laufende, mutmaßlich staatlich gesteuerte Phishing-Kampagne über Messengerdienste wie Signal, die ausdrücklich ohne Schadsoftware auskommt.
  6. Der freie Online-Handel mit Standortdaten im Umfeld der sogenannten "Databroker Files".
  7. Ein aufgedecktes Netzwerk zur Sanktionsumgehung bei Rüstungsexporten nach Russland.
  8. Ein Angriff propalästinensischer Aktivisten auf ein Unternehmen mit Israel-Bezug in Ulm.

Warum ist der Mensch die entscheidende Schwachstelle?

Das BfV bezeichnet den Menschen selbst als "Schwachstelle Mensch". Bemerkenswert an der beschriebenen Phishing-Kampagne: Sie kommt ganz ohne Schadsoftware und ohne technische Sicherheitslücken aus. Die Angreifer nutzen ausschließlich legitime Funktionen von Messengerdiensten, kombiniert mit Social Engineering, um Zugriff auf Chats und Kontaktlisten zu erlangen.


Auch der Einsatz sogenannter "Low-Level-Agenten" zeigt dasselbe Muster: ungeschulte Amateure mit teils kleinkriminellem Hintergrund, die für vergleichsweise geringe Bezahlung über Messenger für Einzelaufträge angeworben werden. Ein erfolgreicher Angriff braucht also nicht zwingend eine technische Schwachstelle – es reicht eine Person mit dem passenden Zugang.

Welche Rolle spielen Standort- und Personendaten?

Der Hinweis beschreibt, wie frei verfügbare Standortdaten genutzt werden können, um Arbeitswege, Wohnorte und Bewegungsprofile von Beschäftigten abzuleiten. Für Personen mit Bezug zur Sicherheits- und Verteidigungswirtschaft besteht laut BfV eine erhöhte Gefahr, dass solche Daten gezielt für Anbahnungs- oder Angriffszwecke missbraucht werden. Die Behörde empfiehlt deshalb einen datensparsamen Umgang mit sozialen Netzwerken und Karriereplattformen, insbesondere bei Angaben zu Standorten, Aufgaben und Projekten.

Was empfiehlt das BfV Unternehmen konkret?

Das BfV empfiehlt ein ganzheitliches Risikomanagement, das physische Sicherheit, Informations- und Cybersicherheit sowie organisatorische Maßnahmen miteinander verbindet. Zu den genannten Maßnahmen gehören unter anderem:

  1. Regelmäßige Sensibilisierung und Schulung der Belegschaft zu aktuellen Bedrohungen.
  2. Weitergabe sensibler Informationen restriktiv nach dem Need-to-know-Prinzip.
  3. Kritische Prüfung von Veröffentlichungen wie Lageplänen oder Referenzprojekten.
  4. Regelmäßige Penetrationstests und konsequente Netzsegmentierung.
  5. Eine zurückhaltende Social-Media-Policy für Beschäftigte.
  6. Klare, niedrigschwellige Meldewege für verdächtige Beobachtungen.
  7. Zurückhaltung bei Stellenausschreibungen hinsichtlich Details zu Systemarchitektur und eingesetzter Technik.

Fordert das BfV Background Checks? Eine wichtige Einordnung

Nein, in diesem Falle nicht: Der BfV-Sicherheitshinweis fordert Background Checks nicht ausdrücklich. Er beschreibt jedoch ein Bedrohungsbild, in dem Personen mit Zugang zu sensiblen Systemen, Projekten oder Standorten gezielt angeworben, ausgespäht oder für Sabotage- und Spionagezwecke instrumentalisiert werden können.


Risikobasierte Background Checks lassen sich vor diesem Hintergrund als ergänzender Baustein eines ganzheitlichen Risikomanagements einordnen – insbesondere vor der Vergabe sensibler Zugriffsrechte. Je nach Rolle, tatsächlichem Zugang und rechtlichem Rahmen kommen dabei etwa folgende Prüfbausteine infrage:

  1. Identitätsprüfung
  2. Verifikation der Beschäftigungshistorie
  3. Verifikation von Ausbildung und Qualifikationen
  4. Prüfung von Nebentätigkeiten und Interessenkonflikten
  5. Sanktions- und Watchlist-Prüfungen
  6. Risikobasierte OSINT- und Adverse-Media-Recherchen
  7. Strafregisterprüfungen, soweit rechtlich zulässig und für die Funktion erforderlich


Wichtig dabei: Nicht der arbeitsrechtliche Status einer Person sollte über den Prüfungsumfang entscheiden, sondern ihr tatsächlicher Zugang zu sensiblen Informationen, Systemen und Infrastrukturen – das betrifft also auch externe Dienstleister, Freelancer oder Beschäftigte von Zulieferern.

Warum auch Re-Screenings sinnvoll sein können

Risikofaktoren entstehen nicht nur beim Einstellungszeitpunkt. Bei besonders exponierten Funktionen kann eine erneute risikobasierte Prüfung sinnvoll sein, etwa bei einer Beförderung, der Vergabe zusätzlicher Zugriffsrechte, dem Wechsel in ein sicherheitskritisches Projekt, bei Auslandseinsätzen oder veränderten Verantwortlichkeiten. Auch das ist keine ausdrückliche Forderung des BfV, sondern eine risikobasierte Ableitung für die praktische Umsetzung von Personalsicherheit.

Fazit

Der BfV-Sicherheitshinweis 02/2026 macht deutlich: Wirtschaftsschutz lässt sich nicht mehr rein technisch denken. Personelle Sicherheit ist kein Ersatz für Cybersecurity oder klassischen Wirtschaftsschutz – sie ist die notwendige Ergänzung dort, wo Systeme enden und Menschen beginnen. Unternehmen der Sicherheits- und Verteidigungswirtschaft, die Background Checks als festen Bestandteil ihres Risikomanagements etablieren, schließen eine Lücke, die rein technische Maßnahmen nicht abdecken können.

Häufige Fragen (FAQ)

Was ist Human Risk Management?

Human Risk Management bezeichnet den strukturierten, risikobasierten Umgang mit personellen Sicherheitsrisiken in Unternehmen – etwa durch Background Checks vor der Vergabe sensibler Zugriffsrechte, Sensibilisierung der Belegschaft und Re-Screenings bei veränderter Risikoexposition.

Was ist die "Schwachstelle Mensch" laut BfV?

Damit meint das BfV, dass Angriffe wie Social Engineering oder Phishing über Messengerdienste keine technische Sicherheitslücke voraussetzen, sondern gezielt menschliche Verwundbarkeiten ausnutzen – etwa über Vertrauen, Unwissenheit oder Bestechung.

Für wen sind Background Checks relevant?

Relevant sind sie für jede Person mit Zugang zu kritischen Systemen, Technologien, Projekten oder militärisch relevanten Informationen – unabhängig davon, ob es sich um Festangestellte, externe Dienstleister, Freelancer oder Beschäftigte von Zulieferern handelt.