Die nächste Cyberfront liegt bereits im Orbit

Europas Raumfahrt ist zu einer kritischen Infrastruktur geworden, die für Verteidigung, Kommunikation, Navigation, Krisenmanagement und Wirtschaft von zentraler Bedeutung ist. Doch diese Abhängigkeit schafft auch neue Verwundbarkeiten. Von Satelliten bis zu Bodenstationen, von Daten bis zu Zulieferern muss Europa Cybersicherheit inzwischen zu einer konkreten Voraussetzung seiner Souveränität machen.

Europas Raumfahrt ist inzwischen eine Infrastruktur der Souveränität. Sie unterstützt die Verteidigung, die Kommunikation, die Navigation, die Erdbeobachtung, das Krisenmanagement und einen wachsenden Teil der Wirtschaft. Diese Abhängigkeit erhöht den strategischen Wert orbitaler Systeme und ihrer Bodensegmente, vergrößert aber auch deren Angriffsfläche.

Die Antwort kann nicht mehr allein auf dem technischen Schutz der Satelliten beruhen. Sie muss Industriepolitik, Daten-Governance, die Sicherheit der Zulieferer, operative Kontinuität und europäische Zusammenarbeit miteinander verbinden.

Die Resilienz der Raumfahrt hängt ebenso von der Robustheit digitaler Architekturen ab wie von der Fähigkeit der Organisationen, ihre Ressourcen zu kennen, ihre Zugriffe zu kontrollieren, Sicherheitsanforderungen vertraglich festzuschreiben und die von ihren Partnern eingebrachten Risiken zu messen.

Die Zahlen zur Cyberreife französischer Unternehmen bestätigen, dass die gefährlichsten Schwachstellen häufig weiterhin mit alltäglichen Konfigurationen, veralteten Technologien oder exponierten Diensten zusammenhängen. Die Herausforderung besteht daher darin, Cybersicherheit zu einer Führungsdisziplin zu machen, von den europäischen Programmen bis zu den kleinsten Unternehmen der Wertschöpfungskette.

Die militärische Raumfahrt bildet keinen isolierten Bereich. Sie umfasst Satelliten, Bodenstationen, Netze, Datenplattformen, Software, Cloud-Dienste, Kontrollzentren, Industrieanlagen und Dienstleister. Eine Schwachstelle in einem scheinbar nachrangigen Dienst kann eine kritische Mission gefährden. Sicherheit muss daher die physischen Infrastrukturen, die Informationssysteme, die Daten und die vertraglichen Beziehungen abdecken, die die Akteure miteinander verbinden.

Raumfahrt als Infrastruktur der Souveränität

Die Generaldirektion Verteidigungsindustrie und Weltraum der Europäischen Kommission unterscheidet zwei einander ergänzende Dimensionen. Die erste ist die Nutzung des Weltraums für die Verteidigung. Sie umfasst die weltraumgestützten Fähigkeiten, die für die nachrichtendienstliche Aufklärung, die Vorbereitung und Durchführung militärischer Operationen sowie die Bewertung ihrer Wirkungen erforderlich sind. Die zweite ist die Verteidigung des Weltraums. Dabei geht es um die Erkennung von Bedrohungen, den Schutz von Ressourcen und Diensten, die Reaktion auf Angriffe und, wenn nötig, militärische Operationen im Orbit.

Diese Unterscheidung verdeutlicht die Tragweite der Cybersicherheit in der Raumfahrt. Es reicht nicht, einen Satelliten vor einem Eindringen zu schützen. Es gilt, die Verfügbarkeit und Integrität der Dienste zu gewährleisten, die seine Daten nutzen, die Kontinuität der Verbindungen sicherzustellen und die Entscheidungsfähigkeit in einem umkämpften oder beeinträchtigten Umfeld zu erhalten. Zu den Herausforderungen gehören auch die Überlastung der Umlaufbahnen, Kollisionsrisiken, die Verwaltung des Funkspektrums, die Weltraumlageerfassung, die Regelkonformität der Operationen und die Interoperabilität nationaler und europäischer Fähigkeiten.

Die Arbeiten zum Weltraumverkehrsmanagement befürworten daher einen föderierten europäischen Ansatz. Er würde es ermöglichen, nationale Mittel zu bündeln und zugleich einen kohärenten, erweiterbaren und souveränen Rahmen aufzubauen. Dieser Ansatz stützt sich insbesondere auf Arbeiten für das Centre national d’études spatiales, das europäische System zur Überwachung und Verfolgung von Weltraumobjekten und das französische Weltraumkommando. Die Föderation erfüllt einen doppelten Bedarf: nützliche Informationen teilen und zugleich die kontrollierte Governance sensibler Fähigkeiten bewahren.

Der Ausbau europäischer Programme

Die 2020 aus zuvor der für den Binnenmarkt zuständigen Generaldirektion zugeordneten Tätigkeiten entstandene europäische Generaldirektion für Verteidigungsindustrie und Weltraum umfasst fünf Direktionen, fünf Arbeitsgruppen, sechzehn Referate und rund vierhundert Beschäftigte. Sie organisiert außerdem jährlich fünfundzwanzig Veranstaltungen innerhalb ihres Ökosystems und darüber hinaus. Diese Struktur spiegelt die rasche Ausweitung europäischer Zuständigkeiten in den Bereichen Verteidigung, Weltraum und sichere Konnektivität wider.

Zu den verteidigungsindustriellen Programmen gehören der Europäische Verteidigungsfonds, EDIRPA, ASAP, SAFE, EDIP, das Unterstützungsdarlehen für die Ukraine, AGILE, der noch in Verhandlung befindliche ECF und eine Komponente für Weltraumfähigkeiten. Die genannten Budgetvolumina zeigen einen deutlichen Größensprung. Die Beträge steigen von 0,59 Milliarden Euro zwischen 2014 und 2020 auf rund 8 Milliarden zwischen 2021 und 2027. Für den Finanzrahmen von 2028 bis 2034 werden 131 Milliarden Euro vorgeschlagen.

Allein für Raumfahrt und sichere Konnektivität nennen die verfügbaren Angaben 15 Milliarden Euro für 2021 bis 2027 und anschließend eine Spanne von 40 bis 60 Milliarden für 2028 bis 2034. Die Programme umfassen Navigation und Zeitgebung, Erdbeobachtung, sichere Konnektivität, Weltraumlageerfassung, Zugang zum Weltraum, technologische Souveränität und Weltraumwirtschaft. Sie beziehen auch den staatlichen Erdbeobachtungsdienst, die Verfolgung von Objekten im Orbit, das Weltraumverkehrsmanagement, die Frequenzüberwachung, künstliche Intelligenz und Quantentechnologien ein.

Der europäische Weltraumschild als nächster Schritt

Die 2023 verabschiedete europäische Weltraumstrategie für Sicherheit und Verteidigung hat vier Ziele festgelegt. Sie soll die Resilienz und den Schutz europäischer Weltraumsysteme stärken, die Reaktion auf Bedrohungen organisieren, die Nutzung des Weltraums für Sicherheit und Verteidigung ausbauen und verantwortungsvolles Verhalten im Weltraum fördern.

Die Strategie von 2023 erkannte den Weltraum als umkämpften Bereich an. Die 2025 veröffentlichte Strategie der Union zur Krisenvorsorge stufte Weltraumdienste als kritische Mittel für Resilienz und zivile wie militärische Kontinuität ein und erteilte zugleich ausdrücklich den Auftrag für einen europäischen Weltraumschild. Der Fahrplan für die Verteidigungsbereitschaft bis 2030 stellte diesen Schild anschließend als Initiative vor, die es europäischen und nationalen Weltraumressourcen ermöglichen soll, ihre Operationen auch in umkämpften oder beeinträchtigten Umgebungen fortzusetzen.

Ein Aktionsplan soll diesen politischen Anspruch in konkrete Maßnahmen umsetzen. Seine Annahme ist für Dezember 2026 angekündigt. Er soll bestehende Fähigkeiten vernetzen, kritische Lücken schließen und die europäischen Weltrauminfrastrukturen schützen, mit der Industrie als unverzichtbarem Partner. Diese Logik rückt Cybersicherheit ins Zentrum der Weltraumpolitik, denn ein wirksamer Schild hängt vom Vertrauen in die Software, die Netze, die Daten und die Zulieferer ab, die jede Mission unterstützen.

Datenräume als strategische Infrastruktur

Die Überlegungen zu einem europäischen Weltraumdatenraum gehen von einer einfachen Feststellung aus. Daten aus Satelliten, Missionen zur Weltraumsicherheit, Navigation und Kommunikation bleiben auf zahlreiche öffentliche und private Plattformen verteilt. Ihr Wert steigt, wenn sie außerhalb ihrer ursprünglichen Umgebung auffindbar sind, kombiniert und verarbeitet werden können. Diese gemeinsame Nutzung kann jedoch nur funktionieren, wenn die Dateninhaber die Kontrolle über die Zugangs- und Nutzungsbedingungen behalten.

Ein Datenraum verbindet daher fünf Komponenten. Er verfügt über einen Governance-Mechanismus, der Rechte durch Gesetze, Verwaltungsvorschriften und Verträge festlegt. Er beruht auf einer sicheren IT-Infrastruktur, die Vertraulichkeit schützt. Er ermöglicht es den Dateninhabern zu entscheiden, wer auf ihre Daten zugreift, zu welchem Zweck und unter welchen Bedingungen. Er stellt große Ressourcenmengen bereit, je nach Entscheidung des Inhabers kostenlos oder gegen Entgelt. Schließlich bleibt er vorbehaltlich von Teilnahme- und Konformitätskriterien für eine potenziell große Zahl von Organisationen und Personen offen.

Eine Architektur auf der Grundlage von Vertrauen und Föderation

Die vorgeschlagene Architektur trennt klar zwischen Governance, Föderationsdiensten, Teilnehmern und wertschöpfenden Diensten. Die Governance-Instanz definiert die Rollen, das Geschäftsmodell, die rechtlichen Vereinbarungen, die Verantwortlichkeiten, die Teilnahmekriterien, die Zugriffsrechte, die Sicherheitsregeln und die Auditverfahren. Diese Regeln gelten für alle Teilnehmer und müssen auch die europäischen Anforderungen sowie die spezifischen Rahmenbedingungen des Raumfahrtsektors berücksichtigen.

Die Föderationsdienste gewährleisten Identität, Vertrauen, das Auffinden von Daten, semantische Abstimmung, die Durchsetzung von Richtlinien und Rückverfolgbarkeit. Anbieter und Nutzer verbinden sich jeweils über einen Agenten, der Identitäten, Berechtigungen und Nutzungsregeln verwalten kann. Verträge regeln die Beziehung, während sich der Zugang entweder auf die Daten selbst oder auf Rechenkapazität beziehen kann. Marktplätze und Zahlungen bleiben optional, da sie vom gewählten Geschäftsmodell abhängen.

Die Interoperabilität muss über den Raumfahrtsektor hinausreichen. Regeln, semantische Modelle, Vertrauensmechanismen und Protokolle müssen mit den Datenräumen für Mobilität, Tourismus, Landwirtschaft, intelligente Städte, Gesundheit, Energie, Finanzen und Industrie zusammenwirken können. Das Schema nennt mehrere Referenzbausteine, darunter den Blueprint des Data Spaces Support Centre, Gaia X, IDSA, Eclipse, Prometheus X, iSHARE, Simpl, FIWARE und die Geodatenstandards des Open Geospatial Consortium.

Zivile und hoheitliche Anwendungsfälle

Der Weltraumdatenraum soll Informationen aus Beobachtungs-, Navigations- und Kommunikationssatelliten sowie aus Missionen zur Weltraumsicherheit föderieren. Er liegt oberhalb der Infrastrukturen und kann sich mit dem Copernicus Data Space, Destination Earth, den föderierten Diensten von Gaia X und einer öffentlichen Plattform für offene Daten verbinden, die insbesondere für künstliche Intelligenz vorgesehen ist. Die Finanzierung dieser Plattform mit 20 Millionen Euro verdeutlicht den Willen, gemeinsam genutzte Dienste aufzubauen.

Die vorgesehenen Anwendungen umfassen Gesundheit, Industrie, Landwirtschaft, Kultur, Mobilität, den ökologischen Wandel, Sicherheit, öffentliche Verwaltung, Medien und Finanzen. Zwei Beispiele zeigen, wie sensibel diese Dienste sind. Das Weltraumverkehrsmanagement erfordert den kontrollierten Austausch von Informationen über Objekte im Orbit, das Funkspektrum und Kollisionsrisiken. Der staatliche Erdbeobachtungsdienst soll Geoinformationen mit Mehrwert erzeugen, die autorisierten öffentlichen Nutzern vorbehalten sind, um Vorbereitung, Entscheidungsfindung, Sicherheit und Verteidigung zu unterstützen. Sein Betrieb beruht auf drei Säulen: Dienste und Daten, Infrastruktur und Governance.

Sicherheit muss von Anfang an in die Konzeption integriert werden

Das Beispiel Skynopy zeigt die operative Umsetzung dieser Grundsätze im Bodensegment. Das Unternehmen gibt an, Sicherheit seit seiner Gründung integriert und für sein Angebot von Bodenstationen als Dienstleistung die Zertifizierung nach ISO IEC 27001 erhalten zu haben. Für Satellitenbetreiber, Agenturen und Verteidigungsbehörden ist diese Zertifizierung ein Vertrauenssignal, ersetzt aber nicht die Risikoanalyse.

Zwei Grundsätze sind maßgeblich. Erstens muss eine Sicherheitsmaßnahme im Verhältnis zum Risiko und zu den Kosten des Verlusts stehen, den sie verhindern soll. Zweitens haben die Grundlagen weiterhin Vorrang vor modischen Technologien. Ein Angriff kann mit einer vergessenen Zugriffsberechtigung, einem schwachen Passwort oder einem ungepatchten Server beginnen. Eine Organisation, die diese Punkte vernachlässigt, wird durch zusätzliche ausgefeiltere Mechanismen nicht geschützt. Dieser Ansatz entspricht unmittelbar den für die industrielle und technologische Verteidigungsbasis vorgestellten Reifeanforderungen.

Künstliche Intelligenz, Cybersicherheit und Post-Quanten-Kryptografie gehören ebenfalls zu den Ansätzen, die zur Stärkung der Resilienz von Weltraumdiensten untersucht werden sollten. Die von Seclab, Alyon.ai und Aldoria entwickelten Lösungen zeigen die Vielfalt der beteiligten Akteure. Die verfügbaren Informationen erlauben es jedoch nicht, ihre technischen Ergebnisse hier im Einzelnen darzustellen. Ihre Präsenz in diesem Ökosystem bestätigt vor allem, dass der Schutz der Raumfahrt inzwischen Netzsicherheit, automatisierte Informationsverarbeitung und die vorausschauende Vorbereitung des kryptografischen Übergangs verbindet.

Cybersicherheit wird zu einer wirtschaftlichen und vertraglichen Herausforderung

Die aus dem Cyberbedrohungslagebild 2025 der Nationalen Agentur für die Sicherheit der Informationssysteme übernommenen Zahlen zeigen eine anhaltende Bedrohung. Im Jahr 2025 bearbeitete die Agentur 3 586 Sicherheitsereignisse, ein Rückgang um 18 Prozent gegenüber 2024. Die Zahl der in der dargestellten Reihe erfassten Vorfälle steigt jedoch von 831 im Jahr 2022 auf 1 112 im Jahr 2023, 1 361 im Jahr 2024 und 1 366 im Jahr 2025. Das Dokument nennt außerdem 128 Kompromittierungen durch Ransomware im Jahr 2025, von denen 48 Prozent Kleinstunternehmen sowie kleine und mittlere Unternehmen betrafen.

Cyberrisiken betreffen unmittelbar Daten, die Geschäftskontinuität, das Vertrauen von Kunden und Partnern, die Wertschöpfungsketten der Verteidigung und den Marktzugang. Bei einem Verteidigungszulieferer kann unzureichende Reife daher zu einer Unterbrechung, einem Informationsverlust oder dem Ausschluss von einem Auftrag führen. Sicherheit ist nicht mehr nur eine technische Angelegenheit, die einem spezialisierten Team übertragen wird. Sie wird zu einer Voraussetzung der Wettbewerbsfähigkeit und zu einer Führungsverantwortung.

Der grundlegende Referenzrahmen für Cyberreife

Der grundlegende Referenzrahmen für Cyberreife reagiert auf die zunehmende Gefährdung der Verteidigungszulieferkette und die uneinheitlichen Anforderungen der Auftraggeber. Seine Entstehung beginnt 2019 mit einer Cybervereinbarung zwischen dem Ministerium für die Streitkräfte und acht industriellen Hauptauftragnehmern. Im Jahr 2022 verstärken die Arbeitsgruppen von Staat und Industrie zur Kriegswirtschaft diesen Ansatz. Zwei grundlegende Referenzrahmen für physische Sicherheit und Cybersicherheit entstehen 2023. Im Juli 2026 wird ein Leitfaden zum Verständnis und zur Anwendung des Referenzrahmens veröffentlicht.

Die Arbeitsgruppe wird von der Generaldirektion für Rüstung gemeinsam mit den acht Hauptauftragnehmern der Cybervereinbarung und mit Unterstützung der Nationalen Agentur für die Sicherheit der Informationssysteme geleitet. Drei Ziele werden genannt: das Cybersicherheitsniveau der Verteidigungsunternehmen anheben, ihren Zugang zu internationalen Märkten erhalten und wirtschaftliche Schäden vermeiden. Der Ansatz setzt vorrangig auf Maßnahmen, die jedes Unternehmen anwenden kann, und auf Leitfäden zur Verbesserung, die auf der Website des Ministeriums für die Streitkräfte zugänglich sind.

Einundzwanzig Anforderungen in vier Blöcken

Der Referenzrahmen umfasst einundzwanzig grundlegende Anforderungen. Jede erhält eine Bewertung von eins bis vier; Konformität ist auf Stufe drei erreicht. Ist eine Anforderung nicht anwendbar, muss dies begründet werden. Das Instrument hat zwei Verwendungszwecke. Ein Auftraggeber kann es seinen Zulieferern vertraglich auferlegen. Es kann auch zur Selbstbewertung dienen, um die Reife zu messen und nachzuweisen, mit der Perspektive einer späteren Zertifizierung.

Der Referenzrahmen lässt sich in fünf Fragen an die Unternehmensleitung zusammenfassen. Weiß das Unternehmen, welche Informationen tatsächlich sensibel sind und wo sie gespeichert werden? Ist eine Person eindeutig für Cybersicherheit zuständig und berichtet sie der Unternehmensleitung? Werden Zugriffsrechte, Fernverbindungen, Administratorkonten und Passwörter kontrolliert? Könnte die Organisation nach einem Ransomware-Angriff rasch wieder anlaufen? Lässt sich schließlich das erreichte Niveau durch eine Bescheinigung und überprüfbare Nachweise belegen?

Eine verbindliche Bescheinigung und aufzubewahrende Nachweise

Die Anforderung findet über das Klauselwerk der Generaldirektion für Rüstung schrittweise Eingang in Verteidigungsaufträge und soll zwischen Auftraggebern harmonisiert werden. Das Unternehmen bewertet sich anhand des offiziellen Rasters. Die Unternehmensleitung unterzeichnet eine Bescheinigung, die höchstens drei Jahre gültig ist, und überprüft sie jährlich. Die Nachweise müssen für den Fall eines Audits verfügbar bleiben. Diese Kombination macht die Erklärung zu einer Governance-Verpflichtung und nicht zu einer bloßen Dokumentationsformalität.

Unterstützungsangebote sind vorgesehen. Die Cyber Défense-Diagnose wird als zu 50 Prozent bezuschusst angekündigt. Die Direktion für Nachrichtendienst und Verteidigungssicherheit kann kostenlose Beratung leisten. Die Generaldirektion für Rüstung verfügt außerdem über eine Cyberstelle für kleine und mittlere Unternehmen. Drei Punkte verdienen besondere Aufmerksamkeit. Für Sicherheitsupdates ist keine einheitliche Frist festgelegt, doch Verzögerungen und Ausnahmen müssen bekannt, dokumentiert und durch Ausgleichsmaßnahmen abgesichert sein. Der Geltungsbereich umfasst Werkzeugmaschinen und industrielle IT. Schließlich überträgt die Nutzung von Cloud-Diensten oder eines Dienstleisters nicht die Verantwortung, und externes Hosting stellt für sich genommen keine Datensicherung dar.

Die notwendige Abstimmung mit anderen Referenzrahmen

Der grundlegende Referenzrahmen für Cyberreife ersetzt die anderen Rahmenwerke nicht. Er bildet eine gemeinsame Grundlage, die auf französische Verteidigungszulieferer zugeschnitten ist. Gleichwertigkeiten werden anerkannt oder geprüft, um wiederholte Verfahren zu vermeiden. Der Leitfaden stellt insbesondere klar, dass die Bronzestufe des Aircyber-Referenzrahmens eine Gleichwertigkeit bietet. Ein Unternehmen, das sich bereits mit ISO IEC 27001 oder der Einhaltung von NIS 2 befasst, hat somit einen Teil des Weges zurückgelegt, muss aber weiterhin die spezifischen Anforderungen von Verteidigungsaufträgen nachweisen.

Von der Bewertung zum Wettbewerbsvorteil

Der vorgeschlagene Weg beginnt mit einer Selbstbewertung für jede einzelne Anforderung. Anschließend ermittelt das Unternehmen die Abweichungen, ordnet seine Prioritäten nach Blöcken und entscheidet, ob es allein handeln kann oder Unterstützung benötigt. Diese erste Bestandsaufnahme ist weder ein Audit noch eine Zertifizierung. Sie dient dazu, die Lage objektiv zu erfassen und die Entscheidung vorzubereiten.

Die Verbesserung erfolgt in drei Schritten. Verstehen bedeutet, die Diagnose durchzuführen, Gespräche mit der Führung und den Teams zu organisieren und anschließend die Abweichungen und kritischen Risiken zu erfassen. Entscheiden heißt, nach Risiko zu priorisieren, die Kosten der Maßnahmen zu beziffern, über Ressourcen zu entscheiden und den Referenzrahmen mit NIS 2 abzustimmen. Transformieren bedeutet, die Umsetzung zu steuern, die Bescheinigung der Unternehmensleitung vorzubereiten und die Fortschritte gegenüber Kunden sichtbar zu machen. Cybersicherheit wird damit zu einem nachweisbaren Verkaufsargument, sofern die Nachweise tatsächlich umgesetzten Maßnahmen entsprechen.

Risiken durch Dritte in großem Maßstab messen

Die Erfahrungen von Board of Cyber erweitern die Betrachtung auf die Beherrschung der durch Dritte eingebrachten Risiken. Das Unternehmen stellt eine automatisierte und nicht invasive Bewertung der externen Angriffsfläche vor, die punktuell oder kontinuierlich eingesetzt werden kann. Ziel ist es, die Reife einer Organisation und ihres Ökosystems zu bewerten, zu überwachen und zu steuern. Dieser Ansatz entspricht einer zentralen Realität der Raumfahrt: Die Sicherheit einer Kette hängt von ihrem am stärksten exponierten Akteur ab.

Das Panorama NIS 2 von 2026 umfasst mehr als 21 700 französische Einrichtungen, 7,4 Millionen beobachtbare Merkmale und 2,8 Millionen Ressourcen in achtzehn Sektoren. Die Analyse vergibt anhand der von außen sichtbaren Angriffsfläche einen Wert von null bis tausend. Sechs häufige Auffälligkeiten werden hervorgehoben: ein über das Internet zugänglicher LDAP-Port, Technologien am Ende ihres Lebenszyklus, fehlendes SPF, eine im neutralen Modus belassene DMARC-Richtlinie, ein ungültiges oder abgelaufenes TLS-Zertifikat und ein generischer CNAME-Eintrag auf der Hauptdomain. Fünf dieser sechs Auffälligkeiten lassen sich innerhalb weniger Wochen durch Konfiguration beheben. Der Umgang mit veralteten Technologien erfordert dagegen einen kontinuierlichen Prozess.

Der Raumfahrtsektor im Mittelfeld

Der Branchenvergleich misst den Anteil der Einrichtungen mit fortgeschrittener Reife. Das Bankwesen liegt mit 60,2 Prozent vor den Finanzmärkten mit 57,9 Prozent an der Spitze. Die Raumfahrt erreicht 36,9 Prozent, zwischen der Trinkwasserversorgung mit 38,3 Prozent und dem Verkehrssektor mit 36 Prozent. Dieses Ergebnis liegt weit unter den besten Werten, obwohl die Dienste des Sektors kritische Funktionen unterstützen.

Die Bestandsaufnahme bei einhundertsiebzig Raumfahrtunternehmen

Das Observatorium für 170 Unternehmen des Raumfahrtsektors in der Bretagne weist eine Durchschnittsbewertung von 705 von tausend aus. Neun Unternehmen werden der Basisstufe, 98 der mittleren und 63 der fortgeschrittenen Stufe zugeordnet. Die Profile unterscheiden sich stark je nach bewerteter Dimension. Die Sicherheitskontrollen schneiden vergleichsweise günstig ab, während Angriffsfläche, E-Mail-Sicherheit und Schwachstellen deutlichere Defizite aufweisen.

Der zentrale Befund bleibt besorgniserregend. Neun von zehn Unternehmen weisen mindestens ein schwerwiegendes oder kritisches Problem auf, das behoben werden muss. Exponierte Ports stellen für 8,2 Prozent der Unternehmen ein kritisches Problem dar. Die E-Mail-Konfiguration ist für 54 Prozent ein erhebliches Problem. Mängel im Zusammenhang mit Web und TLS betreffen 44 Prozent. Sicherheitskontrollen zu DNSSEC und generischen DNS-Einträgen betreffen 11 Prozent. Aktualisierungsbedürftige Technologien finden sich bei 59 Prozent der Unternehmen und müssen in die Maßnahmenplanung aufgenommen werden.

Ein nach Dringlichkeit gestufter Aktionsplan

Der vorgeschlagene Aktionsplan verteilt die Behebungsmaßnahmen auf vier Zeithorizonte. Innerhalb von zweiundsiebzig Stunden müssen Organisationen kritische Expositionen schließen, insbesondere zugängliche Ports und anonyme LDAP-Dienste. Sie können diese Dienste filtern oder hinter einer Firewall platzieren. Besteht die Exposition schon länger, müssen sie die Zugangsdaten erneuern und die Protokolle untersuchen. Vierzehn Unternehmen sind unmittelbar von dieser Priorität betroffen.

Innerhalb von dreißig Tagen liegt der Schwerpunkt auf E-Mail-Sicherheit, Zertifikaten und dem HTTP-Protokoll. DMARC und SPF müssen konfiguriert, unnötige E-Mail-Einträge entfernt, fehlerhafte Zertifikate erneuert und unsichere Webverbindungen abgeschafft werden. Innerhalb von neunzig Tagen hat die Aktualisierung der Webserver, Programmiersprachen und Content-Management-Systeme Vorrang. Auf Webserver entfallen 82 Prozent der kritischen Schwachstellen, und die Studie erfasst 10 601 potenziell kritische Schwachstellen auf diesen Servern.

Die vierte Phase läuft kontinuierlich. Unternehmen müssen ihre von außen sichtbare Reife regelmäßig messen, prüfen, ob die Behebungsmaßnahmen wirksam bleiben, und die Fortschritte ihrer Partner verfolgen. Diese Überwachung ergänzt den Reifereferenzrahmen. Die eine liefert eine sichtbare Messung der exponierten Fläche, der andere strukturiert Governance, Prozesse und interne Nachweise. Ihre Kombination ergibt ein realistischeres Bild des Risikos.

Was Führungskräfte mitnehmen sollten

Der Schutz der europäischen Raumfahrt beruht auf einer Kette kohärenter Entscheidungen. Die Institutionen müssen Fähigkeiten finanzieren, gemeinsame Regeln definieren und die Reaktion auf Bedrohungen organisieren. Betreiber müssen Satelliten, Bodenstationen, Netze und Daten absichern. Auftraggeber müssen ihre Anforderungen harmonisieren und Nachweise prüfen. Zulieferer müssen ihre sensiblen Ressourcen kennen, Zugriffe kontrollieren, ihre Datensicherungen testen und sichtbare Expositionen beheben. Keine dieser Ebenen kann die Schwäche der anderen dauerhaft ausgleichen.

Die Governance von Daten wird ebenso wichtig wie ihr Schutz. Ein Weltraumdatenraum schafft nur dann Wert, wenn Nutzungsrechte, Identitäten, Verträge, semantische Modelle und Auditmechanismen gemeinsam genutzt werden. Die europäische Föderation ermöglicht es, Dienste zu bündeln und zugleich die Kontrolle der Dateninhaber zu erhalten. Sie bietet einen geeigneten Rahmen für sensible Informationen, den sektorübergreifenden Austausch und souveräne Anwendungen.

Schließlich erschöpft sich Resilienz nicht im Erwerb einer Technologie. Die beobachteten Schwierigkeiten entstehen häufig durch offene Ports, abgelaufene Zertifikate, unvollständige E-Mail-Regeln, veraltete Komponenten und schlecht verwaltete Rechte. Diese Probleme sind bekannt und behebbar. Ihr Fortbestehen zeigt, dass die erste Priorität eine disziplinierte Umsetzung ist, gestützt auf klare Governance, eindeutige Verantwortlichkeiten, risikogerechte Fristen und eine regelmäßige Messung der Fortschritte.

Europa verfügt inzwischen über Strategien, Programme und Finanzmittel, die seine Autonomie stärken können. Der Erfolg wird davon abhängen, ob diese in die Verträge, Architekturen und täglichen Praktiken jedes Akteurs übersetzt werden. In einem Bereich, in dem zivile, militärische und kommerzielle Missionen zunehmend dieselben Infrastrukturen nutzen, ist Cybersicherheit die operative Voraussetzung für Souveränität im Weltraum.

Entdecken Sie das vollständige METRICS-Programm

Auf unserer Website finden Sie das vollständige Kongressprogramm, die behandelten Themen und die verschiedenen Möglichkeiten, einen Beitrag vorzuschlagen, Sponsor zu werden oder an den Diskussionen teilzunehmen.

Zum vollständigen METRICS-Programm: https://www.metrics-summit.org/fr/program

Quellen

Generaldirektion für Rüstung, Leitfaden zum grundlegenden Referenzrahmen für Cyberreife: verstehen und anwenden, 15. Juli 2026

Leitfaden SDI SecNum 2217, Ausgabe 03

Nationale Agentur für die Sicherheit der Informationssysteme, Cyberbedrohungslagebild 2025, 11. März 2026

Board of Cyber, Panorama NIS 2 2026 und Observatorium für 170 Unternehmen des Raumfahrtsektors

Europäische Kommission, Generaldirektion Verteidigungsindustrie und Weltraum, Politik und Programme für Raumfahrt und Verteidigung