Ein Frankfurter Immobilienfonds verliert 2022 ein lukratives Bietungsverfahren, obwohl sein Angebot intern als konkurrenzfähig galt. Kurze Zeit später taucht ein identisch strukturiertes Finanzierungsmodell beim obsiegenden Wettbewerber auf. Zufall? Die nachfolgende interne Untersuchung zeigt: Ein freiberuflicher IT-Dienstleister hatte über Monate Zugriff auf freigegebene Netzlaufwerke, die weit mehr enthielten als seine Arbeit erfordert hätte. Kein Einbruch, keine Schadsoftware, kein Hackerangriff. Nur ein fahrlässig gesetztes Zugriffsrecht.
Solche Fälle sind kein Randphänomen. Das Bundesamt für Verfassungsschutz beziffert den jährlichen Schaden durch Wirtschaftsspionage und Konkurrenzausspähung in Deutschland auf rund 50 Milliarden Euro. Die Immobilienwirtschaft gilt dabei als besonders exponiert, weil Transaktionsdaten, Bewertungsgutachten, Investorenlisten und Ankaufsstrategien für Mitbewerber unmittelbar verwertbar sind.
Interne Täter: Das unterschätzte Risiko
Studien des Verfassungsschutzes zeigen konsequent, dass über 60 Prozent aller nachgewiesenen Fälle von Informationsabfluss durch eigene Mitarbeiter verursacht werden, häufig nicht durch böswillige Absicht, sondern durch Unachtsamkeit oder strukturelle Fehler bei der Zugriffssteuerung. Trotzdem existiert in vielen mittelständischen Immobilienunternehmen kein dokumentiertes Berechtigungskonzept.
Konkrete Warnsignale für internen Datenabfluss sind unter anderem:
- Ungewöhnliche Zugriffszeiten auf sensible Ordner, etwa nachts oder an Wochenenden
- Massenhaftes Kopieren oder Drucken von Dokumenten kurz vor Kündigung oder Projektende
- Mitarbeiter, die regelmäßig über eigene Zuständigkeit hinaus Daten abrufen
- Private USB-Sticks oder Cloud-Dienste, die entgegen interner Richtlinien genutzt werden
- Plötzliches Interesse an Strukturen, Investoren oder Objektpipelines außerhalb des eigenen Verantwortungsbereichs
Besonders heikel ist die Phase zwischen Kündigung und letztem Arbeitstag. In dieser Zeit werden erfahrungsgemäß die meisten Daten abgezogen. Ein sofortiger Entzug der Systemzugänge nach Ausspruch einer Kündigung ist deshalb keine Schikane, sondern ein Standardverfahren, das in der IT-Security als unverzichtbar gilt.
Externe Dienstleister: Zugang ohne Kontrolle
Facility-Manager, Steuerberater, IT-Wartungsfirmen, Makler mit temporären Datenzugriffen: In einem typischen Immobilienunternehmen arbeiten Dutzende externer Partner zeitweise mit internen Systemen. Jeder davon ist ein potenzieller Übertragungsweg für sensible Informationen, unabhängig davon, ob absichtlich oder nicht.
Das Problem liegt meist in der fehlenden Segmentierung. Wer für eine spezifische Aufgabe Systemzugang erhält, bekommt häufig mehr zu sehen als nötig, weil Ordnerstrukturen historisch gewachsen sind und niemand die Berechtigungen nachgezogen hat. Ein Steuerberater, der für die Jahresabschlussprüfung Zugriff auf einen Buchhaltungsordner benötigt, sollte keinen Lesezugriff auf die Ankaufsstrategie für das kommende Quartal haben. Das klingt selbstverständlich, ist es in der Praxis aber oft nicht.
Physische Abhörgefahr: Konferenzräume und Büros
Digitale Kanäle sind nicht der einzige Angriffsweg. Vertrauliche Gespräche in Besprechungsräumen, Telefonate über offene Leitungen oder informelle Unterhaltungen in gemieteten Büroflächen können ebenfalls systematisch abgehört werden. Entsprechende Abhörtechnik ist seit Jahren erschwinglich und klein genug, um bei einer regulären Reinigung nicht aufzufallen.
Wer ernsthaft schützen will, sollte sensible Räumlichkeiten regelmäßig auf Abhörgeräte untersuchen lassen. Spezialisierte Dienstleister wie die Lauschabwehr Mannheim führen technische Gegenspionage-Überprüfungen durch, bei denen Konferenzräume, Telefonanlagen und IT-Infrastruktur systematisch auf eingebrachte Wanzen und Sendeeinheiten kontrolliert werden. Solche Überprüfungen sind keine Paranoia, sondern Bestandteil eines professionellen Sicherheitskonzepts, das in der Finanzbranche bereits Standard ist.
Besonders relevant wird das bei angemieteten Räumen für Investorengespräche, Notartermine oder Transaktionsabschlüsse. Wer weiß, wie viel ein einzelner Immobiliendeal bewegt, versteht, warum auch externe Akteure Interesse an solchen Gesprächen haben können.
Strukturelle Schutzmaßnahmen für Immobilienunternehmen
Es braucht keine nachrichtendienstliche Infrastruktur, um sich wirksam zu schützen. Die meisten erfolgreichen Präventionsmaßnahmen sind organisatorischer Natur:
- Berechtigungskonzept dokumentieren: Wer darf was sehen? Dieses Konzept muss schriftlich existieren, regelmäßig geprüft und bei Personalwechsel sofort aktualisiert werden.
- Prinzip der minimalen Rechtevergabe: Jeder Nutzer, intern wie extern, erhält nur Zugriff auf das, was für seine konkrete Aufgabe notwendig ist.
- Protokollierung sensibler Datenzugriffe: Moderne DMS-Systeme ermöglichen lückenlose Logs. Diese müssen aktiv ausgewertet werden, nicht nur im Nachhinein.
- Non-Disclosure-Agreements mit Zähnen: Vertraulichkeitsvereinbarungen mit externen Dienstleistern müssen konkrete Vertragsstrafen enthalten und nicht nur formale Absichtserklärungen bleiben.
- Sensibilisierung der Belegschaft: Einmalige Schulungen reichen nicht. Social Engineering, also das gezielte Ausnutzen menschlicher Hilfsbereitschaft oder Neugier, ist die häufigste Angriffsmethode und erfordert kontinuierliche Auffrischung.
Wann ist der Schaden eingetreten?
Das Tückische an Wirtschaftsspionage: Der Informationsabfluss selbst ist oft erst Monate später erkennbar, wenn ein Wettbewerber plötzlich mit identischen Konzepten auftritt, eine Transaktion unerwartet scheitert oder ein Investor überraschend abspringt. Bis dahin hat das betroffene Unternehmen möglicherweise weiter investiert, ohne zu wissen, dass die eigene Strategie längst bekannt ist.
Deshalb ist regelmäßiges Monitoring wichtiger als reaktive Aufklärung. Unternehmen, die Zugriffsrechte einmal im Quartal systematisch überprüfen, auffällige Aktivitäten protokollieren und ihre physische Infrastruktur in kurzen Abständen auf Abhörtechnik kontrollieren lassen, reduzieren das Risiko erheblich, ohne einen unverhältnismäßigen Aufwand zu betreiben.
Fazit: Prävention ist billiger als Schadensregulierung
Ein strukturiertes Berechtigungskonzept kostet intern vielleicht zwei Arbeitstage zur Einführung und wenige Stunden jährlich zur Pflege. Eine professionelle Abhörschutzprüfung für einen mittelgroßen Besprechungsraum bewegt sich im vierstelligen Bereich. Dagegen steht der potenzielle Schaden eines abgegriffenen Ankaufsprozesses, einer kompromitierten Investorenliste oder einer verlorenen Transaktion, der schnell in den siebenstelligen Bereich geht.
Wirtschaftsspionage ist kein abstraktes Risiko aus Wirtschaftskriminalitätsstatistiken. Sie ist konkret, methodisch und für gut aufgestellte Angreifer erschreckend einfach durchführbar, solange Unternehmen keine strukturierten Gegenmechanismen etabliert haben. Der erste Schritt ist zu akzeptieren, dass das eigene Unternehmen ein lohnenswertes Ziel sein kann. Erst dann beginnt wirksamer Schutz.
