Wirtschaftsspionage im Mittelstand: Know-how schützen ohne Abschottung

Warum Wirtschaftsspionage auch kleine Betriebe betrifft

Bei Wirtschaftsspionage denken viele an Geheimdienste, die Rüstungskonzerne ausforschen. Der Alltag kleiner Betriebe sieht anders aus: Ein Vertriebsleiter wechselt zum Wettbewerber und nimmt die Kundenliste mit. Ein Lieferant gibt Zeichnungen an einen Nachbau weiter. Ein Interessent lässt sich in drei Terminen die gesamte Kalkulation erklären und bestellt dann woanders. Das Wissen, das einen Betrieb vom Wettbewerb unterscheidet, steckt in Köpfen, Dateien und Abläufen, und es kann auf vielen Wegen hinausgehen.

Der Beitrag fragt deshalb: Welches Wissen muss ein kleiner oder mittlerer Betrieb schützen, und wie viel Schutz ist sinnvoll, ohne dass er die eigene Arbeit behindert? Dafür klären wir zuerst die Begriffe, sehen uns dann die Lage in Zahlen an, stellen ein Denkmodell zur Kette vom Abfluss bis zum Schaden vor und wägen zwei Sichtweisen ab. Am Ende stehen die rechtlichen Mindestanforderungen und eine Probe für den eigenen Betrieb.

Was ist Wirtschaftsspionage, und was ist ein Geschäftsgeheimnis?

Im deutschen Sprachgebrauch unterscheidet man zwei Dinge. Wirtschaftsspionage ist das staatlich gelenkte Ausforschen von Unternehmen durch fremde Nachrichtendienste. Konkurrenzausspähung, oft auch Industriespionage genannt, ist das Ausforschen durch Wettbewerber, frühere Beschäftigte oder andere private Akteure. Für den Betrieb macht der Unterschied beim Schaden wenig aus, wohl aber bei der Frage, wen er im Ernstfall einschaltet: Bei Hinweisen auf staatliche Akteure sind die Verfassungsschutzbehörden ansprechbar, bei privaten Tätern Polizei und Zivilgericht.

Was geschützt wird, regelt seit dem 26. April 2019 das Geschäftsgeheimnisgesetz (GeschGehG), mit dem Deutschland eine EU-Richtlinie von 2016 umgesetzt hat. Ein Geschäftsgeheimnis ist danach eine Information, die nicht allgemein bekannt ist, deshalb einen wirtschaftlichen Wert hat und von ihrem Inhaber durch angemessene Geheimhaltungsmaßnahmen geschützt wird. Dazu können Rezepturen, Konstruktionen und Quellcode gehören, aber ebenso Kalkulationen, Kundenlisten, Bezugsquellen und Angebotsstrategien.

Wichtig ist das dritte Merkmal. Früher genügte ein erkennbarer Wille zur Geheimhaltung. Heute muss der Inhaber selbst tätig werden und das im Streitfall nachweisen. Wer seine Kalkulation offen auf einem gemeinsamen Laufwerk liegen lässt, kann sich später schwer darauf berufen, sie sei ein Geschäftsgeheimnis gewesen.

Wie verbreitet sind Spionage und Datendiebstahl? Die Lage in Zahlen

Der Digitalverband Bitkom befragt jedes Jahr gemeinsam mit dem Bundesamt für Verfassungsschutz Unternehmen zu Datendiebstahl, Spionage und Sabotage. Für die Studie 2026 wurden 1.003 Unternehmen ab zehn Beschäftigten telefonisch befragt. 96 Prozent waren betroffen oder vermuteten es, 67 Prozent konnten einen Angriff sicher nachweisen. Den Schaden schätzt Bitkom auf 211 bis rund 271 Milliarden Euro im Jahr, 76 Prozent davon gehen auf Cyberangriffe zurück. Diese Zahlen ordnet der Beitrag Cyberangriffe auf kleine Betriebe ausführlich ein. Hier interessiert vor allem, wer hinter den Vorfällen steht.

Drei Befunde sind für kleine Betriebe aufschlussreich. Erstens steigt der Anteil der Unternehmen, die ausländische Nachrichtendienste vermuten, von 28 auf 37 Prozent. Als Herkunftsland wurden am häufigsten China (52 Prozent) und Russland (49 Prozent) genannt. Zweitens bleiben aktuelle und frühere Beschäftigte eine große Gruppe, unabsichtlich wie vorsätzlich. Drittens ist ein erheblicher Teil des Abflusses analog.

Die Grenzen der Zahlen sind deutlich. Die Studie beruht auf Selbstauskünften, der Schaden ist eine Hochrechnung. Tätergruppen kann nur nennen, wer einen Angriff zurückverfolgen konnte. Knickmeier (2020) beschreibt auf Grundlage des deutschen Forschungsprojekts WISKOS, dass Wirtschafts- und Konkurrenzspionage zu den unterschätzten Delikten gehören, weil Betroffene Vorfälle oft nicht bemerken, nicht melden oder nicht zur Anzeige bringen. Die tatsächliche Lage dürfte also eher unter- als überzeichnet sein.

Das Denkmodell: die Kette vom Abfluss zum Schaden

Moorman, Kohli und Jaworski (2026) haben im Journal of Marketing ein Modell vorgelegt, das für Inhaber nützlich ist, auch wenn es aus der Marketingforschung stammt. Sie stützen es auf Literatur aus acht Disziplinen und auf Interviews mit 15 Führungskräften. Ihre Grundidee: Damit abgeflossenes Wissen einem Betrieb schadet, muss es vier Stufen durchlaufen. Auf jeder Stufe kann die Kette reißen, und auf jeder Stufe gibt es eine eigene Schutzstrategie.

Eine Analogie aus der Gastronomie macht das greifbar. Ein Restaurant kann sein Rezept nicht verstecken, denn jeder Gast schmeckt das Gericht. Damit ein Wettbewerber daraus Kapital schlägt, muss er aber erkennen, was den Geschmack ausmacht, die Zutaten in derselben Qualität beschaffen, eine Küche haben, die das Gericht jeden Abend gleich gut kocht, und Gäste finden, die deshalb wechseln. Jede dieser Stufen ist eine Hürde. Das Rezept allein ist selten der Vorsprung.

Die Autoren betonen, dass die Stufen 2 bis 4 von Motivation und Fähigkeit des Wettbewerbers abhängen. Ein Konkurrent, der mit eigenen Problemen beschäftigt ist, nutzt fremdes Wissen oft gar nicht. Für einen Betrieb folgt daraus: Nicht jeder Abfluss ist ein Schaden, und Schutz muss nicht nur an der ersten Stufe ansetzen.

Abschotten oder offen arbeiten? Zwei Sichtweisen

Wie viel Geheimhaltung richtig ist, wird unterschiedlich beantwortet. Beide Sichtweisen haben gute Gründe.

Für die erste Sichtweise sprechen die Bitkom-Zahlen und das Gesetz. Sadok, Welch und Bednar (2020) zeigen zudem, dass viele Fälle computergestützter Spionage auf Sicherheitslücken und auf Innentäter zurückgehen, und halten rein technische Lösungen für unzureichend. Sie empfehlen einen sozio-technischen Ansatz, der Technik mit einer Kultur verbindet, in der Sicherheit selbstverständlich ist.

Für die zweite Sichtweise sprechen Moorman, Kohli und Jaworski (2026). Sie beschreiben neun versteckte Kosten der Abschottung in drei Gruppen: schlechtere Entscheidungen, etwa weil Mitarbeiter, die einen Plan nicht kennen, ihn nicht verbessern können; schwächere Umsetzung, weil Abstimmung mühsam wird; und entgangene Erträge, weil Wissen nicht genutzt oder lizenziert wird. Ein Beispiel aus ihrem Text: Ein Betrieb erfährt, dass ein Großkunde drei Produkte auslisten will, und sagt es der Entwicklung nicht. Die arbeitet dann weiter an genau diesen Produkten.

Ich halte die zweite Sichtweise für die nützlichere, ohne die erste zu verwerfen. Ein kleiner Betrieb lebt davon, dass Wissen schnell fließt. Wer alles schützt, schützt nichts richtig und bremst sich selbst. Wer dagegen das wenige Wissen, das wirklich den Vorsprung ausmacht, sauber abgrenzt, kann den Rest offen teilen.

Schutz, der alles gleich behandelt, lähmt den Betrieb und schützt das Wichtige trotzdem nicht besser.

Was das Geschäftsgeheimnisgesetz von dir verlangt

Das Gesetz schreibt keine bestimmte Maßnahme vor. Was angemessen ist, hängt vom Wert der Information, ihrer Bedeutung für den Betrieb und den üblichen Gepflogenheiten ab. Praxisleitfäden von Industrie- und Handelskammern empfehlen, Maßnahmen auf drei Ebenen zu treffen und zu dokumentieren.

Zwei Punkte werden oft übersehen. Erstens ist das Nachbauen durch Untersuchen eines öffentlich erhältlichen oder rechtmäßig erworbenen Produkts, das sogenannte Reverse Engineering, nach dem Gesetz grundsätzlich erlaubt. Wer das ausschließen will, muss es vertraglich vereinbaren. Zweitens schützt das Gesetz Hinweisgeber, die Geheimnisse offenlegen, um rechtswidriges Handeln aufzudecken. Wie eine interne Meldestelle aufgebaut ist, beschreibt der Beitrag Hinweisgeberschutz.

Die Kronjuwelen-Probe: Schutz auf das Wichtige beschränken

Aus dem Denkmodell und dem Gesetz leite ich eine Probe ab, die ich Kronjuwelen-Probe nenne. Sie sortiert das Wissen eines Betriebs danach, wie viel Schutz es verdient, und setzt erst dann Maßnahmen.

1. Kronjuwelen benennen

   Schreibe die fünf bis zehn Informationen auf, deren Verlust deinem Betrieb über Jahre schaden würde: Rezeptur, Kalkulationslogik, Kundenkonditionen, eine besondere Fertigungsfolge. Was nicht auf die Liste passt, braucht keinen besonderen Schutz.

2. Abflusswege prüfen

   Notiere zu jeder Kronjuwele, wo sie liegt und wer Zugriff hat: Laufwerk, Papierordner, Kopf eines einzelnen Mitarbeiters, Lieferant, Kunde. Denke an analoge Wege, Besuche und Gespräche.

3. Kette brechen

   Wähle für jede Kronjuwele die Stufe, an der Schutz am wenigsten kostet. Manchmal ist es der Zugriff, manchmal ein Vertrag, manchmal ein Vorsprung, den der Wettbewerber ohnehin nicht einholt.

4. Dokumentieren

   Halte die Maßnahmen schriftlich fest, mit Datum. Das ist der Nachweis, den das Gesetz im Streitfall verlangt.

5. Austritte regeln

   Lege fest, was beim Ausscheiden von Beschäftigten passiert: Zugänge sperren, Geräte zurück, ein Gespräch über Vertraulichkeit. Hier entsteht ein großer Teil der Abflüsse.

Wissen, das nur im Kopf einer Person liegt, ist dabei ein eigenes Risiko, und zwar in beide Richtungen: Es kann mit ihr zum Wettbewerber gehen, und es kann mit ihr verloren gehen. Wie du es im Betrieb hältst, beschreibt Wissen sichern, bevor erfahrene Mitarbeiter gehen. Wie Vertriebswissen geordnet und zugleich zugänglich bleibt, zeigt Wissensmanagement im Vertrieb.

Was über den Einzelfall hinaus folgt, und wo die Grenzen liegen

Know-how-Schutz ist eine Governance-Frage, keine reine IT-Frage. Wer entscheidet, wer Zugriff hat, und wer prüft, ob die Regeln gelten? Das Drei-Linien-Denken aus Corporate Governance für kleine Betriebe lässt sich direkt übertragen: Die Fachabteilung schützt ihr Wissen selbst, eine zweite Person prüft die Zugriffsrechte, und gelegentlich schaut jemand von außen. Bei neuen Partnern, die tief in die eigenen Abläufe sehen, gehört eine Prüfung vorab dazu, wie sie Due Diligence bei Geschäftspartnern beschreibt.

Die Grenzen dieser Einordnung sind deutlich. Das Modell von Moorman, Kohli und Jaworski ist ein theoretischer Rahmen, gestützt auf 15 Interviews, und wurde für Marketingwissen entwickelt. Für technisches Wissen, das sich durch Patente schützen lässt, gelten teils andere Abwägungen. Die Bitkom-Zahlen betreffen Unternehmen ab zehn Beschäftigten. Für Kleinstbetriebe gibt es kaum belastbare Daten. Die Richtung ist trotzdem klar: Der größte Teil des Schutzes liegt in Ordnung und Verantwortung, nicht in teurer Technik.

Fazit und erster Schritt

Zur Leitfrage: Ein kleiner Betrieb muss nicht alles schützen, sondern das wenige Wissen, das seinen Vorsprung trägt. Die Zahlen zeigen, dass Abfluss häufig ist und oft über Menschen und Papier läuft, nicht nur über Netzwerke. Das Gesetz schützt nur, wer angemessene Maßnahmen ergreift und belegt. Die Forschung zeigt zugleich, dass flächendeckende Abschottung eigene Kosten hat. Sinnvoll ist deshalb ein gezielter Schutz an der Stufe der Kette, an der er am wenigsten kostet, verbunden mit offener Arbeit beim Rest.

Die nüchterne Folgerung: Der beste Schutz eines kleinen Betriebs ist ein Vorsprung, den man nicht in eine Tasche packen kann.

• Die fünf bis zehn Kronjuwelen deines Betriebs aufschreiben.
• Zu jeder notieren, wo sie liegt und wer Zugriff hat.
• Prüfen, ob Arbeits- und Lieferverträge Vertraulichkeitsklauseln enthalten.
• Einen festen Ablauf für das Ausscheiden von Beschäftigten festlegen.
• Die getroffenen Maßnahmen mit Datum schriftlich festhalten.
• Mit dem Team besprechen, welche Informationen frei geteilt werden dürfen, damit Schutz nicht zur Bremse wird.