Am 21. Januar 2026 wurde die Staatlichen Kunstsammlungen Dresden (SKD) Opfer eines gezielten Cyberangriffs, der weite Teile der digitalen Infrastruktur lahmlegte. Was auf den ersten Blick wie ein klassischer Ransomware-Vorfall aussah, entpuppte sich als weitaus besorgniserregender: Ausländische Sicherheitsbehörden warnten wenige Wochen später vor einem geplanten Diebstahl hochwertiger Porzellanstücke aus dem Zwinger – darunter eine chinesische Drachenvase von unschätzbarem Wert. Der Vorfall zeigt eine neue Dimension organisierter Kriminalität: Cyberangriffe als Vorbereitungshandlung für physische Einbrüche. Für Investoren eröffnet sich ein bislang unterschätztes Marktsegment: Physical Security Convergence – die Verschmelzung von IT- und physischer Sicherheit in kritischen Infrastrukturen.
Der Angriff im Detail: Digitale Infrastruktur komplett lahmgelegt
Am 21. Januar 2026, kurz vor Mittag, registrierten die IT-Teams der SKD ungewöhnliche Aktivitäten im Netzwerk. Binnen Stunden waren Online-Shop, Besucherservice, Telefonie und große Teile der Verwaltungssysteme offline. Die Website des Museumsverbunds – einer der bedeutendsten kulturellen Institutionen Deutschlands mit 14 Museen – zeigte nur noch eine Fehlermeldung.
Die SKD bestätigten einen „gezielten Hackerangriff", betonten jedoch, dass das Sicherheitssystem unbeeinträchtigt funktionsfähig bleibe. Die Museen blieben geöffnet, aber der digitale Betrieb war faktisch zusammengebrochen. Tickets konnten nur noch vor Ort verkauft werden, Reservierungen waren unmöglich, die gesamte Kommunikationsinfrastruktur lahmgelegt.
Drei Wochen später, am 20. Februar, veröffentlichte die Polizei eine Warnung: Kriminelle hätten es offenbar auf hochwertige Stücke aus der Porzellansammlung abgesehen – konkret auf eine chinesische Drachenvase sowie weitere Objekte aus dem 18. Jahrhundert. Der Hinweis kam von ausländischen Sicherheitsbehörden, die Ermittlungen gegen eine international agierende Diebesbande führen.
Die Taktik: Cyberangriff als Vorbereitung für physischen Diebstahl
Die Kombination aus Cyberangriff und geplantem Einbruch ist kein Zufall. Analysten vermuten, dass die Hacker Zugang zu Alarmsystemen, Schließmechanismen und Überwachungskameras erlangen wollten – oder zumindest Informationen über deren Konfiguration. Moderne Museen sind hochgradig vernetzt: Zugangskontrollen, Klimatechnik, Beleuchtung und Sicherheitssysteme laufen über zentrale IT-Plattformen.
Ein erfolgreicher Cyberangriff kann:
- Alarmsysteme manipulieren: Bewegungsmelder ausschalten, Sensoren deaktivieren
- Überwachungskameras kompromittieren: Aufnahmen löschen, Live-Feeds unterbrechen
- Zugangskontrollen umgehen: Elektronische Schlösser öffnen, Zutrittsberechtigungen ändern
- Fluchtrouten identifizieren: Grundrisse, Sicherheitsprotokolle, Schichtpläne exfiltrieren
Die SKD-Attacke erinnert an den „Grünen Gewölbe"-Einbruch 2019, bei dem Täter historischen Schmuck im Wert von über 100 Millionen Euro erbeuteten – damals durch physisches Durchbrechen von Gittern. Vier Jahre später wurden die Täter gefasst, aber nur Teile der Beute sichergestellt. Der aktuelle Fall zeigt: Kriminelle werden digitaler.
Sachsen im Visier: Tausende Cyberangriffe auf Behörden
Der SKD-Vorfall ist kein Einzelfall. Im September 2025 veröffentlichte das sächsische Innenministerium alarmierende Zahlen: Tausende Cyberattacken auf Behörden wurden registriert, Tendenz steigend. Bereits im Mai 2025 war Dresden Ziel eines massiven DDoS-Angriffs, der die städtische Homepage zwei Tage offline nahm.
Thomas Popp, IT-Staatssekretär in Sachsen, warnte: „Die Angriffe aus dem Netz nehmen zu und werden immer komplexer. Wir registrieren neben Cyberangriffen per Mail oder im Web immer wieder gezielte Überlastungsangriffe auf die IT-Systeme sächsischer Behörden."
Die Landeskriminalamt-Statistik für Januar 2026 zeigt: Cyberangriffe auf Unternehmen in Sachsen stiegen um 37 Prozent gegenüber Vorjahr. Hauptursachen: Phishing, Ransomware und Social Engineering. Besonders betroffen: Mittelständische Fertigungsunternehmen, Gesundheitseinrichtungen – und zunehmend kulturelle Institutionen.
Politische Reaktion: „Flugmodus ausschalten"
Die Grünen-Fraktion im sächsischen Landtag kritisierte die Landesregierung scharf. Valentin Lippmann, digitalpolitischer Sprecher, forderte: „Die Staatsregierung muss dringend ihre Laissez-faire-Haltung bei der Detektion von Cyberangriffen ändern. Sachsen braucht eine 24/7-Cybersecurity-Task-Force."
Die Kritik zielt auf die dezentrale IT-Struktur: Während Bayern oder Nordrhein-Westfalen zentrale CERTs (Computer Emergency Response Teams) betreiben, ist Sachsens Cybersecurity fragmentiert. Die Sächsische Informatik Dienste GmbH (SID) hat zwar ein Notfallteam mit Rufbereitschaft, aber nur zehn Experten für hunderte Behörden und landeseigene Einrichtungen.
Sachsen war 2024 das erste Bundesland, das die EU-NIS2-Richtlinie umsetzte – auf dem Papier. In der Praxis fehlen Personal, Budgets und vor allem: Erfahrung mit der Absicherung von Operational Technology (OT) in nicht-industriellen Umgebungen wie Museen.
Cultural Heritage Security: Ein unterschätzter Markt
Museen, Archive und Bibliotheken sind die digitalen Nachzügler der kritischen Infrastruktur. Während Krankenhäuser, Kraftwerke und Flughäfen nach NIS2 zur Meldung von Cyberangriffen verpflichtet sind, fallen Kultureinrichtungen oft durch das Raster. Dabei verwalten sie Milliardenwerte – und sind kaum geschützt.
Der globale Markt für Cultural Heritage Security wird auf derzeit 2,3 Milliarden Dollar geschätzt, mit einer CAGR von 18 Prozent bis 2030. Treiber sind:
- Regulierung: EU-NIS2 erfasst „wesentliche Einrichtungen" – dazu zählen große Museen
- Versicherungen: Prämien für ungesicherte Sammlungen steigen drastisch
- Wertentwicklung: Kunstobjekte werden knapper, begehrter – und damit lukrativere Ziele
Die Herausforderung: Traditionelle Cybersecurity-Lösungen passen nicht. Museen haben keine 24/7-SOCs, keine dedizierten IT-Teams, oft veraltete Legacy-Systeme für Klimatechnik und Beleuchtung. Gleichzeitig sind die Folgen eines Einbruchs irreversibel – gestohlene Kunstwerke sind unwiederbringlich.
Wer profitiert? Convergence-Spezialisten und OT-Security-Anbieter
Der SKD-Vorfall zeigt: Der Markt braucht Lösungen, die IT- und physische Sicherheit integrieren. Drei Segmente stechen hervor:
1. Physical Security Information Management (PSIM)
Genetec (privat) und Milestone Systems (Canon-Tochter) dominieren den PSIM-Markt. Ihre Plattformen integrieren Videoüberwachung, Zugangskontrollen, Alarmsysteme und IT-Netzwerke in einem zentralen Dashboard. Für Museen entscheidend: Die Systeme erkennen Anomalien – etwa wenn Kameras ausfallen, während gleichzeitig Netzwerk-Traffic steigt (Hinweis auf Cyberangriff).
Genetec meldet 20 Prozent Jahreswachstum im EMEA-Segment, getrieben durch NIS2-Compliance-Projekte. Milestone (Teil von Canon, NASDAQ: CAJ) wächst mit smarten Kameras, die Edge-basierte Anomalie-Erkennung bieten.
2. OT-Security für Nicht-Industrie-Umgebungen
Claroty (privat, IPO-Kandidat) und Nozomi Networks (privat) sind bekannt für ICS/SCADA-Security in Fabriken. Doch Museen betreiben ähnliche Systeme: Klimaanlagen für temperaturempfindliche Gemälde, elektronische Schlösser, Brandmeldeanlagen. Alles IP-basiert, vieles decades-alt.
Claroty erweitert sein Portfolio auf „Extended IoT" – ein Euphemismus für vernetzte Gebäudetechnik. Der Markt für Building Management System (BMS) Security wird bis 2028 auf 4,1 Milliarden Dollar geschätzt. Museen sind Spätadopter, aber zahlungskräftig: Versicherungen verlangen Nachweise für Cybersecurity, sonst droht Deckungsausschluss.
3. Managed Detection & Response (MDR) für kleine Budgets
Kultureinrichtungen können sich keine eigenen SOCs leisten. Hier kommen MDR-Anbieter ins Spiel: CrowdStrike (NASDAQ: CRWD), SentinelOne (NYSE: S) und Palo Alto Networks (NASDAQ: PANW) bieten 24/7-Überwachung as a Service.
CrowdStrike Falcon für OT kombiniert Endpoint-Detection mit Asset-Visibility – ideal für Museen mit heterogener IT (Windows-PCs, Linux-Server, IoT-Sensoren). SentinelOne Purple AI verspricht autonome Incident Response – entscheidend, wenn Personal nachts nicht verfügbar ist.
Der Cybersecurity Leaders Fonds hält Positionen in CrowdStrike (2,11 Prozent) und Palo Alto Networks (3,22 Prozent), da beide von der strukturellen Unterinvestition im OT- und Critical-Infrastructure-Sektor profitieren.
Der deutsche Markt: Fragmentiert, aber wachsend
Deutschland zählt über 7.000 Museen – viele davon in öffentlicher Hand, chronisch unterfinanziert. Doch die größten (Berliner Museen, Münchner Pinakotheken, SKD) verwalten Sammlungen von Milliardenwert. Nach dem SKD-Vorfall steht jedes große Haus unter Druck, Cybersecurity nachzuweisen.
Die Kulturstiftung der Länder schätzt: Nur 12 Prozent der deutschen Museen haben dedizierte IT-Security-Budgets. 68 Prozent verlassen sich auf „externe Dienstleister" – oft regionale IT-Systemhäuser ohne Cybersecurity-Expertise.
Das Problem: Kulturpolitik ist Ländersache, Budgets sind föderal zersplittert. Es gibt keine zentrale Beschaffung, keine Standards, keine Threat-Intelligence-Sharing-Plattformen für Museen. Jede Einrichtung kämpft allein.
Hier könnte Bundespolitik ansetzen: Ein „Cyber-Kulturgutschutz-Programm" analog zum physischen Kulturgutschutz würde Investitionen in OT-Security, MDR-Services und Personal-Schulungen fördern. Profiteure wären vor allem deutsche Cybersecurity-Integratoren und Managed-Service-Provider.
Was bedeutet das für CISOs?
Der SKD-Fall sollte Alarm auslösen – nicht nur in Museen, sondern in allen Organisationen mit wertvollen physischen Assets: Rechenzentren, Labore, Archive, Logistikzentren. Die Lehren:
- IT- und Physical Security müssen zusammengedacht werden: Separate Teams, separate Budgets, separate Systeme funktionieren nicht mehr. Ein CISO muss wissen, wie Alarmanlagen konfiguriert sind.
- OT-Segmentierung ist Pflicht: Klimaanlagen, Zugangskontrollen und Überwachungskameras dürfen nicht im selben Netz wie Office-IT laufen. Air-Gapping ist unrealistisch, aber VLANs und Firewalls sind Minimalstandard.
- Asset Inventory für physische Systeme: Viele Museen wissen nicht, welche Geräte im Netz hängen. Tools wie Claroty oder Nozomi scannen Netzwerke und erstellen automatisch Inventare – inklusive decades-alter Windows-XP-Kisten für Türsteuerungen.
- Incident-Response-Pläne müssen physische Szenarien einschließen: Was passiert, wenn Alarmanlagen ausfallen? Wer übernimmt manuelle Überwachung? Sind Backup-Schlüssel verfügbar? Die meisten IR-Pläne fokussieren auf Daten-Exfiltration, nicht auf physische Konsequenzen.
Fazit: Ein Weckruf für unterschätzte Infrastrukturen
Der Cyberangriff auf die Staatlichen Kunstsammlungen Dresden ist mehr als ein regionaler Vorfall. Er symbolisiert die wachsende Bedrohung für Organisationen, die wertvolle physische Assets verwalten, aber digital unterinvestiert sind. Die Kombination aus Cyberangriff und geplantem Diebstahl zeigt eine neue Taktik: Digitale Vorbereitung für physische Kriminalität.
Für Investoren eröffnet sich ein strukturell wachsender Markt: Physical Security Convergence. Unternehmen wie Genetec, Milestone, Claroty und Nozomi profitieren davon, dass Museen, Archive und andere Kultureinrichtungen endlich in Cybersecurity investieren müssen – getrieben durch Regulierung (NIS2), Versicherungsdruck und Vorfälle wie in Dresden.
Der Cybersecurity Leaders Fonds ist über Positionen in CrowdStrike und Palo Alto indirekt exponiert. Beide Anbieter expandieren aggressiv in den OT- und Critical-Infrastructure-Markt – ein Segment, das lange vernachlässigt wurde, aber enormes Wachstumspotenzial hat.
Sachsen hat die Laissez-faire-Haltung aufgegeben und investiert in Cybersecurity. Andere Bundesländer werden folgen. Und mit ihnen Museen, Archive, Bibliotheken – ein Markt, den viele Investoren noch nicht auf dem Radar haben.
Quellen
- Staatliche Kunstsammlungen Dresden: „Cyberattack on the Dresden State Art Collections" (22.01.2026)
- MDR: „Hackerangriff legt Webseiten der Staatlichen Kunstsammlungen Dresden lahm" (22.01.2026)
- MDR: „Nach Hackerattacke: Warnung vor Diebstahl wertvoller Porzellanstücke aus dem Zwinger" (20.02.2026)
- Medienservice Sachsen: „Tausende Cyberattacken auf Sachsens Behörden" (03.09.2025)
- LKA Sachsen: „Immer mehr Cyberangriffe auf Firmen" (14.01.2026)
- Grünen-Fraktion Sachsen: „Cyberangriff auf SKD: Staatsregierung muss beim Thema Cyber-Sicherheit den Flugmodus ausschalten" (Februar 2026)
- Deutschlandfunk Kultur: „Cyberangriff auf Staatliche Kunstsammlungen Dresden" (22.01.2026)
