Der Angriff auf Stryker im März 2026 markiert keine Anomalie, sondern eine Eskalationslinie, die sich seit Jahren abzeichnet. Stryker bestätigte eine globale Störung seiner Microsoft-Umgebung infolge eines Cyberangriffs und betonte zugleich, es gebe keinen Hinweis auf Ransomware oder Malware. Genau diese Kombination ist der Kern des Problems: Immer öfter geht es nicht mehr um Verhandlung und Monetarisierung, sondern um operative Lähmung, Signalwirkung und Zerstörung. Sicherheitsforscher von Check Point beschreiben, dass iranische Akteure Cyberkriminalität und Hacktivismus seit Langem als Deckmantel für destruktive Aktivitäten nutzen; Kaspersky stufte bereits NotPetya als destruktive Malware ein, die nur als Ransomware getarnt war.
Stryker zeigt die neue Logik der Angreifer
Am 11. und 12. März 2026 informierte Stryker Kunden mehrfach, dass der Angriff die interne Microsoft-Umgebung treffe, Mako-, Vocera- und LIFEPAK-Systeme aber sicher nutzbar blieben. Gleichzeitig teilte der Konzern mit, dass nur Bestellungen vor dem Vorfall sicher im System sichtbar seien, spätere Aufträge geprüft werden müssten und das elektronische Bestellsystem so schnell wie möglich wiederhergestellt werde. Aus Irland wurde gemeldet, dass am Standort Cork mehr als 5.000 Beschäftigte nach Hause geschickt wurden. Handala reklamierte parallel die Löschung von mehr als 200.000 Systemen, Servern und Mobilgeräten; diese Zahl ist bislang nicht unabhängig bestätigt.
Gerade im Medizintechniksektor ist das hochgefährlich, weil nicht nur Bürosysteme, sondern Bestellketten, Service und Klinikkommunikation mitschwingen. Ein Arzt eines US-Universitätsklinikums berichtete KrebsOnSecurity, dass Materialien für chirurgische Eingriffe zeitweise nicht mehr über Stryker bestellt werden konnten. Zugleich ordnen mehrere Threat-Intelligence-Teams Handala als Persona von Void Manticore ein, einem mit dem iranischen MOIS verknüpften Akteur, dessen Arbeitsweise destruktive Wiper-Angriffe mit Einfluss- und Leckoperationen verbindet. Der Fall Stryker ist damit weniger ein gewöhnlicher Cybercrime-Vorfall als ein Beispiel für wirtschaftliche Sabotage an einem neuralgischen Punkt der Gesundheitsversorgung.
Die Erpressungsmaske fällt
Der Unterschied zwischen Erpressung und Zerstörung ist strategisch. Klassische Ransomware will Daten grundsätzlich wieder freigeben können, weil nur dann ein Opfer zahlt. Wiper-Angriffe brauchen diese Logik nicht. Kaspersky beschreibt ExPetr/NotPetya ausdrücklich als „Data destroyer“ und als destruktive Malware, die als Ransomware verkleidet wurde. Das Weiße Haus nannte NotPetya 2018 den destruktivsten und kostspieligsten Cyberangriff der Geschichte; Merck erklärte später offiziell, der Juni-Angriff habe 2017 alleine rund 260 Millionen US-Dollar Umsatz gekostet.
Dasselbe Muster zeigte sich 2022 in der Ukraine. Microsoft meldete damals zerstörerische Malware, die als Ransomware getarnt war und infizierte Systeme unbrauchbar machen sollte; CISA warnte später gesammelt vor WhisperGate, HermeticWiper, IsaacWiper und CaddyWiper als destruktiven Werkzeugen, die seit Januar 2022 gegen ukrainische Organisationen eingesetzt wurden. Die Erpressungsbotschaft war also nur Fassade, der operative Zweck blieb Verwüstung.
Sabotage als politisches Instrument
Der Angriff auf Stryker ist politisch deshalb so relevant, weil er das Muster moderner Cyberkonflikte sehr klar zeigt: Es geht nicht zwingend mehr um ein kriminelles Geschäftsmodell mit Lösegeld und Verhandlungskanal, sondern um unmittelbare Störung, öffentliche Wirkung und strategische Botschaften. Stryker meldete am 11. und 12. März 2026 eine globale Störung seiner Microsoft-Umgebung, sprach aber zugleich von keinem erkannten Ransomware- oder Malware-Befund. Parallel reklamierte die Iran-nahe Persona Handala den Angriff als Vergeltung und ordnete ihn propagandistisch in den aktuellen Konflikt ein. Genau diese Mischung aus operativer Lähmung und politischer Rahmung macht solche Vorfälle für Unternehmen so gefährlich.
Dahinter steht eine nüchterne Logik: Wer Geld verdienen will, muss dem Opfer eine Rückkehr in den Normalbetrieb zumindest theoretisch offenhalten. Wer hingegen politischen Druck erzeugen will, profitiert viel stärker von sichtbarer Zerstörung, Unsicherheit und öffentlicher Eskalation. Microsoft, Mandiant und Check Point haben in mehreren Iran-nahen Kampagnen genau dieses Muster beschrieben: technische Zerstörung oder massive Störung wird mit Leaks, Telegram-Personas, ideologischen Botschaften und begleitenden Informationsoperationen verbunden. In Albanien bestand die Kampagne laut Microsoft aus Erstzugang, Datenabfluss, Verschlüsselung und Zerstörung sowie flankierenden Informationsoperationen; Mandiant bewertete ROADSWEEP ausdrücklich als politisch motivierte disruptive Operation. Microsoft beschreibt zudem, dass Irans destruktive Angriffe im Kontext des Gaza-Krieges regelmäßig von Online-Einflussoperationen begleitet wurden. Aus Unternehmenssicht ist das entscheidend: Der Angriff ist dann nicht nur ein IT-Vorfall, sondern Teil einer politischen Inszenierung.
Schneller politischer Effekt, maximale mediale Wirkung
Der schnelle politische Effekt entsteht, weil Wiper- und Sabotageangriffe keine lange Verhandlungsphase brauchen. Sobald Bestellsysteme, Produktion, Kommunikation oder Verwaltung ausfallen, entsteht sofort öffentlicher Druck auf Management, Behörden und oft auch auf Regierungen. Bei Stryker betraf die Störung nach Unternehmensangaben nicht nur interne IT, sondern auch Auftragsabwicklung, Produktion und Versand. Ein prominenter US-Hersteller aus dem Gesundheitssektor ist dafür ein besonders wirksamer Druckpunkt, weil jede Störung sofort Fragen nach Versorgungssicherheit, Patientennähe und Resilienz aufwirft. Genau deshalb bewerteten Analysten die Zielwahl im Fall Stryker als Eskalation mit überproportionalen politischen Folgewirkungen.
Zur maximalen medialen Wirkung gehört, dass die Täter ihre Angriffe fast nie nur technisch denken. Die politische Komponente wird gezielt sichtbar gemacht: mit Leakseiten, Telegram-Kanälen, Banner-Motiven, politisch codierten Dateinamen, öffentlich verbreiteten Behauptungen und taktisch getimten Veröffentlichungen. Microsoft beschreibt für Albanien ausdrücklich eine parallele Verstärkung der Kampagne durch Informationsoperationen und öffentliche Narrative. Check Point ordnet Void Manticore, die Infrastruktur hinter Personas wie Homeland Justice und Handala, als Akteur ein, der destruktive Wiper-Angriffe mit Einflussoperationen verbindet. Die Unschärfe zwischen Staat, Proxy und scheinbar autonomem „Hacktivismus“ ist dabei kein Nebeneffekt, sondern politisch nützlich: Sie schafft Wirkung, ohne dass staatliche Verantwortlichkeit immer sofort offen sichtbar wird.
Welche Ziele verfolgt dieses Vorgehen?
Die Ziele solcher Kampagnen sind meist nicht rein technisch, sondern strategisch. Es geht um Vergeltung für reale oder behauptete gegnerische Aktionen, um Abschreckung, um psychologischen Druck auf die Zivilgesellschaft, um die Demütigung eines Gegners und um die Erzeugung des Eindrucks, dass dessen Staat oder Wirtschaft verwundbar ist. Im Albanien-Fall hielt Microsoft fest, dass Messaging, Timing und Zielauswahl auf eine direkte und proportionale Vergeltungslogik hindeuteten. Mandiant sah die ROADSWEEP-Kampagne als politisch motivierte disruptive Operation im Umfeld einer Konferenz der iranischen Opposition. Bei Iran-nahen Kampagnen gegen Israel dokumentierte Microsoft wiederum, dass die Cyberaktivität ausdrücklich darauf ausgerichtet war, den politischen und militärischen Unterstützungsraum Israels anzugreifen und durch Einflussoperationen zu vergrößern.
Für den Fall Stryker bedeutet das: Selbst wenn die genaue operative Motivlage derzeit nicht unabhängig verifiziert ist, war das Unternehmen für die Angreifer propagandistisch ein ideales Ziel. Handala stellte Stryker als „Zionist-rooted“ dar; zugleich ist Stryker ein global sichtbarer US-Medizintechnikkonzern, dessen Ausfall nicht nur interne Bürosysteme, sondern Bestellungen, Lieferketten und kliniknahe Abläufe berühren kann. Hinzu kommt, dass Stryker 2019 das israelische Unternehmen OrthoSpace übernommen hat. Ob genau dieser Faktor den Ausschlag gab, ist offen. Aber die Propagandasprache der Täter zeigt, wie Unternehmen mit Israel-, USA- oder verteidigungsnaher Symbolik in eine politische Feindbildlogik eingeordnet werden.
Welche Unternehmen stehen im Fokus?
Im Fokus stehen typischerweise Unternehmen und Organisationen, die zugleich symbolisch aufgeladen und operativ empfindlich sind. Dazu zählen Regierungsstellen, Parlamente, Airlines, Telekommunikationsanbieter, Energie- und Wasserversorger, Gesundheitsorganisationen, Rüstungs- und Logistikbezüge, aber auch deren Lieferanten, Cloud-Dienstleister und technische Dienstleister. Microsoft stellte für den Gaza-Krieg fest, dass 43 Prozent der von Microsoft beobachteten iranischen Nationalstaaten-Cyberaktivität auf Israel entfielen — mehr als auf die nächsten 14 Zielländer zusammen. Unit 42 erwartet bei Iran-bezogenen Eskalationen einen Fokus auf regionale Gegner wie Israel, auf „high-value targets“ wie Politiker und Entscheidungsträger sowie auf kritische Infrastrukturen, Lieferketten, Anbieter und Provider. Check Point zeigte außerdem, dass destruktive Akteure wie Void Manticore gezielt auf bereits kompromittierte „High-Value“-Umgebungen aufsetzen können, nachdem andere iranische Akteure dort zuvor Zugang geschaffen haben.
Gerade für Unternehmen ist das der unangenehme Punkt: Man muss kein Rüstungskonzern oder Ministerium sein, um politisch interessant zu werden. Es reicht oft, in einer als gegnerisch markierten Lieferkette zu stehen, kritische Dienstleistungen für einen Staat oder eine Branche zu erbringen oder sich öffentlich leicht in ein ideologisches Narrativ einbauen zu lassen. Ein Gesundheitsunternehmen wie Stryker passt in dieses Muster besonders gut, weil es einerseits zivil wirkt, andererseits aber wegen seiner Größe, globalen Reichweite und Systemrelevanz starke wirtschaftliche und mediale Erschütterungen auslösen kann.
Warum auch Zufallsopfer getroffen werden können
Genauso wichtig ist aber die andere Seite: Viele Opfer sind nicht das eigentliche politische Hauptziel, sondern Kollateral- oder Anschlussopfer. Das kann passieren, weil ein Angriff technisch zu breit angelegt ist, weil er über gemeinsame Software verteilt wird oder weil ein Dienstleister, Provider oder Management-System kompromittiert wird. Die britische Regierung hielt bei NotPetya fest, dass sich der Angriff als kriminelles Unternehmen tarnte, sein eigentlicher Zweck aber Störung war; die primären Ziele lagen in ukrainischen Finanz-, Energie- und Regierungssektoren, doch das indiskriminierende Design ließ die Schadsoftware weit über diese Zielgruppe hinaus auf andere europäische und russische Unternehmen überspringen. Beim Angriff auf Viasats KA-SAT-Netz waren mehrere tausend Kunden in der Ukraine und zehntausende weitere in Europa betroffen, nachdem Angreifer über eine fehlkonfigurierte VPN-Appliance in das vertrauenswürdige Managementsegment gelangt waren.
Dasselbe Prinzip gilt für moderne Supply-Chain- und Dienstleisterpfade. Check Point beschrieb 2025 eine Handala-nahe Kampagne, bei der E-Mails von einem kompromittierten Konto eines israelischen CRM-Anbieters an Hunderte Organisationen verschickt wurden. Die eigentliche Wiper-Funktion wurde also über einen vertrauenswürdigen Zwischenknoten an viele nachgelagerte Opfer getragen und zugleich mit einer politischen Botschaft flankiert. Für Unternehmen heißt das: Selbst wer politisch nicht im Zentrum steht, kann getroffen werden, weil er Kunde, Partner, Lieferant oder technischer Nachbar eines eigentlichen Ziels ist. In geopolitischen Cyberkampagnen ist das kein Unfall am Rand, sondern häufig Teil der Wirkung.
Jeder kann Opfer werden
Die politische Pointe lautet deshalb: Diese Angriffe sollen nicht nur Systeme zerstören, sondern Macht demonstrieren. Sie bestrafen, signalisieren, eskalieren und erzeugen Schlagzeilen. Für Unternehmen steigt damit das Risiko erheblich, weil sie nicht nur wegen ihres Marktwerts oder ihrer Zahlungsfähigkeit angegriffen werden, sondern wegen ihrer Symbolkraft, ihrer Verbindungen und ihrer Funktion als gesellschaftlicher Druckpunkt. In einer solchen Logik kann ein Konzern entweder bewusst als politisches Ziel ausgewählt werden — oder als scheinbar randständiger Player zum Zufallsopfer einer größeren Sabotagekampagne werden.Der Angriff auf Stryker im März 2026 markiert keine Anomalie, sondern eine Eskalationslinie, die sich seit Jahren abzeichnet. Stryker bestätigte eine globale Störung seiner Microsoft-Umgebung infolge eines Cyberangriffs und betonte zugleich, es gebe keinen Hinweis auf Ransomware oder Malware. Genau diese Kombination ist der Kern des Problems: Immer öfter geht es nicht mehr um Verhandlung und Monetarisierung, sondern um operative Lähmung, Signalwirkung und Zerstörung. Sicherheitsforscher von Check Point beschreiben, dass iranische Akteure Cyberkriminalität und Hacktivismus seit Langem als Deckmantel für destruktive Aktivitäten nutzen; Kaspersky stufte bereits NotPetya als destruktive Malware ein, die nur als Ransomware getarnt war.
Stryker zeigt die neue Logik der Angreifer
Am 11. und 12. März 2026 informierte Stryker Kunden mehrfach, dass der Angriff die interne Microsoft-Umgebung treffe, Mako-, Vocera- und LIFEPAK-Systeme aber sicher nutzbar blieben. Gleichzeitig teilte der Konzern mit, dass nur Bestellungen vor dem Vorfall sicher im System sichtbar seien, spätere Aufträge geprüft werden müssten und das elektronische Bestellsystem so schnell wie möglich wiederhergestellt werde. Aus Irland wurde gemeldet, dass am Standort Cork mehr als 5.000 Beschäftigte nach Hause geschickt wurden. Handala reklamierte parallel die Löschung von mehr als 200.000 Systemen, Servern und Mobilgeräten; diese Zahl ist bislang nicht unabhängig bestätigt.
Gerade im Medizintechniksektor ist das hochgefährlich, weil nicht nur Bürosysteme, sondern Bestellketten, Service und Klinikkommunikation mitschwingen. Ein Arzt eines US-Universitätsklinikums berichtete KrebsOnSecurity, dass Materialien für chirurgische Eingriffe zeitweise nicht mehr über Stryker bestellt werden konnten. Zugleich ordnen mehrere Threat-Intelligence-Teams Handala als Persona von Void Manticore ein, einem mit dem iranischen MOIS verknüpften Akteur, dessen Arbeitsweise destruktive Wiper-Angriffe mit Einfluss- und Leckoperationen verbindet. Der Fall Stryker ist damit weniger ein gewöhnlicher Cybercrime-Vorfall als ein Beispiel für wirtschaftliche Sabotage an einem neuralgischen Punkt der Gesundheitsversorgung.
Die Erpressungsmaske fällt
Der Unterschied zwischen Erpressung und Zerstörung ist strategisch. Klassische Ransomware will Daten grundsätzlich wieder freigeben können, weil nur dann ein Opfer zahlt. Wiper-Angriffe brauchen diese Logik nicht. Kaspersky beschreibt ExPetr/NotPetya ausdrücklich als „Data destroyer“ und als destruktive Malware, die als Ransomware verkleidet wurde. Das Weiße Haus nannte NotPetya 2018 den destruktivsten und kostspieligsten Cyberangriff der Geschichte; Merck erklärte später offiziell, der Juni-Angriff habe 2017 alleine rund 260 Millionen US-Dollar Umsatz gekostet.
Dasselbe Muster zeigte sich 2022 in der Ukraine. Microsoft meldete damals zerstörerische Malware, die als Ransomware getarnt war und infizierte Systeme unbrauchbar machen sollte; CISA warnte später gesammelt vor WhisperGate, HermeticWiper, IsaacWiper und CaddyWiper als destruktiven Werkzeugen, die seit Januar 2022 gegen ukrainische Organisationen eingesetzt wurden. Die Erpressungsbotschaft war also nur Fassade, der operative Zweck blieb Verwüstung.
Sabotage als politisches Instrument
Der Angriff auf Stryker ist politisch deshalb so relevant, weil er das Muster moderner Cyberkonflikte sehr klar zeigt: Es geht nicht zwingend mehr um ein kriminelles Geschäftsmodell mit Lösegeld und Verhandlungskanal, sondern um unmittelbare Störung, öffentliche Wirkung und strategische Botschaften. Stryker meldete am 11. und 12. März 2026 eine globale Störung seiner Microsoft-Umgebung, sprach aber zugleich von keinem erkannten Ransomware- oder Malware-Befund. Parallel reklamierte die Iran-nahe Persona Handala den Angriff als Vergeltung und ordnete ihn propagandistisch in den aktuellen Konflikt ein. Genau diese Mischung aus operativer Lähmung und politischer Rahmung macht solche Vorfälle für Unternehmen so gefährlich.
Dahinter steht eine nüchterne Logik: Wer Geld verdienen will, muss dem Opfer eine Rückkehr in den Normalbetrieb zumindest theoretisch offenhalten. Wer hingegen politischen Druck erzeugen will, profitiert viel stärker von sichtbarer Zerstörung, Unsicherheit und öffentlicher Eskalation. Microsoft, Mandiant und Check Point haben in mehreren Iran-nahen Kampagnen genau dieses Muster beschrieben: technische Zerstörung oder massive Störung wird mit Leaks, Telegram-Personas, ideologischen Botschaften und begleitenden Informationsoperationen verbunden. In Albanien bestand die Kampagne laut Microsoft aus Erstzugang, Datenabfluss, Verschlüsselung und Zerstörung sowie flankierenden Informationsoperationen; Mandiant bewertete ROADSWEEP ausdrücklich als politisch motivierte disruptive Operation. Microsoft beschreibt zudem, dass Irans destruktive Angriffe im Kontext des Gaza-Krieges regelmäßig von Online-Einflussoperationen begleitet wurden. Aus Unternehmenssicht ist das entscheidend: Der Angriff ist dann nicht nur ein IT-Vorfall, sondern Teil einer politischen Inszenierung.
Schneller politischer Effekt, maximale mediale Wirkung
Der schnelle politische Effekt entsteht, weil Wiper- und Sabotageangriffe keine lange Verhandlungsphase brauchen. Sobald Bestellsysteme, Produktion, Kommunikation oder Verwaltung ausfallen, entsteht sofort öffentlicher Druck auf Management, Behörden und oft auch auf Regierungen. Bei Stryker betraf die Störung nach Unternehmensangaben nicht nur interne IT, sondern auch Auftragsabwicklung, Produktion und Versand. Ein prominenter US-Hersteller aus dem Gesundheitssektor ist dafür ein besonders wirksamer Druckpunkt, weil jede Störung sofort Fragen nach Versorgungssicherheit, Patientennähe und Resilienz aufwirft. Genau deshalb bewerteten Analysten die Zielwahl im Fall Stryker als Eskalation mit überproportionalen politischen Folgewirkungen.
Zur maximalen medialen Wirkung gehört, dass die Täter ihre Angriffe fast nie nur technisch denken. Die politische Komponente wird gezielt sichtbar gemacht: mit Leakseiten, Telegram-Kanälen, Banner-Motiven, politisch codierten Dateinamen, öffentlich verbreiteten Behauptungen und taktisch getimten Veröffentlichungen. Microsoft beschreibt für Albanien ausdrücklich eine parallele Verstärkung der Kampagne durch Informationsoperationen und öffentliche Narrative. Check Point ordnet Void Manticore, die Infrastruktur hinter Personas wie Homeland Justice und Handala, als Akteur ein, der destruktive Wiper-Angriffe mit Einflussoperationen verbindet. Die Unschärfe zwischen Staat, Proxy und scheinbar autonomem „Hacktivismus“ ist dabei kein Nebeneffekt, sondern politisch nützlich: Sie schafft Wirkung, ohne dass staatliche Verantwortlichkeit immer sofort offen sichtbar wird.
Welche Ziele verfolgt dieses Vorgehen?
Die Ziele solcher Kampagnen sind meist nicht rein technisch, sondern strategisch. Es geht um Vergeltung für reale oder behauptete gegnerische Aktionen, um Abschreckung, um psychologischen Druck auf die Zivilgesellschaft, um die Demütigung eines Gegners und um die Erzeugung des Eindrucks, dass dessen Staat oder Wirtschaft verwundbar ist. Im Albanien-Fall hielt Microsoft fest, dass Messaging, Timing und Zielauswahl auf eine direkte und proportionale Vergeltungslogik hindeuteten. Mandiant sah die ROADSWEEP-Kampagne als politisch motivierte disruptive Operation im Umfeld einer Konferenz der iranischen Opposition. Bei Iran-nahen Kampagnen gegen Israel dokumentierte Microsoft wiederum, dass die Cyberaktivität ausdrücklich darauf ausgerichtet war, den politischen und militärischen Unterstützungsraum Israels anzugreifen und durch Einflussoperationen zu vergrößern.
Für den Fall Stryker bedeutet das: Selbst wenn die genaue operative Motivlage derzeit nicht unabhängig verifiziert ist, war das Unternehmen für die Angreifer propagandistisch ein ideales Ziel. Handala stellte Stryker als „Zionist-rooted“ dar; zugleich ist Stryker ein global sichtbarer US-Medizintechnikkonzern, dessen Ausfall nicht nur interne Bürosysteme, sondern Bestellungen, Lieferketten und kliniknahe Abläufe berühren kann. Hinzu kommt, dass Stryker 2019 das israelische Unternehmen OrthoSpace übernommen hat. Ob genau dieser Faktor den Ausschlag gab, ist offen. Aber die Propagandasprache der Täter zeigt, wie Unternehmen mit Israel-, USA- oder verteidigungsnaher Symbolik in eine politische Feindbildlogik eingeordnet werden.
Welche Unternehmen stehen im Fokus?
Im Fokus stehen typischerweise Unternehmen und Organisationen, die zugleich symbolisch aufgeladen und operativ empfindlich sind. Dazu zählen Regierungsstellen, Parlamente, Airlines, Telekommunikationsanbieter, Energie- und Wasserversorger, Gesundheitsorganisationen, Rüstungs- und Logistikbezüge, aber auch deren Lieferanten, Cloud-Dienstleister und technische Dienstleister. Microsoft stellte für den Gaza-Krieg fest, dass 43 Prozent der von Microsoft beobachteten iranischen Nationalstaaten-Cyberaktivität auf Israel entfielen — mehr als auf die nächsten 14 Zielländer zusammen. Unit 42 erwartet bei Iran-bezogenen Eskalationen einen Fokus auf regionale Gegner wie Israel, auf „high-value targets“ wie Politiker und Entscheidungsträger sowie auf kritische Infrastrukturen, Lieferketten, Anbieter und Provider. Check Point zeigte außerdem, dass destruktive Akteure wie Void Manticore gezielt auf bereits kompromittierte „High-Value“-Umgebungen aufsetzen können, nachdem andere iranische Akteure dort zuvor Zugang geschaffen haben.
Gerade für Unternehmen ist das der unangenehme Punkt: Man muss kein Rüstungskonzern oder Ministerium sein, um politisch interessant zu werden. Es reicht oft, in einer als gegnerisch markierten Lieferkette zu stehen, kritische Dienstleistungen für einen Staat oder eine Branche zu erbringen oder sich öffentlich leicht in ein ideologisches Narrativ einbauen zu lassen. Ein Gesundheitsunternehmen wie Stryker passt in dieses Muster besonders gut, weil es einerseits zivil wirkt, andererseits aber wegen seiner Größe, globalen Reichweite und Systemrelevanz starke wirtschaftliche und mediale Erschütterungen auslösen kann.
Warum auch Zufallsopfer getroffen werden können
Genauso wichtig ist aber die andere Seite: Viele Opfer sind nicht das eigentliche politische Hauptziel, sondern Kollateral- oder Anschlussopfer. Das kann passieren, weil ein Angriff technisch zu breit angelegt ist, weil er über gemeinsame Software verteilt wird oder weil ein Dienstleister, Provider oder Management-System kompromittiert wird. Die britische Regierung hielt bei NotPetya fest, dass sich der Angriff als kriminelles Unternehmen tarnte, sein eigentlicher Zweck aber Störung war; die primären Ziele lagen in ukrainischen Finanz-, Energie- und Regierungssektoren, doch das indiskriminierende Design ließ die Schadsoftware weit über diese Zielgruppe hinaus auf andere europäische und russische Unternehmen überspringen. Beim Angriff auf Viasats KA-SAT-Netz waren mehrere tausend Kunden in der Ukraine und zehntausende weitere in Europa betroffen, nachdem Angreifer über eine fehlkonfigurierte VPN-Appliance in das vertrauenswürdige Managementsegment gelangt waren.
Dasselbe Prinzip gilt für moderne Supply-Chain- und Dienstleisterpfade. Check Point beschrieb 2025 eine Handala-nahe Kampagne, bei der E-Mails von einem kompromittierten Konto eines israelischen CRM-Anbieters an Hunderte Organisationen verschickt wurden. Die eigentliche Wiper-Funktion wurde also über einen vertrauenswürdigen Zwischenknoten an viele nachgelagerte Opfer getragen und zugleich mit einer politischen Botschaft flankiert. Für Unternehmen heißt das: Selbst wer politisch nicht im Zentrum steht, kann getroffen werden, weil er Kunde, Partner, Lieferant oder technischer Nachbar eines eigentlichen Ziels ist. In geopolitischen Cyberkampagnen ist das kein Unfall am Rand, sondern häufig Teil der Wirkung.
Jeder kann Opfer werden
Die politische Pointe lautet deshalb: Diese Angriffe sollen nicht nur Systeme zerstören, sondern Macht demonstrieren. Sie bestrafen, signalisieren, eskalieren und erzeugen Schlagzeilen. Für Unternehmen steigt damit das Risiko erheblich, weil sie nicht nur wegen ihres Marktwerts oder ihrer Zahlungsfähigkeit angegriffen werden, sondern wegen ihrer Symbolkraft, ihrer Verbindungen und ihrer Funktion als gesellschaftlicher Druckpunkt. In einer solchen Logik kann ein Konzern entweder bewusst als politisches Ziel ausgewählt werden — oder als scheinbar randständiger Player zum Zufallsopfer einer größeren Sabotagekampagne werden.