Die Phänomene Wirtschafts- und Industriespionage haben sich vor allem seit den 1990er und 2000er Jahren als problematisch für deutsche Unternehmen etabliert. Politisch wurde insofern darauf reagiert, dass das Bundesamt und die Landesämter für Verfassungsschutz mit der Beobachtung und Abwehr nachrichtendienstlicher Interventionen zum Zweck der illegalen Informations- und Wissensbeschaffung hinsichtlich unternehmensspezifischer Daten wie Entwicklungen, Patente, Finanzdaten oder Angebotspreise zum Vorteil nichtdeutscher Unternehmen, beauftragt wurden.

Im Fall der Konkurrenzausspähung, die umgangssprachlich als Industrie-spionage bezeichnet wird, sind Behörden oder Gerichte nur in bestimmten Fällen zuständig. Da vor allem mittelständische Unternehmen in Deutschland bevorzugt Opfer von illegalem Informations- und Wissensabfluss sind (Corporate Trust, 2014, S. 13-21), ist es geboten, auch bei illegalen Interven-tionen von Personen oder Organisationen, die keinen nachrichtendienstlichen Background haben, Detektions-, Interventions-, Abwehr- und Präventions-maßnahmen im Rahmen von Incident Response- und Monitoringmodellen zu entwickeln, die vor allem mittelständische Unternehmen dabei unterstützen sollen, auf Spionageaktivitäten effizient reagieren zu können.

Einschlägige Studien zeigen, dass nur wenige Unternehmen, nämlich 25,9% der befragten und betroffenen deutschen Unternehmen (Corporate Trust, 2014, S. 34-35) bereit sind Behörden einzuschalten.

Ziel dieser Arbeit soll sein, in erster Linie für mittelständische deutsche Unternehmen ein standardisiertes (allgemein anwendbares) Interventions-modell für einen systematischen incident response bei mutmaßlichen Spionageaktivitäten zu entwickeln.

In weiterer Folge sollen auf Basis aktueller Studien und mittels Befragung von Experten die Hintergründe erforscht werden, warum Verantwortliche von deutschen mittelständischen Unternehmen nur sehr zurückhaltend zuständige Behörden im Falle von Wissensabfluss durch mutmaßliche Spionage-aktivitäten einschalten und in weiterer Folge mit den zuständigen Behörden mit diesen zusammenarbeiten.

Zum Thema Wirtschafts- und Industriespionage existieren keine Standards oder Forschungsarbeiten, die als wissenschaftliche Theorien gelten können. Der theoretische Unterbau ergibt sich in erster Linie aus politischen Initiativen und gesetzlichen Regulatorien (Straf- und Nebengesetze), die die Zuständigkeiten für Prävention, Schutz oder repressive Verfolgung festlegen.

Vorgehensweisen bei Spionageaktivitäten lassen sich somit nur von anderen Standards oder Managementsystemen ableiten, wobei der Stand der Forschung zu den Themen Security Risk Management, Fraudmanagement und Mitarbeiterkriminalität am besten dokumentiert ist und in weiten Teilen auf den incident response bei mutmaßlicher Spionageaktivität angewendet werden kann.

Um die Forschungsziele zu erreichen, wurde als Methode ein empirisch-deduktiver Forschungsansatz gewählt. Die Forschungsfrage, die aus zwei Teilen besteht, wurde dabei nicht eingegrenzt. Um den Fokus auf die Forschungsziele zu richten, wurden zwei forschungsleitende Fragen formuliert, Hypothesen wurden keine erstellt. Im Zuge der Operationalisierung wurde als erster Schritt ein Messkonstrukt eingeführt, auf dessen Basis ein Inter-viewleitfaden erstellt wurde. Anhand dieses Leitfadens erfolgten Experten-interviews in Unternehmen, wobei die vorerst beabsichtigte Einengung auf deutsche mittelständische Unternehmen relativiert wurde, um generell die Implementierung eines standardisierten Incident Response-Modells zu überprüfen. Die Auswertung der Interviews wurde nach den Richtlinien der qualitativen Inhaltsanalyse durchgeführt.

Aufgrund der erhobenen Ergebnisse wäre die Entwicklung und die Implementierung eines standardisierten (allgemein anwendbaren) Incident Response- Modells von Vorteil, wenn dadurch keine gesetzliche Auflage geschaffen wird, die zwingend einzuhalten wäre. Vor allem für Klein- und Mittelbetriebe, die wenige Ressourcen für dieses Sachgebiet zur Verfügung haben, könnte ein solches Modell als Umsetzungsanleitung, vor allem im Hinblick auf organisationale Rahmenbedingungen dienen.

Das entwickelte Incident Response- Modell kann eine weitere Handlungs-möglichkeit bieten, um das Gesamtsystem der Spionageabwehr zu erweitern. Da ein solches Modell nur von einem Experten in der empirischen Ergebung dezidiert abgelehnt wurde, besteht eine hohe Wahrscheinlichkeit, dass Unternehmen auf derartige Modelle zugreifen würden, wenn sie zur Auswahl stünden.

Die Annahme, dass Unternehmen in erster Linie wegen negativer Konsequenzen im Falle von Anzeigen an Behörden, diese Anzeigen unterlassen, konnte ebenfalls verifiziert werden. In erster Linie befürchten Unternehmen ungewollte (negative) Öffentlichkeit und als mögliche Folge Reputationsverlust. Als weiterer Beweggrund Behörden nicht zu involvieren, konnte die Befürchtung von Steuerungsverlust identifiziert werden.

The phenomena of economic and industrial espionage have become serious problems for German companies especially since the 1990s and 2000s. Political response so far can be seen by the start of the Federal Office for the Protection of the Constitution and the State Offices for Protection of the Constitution with counterintelligence activities and interventions for the purpose protecting information and knowledge of non-German companies in terms of company-specific data such as research and development documents, patents, financial data or offering prices.

In the case of competitive spying that is colloquially referred to as industrial espionage, authorities or courts have jurisdiction only in certain cases. As mainly medium-sized companies are preferred victims of illegal information and knowledge outflows in Germany (Corporate Trust, 2014, p 13-21), even in case of illegal attempts of persons or organizations who have no intelligence background it is necessary to develop intervention, defense and prevention measures within the framework of Incident response and monitoring models, to assist the SMEs doing to respond effectively to espionage activities.

Relevant studies show that only a few companies, namely 25.9% of the surveyed and affected German companies (Corporate Trust, 2014, p 34-35) are ready to power authorities.

The aim of this work is to create a generally applicable intervention model for a systematic Incident Response regarding alleged espionage activities for medium-sized German companies.

Subsequently it shall be explored on the basis of recent studies and by interviewing managers, why managers are extremely reluctant to contact competent authorities in the case of knowledge drain due to espionage activities and actively cooperate with them.

On the subject of economic and industrial espionage there are no standards or research papers which could be regarded as scientific theories. The theoretical foundation arises primarily from political (intergovernmental agreements) and legal regulatories (criminal law) that define responsibilities for prevention, protection or repressive persecution.

Practices in espionage activities can therefore only be derived from other standards or management systems, whilst the state of research on the subjects of Security Risk Management, Fraud Management and employee crime is best documented and can be applied in many parts of the Incident Response for alleged espionage activity .

To achieve the research objectives, an empirically-deductive research approach has been chosen as the appropriate method. The research question, which consists of two parts is therefore not limited. In order to focus on the research objectives, two research-guiding questions were formulated; hypotheses were not created. As part of the operationalization a measuring construct has been introduced as a first step on to an interview guide. Using this guide expert interviews were conducted in companies (restriction being intended to German medium-sized companies) in order to check the implementation of a generally applicable Incident Response model. The evaluation of the interviews was conducted according to the guidelines of the qualitative content analysis.

Based on the collected results, the development and implementation of a standardized (generally applicable) Incident Response model would be beneficial if it were not pressed in a scope prescribed by law. There are few resources for this subject area available, especially within small and medium enterprises. Therefore such a model might be beneficial with respect to the development of organizational frameworks.

The developed Incident Response model can offer another course of action to enhance the overall system of counterintelligence. Since such a model was only firmly rejected by one expert in empirical resignation, there is a high likelihood that companies would access such models, if they were to choose.

Based on the assumption that companies refrain primarily because of negative consequences in the case of advertisements to authorities, these ads could also be verified. Primarily companies fear unintended (negative) publicity and therefore loss of reputation. Another motive not to involve authorities is the fear of loss of control, resulting from the fact that law enforcement agencies are bound to the legality principle.