Inhalt dieses Artikels
Der Drohnenhersteller Quantum Systems aus Gilching bei München ist Opfer eines Cyberangriffs geworden. Das Unternehmen hat den Vorfall nach eigenen Angaben Ende Oktober entdeckt, am 12. November 2026 öffentlich gemacht und spricht von einem aktiven Angriff durch feindliche Akteure. Die Bundeswehr zog die Drohnen des Herstellers daraufhin vorsorglich aus dem Verkehr, wie zuerst die Financial Times berichtete. Am Donnerstag, 12. November, meldete das Unternehmen zugleich, die Flotte sei wieder im Betrieb.
Der Fall trifft eine Branche, in die gerade Milliarden fließen: Helsing, Quantum Systems und Stark haben allein im Juni und Juli 2026 zusammen mehr als 3,5 Milliarden US-Dollar eingesammelt. Der Bund ist gleich dreifach dabei: als Kunde der Bundeswehr, als Geldgeber der Ukraine-Hilfe und über die KfW als Investor. In diesem Beitrag zeigen wir, was über den Angriff bekannt ist, wer die deutschen Drohnen-Startups sind und wer das Geld des Bundes bekommt. Am Ende steht, was du als Gründer daraus für dein eigenes Unternehmen mitnehmen kannst, auch wenn du nichts mit Rüstung zu tun hast.
Stand: 14. November 2026
Inhaltsverzeichnis
- Cyberangriff auf Quantum Systems: was bekannt ist
- Wie der Angriff über einen Update-Server lief
- Zielscheibe hybrider Bedrohungen: Dobrindt und die Geheimdienstreform
- Quantum Systems, Helsing, Stark: die deutschen Drohnenhersteller
- Wer das Geld des Bundes bekommt
- Was es heißt, wenn Drohnen über ein Update angreifbar sind
- Was Gründer aus dem Angriff auf Quantum Systems lernen
- Häufige Fragen zu Quantum Systems, Helsing und Stark
Cyberangriff auf Quantum Systems: was bekannt ist
Quantum Systems hat einen Angriff auf seine IT bestätigt, die Bedrohung nach eigenen Angaben gemeinsam mit den Behörden eingedämmt und den Vorfall gemeldet. Wer dahintersteckt, ist offen. Für die Nutzer der Drohnen bestehe beim Betrieb kein Risiko, schreibt das Unternehmen.
Die Abfolge, soweit sie aus der Mitteilung des Unternehmens und den Berichten belegt ist:
| Zeitpunkt | Was geschah |
|---|---|
| Ende Oktober 2026 | Quantum Systems stellt einen Cybersicherheitsvorfall fest. Eine interne Untersuchung deckt einen aktiven Angriff auf. |
| Danach | Die Bundeswehr nimmt die Drohnen des Herstellers vorsorglich aus dem Betrieb. Laut Unternehmen ist sie der einzige Kunde, der das tut. |
| 12. November 2026 | Financial Times und Spiegel berichten, Quantum Systems veröffentlicht seine Stellungnahme und teilt mit: „Die Flotte ist weltweit im Betrieb, auch in Deutschland und bei der Bundeswehr.“ Das Verteidigungsministerium äußert sich nicht. |
| 13. November 2026 | Der Bundestag beschließt die Reform des Nachrichtendienstrechts. |
Die Angaben zum Flugbetrieb stammen aus dem Bericht des Bayerischen Rundfunks, der sich auf dpa und Reuters stützt. Eine Bestätigung der Bundeswehr, dass ihre Quantum-Drohnen wieder fliegen, gibt es bisher nicht.
Mit dem Fall befassen sich nach Angaben des Spiegel der Militärische Abschirmdienst, das Bundesamt für Verfassungsschutz und das Bundesamt für Sicherheit in der Informationstechnik. Quantum Systems selbst ordnet den Angriff in einen größeren Zusammenhang ein: Die europäische Rüstungsindustrie stehe seit Jahren unter Beschuss, und gerade Firmen, die die Ukraine unterstützen, würden gezielt angegriffen.
Wie der Angriff über einen Update-Server lief
Die Angreifer haben nach den Berichten nicht die Drohnen selbst attackiert, sondern den Weg, über den die Software zu den Kunden kommt. Auf einem internen Update-Server lag eine Schadsoftware, getarnt als reguläres Update für QBase, das Programm zur Missionsplanung der Aufklärungsdrohne Vector. So beschreibt es WinFuture unter Berufung auf Spiegel und Financial Times.
Die manipulierte Datei erreichte demnach Server der Bundeswehr und weiterer Kunden. Auf die Drohnen selbst wurde sie nicht übertragen, weil sie bei der Prüfung auffiel. Welche anderen Kunden betroffen waren und was die Schadsoftware bezwecken sollte, ist nicht berichtet.
Fachleute nennen so etwas einen Angriff auf die Lieferkette. Der Gedanke dahinter ist einfach: Wer den Update-Server eines Herstellers übernimmt, erreicht mit einem Schlag alle Kunden, die diesem Hersteller vertrauen. Die Kunden spielen das Paket selbst ein, weil es vom richtigen Absender kommt. Genau deshalb sind Hersteller von Software und Geräten für Angreifer oft lohnender als ihre einzelnen Kunden.
Bei der Bundeswehr fliegt die Vector unter dem Namen Falke. Dass die Truppe ihre Quantum-Drohnen stoppte und eine Übung ohne sie abhielt, wie die Financial Times berichtet, war deshalb folgerichtig: Solange unklar ist, was ein Update verändert hat, ist Abwarten die sichere Wahl.
Zielscheibe hybrider Bedrohungen: Dobrindt und die Geheimdienstreform
Einen Tag nach der Mitteilung von Quantum Systems hat der Bundestag am 13. November 2026 die Reform des Nachrichtendienstrechts beschlossen, mit 308 Ja-Stimmen, 190 Nein-Stimmen und 71 Enthaltungen. Bundesinnenminister Alexander Dobrindt begründete sie mit der Lage: Deutschland sei Zielscheibe hybrider Bedrohungen, die mit Spionage, Sabotage und Cyberangriffen auf die Destabilisierung der Bundesrepublik zielten, und „Operationsraum für Terrorismus, Extremismus, für fremde Mächte“. So gibt es die Debattenzusammenfassung des Bundestages wieder.
Was die Reform ändert, in zwei Punkten:
- Abwehr statt nur Beobachtung: Bundesnachrichtendienst und Verfassungsschutz erhalten eng begrenzte Befugnisse, Gefahren selbst abzuwehren. Dobrindt sprach von einer „Jahrhundertreform“.
- Kontrolle: Die Aufsicht wird beim Unabhängigen Kontrollrat gebündelt, das Parlamentarische Kontrollgremium bekommt mehr Berichte.
Ob der Angriff auf Quantum Systems ein staatlicher war, weiß niemand öffentlich. Er zeigt aber, worum es in der Debatte geht: Ein Unternehmen mit mehr als 2.000 Beschäftigten, dessen Drohnen in der Ukraine fliegen und das die Bundeswehr beliefert, ist für fremde Dienste so interessant wie eine Behörde. Wie sehr hybride Lagen inzwischen auch Gründer betreffen, die mit Rüstung nichts zu tun haben, haben wir zuletzt bei den Halloween-Krawallen und der Frage nach dem Versicherungsschutz beschrieben.
Quantum Systems, Helsing, Stark: die deutschen Drohnenhersteller im Überblick
Drei Firmen prägen das Feld: Quantum Systems baut vor allem Aufklärungsdrohnen und beschäftigt nach eigenen Angaben mehr als 2.000 Mitarbeiter in acht Ländern, Helsing kommt aus der KI-Software und baut inzwischen auch Kamikazedrohnen, Stark, oft auch Stark Defence genannt, baut Kamikazedrohnen. Zwei der drei verbindet ein Name: An der Gründung von Stark war Quantum-Systems-Gründer Florian Seibel beteiligt.
| Quantum Systems | Helsing | Stark | |
|---|---|---|---|
| Sitz | Gilching bei München | München | Berlin |
| Gegründet | 2015 von Florian Seibel, Michael Kriegel, Tobias Kloss und Armin Busse | 2021 von Torsten Reil, Niklas Köhler und Gundbert Scherf | 2024, mit Florian Seibel |
| Schwerpunkt | Aufklärungs- und Überwachungsdrohnen wie Vector, Steuerungssoftware Mosaic UXS, Abfangdrohnen für die Ukraine | KI für die Verteidigung, Kamikazedrohne HX-2 | Kamikazedrohne Virtus |
| Letzte Runde | Series D, 1,2 Mrd. US-Dollar, Juli 2026 | Series E, 1,8 Mrd. US-Dollar, Juli 2026 | 500 Mio. Euro, Juni 2026 |
| Bewertung | rund 7 Mrd. Euro (8 Mrd. US-Dollar) | 18 Mrd. US-Dollar | mehr als 3,2 Mrd. Euro |
| Geld vom Bund | Bundeswehr-Kunde (Falke), KfW Capital als Investor, Ukraine-Hilfe | Bundeswehr-Auftrag HX-2 | Bundeswehr-Auftrag Virtus |
Die Zahlen: Quantum Systems sammelte im Juli 2026 1,2 Milliarden US-Dollar ein, angeführt von Blackstone, Noteus, Airbus und Advent; die Bewertung nach der Runde beziffert das Unternehmen auf rund 7 Milliarden Euro (Munich Startup). Helsing holte im selben Monat 1,8 Milliarden US-Dollar bei 18 Milliarden US-Dollar Bewertung und ist damit das wertvollste deutsche Startup (deutsche-startups.de). Stark bekam im Juni 500 Millionen Euro, unter anderem von Sequoia Capital, die Bewertung liegt laut Handelsblatt bei mehr als 3,2 Milliarden Euro (deutsche-startups.de).
Für den Vergleich im Diagramm ist die Euro-Bewertung von Stark zum Referenzkurs der Europäischen Zentralbank vom 23. Juni 2026 (1,1392 US-Dollar je Euro) umgerechnet. Zusammen kommen die drei damit auf knapp 30 Milliarden US-Dollar Bewertung. Wer diese Runden mitfinanziert hat, steht in unserer Liste der aktivsten Venture-Capital-Investoren in Deutschland 2026.
Hinter den drei Großen wächst eine zweite Reihe. Tytan Technologies aus München baut Abfangdrohnen gegen feindliche Drohnen, bekam im Februar 2026 30 Millionen Euro unter anderem vom NATO Innovation Fund (deutsche-startups.de) und hat am 9. November 2026 in München-Aubing eine Fertigung für bis zu 3.000 Abfangdrohnen im Monat eröffnet (Munich Startup).
Wer das Geld des Bundes bekommt
Das meiste Geld des Bundes fließt nicht als Zuschuss, sondern als Auftrag. Den größten einzelnen Beschluss fasste der Haushaltsausschuss des Bundestages am 25. Februar 2026: Die Bundeswehr kauft Kamikazedrohnen von Helsing und Stark, zunächst für rund 540 Millionen Euro (ZDFheute).
Das Verteidigungsministerium wollte sich einen Rahmen von bis zu 4,3 Milliarden Euro sichern, die Abgeordneten deckelten ihn auf 2 Milliarden Euro unter Auflagen (taz; ZDFheute nennt 4,4 Milliarden Euro als ursprünglichen Plan). Jeder weitere Abruf muss erneut gebilligt werden. Wie sich die 540 Millionen Euro auf die HX-2 von Helsing und die Virtus von Stark verteilen, ist nicht veröffentlicht. Grüne und Linke kritisierten den Kauf, unter anderem wegen der Beteiligung des US-Investors Peter Thiel an Stark. Verteidigungsminister Boris Pistorius sagte dazu, Thiel halte einen einstelligen Prozentsatz, „ohne Zugriff oder Einsicht in operative Sachverhalte“.
Quantum Systems bekommt das Geld des Bundes auf drei anderen Wegen:
- Als Lieferant der Bundeswehr: Die Truppe fliegt die Aufklärungsdrohne Vector als Falke.
- Über die Ukraine-Hilfe: Bundeskanzler Friedrich Merz kündigte Anfang Oktober 2026 an, dass Deutschland mehrere Zehntausend Abfangdrohnen von Quantum Systems für die Ukraine finanziert, gebaut werden sie in der Ukraine (tech.eu). Einen Betrag hat die Bundesregierung nicht genannt.
- Als Kapital: KfW Capital, die Beteiligungstochter der staatlichen KfW, hat sich im Juli 2026 gemeinsam mit HV Capital über das Programm Scale-up Direct an der Series D beteiligt (KfW Capital). Im Februar 2026 stellten die Europäische Investitionsbank, die KfW, die Commerzbank und die Deutsche Bank zudem eine Kreditlinie über 150 Millionen Euro bereit (deutsche-startups.de).
Der letzte Punkt ist für Gründer der interessanteste. Die Beteiligung an Quantum Systems lief über den Deutschlandfonds, und der steht auch anderen Wachstumsunternehmen offen, die einen geeigneten privaten Leadinvestor mitbringen. Wann sich der Weg lohnt, haben wir im Ratgeber zum Deutschlandfonds für Startups und Scale-up Direct aufgeschrieben.
Was es heißt, wenn Drohnen über ein Update angreifbar sind
Eine Drohne ist heute ein fliegender Computer, und ihre Planungssoftware ist ein Teil der Waffe. Quantum-Drohnen sind bei den ukrainischen Streitkräften im Einsatz, die Systeme von Quantum Systems haben laut Unternehmen allein 2025 in der Ukraine mehr als 19.000 Missionen geflogen. Wer die Missionsplanung manipulieren kann, könnte im schlimmsten Fall sehen, wo und wann geflogen wird, oder Daten verfälschen, auf die sich Soldaten verlassen.
Dass die Datei bei der Prüfung auffiel und nicht auf die Drohnen kam, ist die gute Nachricht dieses Falls. Sie zeigt, dass eine Prüfung vor der Installation wirkt. Die schlechte Nachricht: Der Angriff kam über den Kanal, dem alle vertrauen. Deshalb hat die Bundeswehr richtig gehandelt, als sie lieber vorübergehend auf ihre Drohnen verzichtete, statt mit einem ungeprüften Update zu fliegen.
Für die Branche ist das ein Wendepunkt. Rüstungs-Startups werden nach Bewertung und Umsatz gemessen, doch ihr Wert hängt genauso daran, dass ihre Software sauber bleibt. Für die Bundeswehr, die bei Helsing, Stark und Quantum Systems einkauft, wird die Sicherheit der Lieferkette damit zur Bedingung, nicht zur Kür. Dass Quantum Systems den Vorfall selbst öffentlich gemacht hat, schafft dabei Vertrauen und ist ein Vorbild für die Branche.
Was Gründer aus dem Angriff auf Quantum Systems lernen
Du musst keine Drohnen bauen, damit dich ein Angriff über die Lieferkette trifft. Jedes Startup, das Software an Kunden ausliefert, betreibt einen Update-Weg, und jeder dieser Wege ist ein Ziel. Fünf Punkte, die du aus dem Fall mitnehmen kannst:
- Updates signieren und beim Kunden prüfen lassen. Bei Quantum Systems fiel die Datei bei der Prüfung auf. Baue deine Auslieferung so, dass nur signierte Pakete installiert werden und der Schlüssel nicht auf dem Update-Server liegt.
- Build- und Update-Server vom Büronetz trennen. Eigene Zugänge, Anmeldung mit Hardware-Schlüssel, Protokolle, die niemand nachträglich ändern kann.
- Meldewege kennen, bevor es brennt. Fällt dein Unternehmen unter die NIS2-Richtlinie, verlangt Artikel 23 bei einem erheblichen Vorfall eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden. Ob das für dich gilt, prüfst du mit unserem Beitrag NIS2 für SaaS-Startups.
- Kunden informieren, bevor es die Presse tut. Quantum Systems hat seine Kunden gewarnt, die Bundeswehr konnte vorsorglich handeln. Ein vorbereiteter Notfallplan legt fest, wer wen in welcher Reihenfolge anruft.
- Das Restrisiko absichern. Eine Cyberversicherung zahlt Forensik, Betriebsunterbrechung und Krisenkommunikation. Und rechne damit, dass Investoren in der Prüfung vor einer Runde nach genau diesen Punkten fragen.
Häufige Fragen zu Quantum Systems, Helsing und Stark
Wer finanziert Quantum Systems?
Die Series D über 1,2 Milliarden US-Dollar im Juli 2026 führten Blackstone, Noteus, Airbus und Advent an, dabei waren unter anderem Fidelity, Wellington, Balderton, HV Capital und über das Programm Scale-up Direct die staatliche KfW Capital. Dazu kommt eine Kreditlinie über 150 Millionen Euro von EIB, KfW, Commerzbank und Deutscher Bank.
Wem gehört Quantum Systems?
Quantum Systems gehört den Gründern um Florian Seibel und den Investoren der bisherigen Runden. Wie die Anteile verteilt sind, hat das Unternehmen nicht veröffentlicht.
Gibt es eine Quantum-Systems-Aktie?
Nein, Quantum Systems ist ein privates Unternehmen und nicht an der Börse notiert (Stand 14. November 2026). Kurse unter dem Namen Quantum gehören meist zur US-Firma Quantum Corp. (ISIN US7479066000), einem Hersteller von Datenspeichern ohne Bezug zum Drohnenbauer. Dieser Hinweis ist keine Anlageberatung.
Gibt es eine Helsing-Aktie?
Nein, auch Helsing ist nicht börsennotiert. Nach der Series E im Juli 2026 ist das Unternehmen mit 18 Milliarden US-Dollar bewertet, Anteile kaufen können nur Investoren in Finanzierungsrunden.
Welche deutschen Firmen bauen Kampfdrohnen?
Helsing aus München mit der HX-2 und Stark aus Berlin mit der Virtus. Beide liefern an die Bundeswehr, der Haushaltsausschuss gab im Februar 2026 eine erste Bestellung über rund 540 Millionen Euro frei. Quantum Systems baut dagegen vor allem Aufklärungsdrohnen.
Wer steckt hinter dem Cyberangriff auf Quantum Systems?
Ein Urheber ist nicht benannt. Quantum Systems spricht von feindlichen Akteuren, laut Spiegel befassen sich MAD, Verfassungsschutz und BSI mit dem Fall.
Fliegen die Drohnen der Bundeswehr wieder?
Laut Quantum Systems ja: Am 12. November 2026 teilte das Unternehmen mit, die Flotte sei wieder im Betrieb, auch bei der Bundeswehr. Das Verteidigungsministerium hat sich dazu nicht geäußert.
Was sind hybride Bedrohungen?
Gemeint sind Angriffe unterhalb der Schwelle eines Krieges, mit denen fremde Staaten ein Land schwächen wollen, etwa Spionage, Sabotage und Cyberangriffe. Innenminister Dobrindt nennt Deutschland eine Zielscheibe solcher Bedrohungen.
Jetzt du: Hat dein Startup seinen Update-Weg schon einmal auf einen solchen Angriff geprüft? Schreib uns an redaktion@gruenderfreunde.de, wir sammeln Erfahrungen für einen Folgebeitrag.
Hinweis: Dieser Beitrag informiert allgemein und ist keine Anlageberatung. Er gibt den Stand vom 14. November 2026 wieder.
Transparenzhinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt. Jede Zahl wurde vor der Veröffentlichung gegen die im Text verlinkte Quelle geprüft.
