Ransomware trifft die Produktion über IT- und OT-nahe Systeme

Wenn von Cyberangriffen auf Industrieunternehmen die Rede ist, denken viele zunächst an manipulierte Maschinen oder kompromittierte Steuerungssysteme.

Doch ein aktueller Berichte des OT-Cybersicherheitsanbieters Dragos zeigt ein anderes Bild: Oft müssen Angreifer die Produktionstechnik gar nicht direkt angreifen, um den Betrieb empfindlich zu stören.

Die heutige Umgebung von Industrieanlagen hat sich deutlich erweitert

Moderne Betriebs- und Produktionsumgebungen gehen heute weit über klassische SPS- und SCADA-Systeme hinaus. Cloud-verbundene Systeme, IoT-Geräte, Fernzugriffslösungen sowie sicherheitsrelevante Systeme beeinflussen mittlerweile physische Prozesse – und bringen zugleich zusätzliche Risiken mit sich. Diese Extended Operational Technology (xOT) umfasst den gesamten Bereich, den Unternehmen heute schützen müssen. xOT bezeichnet sämtliche Systeme, die Einfluss auf physische Prozesse ausüben – unabhängig davon, wie sie klassifiziert werden, in welchem Netzwerk sie betrieben werden oder wem sie gehören. Wird der Schutzumfang anhand von Systemklassifizierungen statt anhand des tatsächlichen Einflusses auf operative Prozesse definiert, entsteht für Verantwortliche ein unvollständiges Bild.

Die Produktion wird beeinträchtigt – obwohl die Anlagen weiterlaufen

Wie weitreichend die Folgen sein können, zeigt ein von Dragos beobachteter Vorfall. Nach der Kompromittierung eines VPN-Zugangs verschafften sich Angreifer Zugriff auf ein OT-nahes Virtualisierungssystem und führten Ransomware auf mehreren virtuellen Maschinen aus.

Die Produktionsanlagen selbst waren nicht betroffen. Dennoch führte der Ausfall der Virtualisierungsschicht zu einem Verlust wichtiger Funktionen zur Überwachung und Steuerung. Der Betrieb verzögerte sich, bis die Systeme wiederhergestellt waren.

Der Vorfall verdeutlicht eine Entwicklung: Angriffe auf unterstützende IT- und OT-nahe Systeme können erhebliche Auswirkungen auf Produktions- und Betriebsprozesse haben, auch ohne direkten Zugriff auf industrielle Steuerungssysteme.

Ransomware bleibt eine zentrale Bedrohung für die Industrie

Wie verbreitet diese Angriffe inzwischen sind, zeigt der Ransomware Report. Demnach identifizierte das Unternehmen 119 Ransomware-Gruppen, die gezielt Industrieunternehmen ins Visier nahmen – gegenüber 80 Gruppen im Vorjahr. Insgesamt waren rund 3.300 Industrieunternehmen betroffen.

Auch die Zahlen für das erste Quartal 2026 deuten auf ein anhaltend hohes Bedrohungsniveau hin. Dragos registrierte weltweit 1.020 Ransomware-Vorfälle in industriellen Unternehmen. Besonders betroffen war die Fertigungsindustrie, auf die ein Großteil der beobachteten Vorfälle entfiel.

Angriffe beginnen häufig in der IT

Bemerkenswert ist dabei, dass es keine Hinweise auf den Einsatz OT-spezifischer Ransomware gab. Stattdessen nutzten die Angreifer Schwachstellen in IT-Systemen und OT-nahen Support-Umgebungen aus.

In vielen Fällen erfolgte der Erstzugang mit Hilfe kompromittierter Zugangsdaten. Diese stammten häufig von Infostealer-Schadsoftware oder wurden über Initial-Access-Broker bereitgestellt. Die Angreifer meldeten sich anschließend über VPN-Portale, Firewall-Schnittstellen oder andere Fernzugänge an und bewegten sich von dort aus weiter durch die Umgebung.

Besonders häufig gerieten virtualisierte Infrastrukturen ins Visier. Auf diesen Plattformen laufen oft OT-bezogene Anwendungen wie SCADA-Systeme, HMIs, Archiv/Historian-Systeme oder Engineering-Workloads. Werden diese Systeme verschlüsselt oder fallen sie aus, können wichtige Funktionen für Überwachung, Betrieb und Wartung verloren gehen – auch wenn die eigentliche Produktionstechnik weiterhin funktioniert.

Ransomware in OT-Umgebungen wird häufig fälschlicherweise als reines IT-Problem eingeordnet

Wird ein Ransomware-Angriff als IT-Sicherheitsvorfall klassifiziert, obwohl er OT-Systeme beeinträchtigt und zu einem Produktionsstillstand führt, greift diese Betrachtung zu kurz und verkennt die tatsächlichen Anforderungen an die Absicherung moderner xOT-Umgebungen. Erfolgt die Einordnung eines Sicherheitsvorfalls ausschließlich anhand des betroffenen Betriebssystems, bleibt die operative Auswirkung unberücksichtigt. Erfolgt sie lediglich auf Basis von Netzwerksegmenten, werden die Abhängigkeiten zwischen IT- und OT-Systemen übersehen. Sicherheitsverantwortliche sollten Vorfälle daher nach ihren Konsequenzen bewerten: Kommt es zu einer Unterbrechung oder zum Stillstand des Betriebs, dann handelt es sich um einen OT-Sicherheitsvorfall.

Lieferkette als zusätzlicher Risikofaktor

Ein weiteres Risiko besteht in der industriellen Lieferkette. Engineering-Dienstleister, Systemintegratoren und Hersteller industrieller Komponenten verfügen häufig über Fernzugänge, technische Dokumentationen, Konfigurationsdaten oder andere sensible Informationen ihrer Kunden.

Bereits 2025 registrierte Dragos zahlreiche Vorfälle bei Engineering-Dienstleistern und Vorfälle bei Herstellern von ICS/OT-Komponenten. Auch im ersten Quartal 2026 gehörten diese Unternehmen weiterhin zu den bevorzugten Angriffszielen.

Aus Sicht von Dragos vergrößern solche Angriffe die potenzielle Angriffsfläche entlang der gesamten Lieferkette. Schwachstellen in weit verbreiteten Plattformen oder kompromittierte Dienstleister können Auswirkungen auf zahlreiche Industrieunternehmen haben, selbst wenn deren OT-Netzwerke nicht direkt angegriffen werden.

Was Unternehmen daraus ableiten sollten

Die Ergebnisse zeigen, dass Ransomware industrielle Prozesse bereits heute erheblich beeinträchtigen kann, ohne die industriellen Steuerungssysteme direkt zu manipulieren.

Dragos empfiehlt deshalb eine umfassende Transparenz über die eigene Infrastruktur, die kontinuierliche Überwachung kritischer Systeme sowie eine klare Trennung von IT- und OT-Netzwerken. Darüber hinaus sollten Fernzugänge, Identitäts- und Zugriffssysteme sowie virtuelle Umgebungen, die OT-Prozesse unterstützen, in den gleichen Sicherheitsrahmen einbezogen werden wie klassische ICS/OT-Komponenten.