Thought Leadership
Ein TrendAI-Report zeigt, wie Access Broker, Ransomware-Gruppen und Hacktivisten dieselben Zugänge zu Industrie und Energiefirmen nutzen.
Der IT-Sicherheitsanbieter TrendAI, der Enterprise-Cybersecurity-Geschäftsbereich von Trend Micro, hat einen Bericht zum Untergrundmarkt für gestohlene Zugänge zu Industrie-, Energie- und Fertigungsunternehmen veröffentlicht. Grundlage sind Auswertungen von Untergrundforen, Marktplätzen und Telegram-Kanälen aus dem Zeitraum Januar 2024 bis Mitte 2026. Die Forschenden fanden dabei ein arbeitsteiliges Ökosystem, in dem finanziell motivierte Access Broker, Ransomware-Gruppen und geopolitisch ausgerichtete Hacktivisten teils dieselben Foren, Einstiegswege und sogar Personal nutzen.
Zugang als Massenware
Laut Bericht ist Fertigung der Schwerpunkt des Access-Broker-Marktes: Verkäufer auf russisch- und englischsprachigen Foren bieten VPN- und RDP-Zugänge (Remote Desktop Protocol) an, wobei Zugriff auf Betriebstechnik und SCADA-Systeme explizit als Premiumfeature beworben wird. Die Preisspanne ist groß: Auf BreachForums bot ein Verkäufer vollständigen Administratorzugriff auf das Produktionssystem eines thailändischen Herstellers für 25 US-Dollar an. Bei Zugängen zu Energie-, Öl- und Gas- sowie Versorgungsunternehmen sind die Preise dagegen deutlich höher und werden diskreter gehandelt, was die Forschenden auf die regulatorische Sensibilität und den strategischen Wert dieser Ziele zurückführen.
Häufigster Einstiegsweg sind laut Auswertung kompromittierte VPN- und Fernzugriffs-Gateways (20,9 Prozent aller erfassten Angebote), gefolgt von RDP-Zugängen (13,1 Prozent) und gestohlenen Zugangsdaten (12,5 Prozent); oft betroffen sind Edge-Geräte von Anbietern wie Fortinet, Citrix, Cisco, Palo Alto Networks und SonicWall.
Deutschland als teures Ziel
Im Januar 2026 bot ein Verkäufer auf der Plattform exploit.in die interne Datenbank eines deutschen Erneuerbare-Energien-Unternehmens für 12 Bitcoin an, umgerechnet rund 748.000 US-Dollar. In einem weiteren Fall wurde die vollständige Kontrolle über SCADA-Systeme und Mitarbeiterdaten zweier pakistanischer Energieversorger für 3 Bitcoin (rund 187.000 US-Dollar) angeboten – inklusive der laut Verkäufer möglichen Manipulation der Stromversorgung zu Spitzenzeiten. Bei den erfassten Ransomware-Opfern liegt Deutschland hinter den USA auf Platz zwei, vor Kanada und Italien.
Ransomware wächst weiter
Zwischen Januar 2024 und Juni 2026 zählte TrendAI 3.178 auf Leak-Sites veröffentlichte Ransomware-Fälle aus Industrie, Energie und Fertigung. Die Zahl stieg von 974 im Jahr 2024 auf 1.437 im Jahr 2025, ein Plus von rund 48 Prozent; allein im ersten Halbjahr 2026 kamen bereits 767 Fälle hinzu. Fertigungsunternehmen sind mit rund 78 Prozent aller öffentlich gewordenen Fälle mit Abstand am stärksten betroffen, was der Bericht auf ihre geringe Toleranz für Produktionsausfälle zurückführt. Drei Ransomware-as-a-Service-Gruppen – Akira, Qilin und Play – zeichnen zusammen für rund 30 Prozent aller Fälle verantwortlich.
Raubkopierte ICS-Schulungen als Einstiegshilfe
Der Bericht beschreibt zudem, wie professionelle Schulungsmaterialien zur Absicherung industrieller Steuerungssysteme (ICS) in Untergrundforen raubkopiert und weiterverkauft werden. Allein der Kurs „ICS410: ICS/SCADA Security Essentials“ des SANS Institute wurde den Forschenden zufolge mehr als 200-mal als Raubkopie gefunden. Dieselben Inhalte, die eigentlich Verteidiger schulen sollen, lieferten damit auch Angreifern einen strukturierten Einstieg in Aufbau und Funktionsweise industrieller Netzwerke.
Geopolitisch motivierte Hacktivisten
Der Bericht dokumentiert zudem pro-russische und pro-iranische Gruppen wie Z-Pentest, NoName057(16), Sector 16, CyberAv3ngers und Handala, die trotz vergleichsweise geringer technischer Fähigkeiten reale Auswirkungen erzielt haben sollen. CISA, FBI und NSA bestätigten laut Bericht in einer gemeinsamen Warnmeldung vom Dezember 2025, dass auch technisch wenig versierte, pro-russische Gruppen physische Schäden an Wasser-, Energie- sowie Lebensmittelproduktions- und Agrarsystemen verursacht hätten. Ende Juli 2026 störte die mit dem Iran in Verbindung gebrachte Gruppe CyberAv3ngers durch die Ausnutzung speicherprogrammierbarer Steuerungen den Betrieb von Wasser- und Abwasserversorgern in mehr als 30 Kommunen im US-Bundesstaat Minnesota. Im Juni 2026 beanspruchte die pro-iranische Gruppe Handala einen Einbruch beim California Water Service für sich.
Empfohlene Gegenmaßnahmen
Da Angreifer laut Bericht überwiegend bestehende Fernzugänge statt unbekannter Sicherheitslücken ausnutzen, empfiehlt TrendAI unter anderem phishing-resistente Mehr-Faktor-Authentifizierung für alle VPN-, RDP- und Fernzugriffsportale, die konsequente und bevorzugte Aktualisierung von Edge-Geräten, eine Härtung der Identitätsverwaltung, eine klare Trennung von IT- und OT-Netzwerken sowie die zentrale, mindestens zwölf Monate lange Aufbewahrung von Protokolldaten außerhalb lokaler Kontrolle. Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI, erklärte dazu:
„Für Unternehmen bedeutet das: Ein kompromittierter VPN-, RDP- oder anderer Remote-Access-Zugang kann weit über einen klassischen IT-Sicherheitsvorfall hinausreichen. Phishing-resistente MFA, konsequentes Patchen internetexponierter Systeme und eine echte Trennung von IT und OT können zentrale Eintrittswege schließen.“
Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI
(red/TrendAI)
