Cyberattacken auf die Industrie Fertigungsindustrie im Visier: Cyberangriffe nehmen drastisch zu

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Die Fertigungsindustrie rückt zunehmend ins Visier von Cyberkriminellen. Ransomware-Gruppen, staatliche Akteure und neue Angriffstechniken bedrohen Systeme, Daten und OT-Umgebungen. Unternehmen müssen jetzt proaktiv handeln, Inventare härten, IT und OT absichern und durch Backups sowie Threat Intelligence ihre Resilienz stärken.

Die Fertigungsindustrie, das Rückgrat vieler Volkswirtschaften, ist verstärkt ins Visier von Cyberkriminellen geraten. Eine aktuelle Untersuchung von Forescout Vedere Labs, dem Forschungsteam des Cybersicherheitsspezialisten Forescout, zeichnet ein alarmierendes Bild: Allein im Jahr 2024 stieg die Zahl der Bedrohungsakteure, die es auf diesen Sektor abgesehen haben, um 71 Prozent. Im „2024 Threat Roundup“ rangierte die Fertigung bereits auf Platz vier der am häufigsten angegriffenen kritischen Infrastrukturen. Diese besorgniserregende Entwicklung war Anlass für eine tiefere Analyse der Bedrohungslandschaft, der gängigen Angriffsmethoden und der notwendigen Vorbereitungsstrategien.

Industrie im Visier des Cybercrime

IoT-Ransomware wird zur wachsenden Gefahr in der vernetzten Industrie

Die Akteure: Ein von Cyberkriminellen dominiertes Feld

Die Analyse für das erste Quartal 2024 und eine Prognose bis Q1 2025 identifizierte 29 aktive Hackergruppen, die gezielt Fertigungsunternehmen angreifen. Die Zusammensetzung dieser Gruppen spricht eine deutliche Sprache: Der überwältigende Großteil der Angreifer wird von finanziellen Motiven angetrieben.

Cyberkriminelle machen insgesamt 79 Prozent der Akteure aus. Davon entfallen allein 45 Prozent auf Ransomware-as-a-Service (RaaS)-Gruppen, die ihre Schadsoftware und Infrastruktur an „Partner“ vermieten und so eine breite Angriffswelle ermöglichen. Weitere 24 Prozent sind andere, nicht auf Ransomware spezialisierte Cyberkriminelle.

Weltweit größten Plattformen

Behörden schalten Cybercrime-Foren ab

Staatsnahe Gruppen (11 Prozent) und Hacktivisten (10 Prozent) stellen eine kleinere, aber nicht zu unterschätzende Gefahr dar. Während Hacktivisten oft im Einklang mit geopolitischen Konflikten agieren und auf disruptive Angriffe setzen, zielen staatliche Akteure wie APT28 oder Volt Typhoon auf OT/ICS-Umgebungen, also die industrielle Betriebstechnologie, um Spionage zu betreiben oder sich für zukünftige Sabotageakte in Stellung zu bringen.

Die aktivste Gruppe in der jüngsten Vergangenheit war RansomHub, die für Angriffe auf 78 produzierende Unternehmen weltweit und massive Datendiebstähle verantwortlich war. Andere hochaktive RaaS-Gruppen sind Akira, LockBit, Play und Clop. Selbst nach erfolgreichen Zerschlagungen durch Strafverfolgungsbehörden, wie bei der „Operation Cronos“ gegen LockBit, zeigt sich das Ökosystem resilient: Gruppen formieren sich neu, agieren unter anderem Namen weiter oder teilen Code und Partner untereinander.

Jenseits der Firewall

Sicherer Remote Access für moderne OT-Umgebungen

Die Methoden: Von Datendiebstahl bis zur EDR-Umgehung

Um die gängigen TTPs der Angreifer zu verstehen, also ihre Taktiken, Techniken und Prozeduren, analysierten die Forscher 17 detailliert dokumentierte Sicherheitsvorfälle in verschiedenen Fertigungsbranchen wie Elektronik, Schwermaschinenbau und Automotive. Das Ergebnis zeigt klare Trends und eine zunehmende Professionalisierung der Angreifer.

Die häufigste und folgenreichste Vorfallsart war die Datenexfiltration (56 Prozent der Fälle), noch vor der eigentlichen Ransomware-Verschlüsselung (21 Prozent) und Betriebs­unter­brechungen (15 Prozent). Insgesamt wurden in den analysierten Fällen über 3,3 Terabyte an Daten gestohlen, darunter geistiges Eigentum, sensible Mitarbeiter- und Kundendaten wie Sozial­versicherungs­nummern und Bankverbindungen. Allein RansomHub war für den Diebstahl von Datensätzen in Größen von 2 TB und 487 GB verantwortlich.

Bei der Vorgehensweise lassen sich klare Entwicklungen erkennen:

• Für den Erstzugang (Initial Access) setzen Angreifer vermehrt auf Initial Access Broker (IABs), die bereits kompromittierte Zugänge verkaufen. Zudem werden Schwachstellen in öffentlich erreichbaren Anwendungen wie VPNs, Fernzugriffslösungen und Datei­übertragungs-Tools systematisch ausgenutzt.

• Für Persistenz und Ausführung im Netzwerk hat die Nutzung legitimer Fernwartungs- und Management-Tools (RMM) signifikant zugenommen. Angreifer missbrauchen diese Werkzeuge, um unentdeckt zu bleiben und Befehle auszuführen.

• Bei der Umgehung von Sicherheitsmaßnahmen (Defense Evasion) ist ein bemerkenswerter Wandel zu beobachten: Statt einfacher Verschleierungstechniken setzen Angreifer nun auf spezialisierte Tools, die Endpoint Detection and Response (EDR)-Lösungen gezielt deaktivieren (z. B. KillAV, TrueSightKiller). Auch die „Bring Your Own Vulnerable Driver“ (BYOVD)-Technik, bei der ein legitimer, aber anfälliger Treiber zur Kompromittierung des Systems genutzt wird, gewinnt an Bedeutung.

Proaktive Resilienz in dynamischen Bedrohungsszenarien

Patch-Management in kritischen Produktionsumgebungen

OT-Ziele und neue Technologien stehen im Fokus

Die Analyse legt nahe, dass die Bedrohungslage für die Fertigungsindustrie auch in naher Zukunft angespannt bleiben wird. Die Forscher erwarten eine anhaltend hohe Anzahl an Angriffen, angetrieben durch das flexible RaaS-Ökosystem (RaaS=Ransomware as a Service). Ein besonders besorgniserregender Trend ist die zunehmende Fokussierung auf OT-Umgebungen. Je mehr Wissen sich Angreifer über industrielle Steuerungssysteme aneignen, desto gezielter und potenziell zerstörerischer werden ihre Angriffe ausfallen.

Gleichzeitig bringen neue, für die Industrie 4.0 zentrale Technologien eigene Sicherheitsrisiken mit sich:

• Digitale Zwillinge: Risiken für die Integrität von Datenmodellen, Potenzial für Sabotage.

• Industrial Internet of Things (IIoT): Eine massiv erweiterte Angriffsfläche und neue Kompromittierungsmöglichkeiten.

• 5G: Neue Vektoren für den Erstzugang, die Command-and-Control-Kommunikation (C2) sowie die Datenexfiltration.

• KI/ML in der Produktion: Potenzial für die Manipulation von Algorithmen und Datenvergiftung (Data Poisoning).

Eine proaktive und adaptive Strategie ist gefragt

Angesichts dieser Herausforderungen benötigen Fertigungsunternehmen eine proaktive und adaptive Sicherheitsstrategie. Die Experten von Forescout leiten aus ihren Erkenntnissen konkrete Empfehlungen ab. An erster Stelle steht eine lückenlose Inventarisierung und Härtung aller Assets, insbesondere der mit dem Internet verbundenen Systeme. Dazu gehören das konsequente Patchen von Schwachstellen, die Priorisierung von VPNs und Firewalls sowie die flächendeckende Einführung von Multi-Faktor-Authentifizierung (MFA).

Parallel dazu müssen die Sichtbarkeit und Erkennungsfähigkeiten von kompromittierten oder Rogue-Devices verbessert werden. Eine umfassende Protokollierung auf allen Geräten und der Einsatz von SIEM- und Threat-Detection-Lösungen sind unerlässlich, um den Missbrauch legitimer Tools (Living-off-the-Land-Techniken) und anomale Aktivitäten zu erkennen.

Cyber-Resilienz, die Tür zum EU-Markt

Was Hersteller jetzt über CRA und Produktsicherheit wissen müssen

Ein entscheidender Punkt ist die Absicherung der Schnittstellen zwischen IT und OT. Dies wird durch konsequente Netzwerksegmentierung und die Überwachung des Datenverkehrs, der diese Grenze überschreitet, auf bekannte Schwachstellen oder Anomalien erreicht. Da die Lieferkette oft ein Einfallstor ist, müssen klare Sicherheitsanforderungen für Drittanbieter etabliert und deren Einhaltung überwacht werden.

Um die Auswirkungen einer erfolgreichen Verschlüsselung zu minimieren, sind unveränderliche, offline gespeicherte Backups und regelmäßige Wiederherstellungstests unerlässlich. Schließlich sollten Unternehmen gezielte Threat Intelligence nutzen, um ihre Bedrohungsmodelle und Notfallpläne an die spezifischen Risiken für ihre Branche und insbesondere ihre OT-Assets anzupassen. Nur so lässt sich die Reaktionszeit im Ernstfall signifikant verkürzen und der Schaden für das Unternehmen minimieren.

Über den Autor: Kristian von Mejer ist Director, Central & Eastern Europe bei Forescout.

(ID:50526732)