Zwei Drittel aller OT-Angriffe zielen auf Perimeter-Geräte Industrielle Router im Fadenkreuz von Cyberangreifern

Anbieter zum Thema

ForeScout Technologies GmbH

Fujitsu Technology Solutions GmbH

Eine aktuelle Honeypot-Analyse von Forescout zeigt, dass Netz­werk­peri­me­ter-Geräte in Industrieumgebungen deutlich häufiger angegriffen werden als die eigentlichen OT-Systeme. Neue Botnets und gezielte Auf­klä­rungs­kam­pa­gnen setzen Betreiber kritischer Infrastrukturen unter Druck.

Die Sicherheit von Operational Technology steht vor einem Paradigmenwechsel. Während Unternehmen traditionell den Schutz von Steuerungssystemen priorisieren, verlagern Angreifer ihren Fokus auf die vorgelagerte Infrastruktur. Eine 90-tägige Honeypot-Analyse des Forschungsteams Vedere Labs von Forescout offenbart beunruhigende Erkenntnisse über die aktuelle Bedrohungslage.

Angriffe, gesponsert von Iran und Russland

Die Lage im Cyberraum nach dem An­griff der USA und Israels auf den Iran

Perimeter-Geräte als bevorzugtes Angriffsziel

Die Forscher betrieben ein „Adversary Engagement Environment“ mit verschiedenen OT-Gerätetypen. Das Setup umfasste industrielle WLAN-Router, eine Industrie-Firewall, mehrere speicherprogrammierbare Steuerungen sowie ein Human Machine Interface. Insgesamt registrierten elf Geräte über den Untersuchungszeitraum mehr als 60 Millionen verdächtige Anfragen.

Die Verteilung der Angriffe zeichnet ein klares Bild. Zwei Drittel aller Attacken richteten sich gegen Netzwerkperimeter-Geräte wie Router und Firewalls, während nur ein Drittel auf exponierte OT-Systeme wie SPSen oder HMIs abzielte. Diese Erkenntnis hat weitreichende Implikationen für Sicherheitsstrategien in Industrieumgebungen. Wer sich ausschließlich auf den Schutz der eigentlichen Produktionssysteme konzentriert, übersieht die tatsächlichen Eintrittspunkte für Angreifer.

Solarstrom, Router und staatlich gelenkte Hacktivisten

Cyberangriffe auf vernetzte Infrastruk­turen nehmen 2025 rasant zu

SSH und Telnet dominieren die Angriffsversuche

Bei der Protokollanalyse der Angriffe auf Perimeter-Geräte zeigt sich eine deutliche Dominanz von Fernzugriffsprotokollen. Rund 72 Prozent aller Anfragen erfolgten über SSH und Telnet, wobei es sich überwiegend um Brute-Force-Angriffe mit Standardpasswörtern handelte. Die verwendeten Zugangsdaten entstammen dabei größtenteils einer Liste mit IoT-Standardpasswörtern, die seit 2016 im Internet kursiert und von zahlreichen Botnets genutzt wird.

HTTP und HTTPS machten etwa 24 Prozent der Anfragen aus. Hier fanden die Forscher knapp 3.000 Anfragen, die konkreten Exploit-Versuchen zugeordnet werden konnten und darauf abzielten, Schadsoftware von externen Servern nachzuladen. Die verbleibenden vier Prozent verteilten sich auf diverse Protokolle wie SIP, DNS, TFTP und industrielle Protokolle wie Modbus.

RondoDox und ShadowV2 expandieren rasant

Die Analyse der HTTP-basierten Angriffe ermöglichte die Zuordnung zu verschiedenen Malware-Familien. Mit einem Anteil von 59 Prozent dominierte das Botnet RondoDox die Statistik, gefolgt vom Kryptominer Redtail mit 21 Prozent und dem neu identifizierten Botnet ShadowV2 mit sechs Prozent.

RondoDox wurde erstmals im Mai 2025 beobachtet und hat seitdem sein Exploit-Arsenal rapide erweitert. Mittlerweile nutzt das Botnet über 50 verschiedene Schwachstellen in IoT-Geräten aus, einige davon ohne zugewiesene CVE-Kennung. Dieser aggressive Ansatz erwies sich als erfolgreich, da RondoDox im Beobachtungszeitraum das mit Abstand aktivste Botnet war. Sollten die Betreiber bekannte Schwachstellen für industrielle Edge-Geräte in ihr Portfolio aufnehmen, könnte dies für Betreiber kritischer Infrastrukturen schnell zum Problem werden.

ShadowV2 ist noch jünger und wurde erst im Juni 2025 erstmals dokumentiert. Trotz seines kurzen Bestehens belegt es bereits Platz drei unter den häufigsten Botnets in der Analyse. Derzeit konzentriert sich ShadowV2 vorwiegend auf Consumer-Router von D-Link und TP-Link, doch die schnelle Entwicklung mahnt zur Wachsamkeit.

Studie zur Resilienz kritischer Infrastrukturen

Versorgungsunternehmen im Visier nationalstaatlicher Hacker

Chaya_005 kartografiert verwundbare Systeme

Besonders aufmerksam beobachteten die Forscher einen Aktivitätscluster, den sie Chaya_005 tauften. Anders als typische DDoS-Botnets scheint diese Kampagne primär auf Aufklärung ausgerichtet zu sein. Die Angreifer sendeten HTTP-POST-Anfragen an industrielle Router, wobei die Payloads eine charakteristische Signatur trugen, die Zeitstempel und Informationen über die verwendete Angriffsmethode kodierte.

Interessanterweise verwendeten die Angreifer dabei häufig fehlerhafte Exploits gegen die falschen Gerätetypen. So wurde etwa ein Exploit für DrayTek-Router gegen einen Sierra Wireless LS300 eingesetzt. Die Forscher interpretieren dies als systematisches Abtasten von Zielsystemen. Erfolgreiche Anfragen würden in den Logs der Angreifer verzeichnet und könnten später für gezielte Angriffe genutzt werden, etwa zum Einschleusen von Botnets, Kryptominern oder Proxy-Software.

Die Rückverfolgung der Aktivitäten ergab, dass Chaya_005 seit mindestens zwei Jahren aktiv ist. Nur in einem Fall gelang ein erfolgreicher Exploit gegen eine bereits 2018 gepatchte Schwachstelle in Sierra Wireless Routern. Dennoch warnen die Forscher, dass diese Geräte nach wie vor häufig mit exponierter Weboberfläche im Internet zu finden sind.

Hacktivisten kompromittieren Wasserwerk-Steuerung

Der Report dokumentiert auch einen konkreten Vorfall mit geopolitischem Hintergrund. Im September 2025 gelang es der prorussischen Hacktivistengruppe TwoNet, das Human Machine Interface einer simulierten Wasseraufbereitungsanlage in der Honeypot-Umgebung zu kompromittieren und zu defacen. Dieser Vorfall unterstreicht, dass neben automatisierten Botnet-Angriffen auch gezielte manuelle Attacken durch politisch motivierte Akteure eine reale Bedrohung darstellen.

Hacktivisten im Fadenkreuz

Wenn Wasserwerke zur digitalen Kriegszone werden

Die Trennung von IT und OT ist obsolet

Eine zentrale Erkenntnis der Studie betrifft die zunehmende Konvergenz von IT- und OT-Bedrohungen. Automatisierte Angriffswerkzeuge differenzieren nicht zwischen klassischen IT-Systemen und industriellen Anlagen. Auf den OT-Geräten wurden zahlreiche Brute-Force-Versuche mit typischen IT-Credentials beobachtet. Umgekehrt haben frühere Analysen gezeigt, dass IoT-Botnets zunehmend auch OT-spezifische Zugangsdaten in ihre Wörterbücher aufnehmen.

Die Forscher verweisen auf die Mirai-Botnet-Infektionen im dänischen Energiesektor 2024 als mahnendes Beispiel. Damals mussten mehrere Energieversorger in den Inselbetrieb wechseln, nachdem Zyxel-Firewalls am OT-Perimeter kompromittiert wurden. Die Vorstellung, Bedrohungen als reine IT- oder OT-Probleme kategorisieren zu können, erweist sich angesichts der vernetzten Realität als gefährliche Vereinfachung.

Handlungsempfehlungen für Betreiber

Die Absicherung industrieller Umgebungen erfordert einen mehrschichtigen Ansatz. Zunächst müssen alle vernetzten Geräte identifiziert werden, einschließlich ihrer offenen Ports und Zugangsdaten. Standardpasswörter sind konsequent durch starke Authentifizierung zu ersetzen, ungenutzte Dienste zu deaktivieren.

Die direkte Exposition von OT-Geräten im Internet ist grundsätzlich zu vermeiden. Netzwerksegmentierung muss IT-, IoT- und OT-Bereiche voneinander isolieren. Monitoring-Lösungen sollten IoT- und OT-spezifische Protokolle verstehen und verdächtige Aktivitäten wie die Verwendung von Blacklist-Credentials erkennen.

Die Studie macht deutlich, dass die Sicherung des OT-Perimeters mindestens ebenso wichtig ist wie der Schutz der dahinterliegenden Steuerungssysteme. Angesichts der rapiden Expansion neuer Botnets und gezielter Aufklärungskampagnen können es sich Betreiber kritischer Infrastrukturen nicht leisten, industrielle Router und Firewalls als nachrangige Sicherheitsprioritäten zu behandeln.

Über den Autor: Daniel dos Santos ist Senior Director und Leiter der Forescout Research Vedere Labs.

Systeme zur Angriffserkennung

KRITIS-Betreiber haben Nachholbedarf

(ID:50803186)