Mobile-Menu

Forescout Threat Report 1HJ 2025 Neue Bedrohungen für kritische Infrastrukturen und Gesundheitswesen

Ein Gastbeitrag von Daniel Dos Santos 4 min Lesedauer

Der aktuelle Forescout Threat Report für das erste Halbjahr 2025 zeigt alarmierende Trends: Zero-Day-Exploits steigen um 46 Prozent, Ransomware-Angriffe erreichen 20 Vorfälle pro Tag, und Angreifer nutzen zunehmend unkonventionelle Einstiegspunkte wie IP-Kameras und BSD-Systeme. Besonders besorgniserregend für Deutschland: Die Bundesrepublik bleibt im Visier internationaler Bedrohungsakteure.

Das Gesundheitswesen entwickelt sich zur meistangegriffenen Branche, mit durchschnittlich zwei Sicherheitsvorfällen pro Tag in den USA und ähnlichen Trends in Europa.(Bild: © Artyom - stock.adobe.com)
Das Gesundheitswesen entwickelt sich zur meistangegriffenen Branche, mit durchschnittlich zwei Sicherheitsvorfällen pro Tag in den USA und ähnlichen Trends in Europa.
(Bild: © Artyom - stock.adobe.com)

Die nackten Zahlen des Forescout Threat Report 1HJ 2025 lesen sich wie ein Katastrophenszenario: 23.581 neue Schwachstellen wurden im ersten Halbjahr 2025 veröffentlicht – das entspricht 130 neuen CVEs pro Tag. Noch beunruhigender ist der Anstieg bei Zero-Day-Exploits um 46 Prozent im Vergleich zum Vorjahreszeitraum. Diese Schwachstellen, die zum Zeitpunkt ihrer Ausnutzung noch unbekannt sind, stellen eine besondere Gefahr dar, da Unternehmen keine Möglichkeit haben, sich präventiv zu schützen.

47 Prozent der neu ausgenutzten Schwachstellen wurden bereits vor 2025 veröffentlicht. Dies unterstreicht ein fundamentales Problem im Patch-Management vieler Organisationen. Während neue Bedrohungen entstehen, bleiben alte Sicherheitslücken ungepatcht – eine gefährliche Kombination, die Angreifern Tür und Tor öffnet.

Paradigmenwechsel bei Ransomware – Neue Ziele, neue Methoden

Mit durchschnittlich 20 Ransomware-Angriffen pro Tag hat die Bedrohung durch Erpressungssoftware ein neues Niveau erreicht. Der Report dokumentiert 3.649 Angriffe im ersten Halbjahr 2025 – ein Anstieg von 36 Prozent gegenüber dem Vorjahreszeitraum. Dabei zeigt sich ein beunruhigender Trend: Cyberkriminelle erweitern systematisch die von ihnen anvisierte Angriffsfläche.

Besonders aufschlussreich sind zwei Vorfälle aus dem März dieses Jahres: Die Akira-Ransomware-Gruppe nutzte eine kompromittierte IP-Kamera als Einstiegspunkt in Windows-Netzwerke. Die neue Gruppe VanHelsing entwickelte sogar eine Multi-Plattform-Verschlüsselungssoftware mit BSD-UNIX-Unterstützung. Diese Entwicklung ist besonders für deutsche Industrieunternehmen relevant, die oft heterogene IT-Landschaften mit verschiedenen Betriebssystemen im Einsatz haben.

Die Wahl dieser unkonventionellen Angriffsvektoren ist dabei kein Zufall. IP-Kameras und BSD-Systeme verfügen selten über EDR-Lösungen (Endpoint Detection and Response), was sie zu idealen Einstiegspunkten für unentdeckte laterale Bewegungen im Netzwerk macht.

Das Gesundheitswesen ist besonders stark betroffen

Das Gesundheitswesen entwickelt sich zur meistangegriffenen Branche. Mit durchschnittlich zwei Datenschutzverletzungen pro Tag in den USA – und ähnlichen Trends in Europa – steht der Sektor vor enormen Herausforderungen. Fast 30 Millionen Patientendaten wurden allein im ersten Halbjahr 2025 kompromittiert.

Für deutsche Krankenhäuser und Gesundheitsdienstleister ist besonders besorgniserregend, dass Forescout zu Trojanern umfunktionierte DICOM-Bildgebungssoftware identifizierte, die Malware direkt auf Patientensysteme einschleuste. Die Entdeckung des ValleyRAT-Backdoors in medizinischen Systemen zeigt, wie gezielt die Angreifer dabei vorgehen: Sie tarnen ihre Schadsoftware als legitime medizinische Anwendungen und nutzen das Vertrauen des Gesundheitspersonals aus.

OT und kritische Infrastrukturen sind das neue Schlachtfeld

Ein besonders beunruhigender Trend ist die Zunahme opportunistischer Angriffe auf Operational Technology (OT). Der Report zeigt, dass Modbus – das am häufigsten in der Industrie eingesetzte Protokoll – mittlerweile 57 Prozent aller OT-Interaktionen in Honeypots ausmacht, ein Anstieg von 40 Prozent im Vergleich zum Vorjahr.

Für die deutsche Industrie, mit ihrer starken Abhängigkeit von Automatisierungstechnik, sind diese Zahlen alarmierend. Die Analyse von PLC-Honeypots, die Wasseraufbereitungsanlagen simulierten, ergab 16.000 Zugriffsversuche pro Tag. Zwar nutzten nur zwei Prozent davon OT-spezifische Protokolle, doch die beobachteten Aktivitäten – Manipulation von Variablen, Stoppen von Steuerungen, Verbindungsversuche über Engineering-Workstations – zeigen das Potenzial für verheerende Angriffe.

Staatliche Akteure und Hacktivisten – Die Grenzen verschwimmen

Der Report identifiziert eine besonders beunruhigende Entwicklung. Die Grenzen zwischen staatlich geförderten Akteuren und Hacktivisten verschwimmen zunehmend. Iranische Gruppen wie APT IRAN, CyberAv3ngers und die Iranian Cyber Army bilden ein Kontinuum von Bedrohungen, die gezielt westliche OT/ICS-Infrastrukturen angreifen.

Diese Gruppen haben darüber hinaus ihre Taktiken verfeinert. Von anfänglichen Propaganda-Aktionen entwickelten sie sich zu Akteuren mit nachgewiesenen Fähigkeiten zur Disruption kritischer Infrastrukturen. Die erfolgreichen Angriffe auf Unitronics-PLCs Ende 2023, die auch deutsche Anlagen betrafen, demonstrieren ihre ausgereiften technischen Fähigkeiten.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Handlungsempfehlungen für deutsche Unternehmen

Basierend auf den Erkenntnissen des Reports ergeben sich konkrete Handlungsempfehlungen:

  • Erweiterte Sichtbarkeit: Unternehmen müssen ihre Visibility auf alle Gerätetypen ausdehnen – IT, OT, IoT und IoMT. Agentenlose Lösungen können dabei helfen, auch Geräte zu erfassen, auf denen keine traditionellen Sicherheitsagenten installiert werden können.
  • Proaktives Patch-Management: Mit 47 Prozent der Exploits, die auf alte Schwachstellen abzielen, ist zeitnahes Patching unabdingbar. Priorisieren Sie dabei Schwachstellen in Internet-exponierten Systemen und Netzwerkinfrastruktur.
  • Netzwerksegmentierung: Die Isolation von IT-, IoT- und OT-Geräten verhindert laterale Bewegungen. Dies ist besonders wichtig angesichts der neuen Angriffsvektoren über IP-Kameras und andere IoT-Geräte.
  • Verstärktes Logging und Monitoring: Aktivieren Sie umfassendes Endpoint-Logging, das über reine Alerts hinausgeht. Erfassen Sie Prozess-, Datei-, Benutzer-, Netzwerk-, Registry- und PowerShell-Aktivitäten.
  • Multi-Faktor-Authentifizierung: Implementieren Sie MFA konsequent, besonders für VPN-Zugänge und administrative Interfaces. Dies gilt insbesondere für OT-Umgebungen, wo Default-Credentials noch immer weit verbreitet sind.

Eine neue Ära der Cyberbedrohungen

Der Forescout-Report zeichnet das Bild einer sich rapide entwickelnden Bedrohungslandschaft. Die Kombination aus einer steigenden Anzahl an Zero-Day-Exploits, der Evolution von Ransomware-Taktiken und der zunehmenden Fokussierung der Angreifer auf OT/ICS-Systeme erfordert ein Umdenken in der Cybersecurity-Strategie.

Für deutsche Unternehmen, insbesondere im Gesundheitswesen und in der kritischen Infrastruktur, ist die Zeit des reaktiven Handelns vorbei. Die dokumentierten Trends zeigen: Angreifer werden kreativer, ihre Methoden ausgefeilter und ihre Ziele breiter gestreut. Nur durch proaktive, ganzheitliche Sicherheitsstrategien, die alle Aspekte der modernen IT/OT-Konvergenz berücksichtigen, können Organisationen dieser neuen Bedrohungsrealität begegnen.

Die im Report dokumentierten Angriffe sind keine abstrakten Szenarien – sie sind die neue Normalität, mit der sich Sicherheitsverantwortliche auseinandersetzen müssen. Der nächste große Vorfall ist nicht eine Frage des "ob", sondern des "wann". Die Frage ist nur: Sind deutsche Unternehmen darauf vorbereitet?

Über den Autor: Daniel dos Santos ist Senior Director und Leiter der Forschungsabteilung „Vedere Labs“ von Forescout. Dos Santos leitet ein Forschungsteam, das neue Schwachstellen identifiziert und aktive Bedrohungen gegen verwaltete und nicht verwaltete Geräte überwacht. Er ist außerdem Mitglied mehrerer Vereinigungen zum Austausch von Bedrohungsdaten wie EE-ISAC, OT-ISAC, ETHOS und CISA JCDC.

(ID:50516260)

Weiterführende Inhalte