Dragos identifiziert drei neue OT-Angreifergruppen" OT-Ransomware-Angriffe stiegen 2025 um 64 Prozent

Anbieter zum Thema

Dragos Global Headquarters

FAST LTA GmbH

Die Bedrohungslage für Industrieunternehmen erreichte 2025 neue Höchstwerte. Ransomware-Angriffe auf OT-Systeme stiegen um 64 Prozent, 3.300 Organisationen waren betroffen. Gleichzeitig identifizierten Analysten von Dragos drei neue Angreifergruppen, die gezielt kritische Infrastrukturen attackieren. Besonders alarmierend: Angreifer analysieren industrielle Prozesse detailliert, um physische Effekte auszulösen.

Die Bedrohungslage in der OT (Operational Technology) erreichte 2025 ein neues Niveau. Laut dem aktuellen Dragos 2026 OT/ICS Cybersecurity Report and Year in Review haben Angreifer im vergangenen Jahr industrielle Steuerungssysteme detailliert analysiert, um die Funktionsweise von Prozessen zu verstehen. Dabei identifizierten sie spezifische Punkte, an denen physische Auswirkungen ausgelöst werden können. Gleichzeitig verursachen Ransomware-Gruppen zunehmend Betriebsstörungen und mehrtägige Ausfälle, die eine spezifische Wiederherstellung in OT-Umgebungen erfordern. Dennoch unterschätzen viele Industrieunternehmen weiterhin die Auswirkungen von Ransomware auf OT-Strukturen und stufen die Bedrohung fälschlicherweise als reines IT-Problem ein.

Industrie im Visier des Cybercrime

IoT-Ransomware wird zur wachsenden Gefahr in der vernetzten Industrie

Fokus auf neue OT-Angreifergruppen

Dragos hat drei neue OT-Angreifergruppen namens Sylvanite, Azurite und Pyroxene identifiziert. Analysten beobachten derzeit weltweit insgesamt 26 Gruppen, von denen elf im Jahr 2025 aktiv waren. Sylvanite fungiert als Initial Access Broker, nutzt gezielt Schwachstellen aus und verschafft anderen Akteuren Zugang zu OT-Umgebungen. Die Gruppe war unter anderem an Vorfällen im Energie- und Wassersektor in den USA beteiligt. Azurite konzentriert sich auf langfristigen Zugriff und den Diebstahl sensibler OT-Daten. Betroffen sind Unternehmen aus Industrie, Energie, Verteidigung und anderen kritischen Sektoren in mehreren Regionen der Welt. Pyroxene wiederum greift Lieferketten an und gelangte über Social Engineering Zugang von IT- zu OT-Netzwerken. Ihre Aktivitäten richten sich in erster Linie gegen Organisationen aus der Luft- und Raumfahrt, der Verteidigungsindustrie und der Schifffahrt.

Lehren aus dem Hoya-Ransomware-Angriff

Warum viele Krisenpläne in der Industrie scheitern

Angreifergruppen entwickeln sich von Aufklärung zu gezielten operativen Eingriffen

Electrum führte 2025 mehrere destruktive Operationen durch, darunter einen koordinierten Angriff auf acht ukrainische Internetdienstanbieter im Mai und den Einsatz neuer Varianten von Wiper-Malware. Im Dezember griff Electrum Kraft-Wärme-Kopplungsanlagen und Steuerungssysteme für erneuerbare Energien in Polen an, um gezielt den Betrieb der Anlagen zu stören. Damit weitete die Gruppe ihre Aktivitäten von der Übertragungsinfrastruktur auf das dezentrale Stromnetz aus. Unterstützt wird Electrum dabei von Kamacite. Die Gruppe verlagerte ihren Schwerpunkt von der Ukraine auf eine europäische Lieferkettenkampagne und führte zwischen März und Juli 2025 umfangreiche Aufklärungsmaßnahmen in US-amerikanischen Industrieanlagen durch. Im Rahmen dieser Kampagne wurden auch Teilnehmer der Gas Infrastructure Europe (GIE)-Konferenz in München ins Visier genommen.

Cyber-Resilienz für industrielle Steuerungssysteme

Wie Industrieanlagen nach einem Cyberangriff sicher wieder starten

Ransomware ist weiterhin die größte Bedrohung für Industrieunternehmen

Dragos verfolgte im Jahr 2025 insgesamt 119 Ransomware-Gruppen, die sich auf Industrieunternehmen konzentrierten, gegenüber 80 im Jahr 2024. Weltweit waren 3.300 Organisationen betroffen, mehr als zwei Drittel davon in der Fertigungsindustrie. Branchenweit lag die durchschnittliche Verweildauer von Ransomware in OT-Umgebungen bei 42 Tagen. Dragos stellte außerdem fest, dass OT-Vorfälle oft fälschlicherweise als reine IT-Vorfälle klassifiziert werden, da OT-Systeme wie Engineering-Workstations und HMIs aufgrund ihres Windows-Betriebssystems als Teil der IT betrachtet werden.

OT-Angriffe bedrohen Versorgung und Compliance der Pharmaindustrie

So sichern Pharmaunternehmen ihre OT vor Ransomware und Spionage

Auch auf Verteidigungsseite wurden 2025 bedeutende Fortschritte erzielt

Unternehmen mit umfassender Sichtbarkeit ihrer OT-Umgebungen konnten OT-Ransomware-Vorfälle innerhalb von durchschnittlich fünf Tagen erkennen und eindämmen, während der Branchendurchschnitt bei 42 Tagen lag. Der Reifegrad der Erkennungsmechanismen hat somit direkten Einfluss auf den Erfolg der Reaktion. Dennoch bestehen weiterhin erhebliche Lücken bei der OT-Sicherheit. Eine umfassende Sichtbarkeit im Netzwerk ist nach wie vor entscheidend, da ohne kontinuierliche Überwachung die Einführung von Technologien wie KI, Batteriespeichersystemen oder dezentralen Energiequellen zu deutlich größeren blinden Flecken führt.

Immutability schützt Backups vor Ransomware-Angriffen

96 Prozent der Ransomware-Opfer verlieren auch ihre Backups

(ID:50773652)