Mobile-Menu

OT-Schwachstellen auf Rekordniveau Der blinde Fleck bei industriellen Steuerungssystemen wird größer

Von Daniel dos Santos 2 min Lesedauer

2025 markiert einen Höchststand bei OT-Schwachstellen. Die CISA veröffentlichte 508 ICS-Advisories mit 2.155 CVEs, 82 Prozent davon kritisch. Forescout Vedere Labs identifizierte aber zwischen 2023 und 2026 6.737 OT-Schwachstellen, von denen nur 22 Prozent ein CISA-Advisory erhielten. Betreiber kritischer Infrastrukturen müssen ihre Informationsquellen dringend erweitern.

2025 erreichten OT-Schwachstellen ein Rekordniveau mit 2.155 veröffentlichten CVEs. Doch 78 Prozent aller identifizierten Schwachstellen fehlen in offiziellen CISA-Advisories. Betreiber kritischer Infrastrukturen müssen ihre Informationsquellen über CISA hinaus erweitern, um das tatsächliche Risiko zu erfassen.(Bild: © Viktor - stock.adobe.com)
2025 erreichten OT-Schwachstellen ein Rekordniveau mit 2.155 veröffentlichten CVEs. Doch 78 Prozent aller identifizierten Schwachstellen fehlen in offiziellen CISA-Advisories. Betreiber kritischer Infrastrukturen müssen ihre Informationsquellen über CISA hinaus erweitern, um das tatsächliche Risiko zu erfassen.
(Bild: © Viktor - stock.adobe.com)

Das Jahr 2025 markiert einen neuen Höchststand bei Schwachstellen in industriellen Steuerungssystemen. Forescout Vedere Labs hat im Rahmen des ICS Advisory Project die Entwicklung der vergangenen fünfzehn Jahre analysiert (vollständiger Report hier) und dabei Trends identifiziert, die für Betreiber kritischer Infrastrukturen die Alarmglocken klingeln lassen sollten.

Nicht nur die Anzahl der Schwachstellen steigt, auch deren Schweregrad nimmt zu. Der durchschnittliche CVSS-Score zeigt einen stetigen Aufwärtstrend. 2010 lag er bei 6,44 (mittlere Schwere). 2024 überschritt er erstmals die Marke von 8,0 und blieb auch 2025 auf diesem Niveau.(Bild: Forescout)
Nicht nur die Anzahl der Schwachstellen steigt, auch deren Schweregrad nimmt zu. Der durchschnittliche CVSS-Score zeigt einen stetigen Aufwärtstrend. 2010 lag er bei 6,44 (mittlere Schwere). 2024 überschritt er erstmals die Marke von 8,0 und blieb auch 2025 auf diesem Niveau.
(Bild: Forescout)

Allein 2025 veröffentlichte CISA 508 ICS-Advisories mit insgesamt 2.155 CVEs. Zum Vergleich waren es im ersten vollständigen Erfassungsjahr 2011 gerade einmal 67 Advisories mit 103 CVEs. Der Anstieg ist dramatisch, und er beschränkt sich längst nicht mehr auf die reine Menge. Der durchschnittliche CVSS-Score ist von 6,44 im Jahr 2010 auf über 8,0 gestiegen. 82 Prozent der 2025 veröffentlichten Advisories waren als hoch oder kritisch eingestuft. Die verwundbarsten Assets finden sich auf Purdue Level 1, also bei Feldcontrollern, RTUs und PLCs, gefolgt von Level-3-Betriebssystemen wie MES und PLM sowie den Steuerungssystemen auf Level 2. Branchenseitig tragen Fertigung und Energie das höchste Risiko.

Auffällig ist der Aufstieg des Gesundheitswesens vom achten auf den vierten Platz der am stärksten betroffenen Sektoren. Doch diese offiziellen CISA-Zahlen bilden die Realität nur unvollständig ab. Das ICS Advisory Project erfasste zwischen Januar 2023 und Januar 2026 insgesamt 6.737 OT/ICS-Schwachstellen, die direkt von 268 Herstellern und CERTs veröffentlicht wurden. Für das Jahr 2025 hatten lediglich 22 Prozent dieser Schwachstellen ein zugehöriges CISA-Advisory. 134 Anbieter veröffentlichten Schwachstellen, ohne dass die CISA diese aufgriff. 61 Prozent dieser nicht erfassten Schwachstellen waren hoch oder kritisch eingestuft.

Tausende Schwachstellen ohne Warnung

Wer sich ausschließlich auf CISA als Informationsquelle verlässt, übersieht damit einen erheblichen Teil des tatsächlichen Risikos. Einen positiven Impuls setzt der europäische Cyber Resilience Act. Die regulatorischen Anforderungen motivieren Hersteller zunehmend zur koordinierten Offenlegung und zeitnahen Patch-Bereitstellung. Immer mehr Anbieter veröffentlichen eigene Security-Advisories, teilweise bereits im maschinenlesbaren CSAF-Format. Die alleinige Abhängigkeit vom CISA/NVD-Ökosystem, das sich 2025 durch Rückstände und Finanzierungskrisen als anfällig erwiesen hat, nimmt dadurch ab.

Für Betreiber kritischer Infrastrukturen ergibt sich daraus eine klare Handlungsempfehlung. Wer OT-Schwachstellen wirksam managen will, muss seine Informationsquellen über CISA-Advisories hinaus erweitern und Herstellerveröffentlichungen direkt in den eigenen Sicherheitsprozess integrieren.

Über den Autor: Daniel dos Santos ist VP Research bei Forescout.

(ID:50772575)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte