Wenn eine Fabrik gezwungen ist, die Produktion einzustellen, steigen die Kosten und die Kunden verlangen Antworten. Ransomware-Gruppen nutzen diesen Druck zunehmend aus, indem sie die Systeme angreifen, auf die Industrieunternehmen angewiesen sind, um ihren Betrieb aufrechtzuerhalten.

Daten zeigen, dass die Zahl der Ransomware-Opfer in der Fertigungsindustrie zwischen dem 1. Januar und dem 29. Juli 2026 auf 1.183 gestiegen ist, was einem Anstieg von bis zu 39,7 % im Vergleich zum Vorjahr entspricht. In Europa stieg die Zahl der Opfer sogar um satte 85,4 %.

Dabei handelte es sich um Angriffe auf Hersteller, nicht unbedingt auf deren Betriebstechnologie (OT). Angreifer müssen jedoch keine industriellen Steuerungen kompromittieren, um die Produktion zum Erliegen zu bringen. Es kann bereits ausreichen, die Anwendungen, Konten oder die Infrastruktur, die diese unterstützen, lahmzulegen.

Warum sind industrielle Umgebungen für Ransomware-Gruppen attraktiv?

Die Anziehungskraft ergibt sich aus einer Kombination aus kostspieligen Ausfallzeiten, miteinander vernetzten Systemen und einer schwierigen Wiederherstellung. Kriminelle können Druck auf ein Unternehmen ausüben, indem sie den Betrieb unterbrechen, sensible Informationen stehlen oder mit beidem drohen.

Für ein Industrieunternehmen können die Folgen unter anderem verfehlte Produktionsziele, verzögerte Kundenaufträge und die Unfähigkeit zur Koordination von Lieferanten sein. Die Wiederherstellung kann erfordern, dass Ingenieurteams die Systeme validieren, bevor physische Prozesse wieder in Gang gesetzt werden.

Die wirtschaftliche Logik ist einfach: Je schwieriger es für ein Unternehmen ist, ohne seine Systeme zu arbeiten, desto mehr Druck können Angreifer ausüben. Das bedeutet jedoch nicht, dass ein Opfer zahlen wird oder dass eine Zahlung den Betrieb wiederherstellen würde.

Produktionsausfälle erzeugen unmittelbaren Druck

Der Ransomware-Vorfall bei Fairlife, einem Unternehmen im Besitz von Coca-Cola, im Juli 2026 liefert ein anschauliches Beispiel.

Am 16. Juli bestätigte Coca-Cola im Zusammenhang mit einem Ransomware-Vorfall einen unbefugten Zugriff auf Fairlife-Systeme, darunter auch produktionsbezogene Systeme. Der Produktionsbetrieb in den Vereinigten Staaten wurde vorübergehend eingestellt. Das Unternehmen erklärte, dass Produktqualität und -sicherheit nicht beeinträchtigt seien und die Produktion in Kanada keine Auswirkungen erfahren habe.

Am 27. Juli gab Coca-Cola bekannt, dass der Großteil der Produktion in den vier US-Standorten von Fairlife wieder aufgenommen worden sei. Das Unternehmen bestätigte zudem, dass Daten entwendet worden seien. Die vorhandenen Lagerbestände hätten die Verfügbarkeit im Einzelhandel weitgehend gesichert, und das Unternehmen erwarte auf der Grundlage der damals verfügbaren Informationen keine wesentlichen finanziellen Auswirkungen.

Der Vorfall verdeutlicht, wie Ransomware produktionsbezogene Systeme beeinträchtigen und den physischen Betrieb unterbrechen kann. Es lässt sich nicht nachweisen, dass Angreifer industrielle Steuerungen manipuliert haben, und dies sollte auch nicht so dargestellt werden.

Für andere Hersteller stellt sich die praktische Frage, ob die Produktion fortgesetzt werden könnte, wenn ein ähnlich wichtiges System ausfallen würde.

Abhängigkeiten zwischen IT und OT können die Auswirkungen verstärken

Industrielle Betriebsabläufe hängen von mehr ab als nur von den Anlagen in der Fertigung. Identitätsdienste, Engineering-Arbeitsplätze, die Produktionsplanung und andere unterstützende Systeme können alle Einfluss darauf haben, ob ein Standort betriebsfähig ist.

Einige dieser Abhängigkeiten liegen im OT-Bereich. Andere verbinden betriebliche Prozesse mit der Unternehmens-IT.

Dragos hat dieses Klassifizierungsproblem in seinem „2026 OT/ICS Cybersecurity Report“ hervorgehoben und darauf hingewiesen, dass Konstrukteursarbeitsplätze und Mensch-Maschine-Schnittstellen fälschlicherweise als IT-Systeme bezeichnet werden können, nur weil sie unter Windows laufen. Ihr Betriebssystem ändert nichts an ihrer betrieblichen Rolle.

Für die Verteidigung bedeutet dies, dass Unternehmen verstehen müssen, welche Funktion jedes System erfüllt und was davon abhängt. Eine Netzwerkgrenze allein erklärt nicht, ob die Produktion den Ausfall eines gemeinsam genutzten Dienstes überstehen kann.

Fernzugriff kann kritische Systeme gefährden

Fernunterstützung hilft Ingenieuren und Lieferanten, Anlagen zu warten, ohne physisch vor Ort zu sein. Ein unzureichend kontrollierter Zugriff kann jedoch auch einen Zugang zu Betriebsumgebungen ermöglichen.

Die im Januar 2026 veröffentlichten Leitlinien des NCSC zur OT-Konnektivität empfehlen, das Risiko durch Maßnahmen wie Just-in-Time-Zugriff und vermittelte Verbindungen über kontrollierte Gateways zu verringern. Diese Ansätze tragen dazu bei, eine direkte Exposition von OT-Ressourcen gegenüber externen Netzwerken zu vermeiden.

Unternehmen sollten in der Lage sein, festzustellen, wer über Fernzugriff verfügt, auf welche Ressourcen diese Personen zugreifen können, wann dieser Zugriff erforderlich ist und wie er widerrufen werden kann.

Eine Zugriffsregelung, die noch lange nach Abschluss einer Wartungsaufgabe aktiv bleibt, schafft unnötige Sicherheitsrisiken. Gleiches gilt, wenn ein Lieferantenkonto über umfassendere Berechtigungen verfügt, als es für seine Arbeit erforderlich ist.

Ältere Systeme lassen sich unter Umständen nur schwer absichern

Der Austausch oder die Aktualisierung einer industriellen Anlage kann Betriebsplanung, Kompatibilitätsprüfungen und ein geeignetes Wartungsfenster erfordern.

Diese Einschränkungen können dazu führen, dass Unternehmen ältere Systeme über längere Zeiträume hinweg verwalten müssen. Das NCSC räumt ein, dass viele OT-Systeme schwer zu aktualisieren oder zu ersetzen sind, weshalb ein starker Schutz der Systemgrenzen und eine Segmentierung besonders wichtig sind.

Dies sollte Einfluss darauf haben, wie Risiken priorisiert werden. Teams müssen berücksichtigen, ob eine Anlage erreichbar ist, was sie steuert und welche Schutzmaßnahmen bereits vorhanden sind.

Wenn eine sofortige Behebung nicht praktikabel ist, können die Einschränkung der Konnektivität und eine verstärkte Überwachung dazu beitragen, das Risiko zu verringern, während eine längerfristige Lösung geplant wird.

Was lehrt uns der Vorfall bei Foxconn aus dem Jahr 2026?

Am 12. Mai 2026 bestätigte Foxconn, dass einige seiner nordamerikanischen Fabriken Opfer eines Cyberangriffs geworden waren. In einer Unternehmensmitteilung hieß es, dass Gegenmaßnahmen eingeleitet worden seien und die betroffenen Fabriken wieder zur normalen Produktion zurückkehrten.

Unabhängig davon bekannte sich die Ransomware-Gruppe „Nitrogen“ zu dem Angriff und behauptete, Daten gestohlen zu haben. Diese Behauptungen gingen über das hinaus, was Foxconn öffentlich bestätigte, und sollten als Behauptungen der Angreifer betrachtet werden.

Die bestätigte Betriebsstörung verdeutlicht die betrieblichen Folgen eines Angriffs auf einen großen Hersteller. Sie wirft zudem eine Frage zur Lieferkette auf: Wie könnten Kunden ihre Produktion aufrechterhalten, wenn ein kritischer Lieferant nicht liefern könnte?

Für Sicherheits- und Betriebsverantwortliche gehört die Abhängigkeit von Lieferanten in die Ransomware-Planung mit ein. Die Widerstandsfähigkeit Ihres Unternehmens kann durch einen Vorfall außerhalb der eigenen Umgebung beeinträchtigt werden.

Deuten die Beweise auf mehr direkte Angriffe auf OT hin?

Die Fakten zeigen einen zunehmenden Ransomware-Druck auf Industrieunternehmen. Das bedeutet jedoch nicht, dass jeder Vorfall in der Fertigung mit einer direkten Kompromittierung von OT-Geräten einhergeht.

Ein im Februar 2026 veröffentlichter Bericht verzeichnete im Jahr 2025 119 Ransomware-Gruppen, die es auf Industrieunternehmen abgesehen hatten – im Vergleich zu 80 im Jahr 2024 –, wodurch insgesamt 3.300 Unternehmen betroffen waren. Es handelt sich hierbei um Beobachtungen aus dem Jahr 2025, die im Jahr 2026 veröffentlicht wurden, und nicht um die Gesamtzahlen der Vorfälle aus dem Jahr 2026.

Es gibt verschiedene Möglichkeiten, wie es bei einem Industrieunternehmen zu Betriebsstörungen kommen kann:

• Ransomware beeinträchtigt Systeme innerhalb der OT-Umgebung.
• Ein Angriff legt IT-Dienste lahm, von denen die Produktion abhängt.
• Betreiber isolieren Systeme, um einen Vorfall einzudämmen oder weil sie nicht bestätigen können, dass ein fortgesetzter Betrieb sicher ist.

Für die Untersuchung und Wiederherstellung ist es wichtig zu verstehen, welches Szenario eingetreten ist. Alle drei müssen bei der Planung der Ausfallsicherheit berücksichtigt werden.

Wie können Unternehmen das Risiko von OT-Ransomware verringern?

Beginnen Sie mit einem praktischen Ziel: Verstehen Sie, was den Betrieb zum Erliegen bringen könnte, und reduzieren Sie die Wege, über die ein Angreifer dieses Ergebnis herbeiführen könnte.

Schaffen Sie Transparenz hinsichtlich betrieblicher Abhängigkeiten

Führen Sie ein Inventar, das Ressourcen mit ihrem Zweck, ihren Eigentümern und kritischen Prozessen verknüpft. Beziehen Sie dabei technische Arbeitsplätze, die Fernzugriffsinfrastruktur und die unterstützenden Dienste ein, die für den laufenden Produktionsbetrieb erforderlich sind.

Nutzen Sie diese Informationen, um zu ermitteln, wo ein einzelnes kompromittiertes Konto, eine Verbindung oder ein Dienst mehrere Betriebsbereiche beeinträchtigen könnte.

Zugriff kontrollieren und Bewegungsfreiheit einschränken

Wenden Sie das Prinzip der geringsten Berechtigungen auf Mitarbeiter, Auftragnehmer und Lieferanten an. Schützen Sie den externen Zugriff durch starke Authentifizierung, entfernen Sie unnötige Berechtigungen und überprüfen Sie die Zugriffsrechte, wenn sich Rollen oder Lieferantenbeziehungen ändern.

Durch Segmentierung sollte die Kommunikation zwischen IT und OT sowie innerhalb der Betriebsumgebungen eingeschränkt werden. Das NCSC nennt Segmentierung, phishingresistente MFA und das Prinzip der geringsten Berechtigungen als wichtige Schutzmaßnahmen für OT-Grenzen.

Planen Sie, wie Sie isolieren können, ohne die Kontrolle zu verlieren

Entscheidungen zur Eindämmung sollten bereits vor einem Vorfall mit den operativen Teams abgestimmt werden.

Das NCSC empfiehlt die Erstellung eines Isolationsplans. Sofern die Architektur dies zulässt, können Organisationen möglicherweise einen betroffenen Dienst trennen oder den Zugriff eines Lieferanten widerrufen, während andere notwendige Verbindungen aufrechterhalten bleiben.

In Übungen sollte getestet werden, wer die Isolierung genehmigt, wie die Betriebsteams kommunizieren und welche Nachweise vor der Wiederherstellung der Verbindung erforderlich sind.

Testen Sie die Wiederherstellung anhand eines Produktionsszenarios

Eine sinnvolle Wiederherstellungsübung sollte mehr als nur die Frage beantworten, ob ein Backup wiederhergestellt werden kann.

Könnte das Unternehmen die Systeme wiederherstellen, die für den Neustart eines kritischen Prozesses erforderlich sind? Sind Konfigurationen verfügbar und vertrauenswürdig? Welche Anbieter oder Techniker wären erforderlich? Welche Überprüfungen müssen vor der Wiederaufnahme des Produktionsbetriebs durchgeführt werden?

Diese Fragen machen die Vorbereitung auf Ransomware zu einer operativen Übung, an der Sicherheits-, Technik- und Geschäftskontinuitätsteams beteiligt sind.

Stärkung der OT-Resilienz mit Integrity360

Integrity360 unterstützt Unternehmen bei der Bewertung und Stärkung der OT-Sicherheit durch Beratungs-, Audit-, Engineering- und Incident-Response-Dienstleistungen. Unsere Arbeit umfasst Risikoanalysen, die Klassifizierung von Anlagen, Tests der Ransomware-Resilienz sowie Unterstützung für eine sichere OT-Infrastruktur.

Im Vordergrund steht es, Ihre betrieblichen Risiken zu verstehen, die wichtigsten Schwachstellen zu beheben und Ihre Teams darauf vorzubereiten, bei Störungen angemessen zu reagieren.

Sprechen Sie mit Integrity360 über den Schutz Ihrer OT-Umgebung

Häufig gestellte Fragen

Warum haben Ransomware-Gruppen es auf OT-Umgebungen abgesehen?

Industrieunternehmen können unter erheblichen Druck geraten, wenn die Produktion oder wichtige Dienste ausfallen. Angreifer versuchen, diesen Druck auszunutzen, insbesondere wenn betriebliche Abhängigkeiten, ungeschützte Zugänge oder schwierige Wiederherstellungsprozesse die Auswirkungen verstärken.

Kann Ransomware die Produktion zum Erliegen bringen, ohne industrielle Steuerungen zu infizieren?

Ja. Die Produktion kann von anderen Systemen abhängen, die ausfallen, oder Betreiber müssen Systeme während eines Vorfalls möglicherweise isolieren. Ein Produktionsstillstand allein ist kein Beweis dafür, dass industrielle Steuerungen kompromittiert wurden.

Was ist ein bestätigtes Beispiel für industrielle Ransomware aus dem Jahr 2026?

Fairlife stellte die Produktion in den USA nach einem am 16. Juli 2026 bekannt gewordenen Ransomware-Vorfall vorübergehend ein. Coca-Cola bestätigte, dass produktionsbezogene Systeme betroffen waren, und gab später bekannt, dass der Großteil der Produktion in vier US-Werken wieder aufgenommen worden sei.

Was sollten Unternehmen priorisieren, um das Risiko von OT-Ransomware zu verringern?

Zu den Prioritäten gehören Transparenz über Anlagen und Abhängigkeiten, kontrollierter Fernzugriff, Segmentierung, risikobasierte Abhilfemaßnahmen sowie getestete Isolierungs- und Wiederherstellungsverfahren. Sicherheits- und Betriebsteams sollten diese Maßnahmen gemeinsam vereinbaren.