Der industrielle Hebel von Ransomware reicht zunehmend über die Werkshallen hinaus

Angriffe auf die Fertigungsindustrie nehmen 2026 stark zu

Die Ransomware-Aktivität gegen Hersteller hat in den ersten sieben Monaten des Jahres 2026 deutlich zugenommen. In diesem Zeitraum wurden 1.183 Vorfälle öffentlich bekannt. Das entspricht einem Anstieg von 40 % gegenüber dem Vergleichszeitraum 2025.

Auch die übergreifende Datenlage ist aussagekräftig. Der 2026 Manufacturing & Distribution Ransomware Report von Black Kite erfasste zwischen Januar 2023 und Juli 2026 insgesamt 5.237 öffentlich bekannt gewordene Opfer aus den Bereichen Fertigung und Distribution.

Der Anstieg ist nicht nur auf eine Vorliebe für große Industriemarken zurückzuführen. Hersteller sind attraktive Ziele, weil ihre Produktionspläne, Lieferverpflichtungen und Lieferantenbeziehungen kaum Spielraum für längere Ausfälle lassen. Ein Angriff auf einen mittelständischen Komponentenhersteller kann deutlich größere Unternehmen beeinträchtigen, die selbst nie direkt kompromittiert wurden.

Angreifer können potenzielle Ziele zudem bewerten, bevor sie einen Eindringversuch unternehmen. Öffentlich erkennbare Schwachstellen – darunter nicht gepatchte Systeme mit Internetzugang, exponierte Dienste, durchgesickerte Zugangsdaten und falsch konfigurierte Sicherheitskontrollen – können zeigen, welche Unternehmen erreichbar sind und voraussichtlich unter erheblichem Betriebsdruck stehen werden.

Dadurch entsteht für Ransomware-Betreiber eine günstige Verhandlungsposition. Wenn eine Produktionslinie stillsteht, steigt der finanzielle Schaden mit jeder Stunde, während verpasste Lieferungen die Störung auf Kunden und Partner übertragen.

Der Trend ist nicht an eine einzelne öffentlich bekannte Schwachstelle, ein bestimmtes Softwareprodukt oder einen Anbieter gebunden. Für die im Bericht erfassten Vorfälle wurde keine konkrete CVE, kein betroffener Versionsbereich, kein Patch und keine bestätigte technische Abhilfe identifiziert.

Jaguar Land Rover zeigt das mögliche Ausmaß für die Wirtschaft

Der Angriff auf Jaguar Land Rover zeigt, wie sich eine durch Ransomware verursachte Störung von einem einzelnen Hersteller auf die gesamte Wirtschaft ausweiten kann.

Im gesamten September 2025 legte das Unternehmen seine britischen Werke infolge des Vorfalls still. Dadurch wurde die Produktion von täglich etwa 1.000 Luxusfahrzeugen unterbrochen, und mehr als 5.000 weitere Unternehmen waren betroffen.

Die Folgen gingen über die direkt angebundenen Lieferanten und Dienstleister hinaus. Die Bank of England bezeichnete den Vorfall als einen Faktor, der zu einem langsameren Wachstum der britischen Wirtschaft beitrug. Jaguar Land Rover erklärte später, 4.000 Arbeitsplätze abbauen zu wollen, und führte die Kürzungen auf den Cyberangriff zurück.

Das britische Cyber Monitoring Centre schätzte die finanziellen Gesamtauswirkungen auf 1,9 Milliarden £. Es stufte den Vorfall als wirtschaftlich folgenschwersten Cyberangriff in der Geschichte des Vereinigten Königreichs ein und bewertete ihn damit als schwerwiegender als den WannaCry-Ausbruch von 2017.

Dieses Ausmaß erklärt, warum Hersteller Erpressergruppen einen ungewöhnlich starken Hebel bieten. Die Wiederherstellung der Unternehmens-IT setzt ein Werk nicht unbedingt sofort wieder in Betrieb. Produktionsanlagen, Bestandsverwaltungssysteme, Qualitätskontrollprozesse, die Kommunikation mit Lieferanten und die Lieferplanung können auch nach den ersten Maßnahmen zur Eindämmung noch gestört sein.

Die Kosten entstehen zudem außerhalb des Netzwerks des Opfers. Lieferanten können Aufträge verlieren, Logistikunternehmen haben möglicherweise nichts zu transportieren, und Kunden können ihre eigenen Produkte unter Umständen nicht fertigstellen.

Neue Ransomware-Gruppen nehmen industrielle Opfer schnell ins Visier

Mit dem Anstieg der Angriffszahlen ging ein schneller Wechsel unter den Ransomware-Betreibern einher. Etwa die Hälfte der 2026 erfassten Angriffe auf Hersteller wurde Gruppen zugeschrieben, die zwei Jahre zuvor noch nicht existiert hatten.

The Gentlemen ist ein klares Beispiel für diese Beschleunigung. Black Kite beobachtete die Gruppe erstmals im September 2025. Mitte 2026 hatte sie bereits 142 Opfer aus der Fertigungsindustrie für sich beansprucht und war für 12 % der Angriffe in diesem Jahr verantwortlich.

Die gemeldete Rangliste der führenden Ransomware-Gruppen lautete:

1. Qilin
2. The Gentlemen
3. Akira
4. DragonForce
5. INC Ransom

Ferhat Dikbiyik, Chief Research and Intelligence Officer bei Black Kite, führte die Attraktivität des Sektors auf die unmittelbaren Auswirkungen zurück, die Eindringversuche auf Produktion und Lieferverpflichtungen haben können. Je länger ein Werk stillsteht, desto größer ist der Druck, zu verhandeln.

Das Auftreten neuer Gruppen erschwert auch die defensive Planung. Unternehmen können sich nicht ausschließlich auf eine kleine Zahl etablierter Ransomware-Marken konzentrieren, insbesondere wenn neue Betreiber schnell Opfer gewinnen können. Entscheidend sind die erreichbare Infrastruktur und die betrieblichen Folgen – nicht nur der Name, der hinter einer Veröffentlichung auf einer Leak-Site steht.

Europa wird zunehmend zum Ziel industrieller Angriffe

Die geografische Verteilung verlagerte sich deutlich in Richtung Europa. Die Zahl der Angriffe in der Region stieg um 85 %, während die Gesamtzahl für die USA als nahezu unverändert gegenüber 2025 beschrieben wurde.

Die Vereinigten Staaten blieben mit 412 Angriffen die am stärksten angegriffene Region, ihr Anteil an der gemeldeten Aktivität sank jedoch von 52 % auf 35 %. In Europa wurden 369 Angriffe verzeichnet, auf den Rest der Welt entfielen 402 – nahezu doppelt so viele wie zuvor.

Deutschland stand im Mittelpunkt des Anstiegs in Europa und verzeichnete 77 Angriffe. Die potenziellen Auswirkungen auf nationaler Ebene sind beträchtlich, da die Fertigungsindustrie 2024 20 % der deutschen Wirtschaftsleistung ausmachte.

SafePay war 2025 für 22 % der Angriffe in Deutschland verantwortlich und blieb 2026 eine der aktivsten Ransomware-Gruppen des Landes. Zu den weiteren stark betroffenen europäischen Ländern gehörten Italien mit 57 Vorfällen, das Vereinigte Königreich mit 43 und Frankreich mit 40.

Die Zahlen bedeuten nicht, dass die USA strategisch unbedeutend geworden sind. Sie zeigen vielmehr, dass Ransomware-Betreiber ihre Aktivitäten auf weitere industrielle Ballungsräume ausweiten, in denen Produktionsausfälle einen vergleichbaren Hebel erzeugen können.

Europas eng vernetzter Fertigungssektor kann diesen Effekt verstärken. Eine kompromittierte Organisation in einem Land kann Hersteller, Distributoren oder Kunden in mehreren anderen Ländern beliefern.

Distributionsunternehmen bilden konzentrierte Ausfallpunkte

Im Bereich Distribution wurden weniger Opfer öffentlich bekannt als in der Fertigungsindustrie, und die betroffenen Unternehmen sind im Allgemeinen kleiner. Ihre Position in der Lieferkette macht sie für Angreifer dennoch strategisch wertvoll.

Transportunternehmen, Spediteure und Lagerbetreiber wickeln Waren für mehrere Organisationen ab. Die Kompromittierung eines Dienstleisters kann daher mehrere Kunden gleichzeitig beeinträchtigen, selbst wenn deren eigene Systeme sicher bleiben.

Im Jahr 2025 wurden im Distributionssektor 196 Vorfälle verzeichnet. Im ersten Halbjahr 2026 kam es zu 95 Vorfällen.

Diese Gesamtzahlen müssen eingeordnet werden. Eine Clop-Kampagne im Januar und Februar 2025 führte zu 52 Opfern – mehr als einem Viertel der jährlichen Zahl des Sektors. Ohne diese Kampagne stieg die vergleichbare zugrunde liegende Zahl von 75 Vorfällen im Jahr 2025 auf 95 im Jahr 2026.

Die Ausbreitung entlang der Lieferkette kann in beide Richtungen erfolgen. Auf nachgelagerter Ebene waren durch den Vorfall bei Jaguar Land Rover mehr als 5.000 weitere Organisationen betroffen. Auf vorgelagerter Ebene führte der Angriff von Clop auf den Technologieanbieter Cleo letztlich zu fast 400 öffentlich bekannt gewordenen Opfern.

In beiden Fällen sind abhängige Organisationen möglicherweise nicht in der Lage, das ursprüngliche Problem zu beheben. Das anfällige System kann einem Lieferanten oder Technologieanbieter gehören, der außerhalb ihrer administrativen Kontrolle steht.

Damit gehören Lieferantenverzeichnisse zur effektiven Angriffsfläche eines Herstellers. Ein Unternehmen kann über starke interne Kontrollen verfügen und dennoch Produktionskapazitäten verlieren, wenn ein kritischer Komponentenlieferant, Lagerbetreiber oder Frachtführer nicht verfügbar ist.

Sicherheitsmaßnahmen müssen exponierte Systeme und betriebliche Abhängigkeiten abdecken

Für die im Rahmen der Erkenntnisse zu Ransomware in Fertigung und Distribution beschriebenen Aktivitäten gibt es keinen einzelnen Patch. Die Abwehr muss sowohl direkte Angriffswege als auch externe Abhängigkeiten berücksichtigen, die aus einer Kompromittierung einen längeren Stillstand machen.

Hersteller und Distributoren sollten folgende Maßnahmen priorisieren:

• Nicht gepatchte Systeme mit Internetzugang identifizieren und Schwachstellen beheben.
• Extern erreichbare Dienste entfernen, die betrieblich nicht erforderlich sind.
• Durchgesickerte Zugangsdaten identifizieren, rotieren und auf eine anschließende missbräuchliche Nutzung überwachen.
• Exponierte Management-Schnittstellen und falsch konfigurierte Sicherheitskontrollen überprüfen.
• Testen, ob Produktions-, Lager- und Unternehmensnetzwerke während eines Eindringversuchs isoliert werden können.
• Die Sicherheitsexposition von Lieferanten und Logistikdienstleistern kontinuierlich überwachen.
• Drittanbieter erfassen, deren Ausfall die Produktion oder Lieferverpflichtungen zum Erliegen bringen könnte.
• Von Lieferanten die Einhaltung definierter Sicherheitskontrollen und die Meldung von Vorfällen verlangen.
• Auf längere Werksschließungen, Unterbrechungen der Logistik und die Nichtverfügbarkeit von Lieferanten vorbereitet sein.

Diese Maßnahmen müssen im Betrieb getestet werden. Ein Plan zur Netzwerkisolierung ist nur von begrenztem Nutzen, wenn seine Aktivierung auch wichtige Sicherheits-, Bestands- oder Wiederherstellungsprozesse außer Kraft setzt. Die Notfallplanung sollte festlegen, welche Abläufe manuell fortgeführt werden können, wie lange die Reserven reichen und für welche Lieferanten es tragfähige Alternativen gibt.

Der britische Cyber Security and Resilience Bill deutet auf eine parallele regulatorische Reaktion hin. Der Vorschlag würde Ministern erlauben, nachgelagerte Lieferungen von Anbietern zu blockieren, die als risikoreich eingestuft werden. Lieferanten könnten dadurch vor der Entscheidung stehen, ihre Sicherheit zu verbessern oder den Zugang zu Kunden zu verlieren, die unter die Beschränkungen fallen.

Das Ransomware-Risiko in der Fertigungsindustrie beschränkt sich nicht mehr auf die Organisation, deren Systeme verschlüsselt oder beeinträchtigt wurden. Die steigende Zahl der Vorfälle, das schnelle Auftreten neuer Gruppen und die Konzentration von Abhängigkeiten führen dazu, dass vergleichsweise kleine Kompromittierungen unverhältnismäßig große wirtschaftliche Folgen haben können.