Cyberangriffe auf die Fertigungsindustrie: Risiko durch Schwachstellen nimmt zu

Laut dem Verizon DBIR 2026 haben ausgenutzte Schwachstellen gestohlene Zugangsdaten als wichtigsten initialen Angriffsweg überholt. Ransomware und Risiken durch externe Partner setzen Produktionsunternehmen weiterhin unter Druck.

Laut dem Verizon Data Breach Investigations Report 2026 haben ausgenutzte Sicherheitslücken gestohlenen Zugangsdaten als Angriffsweg überholt. Für Fertigungsunternehmen – nach wie vor ein beliebtes Ziel von Cyberkriminiellen – verschärft diese Entwicklung ein ohnehin erhebliches Risiko – denn komplexe IT- und OT-Umgebungen, lange Wartungszyklen und zahlreiche externe Partner erschweren eine schnelle Reaktion.

Nach Angaben des Data Breach Investigations Report (DBIR) 2026 von Verizon Business beginnen inzwischen 31 Prozent der untersuchten Sicherheitsverletzungen mit der Ausnutzung einer Schwachstelle. Damit liegen Sicherheitslücken erstmals in der 19-jährigen Geschichte des Reports vor kompromittierten Zugangsdaten als häufigstem initialen Angriffsweg.

Das ist insofern relevant, da Angreifer bekannte Schwachstellen zunehmend automatisiert suchen und ausnutzen können, wie ein aktuelles Beispiel von Siemens SPS zeigt. Verizon sieht Künstliche Intelligenz als Beschleuniger: Das Zeitfenster zwischen der Bekanntgabe einer Schwachstelle und ersten Angriffen kann sich von Monaten auf wenige Stunden verkürzen. Sicherheitsteams müssen nicht nur mehr Schwachstellen bewerten, sondern vor allem Entscheidungen über Priorisierung, Tests sowie die Einspielung von Updates erheblich schneller treffen.

Für Fertigungsunternehmen ist diese Entwicklung besonders problematisch. Produktionsumgebungen bestehen häufig aus über Jahre gewachsenen IT- und OT-Systemen. Maschinensteuerungen, Engineering-Stationen, industrielle Kommunikationskomponenten und klassische Unternehmens-IT sind miteinander verbunden, folgen aber unterschiedlichen Wartungs- und Verfügbarkeitsanforderungen. Updates können daher oft nicht kurzfristig eingespielt werden, weil ungeplante Stillstände vermieden oder Änderungen zunächst mit Anlagenherstellern abgestimmt werden müssen.

Patch-Zyklen unter Zeitdruck

Laut den DBIR-Daten benötigen Unternehmen im Median 43 Tage, um kritische Sicherheitslücken vollständig zu schließen. Schwerwiegender ist jedoch, dass im Untersuchungszeitraum lediglich 26 Prozent der kritischen Schwachstellen überhaupt vollständig behoben wurden. Selbst wenn diese Werte nicht ausschließlich Fertigungsunternehmen betreffen, veranschaulichen sie den strukturellen Abstand zwischen der Geschwindigkeit der Angreifer und den betrieblichen Änderungsprozessen vieler Organisationen.

In Produktionsnetzen ist daher eine risikobasierte Priorisierung existenziell. Internetexponierte Systeme, Fernwartungszugänge, VPN-Gateways, Identity-Infrastrukturen und Komponenten an der Grenze zwischen IT und OT erfordern besondere Aufmerksamkeit. Wo Updates aus betrieblichen Gründen nicht sofort möglich sind, müssen kompensierende Kontrollen wie Segmentierung, Zugriffsbeschränkungen, Monitoring und die Deaktivierung nicht benötigter Dienste das Risiko verringern.

Ransomware bleibt die folgenreichste Bedrohung

Ransomware bleibt für Fertigungsunternehmen eine der wirtschaftlich folgenreichsten Bedrohungen. Dem DBIR zufolge war Ransomware an 61 Prozent der betrachteten Sicherheitsverletzungen beteiligt; Malware spielte bei 75 Prozent der Vorfälle eine Rolle. System Intrusion, Social Engineering und Basic Web Application Attacks stellten zusammen 91 Prozent der Sicherheitsverletzungen dar.

Die Auswirkungen reichen über den Verlust oder die Veröffentlichung von Daten hinaus. Werden zentrale IT-Dienste, Produktionsplanung, Logistik, Qualitätssicherung oder Identitätsdienste beeinträchtigt, kann sich ein zunächst digitaler Vorfall unmittelbar auf Fertigung und Lieferfähigkeit auswirken. Aus Sicherheitsgründen werden Anlagen mitunter vorsorglich heruntergefahren, selbst wenn die OT nicht nachweislich kompromittiert wurde. Dadurch können auch begrenzte Angriffe erhebliche Betriebsunterbrechungen verursachen.

Interne Unternehmensdaten waren den vorliegenden Branchenzahlen zufolge in 81 Prozent der Sicherheitsverletzungen betroffen; in 26 Prozent wurden Zugangsdaten kompromittiert. Ransomware-Akteure kombinieren Verschlüsselung inzwischen häufig mit Datendiebstahl. Damit steigt der Druck auf Unternehmen auch dann, wenn funktionsfähige Backups vorhanden sind.

Lieferanten erweitern die Angriffsfläche

Ein zweiter Schwerpunkt des DBIR liegt auf der Beteiligung externer Parteien. Global stieg der Anteil der Sicherheitsverletzungen durch Drittparteien laut Verizon um 60 Prozent und erreichte 48 Prozent. Die für die Fertigungsindustrie vorliegenden Branchenwerte fallen noch höher aus: Danach spielten Drittanbieter bei 61 Prozent der Sicherheitsverletzungen eine Rolle.

Dieser Befund spiegelt die Struktur moderner Produktionsumgebungen wider. Maschinenbauer, Softwareanbieter, Systemintegratoren, Logistikpartner und Wartungsdienstleister benötigen häufig Zugriff auf Systeme und Daten. Die Absicherung der damit verbundenen zusätzlichen Accounts, Schnittstellen und Fernzugänge liegt nicht immer vollständig in der Kontrolle des produzierenden Unternehmens.

Besondere Aufmerksamkeit verdienen legitime Remote-Monitoring-and-Management-Werkzeuge. Der Branchenanalyse zufolge nahm deren Missbrauch durch Angreifer um 240 Prozent zu. Solche Anwendungen sind im regulären Betrieb weit verbreitet und können daher im Monitoring weniger auffällig sein als unbekannte Schadsoftware. Für Unternehmen ergibt sich daraus, dass auch zugelassene Administrationswerkzeuge klare Verantwortlichkeiten, eingeschränkte Berechtigungen, starke Authentifizierung und eine nachvollziehbare Protokollierung benötigen.

Wie es in der Praxis aussieht, kann man nur vermuten. Aber mehr als 34 Millionen offene Ports und über 3.000 aus dem öffentlichen Internet erreichbare Industriesteuerungen (ICS) sprechen für sich.

Ein Blick auf Vorfälle in Deutschland bestätigt das Lagebild. Weltweit sind Nordamerika, Großbritannien, Italien und Deutschland am stärksten betroffen. Laut ransomware.live gab es im laufenden Jahr Stand heute 91 Meldungen allein in Deutschland – fairerweise ist zu sagen, dass die Fälle nicht nur Fertigungsunternehmen betreffen.

Und das ist nur die Spitze des Eisbergs. Leak-Site- und Ransomware-Tracker erfassen vor allem Fälle, die von Tätergruppen veröffentlicht, von Unternehmen bestätigt oder in Medienberichten dokumentiert werden. Unter den Opfern finden sich 2026 unter anderem Unternehmen aus den Bereichen Pumpentechnik, Spritzguss, Hydraulik und weiteren industriellen Bereichen.

Resilienz statt isolierter Einzelmaßnahmen

Die schlechte Nachricht zuerst: Es gibt kein einzelnes technisches Gegenmittel. Fertigungsunternehmen benötigen ein abgestimmtes Resilienzkonzept für IT und OT – inklusive der Lieferkette. Zu den wichtigsten Maßnahmen zählen ein risikobasiertes Schwachstellenmanagement, Multi-Faktor-Authentifizierung für privilegierte und externe Zugänge, eine belastbare Segmentierung zwischen Unternehmens- und Produktionsnetzen sowie die kontinuierliche Überwachung von Fernwartungs- und RMM-Werkzeugen.

Ebenso wichtig sind klare Vorgaben für Lieferanten. Unternehmen sollten wissen, welche Dienstleister auf welche Systeme zugreifen, welche Daten sie verarbeiten und wie Zugänge im Notfall gesperrt werden können. Verträge und technische Kontrollen müssen dabei zusammenwirken; Fragebögen und Zertifikate allein geben keine ausreichende Auskunft über das tatsächliche Zugriffsrisiko.

Schließlich muss die Wiederherstellung Teil der Sicherheitsarchitektur sein. Getrennte und unveränderliche Sicherungen (Backups, Notsysteme), dokumentierte Abhängigkeiten sowie regelmäßig erprobte Wiederanlaufverfahren verringern die Gefahr, dass ein IT-Vorfall zu einem langwierigen Produktionsausfall wird. Insbesondere regelmäßige Tests sind kritisch. Übungen sollten dabei neben der IT-Abteilung auch Produktionsverantwortliche, die Geschäftsführung, Kommunikation (PR), Recht (Legal) sowie externe Partner einbeziehen.

Fazit

Die Ergebnisse des DBIR 2026 untermauern eine deutliche Beschleunigung bestehender Risiken. Schwachstellen werden schneller gefunden und ausgenutzt. Das trifft insbesondere Fertigungsunternehmen, da die komplexen Anlagen oft nur begrenzte Wartungsfenster zulassen und Servicepartner verzögert reagieren können. Zugleich bleiben Ransomware, Datendiebstahl und kompromittierte Zugänge zentrale Bestandteile realer Angriffsketten. Um so wichtiger ist es, Schwachstellen nach ihrem betrieblichen Risiko zu priorisieren, externe Zugänge zu kontrollieren und die Produktion auch unter gestörten IT-Bedingungen sicher weiterführen oder geordnet wiederanlaufen lassen zu können.