Ransomware in der Fertigung

Hohe Betriebszeiten, vernetzte Produktionssysteme und Drittanbieterzugriffe machen industrielle Infrastrukturen zum lukrativen Ziel. Schwachstellen im Identity & Access Management (IAM) werden dabei systematisch ausgenutzt – besonders im Umfeld von Operational Technology (OT) und Industrial Control Systems (ICS).

Ransomware hat sich zu einer hochentwickelten Bedrohung im industriellen Kontext entwickelt. Laut aktueler Auswertungen (Risk Report 2024 von Semperis) waren weltweit 83 % der befragten Unternehmen aus der Industrie- und Versorgungsbranche in den vergangenen zwölf Monaten Ziel eines Ransomware-Angriffs. Drei von vier Betroffenen wurden sogar mehrfach angegriffen. In 96 % der analysierten Ransomware-Fälle kam es zusätzlich zur Exfiltration sensibler Daten – noch bevor Systeme verschlüsselt wurden.

Besonders alarmierend: Gemäß einer Datenerhebung zahlen 75 % der betroffenen Unternehmen in Deutschland Lösegeld, 66 % davon sogar mehrfach. Der durchschnittlich geforderte Betrag liegt weltweit weiterhin bei 600.000 US-Dollar – ein klares Zeichen dafür, dass Ransomware trotz verstärkter Strafverfolgung ein äußerst lukratives Geschäftsmodell bleibt.

Initial Access durch schwache Logins

Zahlreiche Attacken starten mit kompromittierten Zugangsdaten – über Phishing, Credential Stuffing oder unsichere Wartungszugänge. Besonders in industriellen Netzwerken mit historisch gewachsenen Architekturen fehlt häufig die Trennung zwischen IT- und OT-Systemen. So genügt ein einzelner kompromittierter Login, um lateral durch das Netzwerk zu wandern und Maschinen oder SCADA-Systeme zu manipulieren.

Im Schichtbetrieb oder bei Fernzugriffen von Servicetechnikern sind benutzerfreundliche, aber sichere Authentifizierungsverfahren entscheidend. Lange Login-Prozesse oder veraltete Passwortregeln erhöhen die Wahrscheinlichkeit für menschliche Fehler – und öffnen Cyberkriminellen Tür und Tor.

Zero Trust & CIAM als Fundament industrieller Cyberresilienz

Moderne Security-Strategien setzen auf Zero Trust: Kein Benutzer, Gerät oder Service ist per se vertrauenswürdig – jede Anfrage wird kontextbasiert geprüft. In Produktionsumgebungen mit hohem Automatisierungsgrad und vielen Schnittstellen ist dieses Modell essenziell. Zugriffsrechte werden strikt nach dem Least-Privilege-Prinzip vergeben und lassen sich über Micro-Segmentation räumlich, zeitlich und funktional einschränken.

Customer Identity and Access Management (CIAM) ergänzt diesen Ansatz durch hochsichere, adaptive Authentifizierungsverfahren, die speziell für externe Usergruppen wie Wartungsdienstleister oder Partner konzipiert sind. Risk-Based Authentication (RBA) erkennt verdächtige Muster – etwa Logins von unüblichen Devices oder Standorten – und fordert automatisch zusätzliche Verifizierungsschritte an. Gerade im Umfeld von Industrial IoT (IIoT), wo Edge-Geräte und cloudbasierte Datenplattformen eingebunden sind, ist diese dynamische Absicherung der Zugänge ein zentraler Bestandteil jeder OT-Sicherheitsstrategie.

CIAM: Identität wird zum Sicherheitsfaktor Nummer eins

CIAM ist mehr als nur Login-Verwaltung – es ist eine zentrale Sicherheitskomponente in jeder Zero-Trust-Architektur. Moderne CIAM-Lösungen gehen weit über klassisches IAM hinaus: Sie verwalten nicht nur interne Benutzer, sondern auch externe Identitäten – von Zulieferern über Wartungspartner bis hin zu Dienstleistern, die über digitale Schnittstellen auf Maschinen oder Produktionsdaten zugreifen.

Das Besondere: CIAM-Systeme kombinieren starke Authentifizierung mit hoher Benutzerfreundlichkeit. Über adaptive Authentifizierung wird das Sicherheitsniveau dynamisch an das Nutzerverhalten angepasst. Ein bekannter Login mit vertrautem Gerät und Standort? Kein Problem. Ein ungewöhnlicher Zugriff von einem neuen Ort mit unbekanntem Gerät? Dann greifen automatisch zusätzliche Verifizierungsmaßnahmen – ohne manuelles Eingreifen.

Anomalieerkennung in Echtzeit, basierend auf KI-gestützten Lernalgorithmen, erkennt verdächtige Muster bereits im Ansatz. Ungewöhnliche Login-Zeiten, auffälliges Navigationsverhalten oder parallele Zugriffe aus verschiedenen Regionen werden als Risiko identifiziert – noch bevor ein Schaden entsteht. Gerade in Produktionsumgebungen, wo Angriffe unbemerkt ganze Netzwerke kompromittieren können, ist diese vorausschauende Erkennung ein entscheidender Vorteil.

Passwortlos – aus Prinzip

Die größte Schwachstelle im Authentifizierungsprozess ist nach wie vor das Passwort. Ob durch Phishing, Brute-Force oder Credential Stuffing: Sobald ein Passwort kompromittiert ist, haben Angreifer leichtes Spiel. Deshalb setzen moderne CIAM-Systeme konsequent auf passwortlose Verfahren – etwa über FIDO2-basierte Hardware-Token, biometrische Authentifizierung oder den Einsatz sicherer Mobile Authenticator-Apps mit Push-Verifikation. Für industrielle Arbeitsplätze bietet das gleich mehrere Vorteile:

• Schnelligkeit im Schichtbetrieb: Mitarbeitende können sich mit einem Blick oder einem Klick sicher anmelden – ohne Passwortstress.
• Sicherheit bei Fernzugriffen: Externe Techniker erhalten nur temporären, kontextgebundenen Zugriff – etwa für ein definiertes Zeitfenster oder einen konkreten Maschinentyp.
• Reduzierter Support-Aufwand: Passwort-Resets gehören der Vergangenheit an, was Helpdesks entlastet und IT-Kosten senkt.

Darüber hinaus tragen passwortlose Verfahren zur Resilienz gegenüber modernen Bedrohungen wie Deepfakes oder synthetischen Identitäten bei. Eine gestohlene Zugangskombination lässt sich kopieren – ein sicher verknüpftes biometrisches Merkmal oder ein Hardware-gebundener Login hingegen nicht.

Compliance, Nachvollziehbarkeit und Resilienz

Auch regulatorisch wächst der Druck: NIS2, DORA und sektorenspezifische Vorgaben verlangen nachvollziehbare Sicherheitsmaßnahmen, insbesondere in kritischen Infrastrukturen. Eine CIAM-Plattform mit integriertem Access Logging, granularen Rollenmodellen und automatischer Richtlinienanpassung ermöglicht es Unternehmen, alle Authentifizierungen und Berechtigungen revisionssicher zu dokumentieren. Die Verfügbarkeit – als einer der Grundpfeiler der „CIA"-Sicherheitsprinzipien – wird so nicht nur gewährleistet, sondern aktiv geschützt.

Widerstandsfähigkeit beginnt mit Identität

Stephan Schweizer, CEO bei Nevis Security © Nevis

Ransomware ist längst in den Maschinenhallen angekommen. Wer seine ICS-, MES- und ERP-Systeme effektiv schützen will, muss den Zugriff darauf lückenlos absichern – und das beginnt bei der digitalen Identität. Eine Kombination aus CIAM und Zero Trust bildet das Rückgrat einer modernen, skalierbaren Security-Architektur für industrielle Umgebungen. Sie schützt nicht nur Daten, sondern auch Anlagenverfügbarkeit, Lieferfähigkeit und den Ruf als zuverlässiger Partner in der Wertschöpfungskette.

Der Autor Stephan Schweizer ist CEO bei Nevis Security.

Web-Tipps:

Risk Report 2024 von Semperis

Artic Wolf Threat Report