25 Dol­lar für Zugang zu thai­län­di­schem Pro­duk­ti­ons­sys­tem und 750.000 Dol­lar für Daten­bank eines deut­schen Indus­trie­be­trie­bes. Kri­mi­nelle Access-Bro­ker han­deln die Zugänge und angrei­fende Kol­le­gen mone­ta­ri­sie­ren sie, so wei­tere Details aus aktu­el­lem Tren­dAI-Report zum Thema Cyber-Kri­mi­na­li­tät und ‑Secu­rity. Der Report nennt erst­mals auch Details und Namen zu Angrei­fern, Metho­den und beson­ders bevor­zugte Ziele wie Unternehmensgruppen.

Neue Aus­züge aus dem kürz­lich vor­ge­stell­ten Report „The Mar­ket for Trust: How Cyber­cri­mi­nals Recruit Cor­po­rate Insi­ders“ vom inter­na­tio­na­len Cyber­se­cu­rity-Anbie­ter Tren­dAI (Toch­ter von Trend Micro, Anm.) zei­gen nun auch, wie Cyber-Kri­mi­nelle sowie Ran­som­ware-Grup­pen und geo­po­li­tisch moti­vierte Hack­ti­vis­ten auf die­sel­ben Zugänge zu Indus­trie­un­ter­neh­men aus Pro­duk­tion, Ener­gie- und Was­ser­in­fra­struk­tur zugreifen. 

Die Exper­ten von Tren­dAI waren über zwei Jahre in ein­schlä­gi­gen Unter­grund­fo­ren „unter­wegs“ und konn­ten hier erst­mals in einer umfas­sen­den Art und Weise die neuen „Trends“ der inter­na­tio­na­len Cyber-Kri­mi­na­li­tät beleuch­ten. Erste Erkennt­nisse aus dem Report betra­fen die neue Dienst­leis­tung „Insi­der-as-a-Ser­vice“ (eco­nomy berich­tete). Jetzt wur­den wei­tere Ergeb­nisse veröffentlicht.

Der kri­mi­nelle Unter­grund besteht aus vier mit­ein­an­der ver­bun­de­nen Bereichen

Die neue For­schung von Tren­dAI zeigt, wie sich ins­be­son­dere um indus­tri­elle Infra­struk­tur ein arbeits­tei­li­ger kri­mi­nel­ler Markt ent­wi­ckelt hat. Soge­nannte Access-Bro­ker (vulgo Zugangs-Händ­ler, Anm.) ver­kau­fen Zugänge zu Unter­neh­men aus Indus­trie, Ener­gie und Fer­ti­gung. Im nächs­ten Schritt mone­ta­ri­sie­ren Ran­som­ware-Akteure (vulgo Angrei­fer, Anm.) diese Zugänge. Auch geo­po­li­tisch moti­vierte Hack­ti­vis­ten grei­fen zuneh­mend auf die­sel­ben Ein­tritts­wege und Wis­sens­quel­len zurück. 

Der unter­suchte Unter­grund besteht aus vier mit­ein­an­der ver­bun­de­nen Berei­chen: Ers­ter Bereich ist das soge­nannte Access-as-a-Ser­vice: Bro­ker ver­kau­fen VPN- und RDP-Zugänge (Vir­tual-Pri­vate-Net­work und Remote-Desk­top-Pro­to­col, Anm. zu Pro­duk­ti­ons­stand­or­ten, Ener­gie­un­ter­neh­men und Versorgern.

Dann folgt der Bereich Ran­som­ware, wo soge­nannte Affi­lia­tes (Ver­triebs-Ver­tei­ler, Anm.) erlangte Zugänge für Ver­schlüs­se­lung und Erpres­sung nut­zen und sodann Daten auf Leak-Sites ver­öf­fent­li­chen. Der nächste Abschnitt in der kri­mi­nel­len Wert­schöp­fungs­kette ist Hack­ti­vis­mus: Geo­po­li­tisch moti­vierte Grup­pen ver­su­chen hier etwa, indus­tri­elle Sys­teme für Pro­pa­ganda und zuneh­mend auch für reale Stö­run­gen zu nutzen. 

Raub­ko­pierte Spe­zial-Schu­lun­gen und digi­tale Tutorials

Im nächs­ten Schritt folgt der eigent­li­che Wis­sens­aus­tausch: Raub­ko­pierte ICS-Schu­lun­gen (Indus­trial Con­trol Sys­tems, Anm.), und digi­tale Tuto­ri­als sen­ken die tech­ni­sche Ein­stiegs­hürde. Dabei han­delt es sich nicht um einen ein­zel­nen Markt­platz, son­dern um ein Öko­sys­tem mit arbeits­tei­li­ger Struk­tur. Access Bro­ker, Daten­händ­ler, Ran­som­ware-Akteure und Hack­ti­vis­ten bewe­gen sich teil­weise in den­sel­ben Foren und Kom­mu­ni­ka­ti­ons­ka­nä­len. Sie tei­len Ein­tritts­wege, Wis­sens­quel­len und in eini­gen Fäl­len sogar Personal. 

Tren­dAI konnte sich auch das Ent­loh­nungs­sys­tem anschauen. Die Preis­spanne für Zugänge zu Indus­trie­an­la­gen ist enorm. Auf der Platt­form „Breach­Fo­rums“ bot ein Ver­käu­fer einen voll­stän­di­gen Admi­nis­tra­tor­zu­griff auf das Pro­duk­ti­ons­sys­tem eines thai­län­di­schen Fer­ti­gungs­un­ter­neh­mens für 25 US-Dol­lar an. Am ande­ren Ende der Preis­skala lis­tete ein Ver­käu­fer auf „exploit.in“ die interne Daten­bank eines deut­schen Ener­gie-Unter­neh­mens für 12 Bit­coin – umge­rech­net rund 748.000 US-Dollar. 

Die Mani­pu­la­tion der Strom­ver­sor­gung als Bonus

In einem wei­te­ren Fall bot ein Akteur auf Breach­Fo­rums die voll­stän­dige Kon­trolle über SCADA-Sys­teme (Super­vi­sory Con­trol and Data Acqui­si­tion, Anm.) und Mit­ar­bei­ter­da­ten zweier paki­sta­ni­scher Ener­gie­ver­sor­ger für 3 Bit­coin (rund 187.000 US-Dol­lar) an. Inklu­diert war die Mög­lich­keit, die Strom­ver­sor­gung zu Spit­zen­zei­ten zu mani­pu­lie­ren. Das Ein­falls­tor ist sel­ten eine Lücke (zB. Zero-Day, Anm.), die Angrei­fer nut­zen vor­nehm­lich bestehende Fern­zu­gänge, so TrendAI.

Den Zutritt ver­schaf­fen sich die Zugangs­bro­ker in den aller­meis­ten Fäl­len nicht über hoch­ent­wi­ckelte Exploits (Codes, Daten­pa­kete, Soft­ware, Anm.), son­dern über kom­pro­mit­tierte Stan­dard­in­fra­struk­tur. VPN- und Remote-Access-Gate­ways sind mit 21 Pro­zent der aus­ge­wer­te­ten Zugangs­an­ge­bote der mit Abstand häu­figste Weg, gefolgt von RDP (13 Pro­zent) und gestoh­le­nen Zugangs­da­ten (rund 12 Prozent). 

Die große Ver­wund­bar­keit von indus­tri­el­len Fertigungsbetrieben

Häu­fig betrof­fen sind laut Tren­dAI Anga­ben soge­nannte Edge-Appli­ances (dezen­trale Peri­phe­rie-Geräte, Anm.) von Fort­i­net, Citrix, Cisco, Palo Alto Net­works und Sonic­Wall – meist abge­si­chert mit schwa­chen, wie­der­ver­wen­de­ten oder gestoh­le­nen Pass­wör­tern. Direkte Zugänge über SCADA, ICS, HMI (Human-Machine-Inter­face) oder SPS (Spei­cher-Pro­gram­mier­bare-Steue­run­g/­Pro­gramma­ble-Logic-Con­trol­ler) bewer­ben die Ver­käu­fer in rund sie­ben Pro­zent der Ange­bote expli­zit als beson­ders wertvolle-Premium-Ware.

Die Tren­dAI-Exper­ten haben auch die betrof­fe­nen Bran­chen- bzw. Unter­neh­mens­grup­pen aus­ge­wer­tet. Dem­nach sind Fer­ti­gungs­be­triebe mit 68 Pro­zent aller Foren­bei­träge und 78 Pro­zent aller öffent­lich gewor­de­nen Ran­som­ware-Opfer die mit Abstand am stärks­ten betrof­fene Bran­che. Ihre geringe Tole­ranz für Pro­duk­ti­ons­aus­fälle macht sie für Erpres­ser beson­ders attrak­tiv. Zwi­schen Januar 2024 und Juni 2026 zählte Tren­dAI 3.178 öffent­lich gelis­tete Ran­som­ware-Opfer aus den Berei­chen Indus­trie und Energie. 

Ins­be­son­dere pro-rus­si­sche und pro-ira­ni­sche Gruppen 

Die Zahl der heim­ge­such­ten Indus­trie-Unter­neh­men stieg von 974 im Jahr 2024 auf 1.437 im Jahr 2025 – ein Anstieg von fast 50 (!) Pro­zent (exakt waren es 48 Pro­zent). Allein im ers­ten Halb­jahr 2026 wur­den bereits 767 Opfer ver­zeich­net, womit das lau­fende Jahr das Vor­jah­res­ni­veau über­tref­fen dürfte. Den Anstieg trei­ben wenige Ran­som­ware-as-a-Ser­vice-Grup­pen voran: Akira (372 Opfer), Qilin (338) und Play (238) zeich­nen zusam­men für rund 30 Pro­zent aller Fälle ver­ant­wort­lich. Bei den Opfer­län­dern liegt Deutsch­land hin­ter den USA auf Platz 2, noch vor Kanada und Italien.

Der Report doku­men­tiert zudem auch eine wach­sende Zahl geo­po­li­tisch moti­vier­ter Angriffe auf indus­tri­elle Infra­struk­tur, ins­be­son­dere durch pro-rus­si­sche und pro-ira­ni­sche Grup­pen wie Z‑Pentest, NoName057, Sec­tor 16, CyberAv3ngers und Hand­ala. Diese Akteure ver­fü­gen häu­fig über gerin­gere tech­ni­sche Fähig­kei­ten als klas­si­sche APT-Grup­pen (Advan­ced Per­sis­tent Threat, Anm.), erzie­len aber reale Wir­kung: FBI, NSA und CISA (Cyber­se­cu­rity and Infra­struc­ture Secu­rity Agency, Anm.) bestä­tig­ten in einer gemein­sa­men Warn­mel­dung im Dezem­ber 2025, dass auch tech­nisch wenig ver­sierte, pro-rus­si­sche Grup­pen phy­si­sche Schä­den an Wasser‑, Ener­gie- sowie Lebens­mit­tel­pro­duk­ti­ons- und Agrar­sys­te­men ver­ur­sacht haben. 

Exis­ten­ti­elle Bedro­hun­gen für Unter­neh­men brau­chen ent­spre­chende Schutzmaßnahmen

Ende Juli 2026 störte die mit Iran in Ver­bin­dung ste­hende Gruppe CyberAv3ngers durch die Aus­nut­zung spei­cher­pro­gram­mier­ba­rer Steue­run­gen (SPSen) den Betrieb von Was­ser- und Abwas­ser­ver­sor­gern in mehr als 30 Kom­mu­nen im US-Bun­des­staat Min­ne­sota. Im Juni 2026 bean­spruchte die pro-ira­ni­sche Gruppe Hand­ala einen Ein­bruch bei einem gro­ßen US-Was­ser­ver­sor­ger für sich und erklärte, eine Unter­bre­chung der kom­mu­na­len Was­ser­ver­sor­gung wäre mög­lich gewesen.

„Die Ergeb­nisse zei­gen, dass der indus­tri­elle Unter­grund mehr als nur eine abs­trakte Gefahr dar­stellt und schon heute als arbeits­tei­lige Öko­no­mie funk­tio­niert“, sagt Udo Schnei­der, Gover­nance, Risk & Com­pli­ance Lead Europe bei Tren­dAI. „Für Unter­neh­men bedeu­tet das: Ein kom­pro­mit­tier­ter VPN‑, RDP- oder ande­rer Remote-Access-Zugang kann weit über einen klas­si­schen IT-Sicher­heits­vor­fall hin­aus­rei­chen. Phis­hing-resis­tente Multi-Fak­tor-Authen­ti­fi­zie­run­g/MFA, kon­se­quen­tes Patchen inter­net­ex­po­nier­ter Sys­teme und eine echte Tren­nung von IT und OT (Ope­ra­tion Tech­no­logy) kön­nen zen­trale Ein­tritts­wege schlie­ßen“, unter­streicht Schnei­der von Tren­dAI. (red/​czaak)