Dragos OT Cybersecurity Report Kritische OT-Infrastruktur unter Druck

Der Dragos OT Cybersecurity Report zeigt, dass Angreifer den operativen Druck auf industrielle Infrastrukturen erhöhen und gezielt Steuerungsprozesse analysieren. Dabei wurden drei neue OT-Angreifergruppen identifiziert, darunter Sylvanite mit Verbindungen zu Voltzite und Volt Typhoon. Die Zahl der Ransomware-Gruppen mit OT-Reichweite steigt um 49 Prozent.

Dragos, weltweit führender Anbieter von Cybersicherheit für OT-Umgebungen, hat den Dragos 2026 OT/ICS Cybersecurity Year in Review Report veröffentlicht. Der Bericht, der nun bereits zum neunten Mal erscheint, bietet die umfassendste Analyse aktueller Cyberbedrohungen für industrielle und kritische Infrastrukturen. Identifiziert werden drei neue Angreifergruppen, die weltweit kritische Infrastrukturen ins Visier nehmen. Der Bericht zeigt ausserdem, dass Angreifer zunehmend von reiner Aufklärung zu gezielten operativen Störungen übergehen. Insgesamt belegen die Ergebnisse eine zunehmende Professionalisierung der Angreifer: Die Gruppen agieren als arbeitsteilig und entwickeln sich von gezielten Angriffen auf einzelne Geräte hin zu einer systematischen Erfassung ganzer industrieller Steuerungssysteme.

Im Jahr 2025 erfasste Kamacite systematisch Regelkreise innerhalb US-amerikanischer Infrastrukturen. Gleichzeitig nahm Electrum dezentrale Energiesysteme in Polen ins Visier und versuchte gezielt, operative Anlagen zu stören. Dragos identifizierte ausserdem drei neue Angreifergruppen, darunter Sylvanite, die bestehende Zugänge an Voltzite weitergibt, um tiefere OT-Angriffe zu ermöglichen. Proxene richtet sich gegen Ziele in den USA, Westeuropa und dem Nahen Osten und setzte im Juni im Kontext eines regionalen Konfliktes zerstörerische Wiper-Malware gegen kritische Infrastrukturen ein. Azurite weist technische Überschneidungen mit Flax Typhoon auf und führte anhaltende Operationen in den USA, Europa und im asiatisch-pazifischen Raum durch. Die Zahl der Ransomware-Gruppen, die Industrieunternehmen angreifen, stieg im Vergleich zum Vorjahr um 49 Prozent und betraf weltweit 3300 Organisationen, deren Betrieb teils erheblich gestört wurde.

Zunehmend arbeitsteilige Strukturen entstehen

«Die Bedrohungslage hat 2025 eine neue Qualität erreicht», erklärte Robert M. Lee, CEO und Co-Founder von Dragos. «Angreifer analysieren genau, wie industrielle Steuerungssysteme funktionieren, verstehen, woher Befehle stammen, wie sie sich verbreiten und an welchen Stellen physische Auswirkungen ausgelöst werden können. Dabei entstehen zunehmend arbeitsteilige Strukturen: Spezialisierte Gruppen schaffen systematisch Zugriffswege, die noch spezialisiertere Akteure für weitergehende Angriffe auf OT-Umgebungen nutzen können. Gleichzeitig verursachen Ransomware-Gruppen zunehmend Betriebsstörungen und mehrtägige Ausfälle, die eine OT-spezifische Wiederherstellung erfordern. Dennoch unterschätzen viele Industrieunternehmen weiterhin, wie stark Ransomware in OT-Umgebungen wirkt, da sie die Bedrohung fälschlicherweise als ein reines IT-Problem einordnen.»

«Auch auf Verteidigungsseite gab es 2025 spürbare Fortschritte», fuhr Lee fort. «Unternehmen mit umfassender Transparenz in ihren OT-Umgebungen konnten OT-Ransomware-Vorfälle im Durchschnitt innerhalb von fünf Tagen erkennen und eindämmen, während der branchenweite Durchschnitt bei 42 Tagen lag. Das zeigt, wie eng die Reife der Erkennungsmechanismen mit dem Erfolg der Reaktion zusammenhängt. Dennoch bestehen weiterhin erhebliche Lücken. Umfassende Transparenz in OT-Umgebungen ist entscheidend. Ohne kontinuierliche Überwachung werden die Einführung von Technologien wie KI, Batteriespeichersystemen oder dezentralen Energiequellen zu exponentiell grösseren blinden Flecken führen.»

Details zum Jahresrückblick 2025:

Dragos hat drei neue OT-Angreifergruppen identifiziert – Sylvanite, Azurite und Proxene: Damit verfolgen die Analysten weltweit insgesamt 26 Gruppen, von denen elf im Jahr 2025 aktiv waren.

• Sylvanite fungiert als Initial Access Broker, der Schwachstellen rasch ausnutzt und erlangte Zugänge an Voltzite weitergibt, um weitergehende OT-Angriffe zu ermöglichen. Dragos beobachtete Sylvanite im Rahmen von Incident-Response-Einsätzen bei US-amerikanischen Energie- und Wasserversorgern. Die Gruppe nutzte Schwachstellen in Ivanti aus und extrahierte Active-Directory-Anmeldedaten. Technische Überschneidungen bestehen mit UNC5221, UNC5174 und UNC5291.

• Azurite zielt auf langfristigen Zugriff und den Diebstahl von OT-Daten ab. Die Gruppe greift OT-Engineering-Workstations an und exfiltriert Betriebsdaten wie Netzwerkdiagramme, Alarmdaten und Prozessinformationen, um ihre eigenen Fähigkeiten weiterzuentwickeln. Betroffen sind Unternehmen aus den Bereichen Fertigung, Verteidigung, Automobilindustrie, Energie, Öl und Gas sowie staatliche Einrichtungen in den USA, Australien, Europa und im asiatisch-pazifischen Raum. Technische Überschneidungen bestehen mit Flax Typhoon.

• Proxene kompromittiert Lieferketten und führt Social-Engineering-Kampagnen durch. Die Gruppe nutzt häufig einen durch Parisite erlangten Erstzugang, um von IT- in OT-Netzwerke vorzudringen. Zu ihren Zielen gehören Unternehmen aus Luft- und Raumfahrt, Verteidigung und Schifffahrt in den USA, Westeuropa, Israel und den Vereinigten Arabischen Emiraten. Proxene weist erhebliche technische Überschneidungen mit Aktivitäten auf, die nach Ansicht der US-Regierung dem Cyber Electronic Command der Islamischen Revolutionsgarde zuzuschreiben sind.

15 Jahre Stuxnet

Sechs Lehren für die OT-Cybersicherheit

Angreifergruppen entwickeln sich von Aufklärung zu gezielten operativen Eingriffen

Electrum führte 2025 mehrere destruktive Operationen durch, darunter einen koordinierten Angriff auf acht ukrainische Internetdienstanbieter im Mai sowie den Einsatz neuer Varianten von Wiper-Malware. Im Dezember 2025 griff Electrum in Polen Kraft-Wärme-Kopplungsanlagen und Steuerungssysteme für erneuerbare Energien an, um den Betrieb der Anlagen gezielt zu stören. Damit weitete die Gruppe ihre Aktivitäten von der Übertragungsinfrastruktur auf das dezentrale Stromnetz aus. Technische Überschneidungen bestehen mit Sandworm. Unterstützt wird Electrum von Kamacite. Die Gruppe verlagerte ihren Schwerpunkt von der Ukraine auf eine europäische Lieferkettenkampagne und führte zwischen März und Juli 2025 eine weitreichende Erkundung von US-Industrieanlagen durch. Dabei analysierte Kamacite systematisch vollständige Regelkreise, darunter HMIs, Frequenzumrichter, Messmodule und Mobilfunk-Gateways.

Voltzite erreicht Stufe 2 der ICS-Cyber-Kill-Chain

Dragos beobachtete, wie die Gruppe Software auf Engineering-Workstations manipulierte, um Konfigurations- und Alarmdaten zu extrahieren. Dabei untersuchte sie gezielt, unter welchen Bedingungen Prozessabschaltungen ausgelöst würden. Voltzite kompromittierte zudem Sierra Wireless AirLink-Mobilfunkgateways, um Zugang zu Midstream-Pipeline-Betrieben in den USA zu erhalten, und bewegte sich anschliessend weiter zu Engineering-Workstations. Technische Überschneidungen bestehen mit Volt Typhoon.

Zero Trust 2026

Diese 4 Schritte funktionieren in IT, OT & Cloud-first

Hacktivisten entwickeln sich zu operativ wirksamen Kampagnen

Bauxite setzte während des Iran-Israel-Konflikts im Juni 2025 zwei speziell entwickelte Wiper-Malware-Varianten gegen israelische Ziele ein und eskalierte damit frühere Zugriffs- und Störungsaktivitäten zu eindeutig destruktiven Operationen. Hacktivistische Gruppen verknüpfen zunehmend ideologische Botschaften mit staatlich unterstützten Aktivitäten und greifen öffentlich zugängliche HMIs, fehlkonfigurierte Engineering-Workstations sowie offen zugängliche Feldprotokolle wie Modbus/TCP und DNP3 an. Bauxite weist technische Überschneidungen mit Aktivitäten auf, die die US-Regierung CyberAv3ngers und dem IRGC-CEC zuschreibt.

Ransomware bleibt grösste Bedrohung für Industrieunternehmen, Angriffe steigen um 64 Prozent

Dragos verfolgte im Jahr 2025 insgesamt 119 Ransomware-Gruppen, mit Fokus auf Industrieunternehmen, gegenüber 80 im Jahr 2024. Weltweit waren 3300 Organisationen betroffen, mehr als zwei Drittel davon aus der Fertigungsindustrie. Branchenweit lag die durchschnittliche Verweildauer von Ransomware in OT-Umgebungen bei 42 Tagen. Dragos stellte zudem fest, dass OT-Vorfälle oftmals noch immer fälschlicherweise als reine IT-Vorfälle eingestuft werden, da OT-Systeme wie Engineering-Workstations und HMIs aufgrund ihres Windows-Betriebssystems der IT zugerechnet werden.

Bewertung von Schwachstellen für ICS-Priorisierung häufig unzuverlässig

Dragos stellte fest, dass 25 Prozent der von ICS-CERT und im NVD erfassten Schwachstellen im Jahr 2025 fehlerhafte CVSS-Werte aufwiesen. Darüber hinaus enthielten 26 Prozent der Sicherheitshinweise weder Patches noch konkrete Abhilfemassnahmen der Hersteller. Lediglich zwei Prozent der für ICS relevanten Schwachstellen fielen in Dragos' risikobasiertem «Now, Next, Never”-Modell in die Kategorie «Now« und erforderten sofortige Massnahmen. Die Untersuchungen von Dragos zu Batterie-Energiespeichersystemen identifizierten Schwachstellen zur Umgehung der Authentifizierung und zur Befehlsinjektion. Mehr als 100 Geräte waren frei über das Internet erreichbar, darunter Wechselrichter mit einer Leistung von rund einem Megawatt, die zur Einspeisung von Strom in Versorgungsnetze eingesetzt werden.

(ID:50787999)