Mobile-Menu

15 Jahre Stuxnet Sechs Lehren für die OT-Cybersicherheit

Von Kai Thomsen, Dragos 4 min Lesedauer

Anbieter zum Thema

Dragos Global Headquarters
FAULHABER SA

Mit der Vernetzung werden auch OT-Systeme verwundbar gegen Cyberangriffe. Diese nehmen zu, doch mit grundlegenden Massnahmen ist Abwehr möglich. Die grösste Lücke liegt aber nicht in der Technik, sondern in der Umsetzung.

Cyberangriffe können nicht nur digitale Systeme treffen, sondern auch reale, physische Schäden anrichten, indem die Schadsoftware Steuerungs- und Automatisierungssysteme angreift.(Bild: Pixabay)
Cyberangriffe können nicht nur digitale Systeme treffen, sondern auch reale, physische Schäden anrichten, indem die Schadsoftware Steuerungs- und Automatisierungssysteme angreift.
(Bild: Pixabay)

Vor 15 Jahren im Sommer 2010 machte Stuxnet erstmals der Öffentlichkeit bewusst, dass Cyberangriffe nicht nur digitale Systeme treffen, sondern auch reale, physische Schäden anrichten können. Die Schadsoftware griff Steuerungs- und Automatisierungssysteme an und legte damit offen, wie verwundbar physische Prozesse in kritischen Infrastrukturen sind. Seitdem haben sich Angriffe auf OT-Systeme deutlich weiterentwickelt.

Am 22. Juli 2025 sprach Robert M. Lee, CEO und Mitgründer des OT-Sicherheitsunternehmens Dragos, vor dem US-Kongress. Er warnte vor einer wachsenden Zahl von Angreifern, neuen Schadprogrammen und immer engeren Verbindungen zwischen staatlichen Akteuren und kriminellen Gruppen. Gleichzeitig zeigte er auf, dass viele Angriffe nicht erfolgreich verlaufen, weil Fachwissen und Abwehrmechanismen inzwischen deutlich besser entwickelt sind. Die grösste Lücke liegt laut Robert M. Lee nicht in der Technik, sondern in der Umsetzung.

Bildergalerie

Die folgenden sechs Punkte fassen die Lehren zusammen, die sich seit Stuxnet herausgebildet haben und die heute wichtiger für die OT sind als je zuvor:

1. OT ist das Rückgrat kritischer Infrastrukturen

Stuxnet hat deutlich gemacht, dass Angriffe auf industrielle Steuerungs- und Automatisierungssysteme (ICS/OT) direkte Auswirkungen auf physische Prozesse haben können. Während IT-Systeme vor allem die Integrität und Verfügbarkeit von Daten schützen sollen, steht in der OT die sichere und zuverlässige Steuerung industrieller Abläufe im Mittelpunkt. Ein erfolgreicher Angriff kann Maschinen beschädigen, Anlagen stilllegen und im schlimmsten Fall Menschenleben gefährden. Trotzdem fliesst der Grossteil der Cybersicherheitsbudgets noch immer in IT-Systeme. Dieses Ungleichgewicht besteht bis heute.

2. Die Bedrohung ist real, vielschichtig und nimmt weiter zu

Stuxnet blieb kein Einzelfall. Inzwischen sind mindestens neun Schadprogramme bekannt, die gezielt auf industrielle Steuerungs- und Automatisierungssysteme ausgelegt sind. Über 25 staatliche und nichtstaatliche Gruppen haben ihren Fokus auf OT-Umgebungen ausgerichtet. Einige sammeln Informationen, andere stören bereits aktiv die Stromversorgung, Wassersysteme oder die Rüstungsproduktion. Besonders gefährlich ist PIPEDREAM. Dieses modulare Angriffstool lässt sich flexibel in verschiedenen Branchen einsetzen und skalieren.

Auch nichtstaatliche Akteure erlangen inzwischen Fähigkeiten, die bislang nur staatlich geförderten Akteuren vorbehalten waren. Durch weltweite Vernetzung und zunehmende Professionalisierung von Ransomware- und Hacktivisten-Gruppen steigt das Risiko gross angelegter, koordinierter Angriffe deutlich.

3. ‚Defense is Doable‘, wenn die Grundlagen stimmen

Trotz der komplexen Bedrohungslage zeigt sich eine klare Erkenntnis: Angriffe auf OT-Systeme lassen sich abwehren. Analysen belegen, dass bereits fünf grundlegende Schutzmassnahmen einen Grossteil aller Vorfälle verhindern können. Besonders wichtig ist Sichtbarkeit im Netzwerk. Ohne ein klares Bild von den Assets und Bedrohungen im eigenen System bleiben selbst professionelle Angriffe oft über lange Zeit unentdeckt. Aus der Praxis gibt es zahlreiche Beispiele. Selbst kleinere Versorger haben sich erfolgreich gegen hochentwickelte Angriffe behauptet, wenn ihre Sicherheitsstrategien klar definiert und konsequent umgesetzt waren.

4. Der öffentliche und private Sektor müssen zusammenarbeiten

Staatliche Stellen, Nachrichtendienste, CERTs und Unternehmen müssen eng zusammenarbeiten, um OT-Systeme wirksam zu schützen. Damit solche Kooperationen Erfolg haben, braucht es klare Zuständigkeiten, abgestimmte Abläufe und ein gemeinsames Verständnis der Bedrohungslage. Einzelne Initiativen wie das Electricity Information Sharing and Analysis Center (E-ISAC) gelten als gute Beispiele. Viele Partnerschaften bleiben jedoch zu unkonkret, schlecht koordiniert oder zu breit angelegt, um Wirkung zu entfalten. Ohne klare Schwerpunkte und gegenseitige Verpflichtung bleibt das Potenzial ungenutzt.

5. Regulierung muss verständlich und praxisnah sein

Die grösste Hürde beim Schutz kritischer OT-Infrastrukturen ist nicht der Mangel an Know-how oder technischen Lösungen. Viel schwerer wiegen unklare, widersprüchliche oder überfrachtete Vorgaben.

Betreiber sehen sich häufig mit einer Vielzahl an Regelwerken verschiedener Stellen konfrontiert. Diese sind oft doppelt, unkoordiniert oder nicht auf OT-Systeme zugeschnitten. Was fehlt, ist eine abgestimmte Regulierung, die von der Industrie mitgestaltet wird, sich an realen Bedrohungen orientiert, klare Ziele vorgibt und dabei genug Spielraum für konkrete, unternehmensspezifische Umsetzungen lässt.

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Kritische Infrastrukturen lassen sich nur dann wirksam absichern, wenn auch die vorgelagerten Bereiche zuverlässig geschützt sind. Die Risiken entstehen oft nicht erst beim Betreiber, sondern bereits bei den Zulieferern. Ungeprüfte Technik oder unsichere Hersteller können ganze Systeme gefährden.

Die Massnahmen sind bekannt, sie müssen nur umgesetzt werden

15 Jahre nach Stuxnet ist klar, dass die Bedrohungslage weiter zunimmt. Gleichzeitig steht heute mehr Wissen über wirksame Schutzmassnahmen zur Verfügung als je zuvor. Der nächste Schritt besteht darin, dieses Wissen flächendeckend anzuwenden. Dafür braucht es klare Zuständigkeiten, entschlossenes Handeln und eine Zusammenarbeit, die nicht an Abteilungsgrenzen endet.

Über Dragos

Dragos bietet effektive OT-Cybersicherheitstechnologie für industrielle und kritische Infrastrukturen, um seine globale Mission zu verwirklichen: Die Zivilisation zu schützen. Dragos hat fast zehn Jahre praktische Erfahrung im Umgang mit schwerwiegenden Angriffen auf OT-Netzwerke und kennt die Komplexität und Risiken industrieller Umgebungen. Diese verfügen häufig über ein enormes Ausmass, stützen sich auf einzigartigen Systemen, unterliegen hohen Anforderungen an die Verfügbarkeit und lassen sich nicht durch Lösungen zur IT- Cybersicherheit schützen.

Die Dragos Plattform bietet Transparenz und Monitoring von OT-Umgebungen, um Assets zu erkennen, Schwachstellen zu managen und Bedrohungen zu erkennen. Dies geschieht gestützt auf kontinuierliche Erkenntnisse, die von einem erfahrenen OT-Threat-Intelligence- und Service-Team gewonnen werden. Die Plattform entdeckt und überwacht OT-, IT-, IoT- und IIoT-Assets innerhalb der OT-Umgebung und integriert sich in die IT-Sicherheitsinfrastruktur. Dragos schützt Kunden in einer Vielzahl von Industriesektoren, darunter Elektrizität, Öl und Gas, Fertigung, Wasser, Transport, Bergbau und der öffentlichen Verwaltung. Dragos ist ein Privatunternehmen und hat seinen Hauptsitz in Washington, DC. Das Unternehmen ist weltweit mit Niederlassungen in Nordamerika, EMEA und APAC vertreten.

(ID:50636916)

Weiterführende Inhalte