TrendAI verzeichnet einen starken Anstieg beim Handel mit gestohlenen Zugängen zu Industrieanlagen und Energieunternehmen. Warum deutsche Firmen besonders im Fokus stehen und welche Schwachstellen Angreifer nutzen.
Ransomware-Angriffe auf Unternehmen aus der Industrie und dem Energiesektor haben in den vergangenen zweieinhalb Jahren deutlich zugenommen. TrendAI zählte zwischen Januar 2024 und Juni 2026 insgesamt 3.178 betroffene Firmen aus diesen Bereichen. Im ersten Halbjahr 2026 waren es bereits 767 Fälle - eine Zahl, die das Vorjahresniveau voraussichtlich erreichen oder sogar übertreffen wird. Auch international verschärft sich die Lage: In Japan meldete das Nationale Polizeiamt im ersten Halbjahr 2026 mit 123 bestätigten Ransomware-Fällen einen neuen Höchststand seit Beginn der Erfassung im Jahr 2020, davon 37 in der Fertigungsindustrie.
Im Mittelpunkt steht ein wachsender Untergrundmarkt, auf dem gestohlene Zugänge zu Produktionssystemen, Energieanlagen und anderen kritischen Infrastrukturen gehandelt werden. TrendAI hat einschlägige Foren und Messenger-Kanäle ausgewertet und beschreibt eine arbeitsteilige Struktur: Access Broker verkaufen Zugänge, Ransomware-Gruppen nutzen diese für Erpressungen, und auch geopolitisch motivierte Akteure greifen gezielt dieselben Infrastrukturen an. Nach Analysen von Group-IB entfielen 2026 in manchen Regionen bis zu 27 % aller Ransomware-Zugriffsverkäufe auf den Fertigungssektor. Auch der Energiesektor verzeichnet mehr Angriffe.
Die Preise für solche Zugänge schwanken stark. Auf BreachForums wurde ein vollständiger Administratorzugang zu einem thailändischen Fertigungsunternehmen für 25 US-Dollar angeboten. Ein anderer Anbieter verlangte im Januar 2026 auf exploit.in für die interne Datenbank eines deutschen Unternehmens aus dem Bereich erneuerbare Energien zwölf Bitcoins - rund 748.000 US-Dollar. Die große Preisspanne zeigt, wie unterschiedlich Zugangsdaten je nach Ziel bewertet werden. Bitdefender meldete im August 2026, dass Fertigungsunternehmen zu den am häufigsten attackierten Branchen gehörten, mit einem deutlichen Anstieg der Opferzahlen gegenüber dem Vormonat.
TrendAI identifiziert VPN- und Remote-Access-Gateways als häufigste Einstiegspunkte: 20,9 Prozent der ausgewerteten Angebote betreffen diese Systeme. Es folgen Remote Desktop Protocol (RDP) mit 13,1 Prozent und gestohlene Zugangsdaten mit 12,5 Prozent. Besonders oft betroffen sind Edge-Appliances von Fortinet, Citrix, Cisco, Palo Alto Networks und SonicWall. Schwache, wiederverwendete oder bereits kompromittierte Passwörter sind ein zentrales Problem. In 6,6 Prozent der Fälle werden direkte Zugänge zu SCADA-, ICS-, HMI- oder SPS-Systemen als Premium-Feature angeboten - ein Hinweis darauf, wie attraktiv besonders sensible Steuerungstechnik für Angreifer ist.
Die Fertigungsindustrie bleibt 2026 weltweit das am konsequentesten attackierte Segment: In aktuellen Analysen entfallen bis zu 27 Prozent aller dokumentierten Ransomware-Zugriffsverkäufe auf diesen Sektor. Die zunehmende Digitalisierung und Vernetzung industrieller Anlagen erhöht die Angriffsfläche und verschärft die Anforderungen an technische und organisatorische Schutzmaßnahmen.Group-IB ResearchCybersecurity-AnalyseQuelle
Fertigungsunternehmen stehen besonders im Fokus: Sie machen 67,9 Prozent aller Forenbeiträge und 77,8 Prozent der öffentlich gewordenen Ransomware-Opfer aus. Ihre geringe Toleranz für Produktionsausfälle und die starke Abhängigkeit von digitalisierten Prozessen machen sie zu bevorzugten Zielen. Deutschland liegt bei den Opferländern hinter den USA auf Platz zwei, noch vor Kanada und Italien. Nach Zahlen von Check Point entfielen im August 2026 weltweit 13 % aller Ransomware-Vorfälle auf die Industrieproduktion - ein Anstieg um 8 % gegenüber dem Vormonat und fast doppelt so viele wie im Vorjahr.
Wenige Ransomware-as-a-Service-Gruppen bestimmen das Geschehen. Akira, Qilin und Play sind laut TrendAI für rund 30 Prozent aller dokumentierten Fälle verantwortlich. Die Professionalisierung und Arbeitsteilung im Cybercrime-Sektor führen dazu, dass Zugangsdaten und Exploits gezielt gehandelt und weiterverwertet werden. Die internationale Dimension ist klar: Deutsche Unternehmen geraten zunehmend ins Visier, was auch mit der hohen industriellen Vernetzung und der Bedeutung kritischer Infrastrukturen im Land zusammenhängt. Die Bundesnetzagentur und das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnen regelmäßig vor der steigenden Bedrohungslage und fordern die konsequente Umsetzung von IT-Sicherheitsmaßnahmen nach BSI-KritisV und DIN EN ISO/IEC 27001.
Die Entwicklung ist kein Einzelfall. Bereits in einer früheren Analyse wurde darauf hingewiesen, dass neue Technologien und digitale Angriffsflächen Unternehmen vor veränderte Bewertungs- und Kontrollrisiken stellen. Die aktuellen Zahlen aus der Fertigungs- und Energiebranche zeigen, wie schnell sich Bedrohungslagen verschieben können, wenn technische und organisatorische Schutzmaßnahmen nicht Schritt halten.
Folgen für Unternehmen und Bewertung der Lage
Die Zahlen machen deutlich, dass der Handel mit Zugängen zu kritischen Infrastrukturen längst kein Randphänomen mehr ist. Niedrige Einstiegspreise für manche Zugangsdaten stehen im Kontrast zu den potenziellen Schäden, die gezielte Angriffe verursachen können. Unternehmen, die auf schwache Authentifizierung oder veraltete Systeme setzen, riskieren nicht nur Produktionsausfälle, sondern auch erhebliche finanzielle und regulatorische Folgen. Die Konzentration auf wenige Ransomware-Gruppen und die internationale Arbeitsteilung im Cybercrime-Sektor erschweren die Verteidigung zusätzlich.
Cybersicherheit in der Industrie ist längst kein rein technisches Problem mehr. Die Professionalisierung der Angreifer, die systematische Auswertung von Schwachstellen und die gezielte Monetarisierung kompromittierter Zugänge zeigen, wie eng wirtschaftliche, technische und geopolitische Risiken inzwischen miteinander verbunden sind. Wer weiterhin auf minimale Schutzmaßnahmen setzt, unterschätzt, wie schnell sich Bedrohungslagen verändern - und läuft Gefahr, zum nächsten öffentlich bekannten Opfer zu werden.
Der Begriff "kritische Infrastruktur" bezeichnet Anlagen, Systeme und Dienstleistungen, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die öffentliche Sicherheit, Versorgung oder das wirtschaftliche Leben haben kann. Dazu zählen unter anderem Energieversorgung, Wasser, Transport, Gesundheit und industrielle Produktion. In Deutschland und der EU unterliegen Betreiber kritischer Infrastrukturen besonderen gesetzlichen Anforderungen an IT-Sicherheit und Meldepflichten. Die Abgrenzung, welche Unternehmen als Betreiber kritischer Infrastrukturen gelten, ist jedoch nicht immer eindeutig und wird regelmäßig angepasst. Die zunehmende Digitalisierung und Vernetzung erhöht die Angriffsfläche und verschärft die Anforderungen an technische und organisatorische Schutzmaßnahmen.
