Illustration Absmeier foto ki designer

Der Handel mit gestohlenen Industrie-Zugängen ist zu einer arbeitsteiligen Schattenökonomie geworden. Für Geschäftsleitungen folgt daraus: Nicht exotische Zero-Days, sondern unzureichend geschützte Fernzugänge, Identitäten und Übergänge zwischen IT und OT entscheiden über das operative Risiko.

Management Summary

Industriezugänge sind ein handelbares Wirtschaftsgut: Die Preise reichen von 25 US-Dollar für Administratorrechte bis zu 748.000 US-Dollar für eine interne Energiedatenbank.
Das größte Risiko liegt im Bestand: VPN, RDP und gestohlene Zugangsdaten dominieren die Angebote; kompromittiert werden vor allem bekannte, internetexponierte Systeme.
Fertigung und Deutschland stehen besonders im Fokus: 77,8 Prozent der veröffentlichten Ransomware-Opfer stammen aus der Fertigung; Deutschland liegt bei den Opferländern auf Rang zwei.
Cyberrisiken werden zum Betriebsrisiko: Ransomware und geopolitisch motivierte Gruppen nutzen dieselben Zugänge und können Produktion, Energie- und Wasserversorgung beeinträchtigen.
Priorität für das Management: Phishing-resistente MFA, schnelles Patchen von Edge-Systemen, gehärtete Identitäten, konsequente IT/OT-Segmentierung und belastbare OT-Notfallübungen.

Der neue TrendAI-Report zeigt, wie Cyberkriminelle, Ransomware-Gruppen und geopolitisch motivierte Hacktivisten auf dieselben Zugänge zu Produktionsunternehmen, Energie- und Wasserinfrastruktur zugreifen [1].

TrendAI, Anbieter von KI-Sicherheit und der Enterprise-Cybersecurity-Geschäftsbereich von Trend Micro, veröffentlicht neue Forschungsergebnisse zum Untergrundmarkt für gestohlene Unternehmenszugänge und Daten in der Fertigungsindustrie sowie kritischen Infrastrukturen [1]. Der Bericht zeigt, wie ein Zugang zu einem deutschen Erneuerbare-Energien-Unternehmen in einem Cybercrime-Forum für rund 748.000 US-Dollar angeboten wurde, während der vollständige Administratorzugriff auf das Produktionssystem eines thailändischen Herstellers gerade einmal 25 US-Dollar kostete.

Neue Forschung von TrendAI zeigt, wie sich rund um industrielle Infrastruktur ein arbeitsteiliger krimineller Markt entwickelt hat. Access Broker verkaufen Zugänge zu Unternehmen aus Industrie, Energie und Fertigung, Ransomware-Akteure monetarisieren diese Zugänge, und geopolitisch motivierte Hacktivisten greifen zunehmend auf dieselben Eintrittswege und Wissensquellen zurück. Grundlage der Analyse sind Auswertungen von Untergrundforen und Instant-Messaging-Kanälen aus dem Zeitraum Januar 2024 bis Mitte 2026.

Der untersuchte Untergrund besteht aus vier miteinander verbundenen Bereichen:

Access-as-a-Service:
Broker verkaufen VPN- und RDP-Zugänge zu Produktionsstandorten, Energieunternehmen und Versorgern.
Ransomware:
Affiliates nutzen erlangte Zugänge für Verschlüsselung und Erpressung und veröffentlichen Daten auf Leak-Sites.
Hacktivismus:
Geopolitisch motivierte Gruppen versuchen, industrielle Systeme für Propaganda und zunehmend auch für reale Störungen zu nutzen.
Wissensaustausch:
Raubkopierte ICS-Schulungen und SCADA-Tutorials senken die technische Einstiegshürde.

Dabei handelt es sich nicht um einen einzelnen Marktplatz, sondern um ein Ökosystem mit arbeitsteiliger Struktur. Access Broker, Datenhändler, Ransomware-Akteure und Hacktivisten bewegen sich teilweise in denselben Foren und Kommunikationskanälen. Sie teilen Eintrittswege, Wissensquellen und in einigen Fällen sogar Personal.

Deutschland: Zielmarkt und hochpreisiges Angriffsziel

Deutschland liegt bei den erfassten Ransomware-Opfern hinter den USA auf Platz zwei. Gleichzeitig wurde die interne Datenbank eines deutschen Erneuerbare-Energien-Unternehmens im Januar 2026 für 12 Bitcoin beziehungsweise rund 748.000 US-Dollar angeboten. Damit zeigt der deutsche Markt exemplarisch, welchen Wert kriminelle Akteure inzwischen industriellen Zugängen und Daten beimessen.

Industriezugänge haben einen Preis

Die Preisspanne für Zugänge zu Industrieanlagen ist enorm. Auf BreachForums bot ein Verkäufer vollständigen Administratorzugriff auf das Produktionssystem eines thailändischen Fertigungsunternehmens für 25 US-Dollar an. Am anderen Ende des Marktes listete ein Verkäufer auf exploit.in im Januar 2026 die interne Datenbank eines deutschen Unternehmens im Bereich erneuerbarer Energien für 12 Bitcoin – umgerechnet rund 748.000 US-Dollar. In einem weiteren Fall bot ein Akteur auf BreachForums die vollständige Kontrolle über SCADA-Systeme und Mitarbeiterdaten zweier pakistanischer Energieversorger für 3 Bitcoin (rund 187.000 US-Dollar) an – inklusive der Möglichkeit, die Stromversorgung zu Spitzenzeiten zu manipulieren.

Einfallstor ist selten eine Zero-Day-Lücke: Angreifer nutzen bestehende Fernzugänge

Zugangsbroker verschaffen sich den Zutritt in den allermeisten Fällen nicht über hochentwickelte Exploits, sondern über kompromittierte Standardinfrastruktur. VPN- und Remote-Access-Gateways sind mit 20,9 Prozent der ausgewerteten Zugangsangebote der mit Abstand häufigste Vektor, gefolgt von RDP (13,1 Prozent) und gestohlenen Zugangsdaten (12,5 Prozent). Häufig betroffen sind Edge-Appliances von Fortinet, Citrix, Cisco, Palo Alto Networks und SonicWall – meist abgesichert mit schwachen, wiederverwendeten oder gestohlenen Passwörtern. Direkte SCADA-, ICS-, HMI- oder SPS-Zugänge bewerben die Verkäufer in 6,6 Prozent der Angebote explizit als Premiumfeature.

Fertigung im Zentrum, Ransomware auf Rekordkurs

Fertigungsunternehmen sind mit 67,9 Prozent aller Forenbeiträge und 77,8 Prozent aller öffentlich gewordenen Ransomware-Opfer die mit Abstand am stärksten betroffene Branche. Ihre geringe Toleranz für Produktionsausfälle macht sie für Erpresser besonders attraktiv. Zwischen Januar 2024 und Juni 2026 zählte TrendAI 3.178 öffentlich gelistete Ransomware-Opfer aus den Bereichen Industrie und Energie. Die Zahl stieg von 974 im Jahr 2024 auf 1.437 im Jahr 2025 – ein Anstieg von rund 48 Prozent. Allein im ersten Halbjahr 2026 wurden bereits 767 Opfer verzeichnet, womit das laufende Jahr das Vorjahresniveau erreichen oder übertreffen dürfte. Den Anstieg treiben wenige Ransomware-as-a-Service-Gruppen voran: Akira (372 Opfer), Qilin (338) und Play (238) zeichnen zusammen für rund 30 Prozent aller Fälle verantwortlich. Bei den Opferländern liegt Deutschland hinter den USA auf Platz 2, noch vor Kanada und Italien.

Hacktivismus mit realen physischen Folgen

Der Report dokumentiert zudem eine wachsende Zahl geopolitisch motivierter Angriffe auf industrielle Infrastruktur durch pro-russische und pro-iranische Gruppen wie Z-Pentest, NoName057(16), Sector 16, CyberAv3ngers und Handala. Diese Akteure verfügen häufig über geringere technische Fähigkeiten als klassische APT-Gruppen, erzielen aber reale Wirkung: CISA, FBI und NSA bestätigten in einer gemeinsamen Warnmeldung im Dezember 2025, dass auch technisch wenig versierte, pro-russische Gruppen physische Schäden an Wasser-, Energie- sowie Lebensmittelproduktions- und Agrarsystemen verursacht haben. Ende Juli 2026 störte die mit Iran in Verbindung stehende Gruppe CyberAv3ngers durch die Ausnutzung speicherprogrammierbarer Steuerungen (SPSen) den Betrieb von Wasser- und Abwasserversorgern in mehr als 30 Kommunen im US-Bundesstaat Minnesota. Im Juni 2026 beanspruchte die pro-iranische Gruppe Handala einen Einbruch bei einem großen US-Wasserversorger für sich und erklärte, eine Unterbrechung der kommunalen Wasserversorgung wäre möglich gewesen.

»Die Ergebnisse zeigen, dass der industrielle Untergrund mehr als nur eine abstrakte Gefahr darstellt und schon heute als arbeitsteilige Ökonomie funktioniert. Access Broker verkaufen Zugänge zu Produktionsunternehmen, Energieunternehmen und Versorgern; Ransomware-Akteure monetarisieren diese Zugänge; geopolitisch motivierte Hacktivisten zielen auf dieselbe Infrastruktur«, so Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI. »Für Unternehmen bedeutet das: Ein kompromittierter VPN-, RDP- oder anderer Remote-Access-Zugang kann weit über einen klassischen IT-Sicherheitsvorfall hinausreichen. Phishing-resistente MFA, konsequentes Patchen internetexponierter Systeme und eine echte Trennung von IT und OT können zentrale Eintrittswege schließen.«

[1] Den vollständigen Report »Mapping the Criminal Economy Targeting Critical Infrastructure« finden Sie hier:

https://www.trendaisecurity.com/de/resources-insights/deep-research/mapping-the-criminal-economy-targeting-critical-infrastructure

PDF-Download des vollständigen Reports:

Mapping the Criminal Economy Targeting Critical Infrastructure

Die Konsequenzen für die Abwehr liegen auf der Hand, sind aber nicht einfach umzusetzen

Broker verschaffen sich über VPN-Gateways und RDP-Zugänge Zugang, die mit schwachen oder gestohlenen Anmeldedaten abgesichert sind – nicht über exotische Zero-Day-Schwachstellen. Wird dieser Zugang unterbunden, entfällt der Großteil dessen, was industrielle Zugänge für den Verkauf attraktiv macht.

Verlangen Sie für jedes VPN-, RDP-, Citrix- und Remote-Access-Portal eine phishing-resistente Multi-Faktor-Authentifizierung (MFA). VPN als mit Abstand häufigster beobachteter Angriffsvektor wird weitgehend neutralisiert, wenn gestohlene Anmeldedaten keinen Zugang mehr ermöglichen.
Behandeln Sie Edge-Appliances wie Tier-0-Systeme. Spielen Sie Patches für Fortinet-, Citrix-, Cisco-, Palo-Alto- und SonicWall-Systeme im Notfallrhythmus ein; erfassen Sie alle Geräte und mustern Sie Systeme aus, deren Lebenszyklus beendet ist.
Härten Sie Identitäten und Active Directory durch eine abgestufte Administration, die Local Administrator Password Solution (LAPS) und eine intensive Überwachung privilegierter Authentifizierungen, da Broker tatsächlich Domänenadministrator- und Benutzerzugänge verkaufen.
Trennen Sie IT und OT voneinander und beseitigen Sie direkte, unsegmentierte Zugriffswege zu SCADA-, SPS- und HMI-Netzwerken. Führen Sie Fernzugriffe über einen gehärteten, überwachten Jump-Server in einer demilitarisierten Zone (DMZ) und erstellen Sie ein Basisprofil der normalen Administratoraktivitäten über diese Grenze hinweg.
Zentralisieren Sie Protokolldaten in einem unveränderbaren Security Information and Event Management (SIEM), das sich außerhalb der lokalen Kontrolle befindet, und bewahren Sie sie länger als zwölf Monate auf. Überwachen Sie zudem die Lieferkette für Zugangsdaten mithilfe von Stealer-Log- und Exposure-Feeds.
Priorisieren Sie nach möglichen Auswirkungen, nicht nach Häufigkeit. Versorgungsunternehmen, Stromerzeugung, Öl und Gas sowie Wasserinfrastruktur benötigen einen höheren Schutz, selbst wenn das beobachtete Zugangsvolumen vergleichsweise gering ist. Erproben Sie jährlich einen speziell auf OT zugeschnittenen Plan zur Reaktion auf Sicherheitsvorfälle.

FAQ: Die wichtigsten Fragen für Entscheider

Was ist ein Access Broker?
Ein Access Broker beschafft und verkauft kompromittierte Zugänge zu Unternehmensnetzen, etwa über VPN, RDP oder gestohlene Konten.
Warum sind Industrieunternehmen besonders attraktiv?
Produktionsausfälle verursachen schnell hohe Kosten. Diese geringe Ausfalltoleranz erhöht den Erpressungsdruck und damit den Wert eines Zugangs.
Welche Eintrittswege dominieren?
VPN- und Remote-Access-Gateways führen mit 20,9 Prozent, gefolgt von RDP mit 13,1 Prozent und gestohlenen Zugangsdaten mit 12,5 Prozent.
Spielen Zero-Day-Lücken die Hauptrolle?
Nein. Meist nutzen Angreifer bekannte Schwachstellen, schwache oder wiederverwendete Passwörter sowie bereits gestohlene Zugangsdaten.
Wie groß ist das Ransomware-Problem?
Zwischen Januar 2024 und Juni 2026 wurden 3.178 öffentlich gelistete Opfer aus Industrie und Energie erfasst; 2025 lag die Zahl rund 48 Prozent über dem Vorjahr.
Warum ist Deutschland besonders relevant?
Deutschland liegt bei den erfassten Ransomware-Opfern hinter den USA auf Platz zwei und ist zugleich Ziel hochpreisiger Angebote für industrielle Daten und Zugänge.
Welche Rolle spielen Hacktivisten?
Geopolitisch motivierte Gruppen nutzen zunehmend dieselben Zugänge und Wissensquellen wie Cyberkriminelle und können damit reale Betriebsstörungen verursachen.
Welche Maßnahme hat kurzfristig den größten Hebel?
Phishing-resistente MFA für sämtliche Fernzugänge verhindert, dass gestohlene Passwörter allein für einen erfolgreichen Einstieg ausreichen.
Warum ist die Trennung von IT und OT entscheidend?
Segmentierung, überwachte Jump-Server und kontrollierte Übergänge begrenzen die Bewegung vom Unternehmensnetz in Produktions- und Steuerungsumgebungen.
Was sollte die Geschäftsleitung jetzt veranlassen?
Sie sollte Verantwortlichkeiten, Schutzziele und Investitionen für Remote Access, Identitäten, Edge-Systeme, IT/OT-Segmentierung, Logging und OT-Notfallübungen verbindlich priorisieren.

6429 Artikel zu „KRITIS“

Ausgabe 7-8-2026 | IT-Security | Kommunikation | News | Security Spezial 7-8-2026

Fernwartung ohne Netzkopplung für kritische IT- und OT-Umgebungen – Das Rendezvous-Prinzip

27. August 2026

Fernzugriffe sind in Industrie, Verwaltung und kritischen Infrastrukturen unverzichtbar – und zugleich ein bevorzugtes Einfallstor für Angreifer. Wer Steuerungen, Maschinen und Serverlandschaften aus der Ferne warten lässt, braucht mehr als ein klassisches Virtual Private Network (VPN). Gefragt ist eine Architektur, die Quell- und Zielnetz konsequent entkoppelt, jeden Zugriff von innen bestätigen lässt und lückenlos dokumentiert – betrieben als Managed Service, damit Sicherheit nicht an knappen Ressourcen scheitert.