748‘000 Dollar für die Datenbank eines deutschen Energieunternehmens: Wie der kriminelle Markt für Industrie-Zugänge funktioniert
- Informations
- Download
- 2 autres contenus médias
Un document
748‘000 Dollar für die Datenbank eines deutschen Energieunternehmens: Wie der kriminelle Markt für Industrie-Zugänge funktioniert
Neuer TrendAI-Report zeigt, wie Cyberkriminelle, Ransomware-Gruppen und geopolitisch motivierte Hacktivisten auf dieselben Zugänge zu Produktionsunternehmen, Energie- und Wasserinfrastruktur zugreifen.
Wallisellen, 10. September 2026 – TrendAI™, einer der weltweit führenden Anbieter von KI-Sicherheit und der Enterprise-Cybersecurity-Geschäftsbereich von Trend Micro, veröffentlicht neue Forschungsergebnisse zum Untergrundmarkt für gestohlene Unternehmenszugänge und Daten in der Fertigungsindustrie sowie Kritischen Infrastrukturen. Der Bericht zeigt, wie ein Zugang zu einem deutschen Erneuerbare-Energien-Unternehmen in einem Cybercrime-Forum für rund 748‘000 US-Dollar angeboten wurde, während der vollständige Administratorzugriff auf das Produktionssystem eines thailändischen Herstellers gerade einmal 25 US-Dollar kostete.
Neue Forschung von TrendAI zeigt, wie sich rund um industrielle Infrastruktur ein arbeitsteiliger krimineller Markt entwickelt hat. Access Broker verkaufen Zugänge zu Unternehmen aus Industrie, Energie und Fertigung, Ransomware-Akteure monetarisieren diese Zugänge, und geopolitisch motivierte Hacktivisten greifen zunehmend auf dieselben Eintrittswege und Wissensquellen zurück. Grundlage der Analyse sind Auswertungen von Untergrundforen und Instant-Messaging-Kanälen aus dem Zeitraum Januar 2024 bis Mitte 2026.
Der untersuchte Untergrund besteht aus vier miteinander verbundenen Bereichen:
- Access-as-a-Service: Broker verkaufen VPN- und RDP-Zugänge zu Produktionsstandorten, Energieunternehmen und Versorgern.
- Ransomware: Affiliates nutzen erlangte Zugänge für Verschlüsselung und Erpressung und veröffentlichen Daten auf Leak-Sites.
- Hacktivismus: Geopolitisch motivierte Gruppen versuchen, industrielle Systeme für Propaganda und zunehmend auch für reale Störungen zu nutzen.
- Wissensaustausch: Raubkopierte ICS-Schulungen und SCADA-Tutorials senken die technische Einstiegshürde.
Dabei handelt es sich nicht um einen einzelnen Marktplatz, sondern um ein Ökosystem mit arbeitsteiliger Struktur. Access Broker, Datenhändler, Ransomware-Akteure und Hacktivisten bewegen sich teilweise in denselben Foren und Kommunikationskanälen. Sie teilen Eintrittswege, Wissensquellen und in einigen Fällen sogar Personal.
Industriezugänge haben einen Preis
Die Preisspanne für Zugänge zu Industrieanlagen ist enorm. Auf BreachForums bot ein Verkäufer vollständigen Administratorzugriff auf das Produktionssystem eines thailändischen Fertigungsunternehmens für 25 US-Dollar an. Am anderen Ende des Marktes listete ein Verkäufer auf exploit.in im Januar 2026 die interne Datenbank eines deutschen Unternehmens im Bereich erneuerbarer Energien für 12 Bitcoin – umgerechnet rund 748‘000 US-Dollar. In einem weiteren Fall bot ein Akteur auf BreachForums die vollständige Kontrolle über SCADA-Systeme und Mitarbeiterdaten zweier pakistanischer Energieversorger für 3 Bitcoin (rund 187‘000 US-Dollar) an – inklusive der Möglichkeit, die Stromversorgung zu Spitzenzeiten zu manipulieren.
Einfallstor ist selten eine Zero-Day-Lücke: Angreifer nutzen bestehende Fernzugänge
Zugangsbroker verschaffen sich den Zutritt in den allermeisten Fällen nicht über hochentwickelte Exploits, sondern über kompromittierte Standardinfrastruktur. VPN- und Remote-Access-Gateways sind mit 20,9 Prozent der ausgewerteten Zugangsangebote der mit Abstand häufigste Vektor, gefolgt von RDP (13,1 Prozent) und gestohlenen Zugangsdaten (12,5 Prozent). Häufig betroffen sind Edge-Appliances von Fortinet, Citrix, Cisco, Palo Alto Networks und SonicWall – meist abgesichert mit schwachen, wiederverwendeten oder gestohlenen Passwörtern. Direkte SCADA-, ICS-, HMI- oder SPS-Zugänge bewerben die Verkäufer in 6,6 Prozent der Angebote explizit als Premiumfeature.
Fertigung im Zentrum, Ransomware auf Rekordkurs
Fertigungsunternehmen sind mit 67,9 Prozent aller Forenbeiträge und 77,8 Prozent aller öffentlich gewordenen Ransomware-Opfer die mit Abstand am stärksten betroffene Branche. Ihre geringe Toleranz für Produktionsausfälle macht sie für Erpresser besonders attraktiv. Zwischen Januar 2024 und Juni 2026 zählte TrendAI 3‘178 öffentlich gelistete Ransomware-Opfer aus den Bereichen Industrie und Energie. Die Zahl stieg von 974 im Jahr 2024 auf 1‘437 im Jahr 2025 – ein Anstieg von rund 48 Prozent. Allein im ersten Halbjahr 2026 wurden bereits 767 Opfer verzeichnet, womit das laufende Jahr das Vorjahresniveau erreichen oder übertreffen dürfte. Den Anstieg treiben wenige Ransomware-as-a-Service-Gruppen voran: Akira (372 Opfer), Qilin (338) und Play (238) zeichnen zusammen für rund 30 Prozent aller Fälle verantwortlich. Bei den Opferländern liegt Deutschland hinter den USA auf Platz 2, noch vor Kanada und Italien.
Hacktivismus mit realen physischen Folgen
Der Report dokumentiert zudem eine wachsende Zahl geopolitisch motivierter Angriffe auf industrielle Infrastruktur durch pro-russische und pro-iranische Gruppen wie Z-Pentest, NoName057(16), Sector 16, CyberAv3ngers und Handala. Diese Akteure verfügen häufig über geringere technische Fähigkeiten als klassische APT-Gruppen, erzielen aber reale Wirkung: CISA, FBI und NSA bestätigten in einer gemeinsamen Warnmeldung im Dezember 2025, dass auch technisch wenig versierte, pro-russische Gruppen physische Schäden an Wasser-, Energie- sowie Lebensmittelproduktions- und Agrarsystemen verursacht haben. Ende Juli 2026 störte die mit Iran in Verbindung stehende Gruppe CyberAv3ngers durch die Ausnutzung speicherprogrammierbarer Steuerungen (SPSen) den Betrieb von Wasser- und Abwasserversorgern in mehr als 30 Kommunen im US-Bundesstaat Minnesota. Im Juni 2026 beanspruchte die pro-iranische Gruppe Handala einen Einbruch bei einem grossen US-Wasserversorger für sich und erklärte, eine Unterbrechung der kommunalen Wasserversorgung wäre möglich gewesen.
„Die Ergebnisse zeigen, dass der industrielle Untergrund mehr als nur eine abstrakte Gefahr darstellt und schon heute als arbeitsteilige Ökonomie funktioniert. Access Broker verkaufen Zugänge zu Produktionsunternehmen, Energieunternehmen und Versorgern; Ransomware-Akteure monetarisieren diese Zugänge; geopolitisch motivierte Hacktivisten zielen auf dieselbe Infrastruktur“, so Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI. „Für Unternehmen bedeutet das: Ein kompromittierter VPN-, RDP- oder anderer Remote-Access-Zugang kann weit über einen klassischen IT-Sicherheitsvorfall hinausreichen. Phishing-resistente MFA, konsequentes Patchen internetexponierter Systeme und eine echte Trennung von IT und OT können zentrale Eintrittswege schliessen.“
Weitere Informationen
Den vollständigen Report „Mapping the Criminal Economy Targeting Critical Infrastructure“ finden Sie hier: https://www.trendaisecurity.com/de/resources-insights/deep-research/mapping-the-criminal-economy-targeting-critical-infrastructure
Pressestelle TrendAI™ c/o BRAND AFFAIRS AG Mischa Keller / MSc Business Administration Partner Telefon: +41 44 254 80 00 E-Mail: trendmicro-media@brandaffairs.ch Mühlebachstrasse 8 / 8008 Zürich / Switzerland
