Dragos zählte im 2. Quartal 2026 1.140 Ransomware-Vorfälle, die Industrieorganisationen betrafen – ein Anstieg von 12 % gegenüber Q1. Der Befund deutet auf eine Verschiebung hin, die es zu verstehen gilt: Ransomware, die auf industrielle OT-Systeme abzielt, beginnt zunehmend in den Enterprise-IT-Systemen, die die Operational Technology unterstützen, und nicht auf der Werkshalle oder im Leitstand selbst.

Der Quellartikel ist kurz, und dieser Beitrag hält sich an das, was er aussagt: die Zahl 1.140, den vierteljährlichen Anstieg von 12 % und die Beobachtung, dass Angreifer zunehmend die Enterprise-Systeme missbrauchen, die die OT tragen. Wo wir darüber hinausgehen, beschreiben wir allgemeine Sicherheitspraxis und keine neuen Erkenntnisse.

Was Dragos im 2. Quartal 2026 feststellte

Laut Dragos betrafen im zweiten Quartal 2026 1.140 Ransomware-Vorfälle Industrieorganisationen. Das sind 12 % mehr als im ersten Quartal. Die Schlagzeilenzahl ist wichtig, doch das nützlichere Detail ist die Richtung des Angreiferaufwands: Enterprise-Systeme, die die OT unterstützen, sind zunehmend der Einstiegspunkt.

Weitere Details zu den zugrunde liegenden Zahlen finden Sie in unserem begleitenden Bericht, Ransomware traf im 2. Quartal 2026 1.140 Industrieunternehmen über IT.

Wie Ransomware von der Büro-IT in die OT gelangt

Operational Technology ist die Hard- und Software, die physische Prozesse steuert, etwa Produktionslinien, Stromverteilung und Wasseraufbereitung. IT ist die vertraute Welt von E-Mail, Dateiservern, Geschäftsanwendungen und Cloud-Diensten. In den meisten Industrieorganisationen sind beide verbunden, weil Manager Produktionsdaten benötigen, Ingenieure Konstruktionsdateien brauchen und Lieferanten Zugang benötigen.

Diese Verbindungen nutzen Angreifer. Statt industrielle Steuerungen direkt anzugreifen, kann eine Ransomware-Gruppe in ein Geschäftssystem eindringen, Daten stehlen oder Server verschlüsseln und genug Störung verursachen, dass der Betrieb sich verlangsamt oder zum Stillstand kommt. Selbst wenn die Steuerungssysteme nie berührt werden, kann ein Unternehmen Teile seiner Produktion als Vorsichtsmaßnahme herunterfahren oder weil es nicht mehr planen, versenden oder abrechnen kann.

Deshalb kann die Trennung von IT und OT irreführend sein. Ein Werk kann gut geschützte Steuerungen haben und trotzdem durch eine Kompromittierung der Systeme um es herum offline gehen.

Warum Unternehmenssoftware und exponierte Systeme das schwache Glied sind

Der Befund von Dragos hebt hervor, dass Angreifer die Enterprise-Systeme missbrauchen, die die OT tragen. Dabei handelt es sich tendenziell um große Geschäftsanwendungen, die wertvolle Daten enthalten und oft aus dem Internet erreichbar sind, damit Partner und Remote-Mitarbeiter sie nutzen können.

Ein konkretes Beispiel ist die Clop-Kampagne gegen Enterprise-Produktlebenszyklussoftware. Unsere Berichterstattung über Clop-Ransomware, die PTC Windchill und FlexPLM-Systeme trifft beschreibt eine Datendiebstahl-Erpressungskampagne, die auf internetexponierte Instanzen dieser Plattformen abzielte. Diese Systeme speichern Produktdesigns und Fertigungsinformationen, was sie für Erpressergruppen attraktiv macht, selbst wenn kein Produktionssystem verschlüsselt wird.

Exposition ist auch eine Frage bekannter Schwachstellen, die nicht gepatcht werden. Unser Bericht darüber, dass CISA vier Schwachstellen in seinen Katalog bekannter ausgenutzter Schwachstellen aufnimmt, zeigt, wie schnell Schwachstellen in weit verbreiteten Enterprise- und Industrieprodukten von der Offenlegung zum aktiven Angriff übergehen können.

Was das für Sie bedeutet

Die meisten Leser betreiben keine Fabrik und kein Versorgungsunternehmen, aber viele sind von einem abhängig. Wenn eine Industrieorganisation getroffen wird, können sich die Auswirkungen als verspätete Lieferungen, Versorgungsengpässe, Dienstunterbrechungen oder Offenlegung personenbezogener Daten zeigen. Kunden- und Mitarbeiterinformationen, die in Enterprise-Systemen gespeichert sind, können bei diesen Vorfällen ebenfalls gestohlen werden.

Sie können das Netzwerk eines Betreibers nicht reparieren, aber Sie können Ihre eigene Exposition als Kunde, Mitarbeiter oder Lieferant verringern:

  • Wenn Sie eine Datenschutzverletzungsmitteilung von einem Hersteller oder Dienstleister erhalten, nehmen Sie sie ernst und befolgen Sie die Hinweise.
  • Verwenden Sie eindeutige Passwörter und Multi-Faktor-Authentifizierung für Konten, die mit einem Industrie- oder Versorgungsunternehmen verbunden sind.
  • Seien Sie wachsam gegenüber Phishing, das auf einen aktuellen Vorfall verweist, da gestohlene Daten oft in Folgebetrugsmaschen wiederverwendet werden.

Was Organisationen tun können: Segmentierung, Backups, MFA

Für diejenigen, die für industrielle Umgebungen verantwortlich sind, spricht der Trend dafür, die Verbindungspunkte zwischen IT und OT zu härten. Dies sind Standard-Schutzmaßnahmen, keine neuen Erkenntnisse aus dem Dragos-Bericht:

  • Segmentierung: Trennen Sie Geschäftsnetzwerke von Steuerungsnetzwerken und begrenzen Sie, was zwischen ihnen übertragen werden kann. Wenn die IT kompromittiert ist, hilft Segmentierung, den Vorfall vom Betrieb fernzuhalten.
  • Backups: Halten Sie Offline- oder anderweitig isolierte Backups kritischer Systeme bereit und testen Sie deren Wiederherstellung. Backups helfen nur, wenn sie unter Druck funktionieren.
  • Multi-Faktor-Authentifizierung: Fordern Sie sie für Remote-Zugriff und für administrative Konten, insbesondere bei internetzugewandten Unternehmensanwendungen.
  • Patching und Expositionsprüfung: Identifizieren Sie, welche Enterprise-Systeme aus dem Internet erreichbar sind, und priorisieren Sie Korrekturen für Schwachstellen, die bekanntermaßen ausgenutzt werden.
  • Vorfallplanung: Entscheiden Sie im Voraus, wie betroffene Systeme isoliert und wesentliche Betriebsabläufe aufrechterhalten werden können.

Wichtigste Erkenntnisse

Die Dragos-Zählung von 1.140 Vorfällen im 2. Quartal 2026 zeigt, dass Ransomware, die auf industrielle OT-Systeme abzielt, wächst und dass der Einstiegsweg oft über die Enterprise-Software um sie herum führt. Nehmen Sie sich ein paar Minuten Zeit, um Ihre eigene Exposition zu überprüfen: Aktivieren Sie MFA, prüfen Sie, ob Ihre Backups aktuell und wiederherstellbar sind, und installieren Sie ausstehende Updates. Konkrete Beispiele dafür, wie IT-Schwächen zu industriellen Risiken werden, finden Sie in unserer Berichterstattung über die industriellen Ransomware-Daten für Q2 2026 und die Clop-Kampagne gegen Enterprise-PLM-Software.