Dmitri Belotchkine, Senior Technical Director Europe bei TXOne Networks

Der jüngste Ransomware-Angriff auf die US-Produktionsstätten von fairlife, einer Tochtergesellschaft von Coca-Cola, verdeutlicht auf drastische Weise, wie anfällig moderne Industrieunternehmen sind. Ein Produktionsstillstand, der nicht nur finanzielle Verluste zur Folge hat, sondern auch Fragen zur Widerstandsfähigkeit kritischer Infrastrukturen aufwirft. Obwohl offizielle technische Details zum Hergang der Ereignisse noch spärlich sind, deuten alle Anzeichen – insbesondere die Erwähnung der Anubis Ransomware-as-a-Service (RaaS) – auf ein bekanntes, aber dennoch stets verheerendes Angriffsmuster hin: Die IT als Einstiegspunkt, gefolgt vom Sprung von der IT zur Betriebstechnik (OT).

Der Fall dient als Lehrstück für die asymmetrische Bedrohungslandschaft im Cyberspace. Ein unbefugter Zugriff durch Dritte führte zum Stillstand produktionskritischer Systeme und zu einer vollständigen Einstellung der US-Produktion. Coca-Cola reagierte vorbildlich, indem das Unternehmen unverzüglich Incident-Response-Protokolle aktivierte und Strafverfolgungsbehörden sowie externe Experten hinzuzog. Doch der Schaden war bereits angerichtet. Wie kam es dazu und hätte dies verhindert werden können?

Ein genauerer Blick auf die Vorgehensweise von Anubis RaaS lässt ein mögliches Angriffsszenario erkennen: Wie die meisten modernen Ransomware-Gruppen agiert Anubis äußerst professionell und mit einer klaren Arbeitsteilung. Ein wahrscheinlicher Angriffsablauf, der oft mit scheinbar harmlosen Einstiegspunkten beginnt, könnte wie folgt aussehen: Ein kompromittiertes Passwort, eine unachtsam geöffnete Phishing-E-Mail oder eine nicht gepatchte Sicherheitslücke in einem öffentlich zugänglichen IT-System (wie einem VPN-Gateway oder einem Webserver) reicht als erster Einstieg aus. Von dort aus beginnt die laterale Bewegung innerhalb des IT-Netzwerks. Angreifer erweitern ihre Berechtigungen, erkunden das Netzwerk und suchen nach dem eigentlichen Kronjuwel: dem Zugriff auf die OT. In vielen industriellen Umgebungen gibt es historisch gewachsene, oft unzureichend dokumentierte Verbindungen zwischen IT und OT. Diese „Schatten-IT“ oder unzureichend segmentierten Netzwerke sind eine Goldgrube für Angreifer. Unverwaltete USB-Massenspeichergeräte sind ein weiterer häufiger Überträger von Malware in das OT-Netzwerk.

Sobald der Sprung in das OT-Netzwerk erfolgreich gelungen ist, ändert sich die Dynamik des Angriffs drastisch. In der IT steht die Vertraulichkeit der Daten im Vordergrund; in der OT sind es Verfügbarkeit und physische Sicherheit. Die Verschlüsselung oder Manipulation von Prozessleitsystemen wie speicherprogrammierbaren Steuerungen (SPS), Human-Machine-Interfaces (HMIs) oder SCADA-Systemen führt unweigerlich zu Produktionsausfällen. Angreifer wissen, dass eine stillgelegte Produktionslinie einen weitaus größeren Druck auf das Management ausübt als „bloß“ gestohlene Daten. Der finanzielle Schaden steigt von Minute zu Minute.

Dieser Vorfall bei fairlife unterstreicht die Dringlichkeit eines Paradigmenwechsels in der industriellen Cybersicherheit. Die traditionelle „Burggraben-Mentalität“, die IT und OT als getrennte Welten betrachtet, ist überholt. Ein ganzheitlicher „Zero-Trust“-Ansatz, der speziell auf die besonderen Anforderungen der Betriebstechnik zugeschnitten ist, ist absolut unerlässlich.

Es reicht nicht mehr aus, lediglich die Grenzen zwischen IT und OT mit Firewalls zu sichern. Der Schutz muss tiefer reichen – bis hinunter auf die Ebene einzelner industrieller Anlagen und der Netzwerkkommunikation innerhalb der Produktionsumgebung. Es werden Lösungen benötigt, die tief in proprietäre Industrieprotokolle eindringen können, um Anomalien und böswillige Befehle in Echtzeit zu erkennen und zu blockieren, bevor sie die Steuerungssysteme und Feldgeräte erreichen.

Darüber hinaus ist der Schutz älterer Systeme – oft Legacy-Systeme, für die keine Patches mehr verfügbar sind –, die in der OT allgegenwärtig sind, von entscheidender Bedeutung. Dies erfordert spezialisierte OT-Endpunktschutzmechanismen, die nicht auf ständige Signatur-Updates angewiesen sind, den von industriellen Steuerungscomputern geforderten extrem geringen Ressourcenbedarf aufweisen und ICS-Paket-Awareness nutzen. Verheerende „IT-to-OT“-Sicherheitsverletzungen, wie sie im Anubis-Vorfall vermutet werden, lassen sich nur durch konsequente, OT-native Netzwerk- und Endpunktsicherheit proaktiv verhindern. Diese muss eine granulare Segmentierung sowie die kontinuierliche Überwachung und Bereinigung des industriellen Datenverkehrs ermöglichen. So können Unternehmen effektiv agieren, anstatt im Nachhinein kostspielige, manuelle und rein reaktive Incident-Response-Prozesse durchführen zu müssen.