Gestohlene Industriezugänge werden zum Geschäft im Cybercrime-Untergrund
Zugänge zu Industrieunternehmen sowie Energie- und Versorgungsinfrastruktur werden in Cybercrime-Foren zu Preisen von wenigen Dollar bis zu mehreren Hunderttausend Dollar gehandelt. Ein neuer TrendAI-Report beschreibt ein arbeitsteiliges Ökosystem aus Access Brokern, Ransomware-Gruppen und Hacktivisten. Besonders häufig betroffen ist die Fertigungsindustrie.
Rund um den Zugang zu industriellen Systemen hat sich ein arbeitsteiliger krimineller Markt entwickelt. Zu diesem Ergebnis kommt TrendAI in seinem Bericht „Mapping the Criminal Economy Targeting Critical Infrastructure“. Grundlage der Untersuchung sind Auswertungen von Untergrundforen und Instant-Messaging-Kanälen aus dem Zeitraum von Januar 2024 bis Mitte 2026. Dabei zeigt sich, dass unterschiedliche Akteursgruppen teilweise dieselben Zugänge, Kommunikationskanäle und Wissensquellen nutzen.
TrendAI unterteilt das untersuchte Ökosystem in vier miteinander verbundene Bereiche. Access Broker verkaufen VPN- und RDP-Zugänge zu Produktionsstandorten, Energieunternehmen und Versorgern. Ransomware-Akteure nutzen kompromittierte Systeme für Verschlüsselung und Erpressung, während geopolitisch motivierte Hacktivisten industrielle Infrastruktur für ihre Aktivitäten ins Visier nehmen. Parallel dazu senken raubkopierte Schulungen zu Industrial Control Systems (ICS) und Tutorials für SCADA-Systeme die technischen Einstiegshürden.
Preise reichen von 25 bis 748.000 US-Dollar
Wie unterschiedlich Zugänge zu industriellen Systemen bewertet werden, zeigen mehrere Beispiele aus den untersuchten Foren. Auf BreachForums wurde der vollständige Administratorzugriff auf das Produktionssystem eines thailändischen Fertigungsunternehmens für lediglich 25 US-Dollar angeboten.
Deutlich höher lag der Preis für Daten eines deutschen Unternehmens aus dem Bereich erneuerbare Energien. Ein Verkäufer bot dessen interne Datenbank im Januar 2026 auf exploit.in für zwölf Bitcoin an. TrendAI beziffert den damaligen Gegenwert mit rund 748.000 US-Dollar.
In einem weiteren Fall wurde auf BreachForums die vollständige Kontrolle über SCADA-Systeme und Mitarbeiterdaten zweier pakistanischer Energieversorger für drei Bitcoin beziehungsweise rund 187.000 US-Dollar angeboten. Bestandteil des Angebots war dem Report zufolge auch die Möglichkeit, die Stromversorgung zu Spitzenzeiten zu manipulieren.
Für den Zugang greifen Cyberkriminelle häufig nicht auf neuartige Schwachstellen oder komplexe Exploits zurück. VPN- und Remote-Access-Gateways stellen mit 20,9 Prozent der ausgewerteten Angebote den häufigsten Zugangsvektor dar. RDP folgt mit 13,1 Prozent, gestohlene Zugangsdaten machen 12,5 Prozent aus.
Häufig betroffen sind Edge-Appliances von Fortinet, Citrix, Cisco, Palo Alto Networks und SonicWall. Als Absicherung kommen dabei vielfach schwache, wiederverwendete oder gestohlene Passwörter zum Einsatz. Direkte Zugänge zu SCADA-, ICS-, HMI- oder SPS-Systemen werden in 6,6 Prozent der untersuchten Angebote ausdrücklich als Premiumfeature beworben.
Fertigungsindustrie dominiert bei Angeboten und Ransomware-Opfern
Besonders stark betroffen ist die Fertigungsindustrie. 67,9 Prozent aller von TrendAI untersuchten Forenbeiträge entfallen auf Fertigungsunternehmen. Bei den öffentlich gewordenen Ransomware-Opfern liegt deren Anteil sogar bei 77,8 Prozent. Als einen Grund nennt der Bericht die geringe Toleranz der Branche gegenüber Produktionsausfällen.
Zwischen Januar 2024 und Juni 2026 erfasste TrendAI insgesamt 3.178 öffentlich gelistete Ransomware-Opfer aus Industrie und Energie. Im Jahr 2024 waren es 974 Fälle, 2025 bereits 1.437. Das entspricht einem Anstieg von rund 48 Prozent. Im ersten Halbjahr 2026 wurden weitere 767 Opfer gezählt. Auf dieser Basis könnte das laufende Jahr das Niveau von 2025 erreichen oder übertreffen.
Ein erheblicher Teil der Fälle entfällt auf wenige Ransomware-as-a-Service-Gruppen. Akira wird mit 372 Opfern geführt, Qilin mit 338 und Play mit 238. Zusammengenommen sind die drei Gruppen für rund 30 Prozent der erfassten Fälle verantwortlich. Bei der geografischen Verteilung der Opfer liegt Deutschland hinter den USA an zweiter Stelle und damit vor Kanada und Italien.
„Die Ergebnisse zeigen, dass der industrielle Untergrund mehr als nur eine abstrakte Gefahr darstellt und schon heute als arbeitsteilige Ökonomie funktioniert. Access Broker verkaufen Zugänge zu Produktionsunternehmen, Energieunternehmen und Versorgern; Ransomware-Akteure monetarisieren diese Zugänge;
geopolitisch motivierte Hacktivisten zielen auf dieselbe Infrastruktur“, sagt Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI.
Hacktivisten richten Angriffe auf industrielle Systeme
Neben finanziell motivierten Cyberkriminellen untersucht der Report auch geopolitisch motivierte Gruppen. TrendAI nennt unter anderem die pro-russischen beziehungsweise pro-iranischen Akteure Z-Pentest, NoName057(16), Sector 16, CyberAv3ngers und Handala. Diese Gruppen verfügen dem Bericht zufolge häufig über geringere technische Fähigkeiten als klassische APT-Gruppen, können mit ihren Angriffen aber dennoch physische Auswirkungen verursachen.
TrendAI verweist in diesem Zusammenhang auf eine gemeinsame Warnmeldung von CISA, FBI und NSA vom Dezember 2025. Demnach hätten auch technisch wenig versierte pro-russische Gruppen physische Schäden an Wasser- und Energieinfrastruktur sowie Lebensmittelproduktions- und Agrarsystemen verursacht.
Ende Juli 2026 störte die mit Iran in Verbindung stehende Gruppe CyberAv3ngers durch die Ausnutzung speicherprogrammierbarer Steuerungen den Betrieb von Wasser- und Abwasserversorgern in mehr als 30 Kommunen im US-Bundesstaat Minnesota. Im Juni 2026 beanspruchte zudem die pro-iranische Gruppe Handala einen Einbruch bei einem großen US-Wasserversorger für sich und erklärte, eine Unterbrechung der kommunalen Wasserversorgung wäre möglich gewesen.
Die Verbindung zwischen Zugangshandel, Ransomware und Hacktivismus macht aus Sicht von TrendAI auch vergleichsweise gewöhnliche kompromittierte Fernzugänge relevant für die Absicherung industrieller Umgebungen.
„Für Unternehmen bedeutet das: Ein kompromittierter VPN-, RDP- oder anderer Remote-Access-Zugang kann weit über einen klassischen IT-Sicherheitsvorfall hinausreichen“,
erklärt Schneider.
Als Maßnahmen nennt er Phishing-resistente Multi-Faktor-Authentifizierung, konsequentes Patchen von Systemen mit Internetzugang und eine Trennung von IT und OT. Der Report zeigt damit vor allem, dass Angriffe auf industrielle Infrastrukturen nicht zwingend mit hochentwickelten Angriffsmethoden beginnen: Häufig bilden bereits kompromittierte Standardzugänge den Ausgangspunkt für weitere Aktivitäten.
it&d business Redaktion
Kommentare