Phishing, Ransomware und andere Bedrohungen nehmen verstärkt das produzierende Gewerbe ins Visier. Was Betriebe tun können, um cyberresilient zu werden. [...]
Produktionsunternehmen haben inzwischen einen hohen Grad an digitaler Durchdringung erreicht. Die Branche hat sich insgesamt zu einem hochgradig vernetzten und automatisierten Ökosystem entwickelt: Intelligente Fabriken, IoT-fähige Maschinen und cloudbasierte Plattformen sind inzwischen Standardkomponenten moderner Produktionsumgebungen. Sie versprechen effiziente Prozesse, höhere Qualität und eine schnellere Reaktionsfähigkeit. Die Kehrseite der Medaille sind Schwachstellen beim Thema Sicherheit. Der aktuelle 2025 OT Security Financial Risk Report von Dragos und Marsh McLennan berechnet erstmals mithilfe statistischer Modelle das finanzielle Risiko von OT-Cybervorfällen. Dem Report nach entfallen bis zu 70 % der Schäden auf indirekte Folgen wie Produktionsausfälle oder unterbrochene Lieferketten. Faktoren, die in klassischen Risikomodellen oftmals nicht berücksichtigt werden.
Die Herausforderungen sind nicht nur technischer Natur. Wie so oft spielt der Faktor Mensch eine zentrale Rolle. Die kritische Natur vieler Betriebsabläufe, eine in weiten Teilen veraltete Infrastruktur und weitläufige Lieferketten prägen die Branche. Etliche Werke kombinieren und integrieren IT- und OT-Systeme (Operational Technology), um Prozesse zu rationalisieren. Das hat bekanntermaßen die Angriffsfläche vergrößert und erleichtert Cyberkriminellen den Einstieg ins Netzwerk. Ransomware bleibt nach wie vor eine Riesenbedrohung. Die Angreifer sind sich sehr wohl bewusst, dass selbst kurze Ausfallzeiten zu Produktivitätsverlusten in Millionenhöhe und Vertragsstrafen führen können. Dieser wachsende Druck hat Industrieunternehmen zu einem der wichtigsten Ziele von Attacken gemacht.
Aktuelle Branchenberichte zeigen, dass annähernd die Hälfte der Cyberangriffe im Fertigungssektor Ransomware betrifft, die häufig über Phishing-E-Mails ihren Weg ins Netz findet. Alternativ nutzen die Angreifer bekannte Software-Schwachstellen aus. Dank künstlicher Intelligenz werden solche Mails über generative KI-Plattformen erstellt und mit alarmierender Genauigkeit an die interne Kommunikation von Unternehmen angepasst. Auch Callback-Phishing erfreut sich aufgrund der Erfolgsquote (wieder) wachsender Beliebtheit. Der erste Kontakt erfolgt dabei über scheinbar harmlose E-Mails, die schließlich zu risikoreichen Gesprächen oder Remote-Zugriffsanfragen führen. Statt auf technische Sicherheitsmaßnahmen setzen die Angreifer lieber auf die menschliche Fehlbarkeit – und das zahlt sich erwiesenermaßen aus.
Der Faktor Mensch: Schwachstelle oder Chance?
Menschliches Versagen ist nach wie vor eine der Hauptursachen für Datenschutzverstöße. Mitarbeitende klicken auf bösartig manipulierte Links oder umgehen Protokolle bei der Zugriffskontrolle. Selbst wohlmeinende Angestellte setzen Unternehmen unwissentlich Risiken aus. Annähernd sieben von zehn Verstößen in den letzten Jahren gehen auf menschliches Versagen zurück.
Eine ernüchternde Statistik. Aber sie offenbart auch eine Chance. Wenn menschliches Versagen für die weitaus größte Zahl von Datenschutzvorfällen verantwortlich ist, lässt sich die Gleichung auch umkehren. Ein geschärftes Sicherheitsbewusstsein aufgrund von praxisnahen Schulungen bildet die erste Verteidigungslinie im Unternehmen und einen Puffer gegen Bedrohungen. Trotzdem räumt man Cybersicherheitsschulungen selten Priorität ein. Das hat verschiedene Gründe wie eng getaktete Produktionspläne, ständig wechselnde Belegschaften im Mehrschichtenbetrieb und einem Fokus auf den Output. Awareness-Trainings sind zumeist nur Teil einer einmaligen Compliance-Checkliste, die es abzuarbeiten gilt – und nicht fester Bestandteil der Unternehmenskultur.
Sicherheitsbewusstsein im Produktionsprozess verankern
Effektive Cybersicherheitsschulungen sind praktisch, relevant und stören die Abläufe so wenig wie möglich. Hersteller setzen deshalb verstärkt auf Microlearning-Ansätze. Die Module sind kurz, fokussiert und nehmen in der Regel nicht länger als zwei oder drei Minuten Zeit in Anspruch. Sie passen problemlos zwischen einen Schichtwechsel oder in sonst ungenutzte Ausfallzeiten. So sind die Module auch wiederholbar, ohne Produktionsziele zu gefährden.
Eine andere bewährte Methode ist es, Schulungen an bestimmte Rollen anzupassen. Ein Wartungstechniker ist anderen Risiken ausgesetzt als ein Einkaufsleiter oder ein Ingenieur in der Abteilung Forschung und Entwicklung. Sind die Schulungsmodule auf die verschiedenen Aufgabenbereiche abgestimmt, erkennen die Teilnehmer die für den jeweiligen Bereich relevanten Bedrohungen deutlich besser. Finanzen und Einkauf sind typische Ziele für Business Email Compromise (BEC)-Angriffe – beispielsweise über manipulierte Rechnungen oder angebliche Nachrichten von Führungskräften und Lieferanten. Firmen jeglicher Couleur und Größe werden weltweit Opfer von (erfolgreichen) BEC-Angriffen. Technische Abteilungen sind eher anfällig für Risiken, die die Datenintegrität betreffen oder einen unbefugten Zugriff auf Konstruktionssysteme.
Rollenbasierte Schulungen helfen, das nötige Urteilsvermögen zu entwickeln – eine der Voraussetzungen, um angemessen zu reagieren. Aber das allein reicht nicht. Die Verhaltensforschung hat gezeigt, dass Menschen ohne Verstärker das meiste, was sie gelernt haben, innerhalb weniger Tage wieder vergessen. Dieses als „Vergessenskurve” bekannte Phänomen lässt sich durch Methoden wie Gamification und simulierte Phishing-Kampagnen aufbrechen und eine Unternehmenskultur etablieren, in der sicheres Verhalten selbstverständlich ist.
Praxisnahe Schulungen
Die Bedrohungslandschaft verändert sich dynamisch. Ständig tauchen neue Technologien und Angriffsmethoden auf. Awareness-Schulungen sollten die Lehren aus aktuellen, realen Sicherheitsvorfällen mit einbeziehen. Deepfake-Technologien, die per Audio- oder Video-Einspieler Führungskräfte nachahmen, sind inzwischen Alltag. Ziel auch hier: angeblich dringende Überweisungen auszulösen oder Zugriff auf sensible Daten zu erlangen. Genauso werden kompromittierte Lieferantenkonten oder cloudbasierte Tools verwendet, um scheinbar legitime Anfragen zu senden. Gänzlich unbeanstandet von internen Kontrollmechanismen. Diese Taktiken sind umso effektiver, wenn es den Mitarbeitenden am nötigen Know-how fehlt. Schwachstellen innerhalb der Lieferketten geben weiterhin Anlass zur Sorge. Lücken in der Software von Drittanbietern betreffen nahezu alle Branchen, auch die Fertigung. Mitarbeiter sollten ausnahmslos alle Anfragen überprüfen, ungewöhnliches Verhalten hinterfragen, selbst wenn es sich um bekannte Quellen handelt und Bedenken entsprechend eskalieren.
Cybersicherheit versus Geschäftsziele?
Wenn Firmen Sicherheitsanforderungen und Geschäftsziele in Einklang bringen wollen, leisten Cybersecurity Awareness-Programme einen nicht zu unterschätzenden Beitrag. Etwa, um die betriebliche Kontinuität aufrecht zu erhalten, die Qualität der Produkte und pünktliche Liefertermine zu gewährleisten. Es gibt unzählige Beispiele dafür, dass ein einziger Datensicherheitsvorfall nicht nur die Produktion lahmlegen oder verzögern kann, sondern auch das Vertrauen der Kunden untergräbt, den Ruf der Marke beschädigt oder ein Unternehmen schlimmstenfalls in die Insolvenz treibt. Eine zentrale Rolle spielen Schulungen auch bei der Einhaltung regulatorischer Vorgaben. Standards wie die Cybersecurity Maturity Model Certification (CMMC) und die ISO 27001, aber auch branchenspezifische Vorschriften heben die Sensibilisierung von Mitarbeitenden ausdrücklich als eine wichtige Säule des Risikomanagements hervor. Erst recht im Licht des EU AI Act betrachte, der Ausdehnung der US State-Level-Gesetzgebung und den sich verschärfenden Datenschutzanforderungen weltweit.
Was Führungskräfte tun sollten
Ohne die Unterstützung und das Engagement von Führungskräften sind Schulungsinitiativen zum Scheitern verurteilt. Wenn Cybersicherheit aber als strategische Priorität und nicht als IT-Problem positioniert wird, ist sie Teil der Unternehmenskultur. Es mag wie eine Binsenweisheit klingen, aber wenn Chefs die Awareness-Programme aktiv vorantrieben, selbst an Schulungen teilnehmen und vor allem Risiken und Erwartungen offen thematisieren, geben sie ein starkes Beispiel.
Dazu sollte man auf regelmäßige Updates setzen, Vorfälle analysieren und gute Sicherheitspraktiken honorien. Wenn Mitarbeitende einen direkten Einfluss auf die Widerstandsfähigkeit des Unternehmens haben, ist das nur gut für die Motivation.
Ausblick: Resilienz durch Empowerment
Mit der rasch voranschreitenden digitalen Transformation in der Produktion werden auch Cyberbedrohungen immer raffinierter. Aber Firmen können dem einiges entgegensetzen, wenn sie in gezielte, praxisnahe und regelmäßig aktualisierte Awareness-Programme investieren. Cyber-Resilienz beruht nicht allein auf einer oder mehreren Technologien, sondern auf informierten, befähigten Mitarbeitern, die Risiken verstehen und dementsprechend reagieren.
Angesichts der gravierenden Folgen von Ausfallzeiten und Umsatzverlusten bis hin zu Unterbrechungen der Lieferketten, lässt sich der Wert einer sensibilisierten Belegschaft kaum hoch genug ansetzen. Die Zukunft der Fertigung ist vernetzt und datengesteuert. Um wirklich nachhaltig zu sein, muss sie auch sicher sein.
*Der Autor John Trest ist Chief Learning Officer der VIPRE Security Group.
Be the first to comment