Rückgrat kritischer Infrastrukturen
15 Jahre Stuxnet: Sechs Lehren für die OT-Cybersicherheit
Stuxnet blieb kein Einzelfall. Inzwischen sind mindestens neun Schadprogramme bekannt, die gezielt auf industrielle Steuerungs- und Automatisierungssysteme ausgelegt sind
Von Kai Thomsen, Director of Global Incident Response Services bei Dragos
Vor 15 Jahren im Sommer 2010 machte Stuxnet erstmals der Öffentlichkeit bewusst, dass Cyberangriffe nicht nur digitale Systeme treffen, sondern auch reale, physische Schäden anrichten können. Die Schadsoftware griff Steuerungs- und Automatisierungssysteme an und legte damit offen, wie verwundbar physische Prozesse in kritischen Infrastrukturen sind. Seitdem haben sich Angriffe auf OT-Systeme deutlich weiterentwickelt.
Am 22. Juli 2025 sprach Robert M. Lee, CEO und Mitgründer des OT-Sicherheitsunternehmens Dragos, vor dem US-Kongress. Er warnte vor einer wachsenden Zahl von Angreifern, neuen Schadprogrammen und immer engeren Verbindungen zwischen staatlichen Akteuren und kriminellen Gruppen. Gleichzeitig zeigte er auf, dass viele Angriffe nicht erfolgreich verlaufen, weil Fachwissen und Abwehrmechanismen inzwischen deutlich besser entwickelt sind. Die größte Lücke liegt laut Robert M. Lee nicht in der Technik, sondern in der Umsetzung.
Die folgenden sechs Punkte fassen die Lehren zusammen, die sich seit Stuxnet herausgebildet haben und die heute wichtiger für die OT sind als je zuvor:
1. OT ist das Rückgrat kritischer Infrastrukturen
Stuxnet hat deutlich gemacht, dass Angriffe auf industrielle Steuerungs- und Automatisierungssysteme (ICS/OT) direkte Auswirkungen auf physische Prozesse haben können. Während IT-Systeme vor allem die Integrität und Verfügbarkeit von Daten schützen sollen, steht in der OT die sichere und zuverlässige Steuerung industrieller Abläufe im Mittelpunkt. Ein erfolgreicher Angriff kann Maschinen beschädigen, Anlagen stilllegen und im schlimmsten Fall Menschenleben gefährden. Trotzdem fließt der Großteil der Cybersicherheitsbudgets noch immer in IT-Systeme. Dieses Ungleichgewicht besteht bis heute.
2. Die Bedrohung ist real, vielschichtig und nimmt weiter zu
Stuxnet blieb kein Einzelfall. Inzwischen sind mindestens neun Schadprogramme bekannt, die gezielt auf industrielle Steuerungs- und Automatisierungssysteme ausgelegt sind. Über 25 staatliche und nichtstaatliche Gruppen haben ihren Fokus auf OT-Umgebungen ausgerichtet. Einige sammeln Informationen, andere stören bereits aktiv die Stromversorgung, Wassersysteme oder die Rüstungsproduktion. Besonders gefährlich ist PIPEDREAM. Dieses modulare Angriffstool lässt sich flexibel in verschiedenen Branchen einsetzen und skalieren.
Auch nichtstaatliche Akteure erlangen inzwischen Fähigkeiten, die bislang nur staatlich geförderten Akteuren vorbehalten waren. Durch weltweite Vernetzung und zunehmende Professionalisierung von Ransomware- und Hacktivisten-Gruppen steigt das Risiko groß angelegter, koordinierter Angriffe deutlich.
3. Defense is Doable‘, wenn die Grundlagen stimmen
Trotz der komplexen Bedrohungslage zeigt sich eine klare Erkenntnis: Angriffe auf OT-Systeme lassen sich abwehren. Analysen belegen, dass bereits fünf grundlegende Schutzmaßnahmen einen Großteil aller Vorfälle verhindern können. Besonders wichtig ist Sichtbarkeit im Netzwerk. Ohne ein klares Bild von den Assets und Bedrohungen im eigenen System bleiben selbst professionelle Angriffe oft über lange Zeit unentdeckt. Aus der Praxis gibt es zahlreiche Beispiele. Selbst kleinere Versorger haben sich erfolgreich gegen hochentwickelte Angriffe behauptet, wenn ihre Sicherheitsstrategien klar definiert und konsequent umgesetzt waren.
4. Der öffentliche und private Sektor müssen zusammenarbeiten
Staatliche Stellen, Nachrichtendienste, CERTs und Unternehmen müssen eng zusammenarbeiten, um OT-Systeme wirksam zu schützen. Damit solche Kooperationen Erfolg haben, braucht es klare Zuständigkeiten, abgestimmte Abläufe und ein gemeinsames Verständnis der Bedrohungslage. Einzelne Initiativen wie das Electricity Information Sharing and Analysis Center (E-ISAC) gelten als gute Beispiele. Viele Partnerschaften bleiben jedoch zu unkonkret, schlecht koordiniert oder zu breit angelegt, um Wirkung zu entfalten. Ohne klare Schwerpunkte und gegenseitige Verpflichtung bleibt das Potenzial ungenutzt.
5. Regulierung muss verständlich und praxisnah sein
Die größte Hürde beim Schutz kritischer OT-Infrastrukturen ist nicht der Mangel an Know-how oder technischen Lösungen. Viel schwerer wiegen unklare, widersprüchliche oder überfrachtete Vorgaben.
Betreiber sehen sich häufig mit einer Vielzahl an Regelwerken verschiedener Stellen konfrontiert. Diese sind oft doppelt, unkoordiniert oder nicht auf OT-Systeme zugeschnitten. Was fehlt, ist eine abgestimmte Regulierung, die von der Industrie mitgestaltet wird, sich an realen Bedrohungen orientiert, klare Ziele vorgibt und dabei genug Spielraum für konkrete, unternehmensspezifische Umsetzungen lässt.
Kritische Infrastrukturen lassen sich nur dann wirksam absichern, wenn auch die vorgelagerten Bereiche zuverlässig geschützt sind. Die Risiken entstehen oft nicht erst beim Betreiber, sondern bereits bei den Zulieferern. Ungeprüfte Technik oder unsichere Hersteller können ganze Systeme gefährden.
Die Maßnahmen sind bekannt, sie müssen nur umgesetzt werden
15 Jahre nach Stuxnet ist klar, dass die Bedrohungslage weiter zunimmt. Gleichzeitig steht heute mehr Wissen über wirksame Schutzmaßnahmen zur Verfügung als je zuvor. Der nächste Schritt besteht darin, dieses Wissen flächendeckend anzuwenden. Dafür braucht es klare Zuständigkeiten, entschlossenes Handeln und eine Zusammenarbeit, die nicht an Abteilungsgrenzen endet. (Dragos: ra)
eingetragen: 04.11.25
Dragos: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.