Wie Hersteller verhindern können, dass eine Sicherheitsverletzung die Anlage stoppt

Im Juli zwang ein Ransomware-Angriff Coca-Colas Fairlife-Milchwirtschaft dazu, die US-Produktion einzustellen. Coca-Cola erklärte, dass die Produktsicherheit und -qualität nicht beeinträchtigt seien. Die Produktion wurde trotzdem eingestellt.

Die Ransomware-Gruppe Anubis übernahm später die Verantwortung. Es hieß, es habe 1 Terabyte Daten gestohlen und drohte, diese zu veröffentlichen, falls kein Lösegeld gezahlt werde. Elf Tage nachdem Coca-Cola den Angriff bekannt gegeben hatte, nahm Fairlife die meiste Produktion in seinen vier US-Werken wieder auf.

Angriffe wie dieser nehmen in der gesamten Industrie zu. Black Kite verfolgte weltweit 1.183 offengelegte Ransomware-Vorfälle in der Herstellung vom 1. Januar bis zum 29. Juli 2026. Das sind fast 40 % mehr als im gleichen Zeitraum 2025 und mehr als im gesamten Jahr 2024.

Hersteller sind Ziele, weil Ausfallzeiten eine Hebelwirkung sind. Jede Stunde, die eine Leitung stillsteht, gefährdet Bestellungen, Umsatz und Kundenverpflichtungen.

"Die Einstellung von Aktivitäten setzt ein Unternehmen unter Druck, dessen Umsatz von der Herstellung und Lieferung von Produkten abhängt", sagte Trevor Dearing, Direktor für kritische Infrastrukturlösungen bei Illumio.

Hersteller können diesen Druck verringern, indem sie eine Sicherheitsverletzung planen, bevor sie eintritt. Das Ziel ist es, ein kompromittiertes System davor zu bewahren, dass ein fabrikweiter Stillstand wird.

Mit dem Fortschritt der Produktion sinkt die Sicherheit zurück

Ausfallzeiten sind eine Quelle von Hebelwirkung. Gestohlene Daten sind eine andere. Designs, Formeln und Produktionswissen sind wertvolle Ziele.

"Der Diebstahl geistigen Eigentums schafft eine weitere Gelegenheit für Erpressung oder Diebstahl", sagte Dearing.

Gleichzeitig verbinden Hersteller immer mehr ihrer Abläufe. Fernwartung und Datenaustausch verbessern die Effizienz. Sie öffnen auch neue Wege in die Pflanze.

"Die Fertigung verändert sich schneller als ihre Sicherheit", sagte er.

Auch die Lücke zwischen den Teams reicht. IT-Sicherheitsteams verstehen Cyberbedrohungen, können aber möglicherweise an detailliertem Produktionswissen fehlen. Anlagenteams kennen die Ausrüstung, sind aber mit den Risiken, die neue Verbindungen mit sich bringen, weniger vertraut.

"Keines der Teams kann das allein lösen", sagte er. "Gemeinsam müssen sie verstehen, von welchen Systemen die Produktion abhängt und wie sich eine Sicherheitsverletzung zwischen ihnen ausbreiten könnte."

Ein Arbeitsplatz, anlagenweites Risiko

Engineering Workstations zeigen wie. Das Personal nutzt sie, um Ausrüstung zu konfigurieren und zu warten. Diese Verbindungen können Angreifern einen Zugang zum Rest der Anlage verschaffen.

"Jemand könnte an einer Ingenieurarbeitsstation sitzen und seine persönliche E-Mail öffnen", sagte Dearing. "Ein Phishing-Angriff könnte Ransomware auf diese Arbeitsstation bringen."

Von dort aus könnten Angreifer seitlich zu verbundenen Systemen wechseln oder die benötigten Dienste deaktivieren. Allein der Schutz der Ausrüstung lässt eine Lücke. Hersteller müssen außerdem die dahinterstehenden Verbindungen und Dienstleistungen verstehen und schützen.

Beginnen Sie mit einer Karte, wie die Produktion abläuft

Dearing empfiehlt, zuerst herauszufinden, wie die Produktion läuft, und dann die Systeme und Verbindungen zu kartieren, die sie unterstützen. Eine Geräteliste zeigt den Teams, was sie haben. Eine Karte zeigt, was von was abhängt.

Der nächste Schritt ist ein Protokollaudit, eine Überprüfung der Kommunikation von Systemen. Es sollte Folgendes markieren:

• Remote-Desktop-Zugriff dort, wo er nicht hingehört
• Unsichere Protokolle
• Zugriff über das hinaus, was ein System für seine Aufgabe braucht,

"Du brauchst eine Sicht darauf, wie alles zusammenhängt", sagte er. "Dann musst du verstehen, was verwundbar ist, was es erreichen kann und wo das Risiko liegt."

IT- und Werksteams müssen diese Ergebnisse gemeinsam überprüfen. Die Betreiber wissen, welche Verbindungen die Produktion benötigt. Sicherheitsteams können sehen, wo dieser Zugriff Risiken schafft.

Gemeinsame US-Regierungsleitlinien zur Anpassung von Zero Trust an operative Technologie (OT) untermauern dies. Sie fordert Sichtbarkeit, kontrollierten Zugang und Segmentierung, die Sicherheit und Zuverlässigkeit berücksichtigen.

Gib jeder Verbindung einen Zweck

Sobald Teams verstehen, was Produktionsbedarf ist, können sie den Zugang zum Match einschränken. Die Fertigung hat hier einen Vorteil. Viele Systeme erfüllen eine enge Aufgabe und verwenden eine kleine Reihe von Protokollen, was das Schreiben präziser Zugriffsregeln erleichtert.

"Gib dem Arbeitsplatz die Verbindungen, die er braucht, um seine Arbeit zu erfüllen", sagte Dearing. "Jede Verbindung sollte einen klaren Zweck haben."

Er empfiehlt eine Segmentierung zwischen IT und OT sowie innerhalb der Anlage selbst. Diese Grenzen schneiden die Wege ab, die ein Angreifer zum Ausbreiten nutzen kann.

Dasselbe Prinzip gilt für Anbieter. Ein Lieferant, der ein Gerät wartet, sollte keinen Zugang zu nicht zusammenhängenden Systemen haben. Die Fernverbindung sollte über Identitätskontrollen des Herstellers laufen.

Für Ausrüstung, die nicht leicht gepatcht werden kann, beschränke dich, was sie erreichen kann. Der Makel bleibt bestehen, aber weniger Systeme können ihn berühren.

All das hängt davon ab, den Prozess zuerst zu verstehen. Bevor neue Regeln durchgesetzt werden, müssen Teams sicherstellen, dass sie den Verkehrsproduktionsbedarf nicht blockieren.

Baue den großen roten Knopf, bevor du ihn brauchst.

Zugangsregeln begrenzen, wie weit sich eine Sicherheitsverletzung ausbreiten kann. Dearing empfiehlt außerdem einen Plan, die Produktion zu isolieren, wenn eine näher kommt. Er nennt es einen "großen roten Knopf": eine vorbereitete Methode, um die Produktion zu stoppen, um eine Sicherheitsverletzung im größeren Geschäft zu verursachen. Der Plan sollte festlegen, was abgekoppelt werden soll, wer es genehmigt und welche Dienste bestehen müssen.

"Das Ziel ist es, die Produktion zu isolieren, damit sie weiterlaufen kann, auch wenn andere Systeme ausfallen", sagte er. "Du musst diesen Plan ausarbeiten, bevor etwas schiefgeht."

Ein Plan, den noch niemand ausgeführt hat, ist nur eine Vermutung.

"Du musst es testen", sagte er. "Du musst wissen, dass der Plan funktioniert."

Einige Prozesse sind auf gemeinsame Login-Dienste, Fernsupport oder externe Daten angewiesen. Isolation könnte diese abschneiden, daher müssen Teams die Konsequenzen vor einem Angriff verstehen. Ein Test sollte bestätigen, welche Prozesse fortgesetzt werden können, welche sicher gestoppt werden müssen und was zuerst wiederhergestellt werden soll.

Die Warnung des britischen National Cyber Sicherheit Centre im August macht denselben Punkt. Sie fordert die Betreiber auf, eine schnelle Isolierung zu planen und Systeme aus vertrauenswürdigen Backups wiederherzustellen.

Dearings Rat läuft auf drei Dinge hinaus: wissen, was die Produktion braucht, den Zugang dazu kontrollieren und nachweisen, dass die Eindämmung funktioniert. Fairlife brauchte 11 Tage, um den Großteil seiner Produktion zurückzubringen. Die Zeit, um zu lernen, was eine Anlage am Laufen hält, ist, bevor sie stillsteht.

Ransomware daran hindern, die Produktion einzustellen

Warten Sie nicht darauf, dass ein Cyberangriff den Betrieb zum Stillstand bringt. Illumio hilft Herstellern, kritische IT- und OT-Verbindungen zu identifizieren, Ransomware einzudämmen und zu verhindern, dass Gefahren sich in Produktionsumgebungen ausbreiten.

Schützen Sie Ihre Abläufe mit Illumio Eindämmung von Sicherheitsverletzungen

Illumio Segmentation entdecken