Prävention allein stoppt Cyberangriffe nicht mehr

Weltweit zählt das verarbeitende Gewerbe zu den Branchen, die am stärksten von Ransomware-Attacken betroffen ist: So liegt es laut ransomware.live auf dem zweiten Platz. Und die Dynamik verschärft sich, denn bereits im Oktober 2026 erreichte die Zahl der registrierten Vorfälle beinahe das Niveau des gesamten Rekordjahres 2025. Für Produktionsbetriebe steht dabei immer mehr als ein isolierter Datenverlust auf dem Spiel. Ein Cyberangriff kann Fertigungsstraßen lahmlegen, physische Schäden an Anlagen verursachen und Lieferketten unterbrechen. Hinzu kommen Haftungsrisiken, Reputationsschäden und mögliche psychologische Folgen für die Belegschaft.

Vor diesem Hintergrund braucht es ein zukunftssicheres Sicherheitskonzept, das über Prävention hinausgeht. Es schließt kontinuierliche Überwachung ein, ebenso wie eine verhaltensbasierte Erkennung und eine sofortige Reaktionsfähigkeit.

Warum präventiver Schutz in der Produktion an Grenzen stößt

Dass Sicherheitslücken in Produktionsumgebungen oft über Jahre hinweg offenbleiben, hat pragmatische und strukturelle Gründe. Software in der Fertigung ist eng mit den Steuerungsebenen der Maschinen verzahnt. Schon ein einziges Update kann daher aufwendige Anpassungen oder teure Stillstände erfordern.

Hinzu kommt, dass laut CrowdStrike mittlerweile 82 Prozent aller Attacken ohne klassische Schadsoftware erfolgen, sondern über gestohlene Zugangsdaten oder den Missbrauch legitimer Systemwerkzeuge („Living off the Land“). Ein kompromittiertes Passwort kann ausreichen, um sich unbemerkt im Netzwerk zu bewegen. Eine Multi-Faktor-Authentifizierung (MFA) könnte dieses Risiko zwar drastisch reduzieren, wird aber längst nicht überall eingesetzt. Interne Analysen unserer Cybersicherheitsexperten zufolge nutzen 46 Prozent der Unternehmen unter 50 Mio. Euro Umsatz MFA noch nicht flächendeckend.

Auch Phishing-Schulungen stoßen an ihre Grenzen: KI macht betrügerische Nachrichten immer schwerer erkennbar, selbst für geschulte Mitarbeiter. Präventionsmaßnahmen bleiben zwar essenziell, müssen jedoch durch eine kontinuierliche Echtzeit-Überwachung verdächtiger Aktivitäten ergänzt werden.

Rundumüberwachung durch Managed Detection and Response (MDR)

Um Schäden wirksam zu begrenzen, ist Zeit ist der entscheidende Faktor: So bewegen sich Angreifer nach einem digitalen Einbruch im Schnitt bereits innerhalb von nur 29 Minuten unkontrolliert im Netzwerk weiter. Wer also Warnmeldungen erst am nächsten Werktag durch das interne IT-Team prüft, reagiert zu spät.

Hier setzt Managed Detection and Response (MDR) an: Ein externer MDR-Dienst überwacht die Systeme, wertet Warnmeldungen aus und unterscheidet echte Bedrohungen von Fehlalarmen. Das entlastet interne IT-Teams. Entscheidend ist, dass MDR nicht beim Alarm stehen bleibt: Nach vereinbarten Regeln isolieren Spezialisten kompromittierte Geräte oder sperren verdächtige Zugänge, bevor Angreifer produktionskritische Systeme erreichen.

Ransomware-Angriff: Die ersten 24 Stunden entscheiden

Nach einer Ransomware-Attacke müssen Unternehmen schnell, aber besonnen handeln. Klare Zuständigkeiten, ein schlagkräftiger Krisenstab und getestete Backups bestimmen, wie gut sich Schäden begrenzen und Produktion sowie Geschäftsprozesse wieder hochfahren lassen. Vorbereitung wird zum entscheidenden Resilienzfaktor für die gesamte Organisation.

Anja Noack

Woran Entscheider einen leistungsfähigen MDR-Service erkennen

Der Markt für Sicherheitsdienstleistungen ist unübersichtlich und nicht jedes Monitoring-Angebot ist ein vollwertiger MDR-Service. Für Industrieunternehmen sind vor allem neun Kriterien entscheidend:

1. Verhaltensbasierte EDR-Technologie statt Antivirus: Eine echte Endpoint Detection and Response (EDR) erkennt verdächtige Verhaltensmuster, statt nur bekannte Schadsoftware. Unternehmen sollten auf unabhängige Bewertungen wie die MITRE ATT&CK Evaluations achten oder die A-Validierung im Gartner Magic Quadrant prüfen. Kritisch für Ingenieure ist zudem, dass der installierte Agent die Leistung der Systemressourcen und Prozessrechner nicht spürbar belastet.

2. Cross-Domain XDR: Dateneingänge über den Endpunkt hinaus: Wirksame Erkennung aggregiert und korreliert nicht nur Endpunktdaten, sondern verknüpft sie mit Informationen aus etwa Identitätsmanagementsystemen (Active Directory/Entra ID), Firewalls und Cloud-Infrastrukturen. Erst diese Gesamtsicht macht komplexe Angriffspfade sichtbar.

3. Echtes 24/7-SOC statt bloßer Rufbereitschaft: Ein reines IT-Systemhaus mit passiver Rufbereitschaft ist kein Security Operations Center (SOC). Erforderlich ist ein auf Incident Response spezialisiertes SOC mit ausgebildeten Cyberanalysten. Sie qualifizieren und triagieren die Alarme rund um die Uhr in Echtzeit.

4. Verbindliche SLAs statt unverbindlicher SLOs: Vertraglich zugesicherte Service Level Agreements (SLAs) bieten mehr Sicherheit als unverbindliche Zielwerte oder durchschnittliche Reaktionszeiten. Als Goldstandard gelten eine erste Prüfung (Triage) innerhalb von zehn Minuten und die aktive Eindämmung binnen 60 Minuten – auch nachts und am Wochenende.

5. Produktionssensitive Notfallmatrix und Kontextverständnis: Ein starrer Automatismus ist in der Produktion gefährlich: Wer sonntags um 3:00 Uhr nachts bei einem Fehlalarm ein zentrales SCADA-System isoliert, verursacht genau den Bandstillstand, den man verhindern wollte. Ein guter MDR-Partner stimmt vorab Notfallpfade ab: Unkritische Office-Geräte können automatisiert isoliert werden; bei und produktionskritischen OT-Systemen sind zuständige Personen wie die Schichtleitung einzubinden.

6. Aktive Handlungsfähigkeit (Containment-Tiefe): Ein Dienstleister, der nachts um 3:00 Uhr lediglich eine Warn-E-Mail schickt, verhindert keinen Produktionsausfall am Montagmorgen. Er muss befugt und technisch in der Lage sein, aktive Gegenmaßnahmen durchzuführen – etwa den Host zu isolieren, schädliche Prozesse zu stoppen oder Benutzerkonten zu sperren.

7. Feste Ansprechpartner und direkte Erreichbarkeit: Im Ernstfall müssen die Cyberexperten erreichbar sein, die die spezifische Kundeninfrastruktur kennen und auch außerhalb von Notfällen beratend zur Seite stehen.

8. Compliance, Reporting und Vorfalldokumentation: Gerade in regulierten Branchen muss die Lösung Audit-Trails, Monatsreports, Berichte und Vorfallsanalysen liefern, damit das Unternehmen Nachweispflichten gegenüber Aufsichtsbehörden und Risikoträgern erfüllen kann. Das ist auch mit Blick auf die 24-Stunden-Frühwarnpflicht gemäß der NIS-2-Richtlinie wichtig.

9. Hürden für kleinere Betriebe: Endpoint-Limits prüfen: Viele internationale MDR-Anbieter setzen hohe Mindestabnahmemengen von beispielsweise 100 bis 150 Endpunkten voraus. Gerade für kleinere Zulieferer und KMU sollten darauf achten, dass der Service flexibel skalierbar ist, die auch kleinere IT/OT-Landschaften professionell absichern – und zwar ohne künstliche Mindestgrenzen.

Wie technische Abwehr und Cyberversicherung ineinandergreifen

Cybersicherheit in der Industrie ist keine isolierte IT-Aufgabe, sondern ein Zusammenspiel aus technischer Prävention, kontinuierlicher aktiver Abwehr und finanzieller Risikoübertragung. Denn im Industriesektor können die Folgeschäden einer Betriebsunterbrechung die reinen Wiederherstellungskosten der IT oder potenzielle Lösegeldforderungen deutlich übersteigen. Stillstehende Fertigungsstraßen verursachen schnell sechs- bis siebenstellige Kosten – etwa durch Produktionsausfälle, Personalleerlauf oder Vertragsstrafen bei unterbrochenen Just-in-Time-Lieferketten.

In diesem Szenario zeigt sich die Symbiose zwischen aktiver Bedrohungsabwehr und der Absicherung durch Cyberversicherungen: Ein MDR-Diensts kann einen Angriff frühzeitig stoppen, bevor die Kernsysteme der Produktion kompromittiert werden. Das Schadenereignis beschränkt sich im Idealfall somit auf einzelne Systeme, die isoliert und bereinigt werden müssen, statt einen flächendeckenden Bandstillstand zu verursachen.

Zugleich kann eine nachweisbare 24/7-Überwachung Unternehmen den Zugang zu einer Cyberversicherung erleichtern. Ein verbessertes Risikoprofil kann sich positiv auf Prämien, Selbstbehalte und Deckungsumfang auswirken. In anspruchsvollen Branchen kann sie oft der entscheidende Türöffner für eine bezahlbare Cyber- und Ertragsausfallpolice sein.

Im Schadenfall ergänzen sich beide Leistungen: MDR liefert wichtige forensische Daten für die Vorfallaufklärung und um behördliche Meldefristen einzuhalten, während die Cyberversicherung das verbleibende finanzielle Risiko abfedert.

Erst erkennen, dann absichern

Der Mittelstand braucht den Paradigmenwechsel, denn technische Prävention allein reicht gegen moderne Angriffe nicht aus. Erst die Kombination aus praxistauglicher Prävention, kontinuierlicher MDR-Überwachung und einer passenden Cyberversicherung stärkt die operative und finanzielle Widerstandsfähigkeit von Industrie- und Produktionsbetrieben.

1. Verhaltensbasierte EDR-Technologie statt Antivirus: Eine echte Endpoint Detection and Response (EDR) erkennt verdächtige Verhaltensmuster, statt nur bekannte Schadsoftware. Unternehmen sollten auf unabhängige Bewertungen wie die MITRE ATT&CK Evaluations achten oder die A-Validierung im Gartner Magic Quadrant prüfen. Kritisch für Ingenieure ist zudem, dass der installierte Agent die Leistung der Systemressourcen und Prozessrechner nicht spürbar belastet.

2. Cross-Domain XDR: Dateneingänge über den Endpunkt hinaus: Wirksame Erkennung aggregiert und korreliert nicht nur Endpunktdaten, sondern verknüpft sie mit Informationen aus etwa Identitätsmanagementsystemen (Active Directory/Entra ID), Firewalls und Cloud-Infrastrukturen. Erst diese Gesamtsicht macht komplexe Angriffspfade sichtbar.

3. Echtes 24/7-SOC statt bloßer Rufbereitschaft: Ein reines IT-Systemhaus mit passiver Rufbereitschaft ist kein Security Operations Center (SOC). Erforderlich ist ein auf Incident Response spezialisiertes SOC mit ausgebildeten Cyberanalysten. Sie qualifizieren und triagieren die Alarme rund um die Uhr in Echtzeit.

4. Verbindliche SLAs statt unverbindlicher SLOs: Vertraglich zugesicherte Service Level Agreements (SLAs) bieten mehr Sicherheit als unverbindliche Zielwerte oder durchschnittliche Reaktionszeiten. Als Goldstandard gelten eine erste Prüfung (Triage) innerhalb von zehn Minuten und die aktive Eindämmung binnen 60 Minuten – auch nachts und am Wochenende.

5. Produktionssensitive Notfallmatrix und Kontextverständnis: Ein starrer Automatismus ist in der Produktion gefährlich: Wer sonntags um 3:00 Uhr nachts bei einem Fehlalarm ein zentrales SCADA-System isoliert, verursacht genau den Bandstillstand, den man verhindern wollte. Ein guter MDR-Partner stimmt vorab Notfallpfade ab: Unkritische Office-Geräte können automatisiert isoliert werden; bei und produktionskritischen OT-Systemen sind zuständige Personen wie die Schichtleitung einzubinden.

6. Aktive Handlungsfähigkeit (Containment-Tiefe): Ein Dienstleister, der nachts um 3:00 Uhr lediglich eine Warn-E-Mail schickt, verhindert keinen Produktionsausfall am Montagmorgen. Er muss befugt und technisch in der Lage sein, aktive Gegenmaßnahmen durchzuführen – etwa den Host zu isolieren, schädliche Prozesse zu stoppen oder Benutzerkonten zu sperren.

7. Feste Ansprechpartner und direkte Erreichbarkeit: Im Ernstfall müssen die Cyberexperten erreichbar sein, die die spezifische Kundeninfrastruktur kennen und auch außerhalb von Notfällen beratend zur Seite stehen.

8. Compliance, Reporting und Vorfalldokumentation: Gerade in regulierten Branchen muss die Lösung Audit-Trails, Monatsreports, Berichte und Vorfallsanalysen liefern, damit das Unternehmen Nachweispflichten gegenüber Aufsichtsbehörden und Risikoträgern erfüllen kann. Das ist auch mit Blick auf die 24-Stunden-Frühwarnpflicht gemäß der NIS-2-Richtlinie wichtig.

9. Hürden für kleinere Betriebe: Endpoint-Limits prüfen: Viele internationale MDR-Anbieter setzen hohe Mindestabnahmemengen von beispielsweise 100 bis 150 Endpunkten voraus. Gerade für kleinere Zulieferer und KMU sollten darauf achten, dass der Service flexibel skalierbar ist, die auch kleinere IT/OT-Landschaften professionell absichern – und zwar ohne künstliche Mindestgrenzen.

Wie technische Abwehr und Cyberversicherung ineinandergreifen

Cybersicherheit in der Industrie ist keine isolierte IT-Aufgabe, sondern ein Zusammenspiel aus technischer Prävention, kontinuierlicher aktiver Abwehr und finanzieller Risikoübertragung. Denn im Industriesektor können die Folgeschäden einer Betriebsunterbrechung die reinen Wiederherstellungskosten der IT oder potenzielle Lösegeldforderungen deutlich übersteigen. Stillstehende Fertigungsstraßen verursachen schnell sechs- bis siebenstellige Kosten – etwa durch Produktionsausfälle, Personalleerlauf oder Vertragsstrafen bei unterbrochenen Just-in-Time-Lieferketten.

In diesem Szenario zeigt sich die Symbiose zwischen aktiver Bedrohungsabwehr und der Absicherung durch Cyberversicherungen: Ein MDR-Diensts kann einen Angriff frühzeitig stoppen, bevor die Kernsysteme der Produktion kompromittiert werden. Das Schadenereignis beschränkt sich im Idealfall somit auf einzelne Systeme, die isoliert und bereinigt werden müssen, statt einen flächendeckenden Bandstillstand zu verursachen.

Zugleich kann eine nachweisbare 24/7-Überwachung Unternehmen den Zugang zu einer Cyberversicherung erleichtern. Ein verbessertes Risikoprofil kann sich positiv auf Prämien, Selbstbehalte und Deckungsumfang auswirken. In anspruchsvollen Branchen kann sie oft der entscheidende Türöffner für eine bezahlbare Cyber- und Ertragsausfallpolice sein.

Im Schadenfall ergänzen sich beide Leistungen: MDR liefert wichtige forensische Daten für die Vorfallaufklärung und um behördliche Meldefristen einzuhalten, während die Cyberversicherung das verbleibende finanzielle Risiko abfedert.

Erst erkennen, dann absichern

Der Mittelstand braucht den Paradigmenwechsel, denn technische Prävention allein reicht gegen moderne Angriffe nicht aus. Erst die Kombination aus praxistauglicher Prävention, kontinuierlicher MDR-Überwachung und einer passenden Cyberversicherung stärkt die operative und finanzielle Widerstandsfähigkeit von Industrie- und Produktionsbetrieben.