Cyberkriminalität und OT-Sicherheit: Motive, Akteure und Risiken

Cyberangriffe stellen Unternehmen und Betreiber kritischer Infrastrukturen vor wachsende Herausforderungen. Besonders gefährdet sind Umgebungen der Operational Technology (OT), in denen digitale Systeme unmittelbar mit industriellen Prozessen und physischen Anlagen verbunden sind.

In der neuen Podcastfolge von OT Security Made Simple sprechen wir mit Dr. Marc T. Hoffmann über die Motive und Vorgehensweisen von Cyberkriminellen. Der Kriminal- und Intelligence-Analyst verfügt über langjährige Erfahrung in der Analyse von Täterverhalten im Cyberraum.

Was Cyberkriminelle antreibt

Das verbreitete Bild vom jugendlichen Hacker im Kapuzenpullover greift zu kurz. Cyberkriminalität ist heute ein globales, arbeitsteilig organisiertes Geschäftsfeld. Nach den im Gespräch genannten Prognosen könnten die weltweit verursachten Schäden bis 2026 auf jährlich 11,36 Billionen US-Dollar steigen. Diese Größenordnung macht deutlich: Hinter Cyberangriffen stehen nicht nur Einzelpersonen, sondern zunehmend professionell organisierte Gruppen mit erheblichen finanziellen und technischen Ressourcen.

Herausforderung statt finanzieller Gewinn

Die Motive von Cyberkriminellen unterscheiden sich deutlich. Laut einer von Dr. Hoffmann angeführten Untersuchung handeln 76,3 Prozent der befragten Black-Hat-Hacker vor allem aus Freude an der technischen Herausforderung und nicht in erster Linie aus finanziellen Gründen.

Der Reiz liegt für sie darin, Schutzmechanismen zu überwinden, komplexe Systeme zu verstehen und Anerkennung innerhalb einer bestimmten Gemeinschaft zu gewinnen. Finanzielle Anreize können eine Rolle spielen, sind jedoch nicht immer der entscheidende Faktor.

Warum kritische Infrastrukturen im Fokus stehen

Energieversorgung, Produktion, Gesundheitswesen und andere kritische Bereiche sind attraktive Angriffsziele. Ein erfolgreicher Angriff kann dort weitreichende wirtschaftliche und gesellschaftliche Folgen haben. Auch deshalb wurden mit der NIS2 Gesetzgebung kritische Infrastrukturen zu ganzheitlicher Cybersicherheit verpflichtet.

Technische Fähigkeiten allein führen allerdings nicht zwangsläufig zu einem Angriff. Dr. Hoffmann weist darauf hin, dass einige Hacker- und Ransomware-Gruppen nach selbst auferlegten Regeln handeln. Manche schließen etwa Krankenhäuser oder andere lebenswichtige Einrichtungen offiziell als Ziele aus. Solche Erklärungen sind jedoch weder verlässlich noch einheitlich. Zudem können Fehlkonfigurationen, unkontrollierte Schadsoftware oder Angriffe anderer Akteure weiterhin erhebliche Schäden verursachen.

Vier Gruppen von Cyberakteuren

Dr. Hoffmann unterscheidet vier zentrale Gruppen, die jeweils eigene Ziele und Vorgehensweisen verfolgen:

1. Einzeltäter: Häufig verfügen sie nur über begrenzte technische Fähigkeiten. Ihre Angriffe richten sich eher gegen einzelne Personen oder kleinere Ziele als gegen komplexe industrielle Infrastrukturen.

2. Ransomware-Gruppen: Ihr Hauptziel ist finanzieller Gewinn. Sie verschlüsseln Daten oder Systeme und verlangen Lösegeld. Einige Gruppen vermeiden öffentlich besonders sensible Ziele, weil Angriffe auf kritische Infrastrukturen starken politischen und strafrechtlichen Druck auslösen können.

3. Staatliche Akteure: Sie verfolgen vor allem strategische Ziele wie Spionage, Einflussnahme oder Sabotage. Bei der Informationsbeschaffung ist es für sie entscheidend, möglichst lange unentdeckt zu bleiben.

4. Organisierte Kriminalität: Diese Netzwerke arbeiten zunehmend wie Unternehmen. Sie teilen Aufgaben auf, nutzen spezialisierte Dienstleister und setzen professionelle Methoden ein, um Gewinne zu erzielen und einer Strafverfolgung zu entgehen.

Abwägung von Risiko und Ertrag

Vor einem Angriff bewerten Täter den möglichen Gewinn und das damit verbundene Risiko. Kritische Infrastrukturen können hohe Lösegeldforderungen ermöglichen. Gleichzeitig führen öffentlichkeitswirksame Angriffe häufig zu intensiveren Ermittlungen, politischen Reaktionen und zusätzlichen Sicherheitsmaßnahmen.

Diese Folgen können abschreckend wirken. Sie bieten jedoch keinen verlässlichen Schutz: Je nach Motivation, Auftrag und Risikobereitschaft können kriminelle oder staatliche Akteure zu einer völlig anderen Bewertung gelangen.

Fazit

Wer wirksame Cybersicherheitsstrategien entwickeln will, muss neben technischen Schwachstellen auch die Motive und Arbeitsweisen möglicher Angreifer verstehen. Gerade beim Schutz von OT-Umgebungen und kritischen Infrastrukturen reicht es nicht aus, von einem einheitlichen Täterbild auszugehen.

Das Gespräch mit Dr. Marc T. Hoffmann zeigt, wie unterschiedlich die beteiligten Akteure handeln und warum Unternehmen ihre Schutzmaßnahmen an realistischen Angriffsszenarien ausrichten sollten. Die vollständige Diskussion gibt es in unserer neuen Podcastfolge.

Rhebo entwickelt und vermarktet OT- und IIoT-Cybersecurity-Lösungen für Energieunternehmen, Kritische Infrastrukturen und Industrie. Das Unternehmen bietet standortübergreifende Cybersicherheit, Angriffserkennung und Sichtbarkeit in industriellen Netzwerken (ICS) durch OT-Monitoring und Threat & Intrusion Detection von der initialen Risikoanalyse bis zum Betrieb. Rhebo ist seit 2021 Teil der Landis+Gyr AG, einem global führenden Anbieter integrierter Energiemanagement-Lösungen für die Energiewirtschaft mit weltweit rund 5.000 Mitarbeiter:innen in über 30 Ländern.

Rhebo ist Partner der Allianz für Cyber-Sicherheit des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Teletrust – Bundesverband IT-Sicherheit e.V.. Als vertrauenswürdiges IT-Sicherheitsunternehmen ist Rhebo offizieller Träger der Gütesiegel »IT Security Made in Germany« sowie »Cybersecurity Made In Europe«. https://rhebo.com/