SANS-Umfrage zur industriellen Cybersicherheit : ICS/OT-Sicherheit: Mehr Vorfälle, häufigere Ausfälle, offene Resilienzfragen
Jeder dritte Befragte hat laut dem „State of ICS/OT Security Survey 2026" des SANS Institute in diesem Jahr einen Cybervorfall in der Industrie erlebt. Gleichzeitig zweifeln viele daran, ob ihr Betrieb einen längeren Ausfall der Steuerungssysteme sicher überstehen würde. Besonders auffällig: Blinde Flecken beim manuellen Betrieb, bei der Transparenz zwischen IT und OT sowie bei der Abhängigkeit von Automatisierungsanbietern zeigen, dass Resilienz in vielen Betrieben noch keine gelebte Praxis ist.
TL;DR
- Mehr Cybervorfälle: Laut SANS-Umfrage 2026 waren 34 % der Befragten von einem ICS/OT-Cybervorfall betroffen.
- Direkte Betriebsfolgen: 72 % der gemeldeten Vorfälle führten zu Ausfallzeiten von Anlagen oder Systemen.
- Offene Resilienzfragen: 40 % konnten einen sicheren Handbetrieb über 48 Stunden hinaus nicht einschätzen. Nur jeder Zehnte traut seinem Unternehmen einen unbegrenzten Weiterbetrieb ohne den wichtigsten OT-Anbieter zu.
Der Anteil der Befragten, die von einem Cybervorfall in industriellen Steuerungssystemen (ICS) oder in der Betriebstechnik (OT) betroffen waren, stieg demnach auf 34 %. Nach Angaben des SANS Institute ist das der stärkste Zuwachs innerhalb eines Jahres, seit das Institut industrielle Vorfälle erfasst. Die Kernergebnisse hat SANS am 7. Oktober in München vorgestellt, die vollständige Studie soll im November folgen. Grundlage sind die Antworten von knapp 700 Fachleuten aus unterschiedlichen Industriezweigen.
Aus den Daten liest SANS eine Verschiebung der Schwerpunkte in der industriellen Cybersicherheit ab: Neben Prävention und Erkennung rücke die Cyberresilienz in den Vordergrund. Gemeint ist die Fähigkeit, eine Anlage auch dann sicher und zuverlässig zu betreiben, wenn bereits ein Vorfall eingetreten ist.
Ausfallzeiten und Handbetrieb
Dass digitale Angriffe direkt auf die Produktion durchschlagen, zeigt ein weiterer Befund der Umfrage: Bei 72 % der gemeldeten ICS/OT-Vorfälle kam es zu Ausfallzeiten von Anlagen oder Systemen. Ein Sicherheitsvorfall werde so schnell zu einer Frage der betrieblichen Belastbarkeit, heißt es bei SANS. Industriebetreiber müssten unter Umständen physische Prozesse am Laufen halten, während die Steuerungssysteme nicht verfügbar sind, technische Anlagen isolieren oder Systeme wiederherstellen, ohne dabei neue Betriebsrisiken zu schaffen. Unternehmen sollten daher nicht allein bewerten, wie schnell sie einen Angriff bemerken, sondern auch, wie sicher sie den Betrieb während Reaktion und Wiederherstellung aufrechterhalten können.
Als eine der deutlichsten Resilienzlücken nennt die Erhebung den manuellen Betrieb. 40 % der Teilnehmer konnten nicht einschätzen, ob ihr Unternehmen kritische Prozesse länger als 48 Stunden sicher von Hand fahren könnte – also ohne zentrale Steuerung über SCADA- oder DCS-Systeme. Bei einem langwierigen Vorfall könne der Handbetrieb eine unverzichtbare Rückfallebene sein, so das Institut. Ob er funktioniere, hänge aber von geschultem Personal, dokumentierten Verfahren und realistischen Tests ab. Ein vorhandenes Verfahren auf dem Papier sei noch kein Nachweis dafür, dass ein Betrieb es unter Druck auch umsetzen kann.
Lücken bei der gemeinsamen Überwachung von IT und OT
Begrenzt bleibt nach Einschätzung von SANS auch der Überblick über Unternehmens-IT und Betriebstechnik hinweg. Lediglich 13 % der Befragten gaben an, dass die Transparenz zwischen IT- und ICS/OT-Umgebungen entlang der gesamten ICS-Cyber-Kill-Chain vollständig abgestimmt ist. Erst ein solcher durchgängiger Einblick erlaube es Sicherheitsteams, Angreifer zu verfolgen, wenn diese zwischen Unternehmensnetz und Industrieumgebung wechseln.
Betriebe mit vollständiger Transparenz wiesen der Studie zufolge ein anderes Vorfallsprofil auf: Bei ihnen wurden seltener Lücken am Perimeter ausgenutzt, und es kam seltener zu unbefugten Zugriffen. Die Studienautoren folgern daraus, dass Unternehmen Sicherheitsinformationen aus IT und OT verknüpfen und Erkennungsergebnisse in Entscheidungen übersetzen müssen, die den Weiterbetrieb absichern.
Abhängig vom Automatisierungsanbieter
Ein weiteres Risiko sehe man in der Bindung an Technologielieferanten. In der Umfrage sollten die Teilnehmer ein Worst-Case-Szenario durchdenken: Ihr primärer OT-Automatisierungsanbieter fällt weg – etwa infolge eines katastrophalen Cybervorfalls, einer Insolvenz oder schwerer geopolitischer Sanktionen. Nur jeder zehnte Befragte traute seinem Unternehmen zu, die Produktion in diesem Fall auf unbestimmte Zeit fortzuführen.
Industrielle Automatisierung stütze sich laut SANS häufig auf anbieterspezifische Hardware und Software, technisches Fachwissen, Quellcode und Ersatzgeräte. Diese Abhängigkeiten zu kennen, bevor es zu Störungen kommt, sei ein wichtiger Bestandteil der Lieferkettensicherheit und der betrieblichen Resilienz. Insgesamt geht industrielle Cybersicherheit nach Lesart des Instituts damit über das Verhindern und Erkennen von Angriffen hinaus: Unternehmen müssten sich ebenso darauf vorbereiten, im Ernstfall sicher weiterzuarbeiten, kritische Systeme wiederherzustellen und Abhängigkeiten von Technik und Lieferketten zu bewältigen. (www.sans.org)
(Hinweis: Dieser Beitrag wurde mithilfe von KI-Tools erstellt und anschließend von der Redaktion inhaltlich geprüft und überarbeitet.)