Black Kite’s 2026 Fertigung & Vertrieb Ransomware‑Bericht: Fertigung bleibt das Hauptziel von Ransomware

Black Kite’s 2026 Fertigung & Vertrieb Ransomware‑Bericht: Nach wie vor das #1‑Ziel, aber das Opferprofil hat sich nach unten verlagert und ist ins Ausland gegangens stellt fest, dass der Ransomware‑Druck auf Hersteller nicht nur zunimmt, sondern sich auch wandelt. Die Black Kite Research Group analysierte Tausende von öffentlich bekannten Ransomware‑Vorfällen von 2023 bis Juli 2026 sowie aktuelle externe Expositionsdaten großer Hersteller und Vertriebsunternehmen. Die Ergebnisse deuten auf ein Bedrohungsumfeld hin, das geografisch expandiert, sich zu mittelständischen Unternehmen verlagert und zunehmend in der Lage ist, ein einziges kompromittiertes Unternehmen in eine viel größere Störung der Lieferkette zu verwandeln.

Fertigung bleibt herausragend

Fertigung ist seit fünf aufeinanderfolgenden Jahren die am häufigsten von Black Kite angegriffene Branche, und das Angriffstempo nimmt weiter zu.

In den ersten sieben Monaten 2026 gab es 1.183 gemeldete Ransomware‑Opfer aus der Fertigung, bereits mehr als in den gesamten Jahren 2023 bzw. 2024. Im Vergleich zum gleichen Zeitraum des Vorjahres stiegen die Angriffe um fast 40 %.

Diese Beständigkeit ist besonders bemerkenswert, weil die Fertigung als Ziel weiter wuchs, selbst in Phasen, in denen Maßnahmen der Strafverfolgungsbehörden einige der größten Akteure des Ransomware‑Ökosystems störten.

Die Anziehungskraft ist relativ einfach. Im Gegensatz zu Angriffen auf Unternehmen, bei denen der Betrieb teilweise weiterlaufen kann, während IT‑Systeme wiederhergestellt werden, kann ein Cyberangriff auf einen Hersteller die physische Produktion zum Stillstand bringen. Verpasste Lieferungen, untätige Arbeiter, vertragliche Strafen und gestörte Kunden erhöhen den finanziellen Druck auf das Opfer schnell.

Dieselbe Dynamik macht die Fertigung für Erpressungsgruppen besonders wertvoll. Jede Stunde, in der eine Produktionslinie offline bleibt, kann die Verhandlungsposition des Angreifers stärken.

Das typische Opfer wird kleiner

High‑Profile‑Angriffe auf große globale Hersteller dominieren oft die Schlagzeilen, doch die Daten von Black Kite deuten darauf hin, dass das Zentrum der Ransomware‑Aktivität viel weiter unten im Markt liegt.

Das mittlere Fertigungsopfer im Datensatz erzielt einen Jahresumsatz von 42,9 Millionen $. Unternehmen mit einem Umsatz zwischen 10 Millionen $ und 100 Millionen $ machten 2026 etwa 70 % der Opfer mit bekannten Umsätzen aus.

Große Unternehmen bleiben Ziel, doch ihr Anteil an den Gesamtereignissen ist gesunken, da Angreifer tiefer in den Mittelstand vordringen.

Diese Verschiebung ist bedeutsam, weil viele dieser Unternehmen keine isolierten Betriebe sind. Mittelständische Hersteller liefern häufig Komponenten, Ausrüstungen, Chemikalien, Elektronik, Lebensmittelprodukte und andere Zulieferungen an deutlich größere Organisationen.

Infolgedessen kann ein Angriff auf einen relativ unbekannten Zulieferer zu einem Problem der Geschäftskontinuität für Unternehmen werden, die vielfach größer sind.

Der Druck ist zudem breit über die Fertigung verteilt. Maschinen stellten den größten einzelnen Teilsektor im Datensatz von Black Kite dar, doch gefertigte Metalle, Transportausrüstung, Chemikalien, Elektronik und Lebensmittelherstellung machten ebenfalls bedeutende Anteile der Vorfälle aus. Keine einzelne Nische dominiert das Bedrohungsumfeld.

Ransomware wird immer globaler

Die geografische Zusammensetzung von Fertigungs‑Ransomware ändert sich fast genauso schnell wie das Opferprofil.

Die Vereinigten Staaten bleiben eine wichtige Quelle gemeldeter Vorfälle, doch ihr Anteil an globalen Fertigungsopfern fiel 2026 stark. Der Rückgang war nicht hauptsächlich darauf zurückzuführen, dass Angriffe auf US‑Unternehmen verschwunden seien. Stattdessen expandierte die Ransomware‑Aktivität anderswo viel schneller.

Europäische Fertigungsopfer stiegen im vergleichbaren Zeitraum 2026 um mehr als 85 %, wobei Deutschland die höchste Gesamtzahl der Region verzeichnete. Italien, das Vereinigte Königreich, Frankreich, Spanien, die Türkei und Polen verzeichneten ebenfalls erhebliche Zuwächse.

Dies ist besonders in Volkswirtschaften von Bedeutung, in denen die Fertigung einen bedeutenden Anteil an der Industrieproduktion und Beschäftigung ausmacht. Ein erfolgreicher Angriff kann daher Folgen haben, die über die Bilanz eines Unternehmens hinausgehen.

Der geografische Wandel wird auch von neueren Ransomware‑Gruppen beeinflusst. Die Gentlemen zum Beispiel tauchten erst Ende 2025 im Datensatz von Black Kite auf, wurden jedoch schnell zu einem der aktivsten Akteure, die Hersteller ins Visier nehmen, mit einer besonders sichtbaren Rolle in Europa.

Das Akteurs‑Bedrohungsumfeld wird neu gestaltet

Der rasche Aufstieg neuer Gruppen ist ein weiteres prägendes Merkmal des Berichts.

Fast die Hälfte der 2026 erfassten Fertigungsincidents wurde Bedrohungsakteuren zugeschrieben, die im Datensatz von Black Kite 2023 oder 2024 noch nicht vorkamen. Auch die Zahl der Gruppen, die Hersteller anvisieren, hat sich deutlich erhöht.

Etablierte Namen sind nicht vollständig verschwunden, doch die Hierarchie wandelt sich.

Qilin führte die Vorfälle im Fertigungsbereich in den ersten sieben Monaten des Jahres 2026 an, gefolgt von The Gentlemen, Akira, DragonForce und INC Ransom. Einige zuvor dominierende Akteure sind stark zurückgegangen, während Nachfolge‑Marken und völlig neue Gruppen aufgetaucht sind.

Für Verteidiger stellt dieser Wechsel eine praktische Herausforderung dar. Sicherheitsstrategien, die auf die Verfolgung einer kleinen Gruppe bekannter Ransomware‑Gruppen ausgerichtet sind, können schnell veraltet sein. Die zugrunde liegenden Schwachstellen, die Angreifer ausnutzen – wie exponierter Fernzugriff, ungepatchte Schwachstellen, gestohlene Anmeldedaten und falsch konfigurierte Systeme – können daher nützlichere Indikatoren sein als der Name der derzeit führenden Gruppe.

Vertrieb schafft einen weiteren Ausfallpunkt

Black Kite erweitert seine Analyse über Fabriken hinaus auf die Unternehmen, die für den Transport von Waren zwischen ihnen verantwortlich sind.

Transportunternehmen, Spediteure und Lagerhäuser verzeichneten weniger Ransomware‑Vorfälle als Hersteller, doch ihre Position innerhalb der Lieferketten kann eine einzelne Störung unverhältnismäßig wichtig machen.

Der Bericht hebt den Angriff 2025 auf den britischen Logistikanbieter Peter Green Chilled hervor. Das Unternehmen transportierte weiterhin bereits im System befindliche Waren, aber neue Aufträge konnten nicht mehr bearbeitet werden. Da es zahlreiche große Supermarktketten beliefert, wirkte sich die Störung rasch auf Lieferanten aus, deren Produkte bereits in Lagern lagen oder darauf warteten, ins Netzwerk aufgenommen zu werden.

Vertriebsunternehmen sind zudem in der Regel kleiner als die von Herstellern betroffenen Unternehmen. Black Kite ermittelte bei den bekannten Vertriebsopfern einen medianen Jahresumsatz von 28,7 Millionen US‑Dollar.

Diese Unternehmen arbeiten häufig mit engen Lieferfenstern und einer geringen Toleranz für längere Ausfallzeiten, wodurch Ransomware besonders störend wirkt.

Wenn ein Cyberangriff zu einem wirtschaftlichen Ereignis wird

Der Bericht nutzt Jaguar Land Rover’s 2025 cyberattack, um zu zeigen, was geschehen kann, wenn Ransomware ein Unternehmen erreicht, das im Zentrum eines großen industriellen Netzwerks steht.

Die Produktion wurde an drei britischen Werken für mehr als fünf Wochen eingestellt, was Anlagen betraf, die zusammen etwa 1.000 Fahrzeuge pro Tag herstellen.

Doch die Schäden reichten weit über JLR hinaus.

Schätzungen zufolge waren über 5.000 Organisationen im weiteren Ökosystem des Unternehmens betroffen, darunter viele kleinere Zulieferer. Der geschätzte wirtschaftliche Schaden belief sich auf 1,9 Milliarden £, während die britische Regierung eine Kreditgarantie von 1,5 Milliarden £ einführte, um JLR und seine Lieferkette zu unterstützen.

Die Störung war so gravierend, dass die Bank of England sie als einen Faktor nannte, der zum schwächeren als erwarteten Wirtschaftswachstum des Vereinigten Königreichs im Quartal beitrug.

Es ist ein extremes Beispiel, verdeutlicht jedoch das übergeordnete Thema in Black Kites Forschung: Das Cyberrisiko im Fertigungsbereich bleibt selten auf das ursprüngliche Opfer beschränkt.

Viele Warnsignale sind bereits sichtbar

Eine der bedeutendsten Erkenntnisse des Berichts ist, dass viele Ransomware‑Opfer bereits vor der öffentlichen Bekanntmachung ihrer Vorfälle beobachtbare Anzeichen eines erhöhten Risikos zeigten.

Der Ransomware‑Susceptibility‑Index von Black Kite bewertet Faktoren wie exponierte Dienste, ausnutzbare Schwachstellen, geleakte Anmeldedaten und andere nach außen sichtbare Indikatoren.

Fast drei Viertel der betroffenen Hersteller befanden sich bereits zum Zeitpunkt der Bekanntgabe ihrer Vorfälle im kritischen Bereich des Index.

Die aktuelle Angriffsfläche bei den weltweit größten Herstellern bleibt ebenfalls erheblich. Black Kite stellte weit verbreitete kritische Schwachstellen und geleakte Anmeldedaten in seiner überwachten Population fest, obwohl einige Maßnahmen des Schwachstellenmanagements verbessert wurden.

Besonders auffällig ist die Exposition von Anmeldedaten. Während Organisationen Fortschritte bei der Reduzierung bestimmter Software‑Schwachstellen gemacht haben, bleibt die Häufigkeit von Anmeldedaten, die über Diebstahllogs zirkulieren, hartnäckig hoch.

Damit entsteht eine Angriffsfläche, die nicht ausschließlich durch herkömmliches Patchen behoben werden kann.

Ransomware ist jetzt ein Lieferkettenproblem

Die weitergehende Implikation ist, dass Hersteller Ransomware nicht mehr ausschließlich als internes Cybersicherheitsproblem betrachten können.

Ein Unternehmen übernimmt Risiken von den Software‑Anbietern, Lieferanten und Logistikfirmen, von denen es abhängig ist. Gleichzeitig wird seine eigene Cyber‑Postur Teil des Risikoprofils jedes Kunden, der auf seine Produkte angewiesen ist.

Regulierungsbehörden spiegeln diese vernetzte Realität zunehmend wider. Europäische Regelungen wie NIS2 legen stärkeres Augenmerk auf die Sicherheit von Lieferketten, während Initiativen in Großbritannien und den USA die Erwartungen an die Cybersicherheit von Dienstleistern, Auftragnehmern und kritischen Zulieferern ausweiten.

Für Hersteller bedeutet das, dass jährliche Lieferantenfragebögen und isolierte interne Bewertungen möglicherweise nicht mehr ausreichen. Die Angriffsfläche ändert sich zu schnell, ebenso wie die Ransomware‑Gruppen, die sie ausnutzen.

Black Kite’s Bericht beschreibt letztendlich eine Bedrohung, die breiter wird, anstatt nur größer zu sein. Angriffe richten sich zunehmend auf mittelständische Unternehmen, expandieren international und nutzen immer stärker die Verbindungen zwischen Herstellern, Technologieanbietern, Logistiknetzwerken und Kunden aus. Das Ergebnis ist ein Ransomware-Problem, bei dem die wichtigste Frage möglicherweise nicht mehr ist, ob ein Unternehmen einen Angriff überstehen kann, sondern wie stark die umliegende Lieferkette von ihm abhängig ist.