Die größten Angriffe

Die Cyberangriffe mit der größten belegten Wirkung, von Krypto-Diebstählen bis zu landesweiten Ausfällen, und die Angriffe auf Industrieanlagen.

IT-Angriffe

22

Schaden ab 500 Mio. US-Dollar

6

Daten ab 100 Millionen

10

Landesweite Ausfälle

8

Angriffe auf Industrieanlagen

10

Die größten IT-Angriffe

1. 2026
   

   Krypto-Diebstahl Schaden erfüllt

   Hackerangriff auf Binance

   gestohlen, laut Binance

   6,3 Mrd. USD

   Blockchains, auf denen die Hot Wallets geleert wurden (Elliptic)

   11

   Die Zahlen ändern sich noch.

   Laut Binance kamen die Angreifer unter anderem über den gehackten Laptop eines Mitarbeiters ins Netz. In rund vier Stunden leerten sie die Hot Wallets der Börse. Binance ersetzt den Schaden aus eigenen Mitteln, das FBI macht Nordkorea verantwortlich.

   Betroffen

   Binance, die größte Kryptobörse

   Zugeschrieben

   Nordkorea (TraderTraitor), laut FBI

   Was gegen solche Angriffe hilft

   • Lass auf einer Börse nur, womit du handelst. Erspartes gehört in eine Wallet, deren Schlüssel du selbst hast, etwa eine Hardware-Wallet. Hardware-Wallets
   • Schalte eine Freigabeliste für Auszahlungsadressen ein. Melde dich mit Sicherheitsschlüssel oder Authenticator-App an.
2. 2025
   

   Krypto-Diebstahl Schaden erfüllt

   Hackerangriff auf Bybit

   an virtuellen Werten gestohlen (FBI)

   1,5 Mrd. USD

   Ether und Staked-Ether-Token erbeutet (Bybit)

   ~401.000

   Bei einer Routineüberweisung aus der Ether-Cold-Wallet von Bybit sahen die Unterzeichner eine manipulierte Oberfläche. Sie gaben eine Transaktion frei, die den Angreifern die Wallet übergab. Bis zum Angriff auf Binance war es der größte bekannte Krypto-Diebstahl.

   Betroffen

   Bybit, eine Kryptobörse in Dubai

   Zugeschrieben

   Nordkorea (TraderTraitor), laut FBI

   Was gegen solche Angriffe hilft

   • Bewahre langfristige Bestände in einer Wallet auf, die du selbst kontrollierst. Nutze auf Börsen eine Freigabeliste für Auszahlungen. Hardware-Wallets
   • Organisationen: Prüft jede Transaktion vor dem Signieren auf einem eigenen, vertrauenswürdigen Gerät.
3. 2024
   

   Datendiebstahl und Erpressung Daten erfüllt

   Datendiebstahl bei Snowflake-Kunden

   Kundenorganisationen, in deren Konten eingebrochen wurde (US-Justizministerium)

   165+

   betroffene Menschen bei diesen Kunden (US-Justizministerium)

   100 Mio.+

   Kriminelle meldeten sich mit Passwörtern, die Infostealer-Schadsoftware gestohlen hatte, bei Snowflake-Konten von Kunden an. Die Konten hatten keine Zwei-Faktor-Anmeldung. Die Täter kopierten die Daten und forderten Lösegeld.

   Betroffen

   Kunden der Cloud-Datenplattform Snowflake, darunter AT&T, Ticketmaster und Santander

   Zugeschrieben

   Kriminelle Hacker, angeklagt vom US-Justizministerium; einer bekannte sich im August 2026 schuldig

   Was gegen solche Angriffe hilft

   • Halte deinen Virenschutz aktuell: Infostealer stehlen die Passwörter, die auf einem Gerät gespeichert sind.
   • Sei vorsichtig bei Nachrichten, die deine Anrufe oder Einkäufe erwähnen.
   • Organisationen: Verlangt für jedes Cloud-Konto die Zwei-Faktor-Anmeldung und ersetzt alte Passwörter.
4. 2024
   

   Ransomware Schaden erfüllt Daten erfüllt Ausfall erfüllt

   Ransomware-Angriff auf Change Healthcare

   Menschen, deren Daten gestohlen wurden (Change Healthcare)

   192,7 Mio.

   Kosten 2024 für die Bewältigung und den Ausfall (UnitedHealth)

   3,1 Mrd. USD

   Im Februar 2024 legte Ransomware Change Healthcare lahm. Apotheken und Praxen in den ganzen USA konnten wochenlang nicht abrechnen und keine Versicherung prüfen. Gestohlen wurden die Daten von rund 193 Millionen Menschen.

   Betroffen

   Change Healthcare (UnitedHealth Group), über das ein großer Teil der Arzt- und Apothekenabrechnungen in den USA läuft

   Zugeschrieben

   Ransomware ALPHV/BlackCat, laut UnitedHealth

   Was gegen solche Angriffe hilft

   • Organisationen: Verlangt die Zwei-Faktor-Anmeldung an jedem Fernzugang.
   • Haltet Offline-Backups bereit und testet die Wiederherstellung der wichtigsten Systeme.
   • Praxen und Apotheken: Haltet einen zweiten Weg für Abrechnungen und Zahlungen bereit.
5. 2023
   

   Sabotage Ausfall erfüllt

   Cyberangriff auf Kyivstar

   Mobilfunkkunden ohne Netz (Kyivstar)

   24 Mio.

   bis alle Dienste wieder liefen (VEON)

   1 Woche

   Ein zerstörerischer Angriff legte am 12. Dezember 2023 das größte Mobilfunknetz der Ukraine lahm. Rund 24 Millionen Kunden hatten weder Telefon noch Internet. Auch manche Luftalarme und Kartenterminals fielen aus.

   Betroffen

   Kyivstar, der größte Mobilfunkanbieter der Ukraine

   Zugeschrieben

   Russischer Militärgeheimdienst (GRU-Einheit 74455, Sandworm), laut ukrainischem Geheimdienst SBU

   Was gegen solche Angriffe hilft

   • Halte für Notfälle eine zweite SIM oder eSIM eines anderen Anbieters bereit.
   • Organisationen: Kontrolliert Administratorkonten streng.
   • Haltet Offline-Backups und einen geübten Plan für den Wiederaufbau der Systeme bereit.
6. 2023
   

   Einbruch ins Netz Ausfall erfüllt

   Cyberangriff auf DP World Australia

   konnten Lkw in vier Häfen keine Container abholen oder anliefern (DP World)

   3 Tage

   Container stauten sich (DP World)

   30.000+

   Eindringlinge im Netz von DP World Australia zwangen das Unternehmen im November 2023, seine vier Containerterminals vom Internet zu trennen. Die Regierung sprach von einem Vorfall von nationaler Bedeutung.

   Betroffen

   DP World Australia, Betreiber von Containerterminals in Sydney, Melbourne, Brisbane und Fremantle

   Zugeschrieben

   Nicht zugeordnet

   Was gegen solche Angriffe hilft

   • Organisationen: Haltet Abläufe für Handbetrieb bereit, falls die Systeme ausfallen.
   • Trennt Netze, damit ein Einbruch nicht alles erreicht.
   • Haltet Offline-Backups bereit.
7. 2022
   

   Ransomware Ausfall erfüllt

   Ransomware-Angriffe auf Costa Ricas Regierung

   Ransomware-Gruppen: Conti gegen die Regierung, Hive gegen die Sozialversicherung

   2

   von 1.500 Servern der Sozialversicherung verschlüsselt (CCSS)

   ~30

   Im April 2022 traf die Ransomware Conti das Finanzministerium von Costa Rica und weitere Behörden. Die neue Regierung rief den nationalen Notstand aus. Nach einem zweiten Angriff am 31. Mai arbeiteten die Krankenhäuser und Kliniken der Sozialversicherung wochenlang auf Papier.

   Betroffen

   Die Regierung von Costa Rica, zuerst das Finanzministerium, und die Sozialversicherung CCSS

   Zugeschrieben

   Ransomware Conti und Hive, laut Regierung und CCSS

   Was gegen solche Angriffe hilft

   • Organisationen: Verlangt die Zwei-Faktor-Anmeldung für jeden Fernzugriff.
   • Haltet Offline-Backups bereit und testet die Wiederherstellung.
   • Kliniken: Haltet Papierabläufe für Ausfälle bereit.
8. 2022
   

   Krypto-Diebstahl Schaden erfüllt

   Hackerangriff auf die Ronin-Bridge

   gestohlen (FBI)

   620 Mio. USD

   bis es jemand bemerkte (Ronin)

   6 Tage

   Angreifer brachten fünf der neun Validator-Schlüssel der Ronin-Bridge in ihre Gewalt. Damit zogen sie 173.600 Ether und 25,5 Millionen USDC ab. Sechs Tage lang merkte es niemand, bis ein Nutzer nichts mehr abheben konnte.

   Betroffen

   Ronin Network, die Bridge des Spiels Axie Infinity (Sky Mavis)

   Zugeschrieben

   Die nordkoreanischen Gruppen Lazarus und APT38, laut FBI

   Was gegen solche Angriffe hilft

   • Rechne bei unerwarteten Jobangeboten und Dateien von Recruitern mit einem Angriff.
   • Organisationen: Verteilt Signaturschlüssel auf unabhängige Stellen. Schlagt bei großen Abhebungen sofort Alarm.
9. 2021
   

   Sabotage Ausfall erfüllt

   Cyberangriff auf Irans Tankstellen

   Verkauf von subventioniertem Kraftstoff per Chipkarte gestört (iranische Behörden)

   landesweit

   Am 26. Oktober 2021 legte ein Cyberangriff das Chipkartensystem lahm, mit dem Iraner subventionierten Kraftstoff kaufen. An Tankstellen im ganzen Land bildeten sich lange Schlangen. Die Behörden bestätigten den Angriff. Viele Tankstellen waren auch am nächsten Tag noch geschlossen.

   Betroffen

   Irans Chipkartensystem für subventionierten Kraftstoff und die Tankstellen, die es nutzen

   Zugeschrieben

   Iranische Behörden beschuldigten ein nicht genanntes anderes Land

   Was gegen solche Angriffe hilft

   • Organisationen: Sorgt dafür, dass ihr auch ohne das zentrale System verkaufen und kassieren könnt.
   • Kontrolliert zentrale Verwaltungssysteme streng.
   • Haltet Offline-Backups bereit und übt die Wiederherstellung.
10. 2021
    

    Ransomware Ausfall erfüllt

    Cyberangriff auf die Hafenterminals von Transnet

    Containerterminals unter höherer Gewalt: Durban, Ngqura, Gqeberha, Kapstadt (Transnet)

    4

    bis Transnet die höhere Gewalt am 2. August aufhob

    11 Tage

    Im Juli 2021 legte ein Cyberangriff das System lahm, das Südafrikas wichtigste Containerterminals steuert. Die Beschäftigten arbeiteten von Hand weiter. Transnet erklärte höhere Gewalt, bis das System wieder lief.

    Betroffen

    Transnet, Südafrikas staatlicher Hafen- und Bahnbetreiber

    Zugeschrieben

    Nicht zugeordnet

    Was gegen solche Angriffe hilft

    • Organisationen: Haltet Abläufe für Handbetrieb bereit, falls die Systeme ausfallen.
    • Haltet Offline-Backups bereit und testet die Wiederherstellung.
    • Trennt Netze, damit ein Einbruch nicht alles erreicht.
11. 2021
    

    Ransomware Ausfall erfüllt

    Ransomware-Angriff auf den HSE (Irland)

    bis alle Server entschlüsselt waren (irischer Rechnungshof)

    130 Tage

    IT-Geräte an rund 4.000 Standorten (irischer Rechnungshof)

    70.000+

    Am 14. Mai 2021 traf die Ransomware Conti den staatlichen Gesundheitsdienst Irlands. Der HSE schaltete sein gesamtes IT-Netz ab. Krankenhäuser arbeiteten auf Papier, Strahlentherapie und andere Behandlungen fielen aus.

    Betroffen

    Health Service Executive (HSE), der staatliche Gesundheitsdienst Irlands

    Zugeschrieben

    Ransomware Conti, laut HSE

    Was gegen solche Angriffe hilft

    • Organisationen: Überwacht rund um die Uhr und reagiert auf jede Warnung.
    • Haltet Offline-Backups und erprobte Pläne für die Wiederherstellung bereit.
    • Trennt die Netze verbundener Organisationen voneinander.
12. 2021
    

    Ransomware Ausfall erfüllt

    Ransomware-Angriff auf Colonial Pipeline

    stand die wichtigste Kraftstoff-Pipeline zur US-Ostküste still (Colonial Pipeline)

    5 Tage

    Lösegeld gezahlt; das FBI stellte 63,7 BTC wieder sicher (US-Justizministerium)

    75 BTC

    Im Mai 2021 traf Ransomware die Büro-IT von Colonial Pipeline. Daraufhin legte das Unternehmen die wichtigste Kraftstoff-Pipeline zur US-Ostküste still. Nach Hamsterkäufen hatten viele Tankstellen kein Benzin mehr.

    Betroffen

    Colonial Pipeline, die größte Kraftstoff-Pipeline der USA

    Zugeschrieben

    Ransomware DarkSide, laut FBI

    Was gegen solche Angriffe hilft

    • Organisationen: Trennt die Büro-IT von den Systemen, die den Betrieb steuern.
    • Verlangt die Zwei-Faktor-Anmeldung für jedes Konto mit Fernzugriff.
    • Haltet Offline-Backups und einen geübten Plan für den Handbetrieb bereit.
13. 2021
    

    Scraping Daten erfüllt

    Abgegriffene Telefonnummern bei Facebook

    Facebook-Nutzer in 106 Ländern (Bundesgerichtshof)

    533 Mio.

    Bußgeld der irischen Datenschutzbehörde

    265 Mio. EUR

    Bis September 2019 missbrauchten Angreifer den Kontaktimport von Facebook, um Telefonnummern Profilen zuzuordnen. Im April 2021 stand der Datensatz kostenlos im Netz.

    Betroffen

    Meta (Facebook) und seine Nutzer

    Zugeschrieben

    Nicht zugeordnet

    Was gegen solche Angriffe hilft

    • Verberge deine Telefonnummer und E-Mail-Adresse vor der Profilsuche.
    • Rechne bei unerwarteten Anrufen und SMS, die deinen Namen nennen, mit Phishing.
    • Nutze die Zwei-Faktor-Anmeldung per App, nicht per SMS.
14. 2019
    

    Datendiebstahl Daten erfüllt

    Datendiebstahl bei Capital One

    Menschen in den USA und Kanada (Capital One)

    106 Mio.

    Strafe der US-Bankenaufsicht OCC

    80 Mio. USD

    Über eine falsch eingerichtete Cloud lud ein Eindringling Daten von rund 100 Millionen Menschen in den USA und 6 Millionen in Kanada herunter. Die meisten stammten aus Kreditkartenanträgen. Die US-Bankenaufsicht verhängte 80 Millionen Dollar Strafe, weil die Bank beim Umzug in die Cloud ihre Risiken schlecht kontrolliert hatte.

    Betroffen

    Capital One, eine US-Bank

    Zugeschrieben

    Eine frühere IT-Fachkraft aus Seattle, die allein handelte; 2022 von einem US-Geschworenengericht verurteilt

    Was gegen solche Angriffe hilft

    • Lass deine Kreditauskunft sperren, wenn deine Social Security Number oder Social Insurance Number offenlag.
    • Organisationen: Prüft regelmäßig die Rechte und Rollen für Cloud-Speicher.
15. 2018
    

    Datendiebstahl Daten erfüllt

    Datendiebstahl in der Gästedatenbank von Marriott (Starwood)

    Gästedatensätze, höchstens (Marriott)

    383 Mio.

    unverschlüsselte Passnummern (Marriott)

    5,25 Mio.

    Von 2014 bis 2018 saßen Angreifer in der Buchungsdatenbank der Hotelgruppe Starwood. Marriott kaufte Starwood 2016 und entdeckte den Einbruch erst 2018.

    Betroffen

    Marriott International, über die Gästedatenbank der Starwood-Hotels

    Zugeschrieben

    Nicht zugeordnet

    Was gegen solche Angriffe hilft

    • Nutze für jedes Bonusprogramm ein eigenes Passwort. Passwortmanager
    • Sei vorsichtig bei E-Mails, die deine Buchungen oder deine Bonusnummer nennen.
    • Organisationen: Prüft die IT übernommener Firmen auf Einbrüche.
16. 2018
    

    Datendiebstahl Daten erfüllt

    Datendiebstahl bei MyFitnessPal

    Benutzerkonten (Under Armour)

    150 Mio.

    Unbefugte erbeuteten Benutzernamen, E-Mail-Adressen und gehashte Passwörter von MyFitnessPal-Nutzern. Kartendaten lagen getrennt und waren nicht betroffen.

    Betroffen

    Under Armour, Anbieter der App MyFitnessPal

    Zugeschrieben

    Nicht zugeordnet

    Was gegen solche Angriffe hilft

    • Nutze einen Passwortmanager und für jeden Dienst ein eigenes Passwort. Passwortmanager
    • Schalte die Zwei-Faktor-Anmeldung ein, wo die App sie anbietet.
17. 2018
    

    Krypto-Diebstahl Schaden erfüllt

    NEM-Diebstahl bei Coincheck

    an NEM-Coins der Kunden gestohlen (japanische Finanzaufsicht), damals rund 530 Mio. US-Dollar

    58 Mrd. JPY

    NEM-Coins abgezogen (Coincheck)

    523 Mio.

    Angreifer erbeuteten die privaten Schlüssel der Online-Wallet, in der alle NEM-Coins der Kunden lagen. In rund acht Stunden zogen sie die Coins ab. Japans Finanzaufsicht ordnete strengere Kontrollen an.

    Betroffen

    Coincheck, eine Kryptobörse in Tokio, und ihre Kunden

    Zugeschrieben

    Nicht zugeordnet

    Was gegen solche Angriffe hilft

    • Bewahre größere Krypto-Beträge in einer Hardware-Wallet auf, die du selbst kontrollierst, nicht auf einer Börse. Hardware-Wallets
    • Börsen: Lagert den Großteil der Kunden-Coins offline (Cold Storage).
18. 2017
    

    Datendiebstahl Daten erfüllt

    Datendiebstahl bei Equifax

    Menschen, deren Namen und Geburtsdaten erbeutet wurden (FTC)

    147 Mio.

    Vergleich mit FTC, CFPB und US-Bundesstaaten, höchstens

    700 Mio. USD

    Angreifer kamen über eine ungepatchte Webanwendung ins Netz. Sie erbeuteten Namen, Geburtsdaten und Sozialversicherungsnummern von rund 147 Millionen Menschen. Equifax sagte zu, bis zu 700 Millionen Dollar zu zahlen.

    Betroffen

    Equifax, eine US-Auskunftei

    Zugeschrieben

    Vier Angehörige der chinesischen Volksbefreiungsarmee, 2020 vom US-Justizministerium angeklagt

    Was gegen solche Angriffe hilft

    • In den USA: Lass deine Kreditauskunft bei den Auskunfteien sperren.
    • Prüfe deine Kreditauskünfte auf Konten, die du nicht eröffnet hast.
    • Organisationen: Patcht Systeme, die aus dem Internet erreichbar sind, schnell.
19. 2016
    

    Datendiebstahl Daten erfüllt

    Datendiebstahl bei Yahoo 2013

    Benutzerkonten: alle, die im August 2013 bestanden (Yahoo)

    3 Mrd.

    Angreifer kopierten die Daten aller Yahoo-Konten, die im August 2013 bestanden. Yahoo machte den Diebstahl im Dezember 2016 öffentlich. Erst im Oktober 2017 räumte das Unternehmen ein, dass alle Konten betroffen waren.

    Betroffen

    Yahoo

    Zugeschrieben

    Nicht zugeordnet

    Was gegen solche Angriffe hilft

    • Nutze einen Passwortmanager und für jeden Dienst ein eigenes Passwort. Passwortmanager
    • Schalte die Zwei-Faktor-Anmeldung ein, vor allem für dein Haupt-E-Mail-Konto.
    • Beantworte Sicherheitsfragen so, dass niemand die Antwort nachschlagen kann.
20. 2016
    

    Datendiebstahl Daten erfüllt

    Datendiebstahl bei Yahoo 2014

    Benutzerkonten, mindestens (Yahoo)

    500 Mio.

    Strafe der US-Börsenaufsicht SEC, weil Anleger zwei Jahre zu spät davon erfuhren

    35 Mio. USD

    Ende 2014 wurden Kontodaten von mindestens 500 Millionen Yahoo-Nutzern gestohlen, darunter Namen, E-Mail-Adressen, Geburtsdaten und gehashte Passwörter. Yahoo informierte die Öffentlichkeit erst im September 2016.

    Betroffen

    Yahoo

    Zugeschrieben

    Zwei Offiziere des russischen Geheimdienstes FSB und zwei Hacker, die für sie arbeiteten; 2017 vom US-Justizministerium angeklagt

    Was gegen solche Angriffe hilft

    • Nutze einen Passwortmanager und für jeden Dienst ein eigenes Passwort. Passwortmanager
    • Schalte die Zwei-Faktor-Anmeldung für E-Mail-Konten ein.
21. 2015
    

    Diebstahl bei Banken Schaden erfüllt

    Bankdiebstähle durch Carbanak und Cobalt

    Schaden der Finanzbranche insgesamt (Europol)

    1 Mrd. EUR+

    Banken und andere Finanzinstitute in 40 Ländern (Europol)

    100+

    Eine kriminelle Gruppe schickte Bankangestellten gezielte Phishing-Mails und übernahm interne Systeme. Sie stahl Geld über gefälschte Überweisungen und über Geldautomaten, die auf Befehl auszahlten.

    Betroffen

    Mehr als 100 Banken und andere Finanzinstitute in rund 40 Ländern

    Zeitraum

    2013 bis 2018

    Zugeschrieben

    Eine kriminelle Gruppe; laut Europol wurde ihr mutmaßlicher Anführer im März 2018 in Spanien festgenommen

    Was gegen solche Angriffe hilft

    • Banken: Gebt den Beschäftigten eine phishing-sichere Anmeldung und vergebt Administratorrechte sparsam.
    • Trennt Zahlungs- und Geldautomatensysteme vom Büronetz. Schlagt bei ungewöhnlichen Überweisungen Alarm.
22. 2009
    

    Datendiebstahl Daten erfüllt

    Datendiebstahl bei Heartland Payment Systems

    Kartennummern, gestohlen bei Heartland und vier weiteren Firmen (US-Justizministerium)

    130 Mio.+

    Kosten, die Heartland für 2009 verbuchte (Jahresbericht)

    128,9 Mio. USD

    Angreifer drangen über eine SQL-Injection-Lücke ein. Ihre Schadsoftware las Kartendaten mit, während sie durch die Systeme von Heartland liefen. Die Anklage nannte es den größten Fall von Hacking und Identitätsdiebstahl, den sie je verfolgt hatte.

    Betroffen

    Heartland Payment Systems, ein US-Abwickler von Kartenzahlungen

    Zeitraum

    Ende 2007 bis 2008

    Zugeschrieben

    Ein US-Hacker und zwei Komplizen in oder nahe Russland, angeklagt vom US-Justizministerium; der US-Hacker erhielt 20 Jahre Haft

    Was gegen solche Angriffe hilft

    • Schalte Benachrichtigungen für deine Karte ein und prüfe deine Abrechnungen.
    • Zahlungsdienstleister: Verschlüsselt Kartendaten durchgehend und achtet auf unbekannte Software auf Servern.

Die größten ICS-Angriffe

Angriffe, die industrielle Steuerungssysteme erreichten, dokumentiert in öffentlichen technischen Analysen: was geschah, wie die Angreifer hineinkamen und was der Angriff im Prozess anrichtete.

1. 2024
   

   Störung

   FrostyGoop / BUSTLEBERM

   Wohngebäude ohne Heizung (Dragos)

   600+

   ohne Heizung bei Minusgraden (Dragos)

   ~2 Tage

   Im Januar 2024 legte ein Angriff bei Minusgraden die Heizung von Wohngebäuden in Lwiw lahm. Die Malware dahinter, später FrostyGoop genannt, ist ein kleines Programm. Es steuert die Heizungsregler über Modbus TCP. Dieses weit verbreitete Protokoll verlangt meist kein Passwort. FrostyGoop änderte die Einstellungen der Regler. Außerdem setzte es ihre Software auf eine ältere Version zurück, sodass sie ihren Status nicht mehr melden konnten.

   Die Betreiber verloren den Überblick, während die Regler mit falschen Werten arbeiteten. Laut Dragos hatten die Angreifer Monate zuvor eine Schwachstelle in einem mit dem Internet verbundenen Router ausgenutzt. Sie richteten einen über Tor erreichbaren Webtunnel ein und stahlen Windows-Anmeldedaten. Weil das Netzwerk flach war, hielt nichts sie von den Reglern fern.

   Namen

   FrostyGoop (Dragos), BUSTLEBERM (Mandiant)

   Ziel

   Ein Fernwärmeunternehmen in Lwiw, Ukraine

   Zugeschrieben

   Nicht zugeordnet (Dragos stellte Verbindungen zu Adressen in Moskau fest, schreibt den Angriff aber niemandem zu)

   Erster Zugang

   Vom Internet erreichbarer Router, Gestohlene Zugangsdaten

   Protokolle

   Modbus TCP

   Angegriffene Systeme

   ENCO-Heizungsregler, erreichbar über Modbus TCP auf Port 502

2. 2024
   

   Zerstörung

   Fuxnet

   unbrauchbar gemachte Sensor-Gateways – Schätzung von Claroty (Angreifer gaben etwa 1.700 an)

   500+

   Sensoren, die die Angreifer zerstört haben wollen; Claroty hält sie für wahrscheinlich intakt

   87.000

   Im April 2024 gab eine Gruppe namens Blackjack bekannt, sie habe Moscollector lahmgelegt. Das Moskauer Unternehmen überwacht das unterirdische Wasser- und Abwassernetz der Stadt. Die Malware der Gruppe, Fuxnet, lief auf den Sensor-Gateways. Diese kleinen Linux-Computer sammeln die Messwerte von Tausenden unterirdischen Sensoren. Auf jedem Gateway unterbrach die Malware den Fernzugriff, löschte Teile des Dateisystems und überschrieb den Flash-Speicher, bis er ausfiel.

   Außerdem überflutete sie die Sensorverkabelung mit Datenmüll, in der Hoffnung, auch die Sensoren zu beschädigen. Wie Blackjack eindrang, ist nicht dokumentiert. Die Gruppe gab an, seit Juni 2023 Zugriff gehabt und 30 Terabyte Daten gelöscht zu haben. Das Sicherheitsunternehmen Claroty analysierte die Malware und die durchgesickerten Daten. Es schätzt den Schaden deutlich geringer ein.

   Namen

   Fuxnet (Blackjack)

   Ziel

   Moscollector, ein Moskauer Unternehmen, das die unterirdische Wasser- und Abwasserinfrastruktur überwacht

   Zugeschrieben

   Blackjack (Claroty berichtet, Blackjack stehe vermutlich dem ukrainischen Geheimdienst nahe; keine Regierung hat dies bestätigt)

   Erster Zugang

   Nicht öffentlich bekannt

   Protokolle

   M-Bus

   Angegriffene Systeme

   Linux-Sensor-Gateways (MPSB und TMSB) sowie ein 3G-Router, über das serielle M-Bus-Protokoll mit den Sensoren verbunden

3. 2022
   

   Störung

   PIPEDREAM / INCONTROLLER

   Einsätze – das Toolkit wurde entdeckt, bevor es zu einem Angriff kam (Dragos)

   0

   die siebte bekannte ICS-spezifische Schadsoftware, laut Dragos

   7

   PIPEDREAM ist ein Fall ohne Opfer. Anfang 2022 analysierten die Sicherheitsfirmen Dragos und Mandiant ein komplettes Angriffs-Toolkit. Eine staatlich unterstützte Gruppe hatte es gebaut, um industrielle Steuerungen aufzuspüren und zu übernehmen. Am 13. April 2022 veröffentlichten vier US-Behörden dazu eine gemeinsame Warnmeldung. Es ist die erste ICS-Malware, die vor einem Angriff entdeckt wurde.

   Das Toolkit ist modular. Einige Teile verschaffen sich über einen signierten, aber fehlerhaften Treiber tiefen Zugriff auf Windows. Andere nutzen Industrieprotokolle. Damit können sie Steuerungen scannen, sich dort anmelden, sie umprogrammieren oder zum Absturz bringen.

   Namen

   PIPEDREAM (Dragos), INCONTROLLER (Mandiant)

   Ziel

   Kein reales Opfer; wahrscheinliche Ziele waren laut Dragos Anlagen für Flüssigerdgas (LNG) und Strom

   Zugeschrieben

   CHERNOVITE (staatlich unterstützt) (So nennt Dragos den Entwickler; ein Land wurde nicht genannt; Mandiant bezeichnete die Verbindungen zu Russland als Indizien)

   Erster Zugang

   Nicht öffentlich bekannt

   Protokolle

   CODESYS, Modbus, OPC UA, Omron FINS

   Angegriffene Systeme

   SPS und Servoantriebe von Schneider Electric und Omron sowie beliebige OPC-UA-Server; über CODESYS, Modbus, OPC UA und Omron FINS

4. 2022
   

   Störung

   Industroyer2

   Stromausfälle – der Angriff wurde rechtzeitig gestoppt (CERT-UA)

   0

   verwendetes Industrieprotokoll – in der Version von 2016 waren es noch vier (ESET)

   1

   Am 8. April 2022 versuchte die Gruppe Sandworm, einen Teil des ukrainischen Stromnetzes abzuschalten. Ihr Tool war ein abgespeckter Nachfolger der Malware Industroyer von 2016. Die Adressen der Ziel-Umspannwerke und die Schaltbefehle steckten direkt im Programm. Es war also für einen bestimmten Energieversorger gebaut. Eine Wiper-Malware sollte gleichzeitig die Windows-, Linux- und Solaris-Server des Versorgers zerstören.

   Wie die Angreifer zuerst eindrangen, ist nicht öffentlich bekannt. Sie hatten aber schon Administratorrechte und verteilten die Malware über die Windows-Gruppenrichtlinien. Eine geplante Aufgabe sollte sie am selben Abend starten. Laut CERT-UA, dem ukrainischen Team für Cybervorfälle, war das Netzwerk mindestens seit Februar 2022 kompromittiert.

   Namen

   Industroyer2 (ESET), INDUSTROYER.V2 (Mandiant)

   Ziel

   Ein ukrainischer Stromversorger; dessen Hochspannungs-Umspannwerke

   Zugeschrieben

   Sandworm (CERT-UA führt dies auf Sandworm (UAC-0082) zurück; ESET kommt mit hoher Sicherheit zum selben Schluss)

   Erster Zugang

   Nicht öffentlich bekannt

   Protokolle

   IEC 104

   Angegriffene Systeme

   Anlagen in Hochspannungs-Umspannwerken, gesteuert über das IEC-104-Protokoll

5. 2020
   

   Ransomware

   EKANS / Snake

   Windows-Prozesse auf der Kill-Liste, darunter auch einige industrielle (FireEye)

   1.000+

   Branchen, die Unit 42 nennt – von Energie bis Gesundheitswesen

   5

   EKANS (das Wort „snake“ rückwärts) ist eine Ransomware, die 2020 auftauchte. Die Steuerungen der Maschinen kann sie nicht umprogrammieren. Stattdessen verschlüsselt sie die Windows-PCs, mit denen Bediener eine Anlage überwachen und steuern. Zuerst beendet sie eine fest einprogrammierte Liste von Programmen, darunter Industriesoftware von General Electric und Honeywell. So sind deren Dateien nicht mehr gesperrt.

   Außerdem löscht sie die von Windows gespeicherten Sicherungskopien. Wie die Angreifer zuerst eindrangen, wurde nie öffentlich bekannt. EKANS ist die Schadsoftware, die am Ende abgelegt wird. MITREs ATT&CK bringt unter Berufung auf Presseberichte eine EKANS-Infektion mit einem vorübergehenden Produktionsausfall in einem Honda-Werk im Juni 2020 in Verbindung.

   Namen

   EKANS (Dragos), Snake

   Ziel

   Industrieunternehmen in verschiedenen Branchen, von der Energiewirtschaft bis zur verarbeitenden Industrie (Unit 42)

   Zugeschrieben

   Nicht zugeordnet (Kriminelle Ransomware; weder eine Regierung noch ein Sicherheitsunternehmen hat einen Betreiber benannt)

   Erster Zugang

   Nicht öffentlich bekannt

   Angegriffene Systeme

   Windows-PCs der Leitwarte – Bedienoberflächen (HMIs), Verlaufsdatenbanken (Historians) und Lizenzserver –, nicht die Steuerungen selbst

6. 2017
   

   Zerstörung

   TRISIS / TRITON

   Stillstand der angegriffenen Raffinerie (CISA)

   mehrere Tage

   US-Stromversorger, 2019 von denselben Angreifern ausgekundschaftet (US-Finanzministerium)

   20

   2017 gelangten Angreifer in das Sicherheitssystem einer petrochemischen Anlage im Nahen Osten. Seine Steuerungen sollen einen Prozess in einen sicheren Zustand versetzen, bevor er gefährlich wird. Die Malware nutzte das undokumentierte Protokoll der Steuerungen, das die Angreifer rückentwickelt hatten. Sie schrieb eine versteckte Hintertür in den Speicher einer Steuerung, um deren Sicherheitslogik zu verändern.

   Wie die Angreifer zuerst eindrangen, ist nicht öffentlich bekannt. Im Netz der Anlage erreichten sie den Arbeitsplatzrechner, von dem aus die Steuerungen programmiert werden. Dort starteten sie ein Tool, das als Software des Herstellers getarnt war. Einige Steuerungen lösten eine Sicherheitsabschaltung aus und legten die Anlage still. So wurde die Malware entdeckt. 2020 verhängten die USA Sanktionen gegen das russische Institut, das sie verantwortlich machen.

   Namen

   TRISIS (Dragos), TRITON (FireEye), HatMan (DHS NCCIC)

   Ziel

   Ein petrochemisches Werk im Nahen Osten (US-Behörden sprechen nur von „einer ausländischen Ölraffinerie“)

   Zugeschrieben

   TsNIIKhM (russisches staatliches Institut) (In den US-Sanktionen wird dieses Institut namentlich genannt; Dragos führt die Gruppe als XENOTIME; FireEye kam mit hoher Sicherheit zu diesem Schluss)

   Erster Zugang

   Nicht öffentlich bekannt

   Protokolle

   TriStation

   Angegriffene Systeme

   Sicherheitssteuerungen von Schneider Electric Triconex (ein sicherheitsgerichtetes System, kurz SIS) über das undokumentierte TriStation-Protokoll

7. 2016
   

   Störung

   Industroyer / CRASHOVERRIDE

   Stromausfall in Teilen von Kiew (ESET)

   ~1 h

   Netzprotokolle, die die Schadsoftware beherrschte

   4

   Am 17. Dezember 2016 fiel in Teilen von Kiew etwa eine Stunde lang der Strom aus. Die Malware dahinter wurde 2017 analysiert. Sie war die erste, die Netztechnik direkt ansteuerte. Statt eines Menschen, der sich durch Fernsteuerungstools klickte, öffneten ihre Module die Leistungsschalter selbst. Dafür nutzten sie die Standardprotokolle des Netzes. Wie die Angreifer anfangs eindrangen, wurde nie geklärt.

   Ein Launcher startete den Schadcode zu einem festgelegten Zeitpunkt. Ein bis zwei Stunden später zerstörte ein Wiper Dateien und Einstellungen, um die Wiederherstellung zu verlangsamen. Ein separates Tool konnte Siemens-SIPROTEC-Schutzrelais deaktivieren. Dragos führt die Gruppe dahinter unter dem Namen ELECTRUM.

   Namen

   Industroyer (ESET), CRASHOVERRIDE (Dragos)

   Ziel

   Ein ukrainischer Übertragungsnetzbetreiber; Teile von Kiew waren ohne Strom

   Zugeschrieben

   Sandworm (GRU) (Zuschreibung durch die US-Regierung; ESET nahm 2017 keine Zuordnung vor)

   Erster Zugang

   Nicht öffentlich bekannt

   Protokolle

   IEC 60870-5-101, IEC 60870-5-104, IEC 61850, OPC DA

   Angegriffene Systeme

   Leistungsschalter und Relais in Umspannwerken, über die Netzprotokolle IEC 60870-5-101/104, IEC 61850 und OPC DA

8. 2015
   

   Störung

   BlackEnergy

   Kunden ohne Strom (US-Heimatschutzministerium)

   225.000

   bis zur manuellen Wiederherstellung der Stromversorgung (INL)

   ~6 h

   Am 23. Dezember 2015 verloren drei Energieversorger in der Ukraine innerhalb von etwa einer halben Stunde die Kontrolle über ihre Stromnetze. Es ist der erste bestätigte Stromausfall durch einen Cyberangriff. Monate zuvor hatten Phishing-E-Mails mit makrohaltigen Office-Dateien die Malware BlackEnergy in ihre Büronetze eingeschleust.

   Mit gestohlenen Zugangsdaten gelangten die Angreifer über die eigenen VPN- und Fernsteuerungstools der Versorger in die Leitsysteme. Dort öffneten sie Leistungsschalter in mehr als 50 Umspannwerken. Außerdem deaktivierten sie Seriell-zu-Ethernet-Konverter, löschten PCs mit KillDisk und überlasteten ein Callcenter. Deshalb musste die Stromversorgung vor Ort wiederhergestellt werden.

   Ziel

   Drei regionale Stromverteilungsunternehmen in der Ukraine

   Zugeschrieben

   Sandworm (GRU) (Zuschreibung durch die US-Regierung; Anfang 2016 konnten Analysten die Verantwortlichen noch nicht benennen)

   Erster Zugang

   Phishing-E-Mail, Gestohlene Zugangsdaten, VPN-Zugang

   Angegriffene Systeme

   SCADA-Steuerungssysteme, erreicht über Fernzugriffstools; Seriell-zu-Ethernet-Konverter in Umspannwerken

9. 2014
   

   Spionage

   Havex

   bekannte Opfer weltweit (Kaspersky)

   2.800+

   namentlich genannte Opferorganisationen

   101

   Havex war eine Spionagekampagne gegen den Energiesektor. Sie wurde im Juni 2014 bekannt und wird auch unter den Namen Dragonfly oder Energetic Bear verfolgt. Ihre Opfer erreichte sie über Phishing-E-Mails, präparierte Websites und vor allem über gehackte Download-Seiten. Bei mindestens drei kleinen Herstellern von Industriesoftware wurden die Installationsprogramme durch Versionen ersetzt, die Havex enthielten.

   Die Hintertür lud weitere Module nach. Eines suchte im Netzwerk nach OPC-Servern und schickte deren Angaben an die Angreifer. Schon das Scannen ließ einige Server abstürzen. Havex stahl Informationen, hatte aber keine Sabotagefunktion.

   Namen

   Havex, Backdoor.Oldrea (Symantec)

   Ziel

   Energieunternehmen und Hersteller von Industrieanlagen, vor allem in den USA und Europa

   Zugeschrieben

   FSB (Russland) (Im Jahr 2014 vermuteten Sicherheitsfirmen einen staatlichen Akteur; die USA nannten 2022 den russischen FSB als Verantwortlichen)

   Erster Zugang

   Phishing-E-Mail, Gehackte Website, Lieferkette

   Protokolle

   OPC

   Angegriffene Systeme

   OPC-Server, die Windows-Middleware, die Live-Anlagendaten für andere Software bereitstellt

10. 2010
    

    Zerstörung

    Stuxnet

    in Natanz außer Betrieb genommene Zentrifugen (Schätzung von ISIS)

    ~1.000

    weltweit infizierte Computer bis September 2010

    100.000

    Stuxnet wurde im Juni 2010 entdeckt und ist die erste bekannte Malware, die physische Maschinen beschädigt hat. Der Wurm verbreitete sich in mehr als 150 Ländern. Gebaut war er aber für ein einziges Ziel, eine Urananreicherungsanlage im Iran. Weil das Steuerungsnetz der Anlage keine Internetverbindung hatte, wurde der Wurm höchstwahrscheinlich auf einem Wechseldatenträger eingeschleust. Danach verbreitete er sich über vier unbekannte Windows-Lücken und die Projektdateien von Siemens Step 7.

    Versteckter Code auf den Siemens-Steuerungen ließ die Motoren der Zentrifugen weit außerhalb ihres normalen Drehzahlbereichs laufen. Die Bediener sahen dabei normale Messwerte. Ein Institut schätzte, dass etwa 1.000 der 8.692 Zentrifugen außer Betrieb genommen wurden. Der Zusammenhang mit Stuxnet ist nicht bewiesen. Presseberichte beschreiben eine gemeinsame Operation der USA und Israels.

    Namen

    Stuxnet, Rootkit.TmpHider (VirusBlokAda), W32.Temphid (Symantec)

    Ziel

    Eine Urananreicherungsanlage im Iran, die von Forschern mit Natanz in Verbindung gebracht wird

    Zugeschrieben

    Nicht offiziell zugeordnet (Keine Regierung hat dies bestätigt; die Zuordnung stützt sich auf Presseberichte)

    Erster Zugang

    Wechseldatenträger

    Protokolle

    Profibus, Siemens S7

    Angegriffene Systeme

    Siemens-S7-300-Steuerungen und deren Frequenzumrichter, über die Software Step 7 und WinCC

Bekannt, aber nicht auf der Liste