Aufrüttelndes Jubiläum: 15 Jahre Stuxnet und die Lehren für die OT-Cybersicherheit

Vor 15 Jahren im Sommer 2010 machte „Stuxnet“ erstmals der Öffentlichkeit bewusst, dass Cyberangriffe nicht nur digitale Systeme treffen – sondern auch reale, physische Schäden anrichten können

[datensicherheit.de, 21.10.2025] Kai Thomsen, „Director of Global Incident Response Services“ bei Dragos, greift in seiner aktuellen Stellungnahme ein für Experten der OT-Sicherheit signifikantes „Jubiläum“ auf: „Vor 15 Jahren im Sommer 2010 machte ,Stuxnet’ erstmals der Öffentlichkeit bewusst, dass Cyberangriffe nicht nur digitale Systeme treffen, sondern auch reale, physische Schäden anrichten können.“ Diese Schadsoftware griff Steuerungs- und Automatisierungssysteme an – und legte damit offen, wie verwundbar physische Prozesse in Kritischen Infrastrukturen (KRITIS) sind. Seitdem hätten sich Angriffe auf OT-Systeme deutlich weiterentwickelt.

Foto: Dragos

Kai Thomsen: „Stuxnet“ blieb kein Einzelfall – inzwischen sind mindestens neun Schadprogramme bekannt, die gezielt auf industrielle Steuerungs- und Automatisierungssysteme ausgelegt sind

Dragos-Warnung vor neuen Schadprogrammen und immer engeren Verbindungen zwischen staatlichen Akteuren und kriminellen Gruppen

Thomsen führt aus: „Am 22. Juli 2025 sprach Robert M. Lee, CEO und Mitgründer des OT-Sicherheitsunternehmens Dragos, vor dem US-Kongress:

• Er warnte vor einer wachsenden Zahl von Angreifern, neuen Schadprogrammen und immer engeren Verbindungen zwischen staatlichen Akteuren und kriminellen Gruppen.“

Gleichzeitig habe er aufgezeigt, dass viele Angriffe nicht erfolgreich verliefen, weil Fachwissen und Abwehrmechanismen inzwischen deutlich besser entwickelt seien. Die größte Lücke liege laut Lee nicht in der Technik, sondern in der Umsetzung.

„Stuxnet“ – Dragos fasst zentrale Erkenntnisse zusammen

„Die folgenden sechs Punkte fassen die Lehren zusammen, die sich seit ,Stuxnet’ herausgebildet haben und die heute wichtiger für die OT sind als je zuvor:“

1. OT als Rückgrat Kritischer Infrastrukturen
   „Stuxnet“ habe deutlich gemacht, dass Angriffe auf industrielle Steuerungs- und Automatisierungssysteme (ICS/OT) direkte Auswirkungen auf physische Prozesse haben könnten.
   „Während IT-Systeme vor allem die Integrität und Verfügbarkeit von Daten schützen sollen, steht in der OT die sichere und zuverlässige Steuerung industrieller Abläufe im Mittelpunkt.“
   Ein erfolgreicher Angriff könne Maschinen beschädigen, Anlagen stilllegen und im schlimmsten Fall Menschenleben gefährden. Trotzdem fließe der Großteil der Cybersicherheitsbudgets noch immer in IT-Systeme. „Dieses Ungleichgewicht besteht bis heute.“
2. Reale, vielschichtige und weiter zunehmende Bedrohung
   „,Stuxnet’ blieb kein Einzelfall. Inzwischen sind mindestens neun Schadprogramme bekannt, die gezielt auf industrielle Steuerungs- und Automatisierungssysteme ausgelegt sind.“
   Über 25 staatliche und nichtstaatliche Gruppen hätten ihren Fokus auf OT-Umgebungen ausgerichtet. Einige sammelten Informationen, andere störten bereits aktiv die Stromversorgung, Wassersysteme oder die Rüstungsproduktion. Besonders gefährlich sei „PIPEDREAM“. Dieses modulare Angriffstool lasse sich flexibel in verschiedenen Branchen einsetzen und skalieren.
   Auch nichtstaatliche Akteure erlangten inzwischen bislang nur staatlich geförderten Akteuren vorbehaltene Fähigkeiten. Durch weltweite Vernetzung und zunehmende Professionalisierung von Ransomware- und „Hacktivisten“-Gruppen steige das Risiko groß angelegter, koordinierter Angriffe deutlich.
3. Machbare Verteidigung auf Basis stimmiger Grundlagen
   Trotz der komplexen Bedrohungslage zeige sich eine klare Erkenntnis: „Angriffe auf OT-Systeme lassen sich abwehren.“ Analysen belegten, dass bereits fünf grundlegende Schutzmaßnahmen einen Großteil aller Vorfälle verhindern könnten.
   Besonders wichtig sei Sichtbarkeit im Netzwerk. Ohne ein klares Bild von den „Assets“ und Bedrohungen im eigenen System blieben selbst professionelle Angriffe oft über lange Zeit unentdeckt.
   Aus der Praxis gebe es zahlreiche Beispiele. „Selbst kleinere Versorger haben sich erfolgreich gegen hochentwickelte Angriffe behauptet, wenn ihre Sicherheitsstrategien klar definiert und konsequent umgesetzt waren.“
4. Kooperation des öffentlichen und privaten Sektors ein Muss
   Staatliche Stellen, Nachrichtendienste, CERTs und Unternehmen müssten eng zusammenarbeiten, um OT-Systeme wirksam zu schützen.
   „Damit solche Kooperationen Erfolg haben, braucht es klare Zuständigkeiten, abgestimmte Abläufe und ein gemeinsames Verständnis der Bedrohungslage.“ Einzelne Initiativen wie das „Electricity Information Sharing and Analysis Center“ (E-ISAC) gälten als gute Beispiele.
   Viele Partnerschaften blieben jedoch zu unkonkret, schlecht koordiniert oder zu breit angelegt, um Wirkung zu entfalten. Ohne klare Schwerpunkte und gegenseitige Verpflichtung bleibe das Potenzial ungenutzt.
5. Regulierung verständlich und praxisnah
   Die größte Hürde beim Schutz kritischer OT-Infrastrukturen sei nicht der Mangel an Know-how oder technischen Lösungen. „Viel schwerer wiegen unklare, widersprüchliche oder überfrachtete Vorgaben.“
   Betreiber sähen sich häufig mit einer Vielzahl an Regelwerken verschiedener Stellen konfrontiert. Diese seien oft doppelt, unkoordiniert oder nicht auf OT-Systeme zugeschnitten. „Was fehlt, ist eine abgestimmte Regulierung, die von der Industrie mitgestaltet wird, sich an realen Bedrohungen orientiert, klare Ziele vorgibt und dabei genug Spielraum für konkrete, unternehmensspezifische Umsetzungen lässt.“
   Kritische Infrastrukturen ließen sich nur dann wirksam absichern, „wenn auch die vorgelagerten Bereiche zuverlässig geschützt sind“. Die Risiken entstehen laut Thomsen oft nicht erst beim Betreiber, sondern bereits bei den Zulieferern. Ungeprüfte Technik oder unsichere Hersteller könnten ganze Systeme gefährden.
6. Bekannte Maßnahmen harren der Umsetzung
   15 Jahre nach „Stuxnet“ sei klar, dass die Bedrohungslage weiter zunehme. Gleichzeitig stehe heute mehr Wissen über wirksame Schutzmaßnahmen zur Verfügung als je zuvor.
   Der nächste Schritt bestehe darin, dieses Wissen flächendeckend anzuwenden. „Dafür braucht es klare Zuständigkeiten, entschlossenes Handeln und eine Zusammenarbeit, die nicht an Abteilungsgrenzen endet!“, betont Thomsen.
   Dragos bietet nach eigenen Angaben effektive OT-Cybersicherheitstechnologie für industrielle und Kritische Infrastrukturen, um seine globale Mission zu verwirklichen: „Die Zivilisation zu schützen.“ Dragos habe fast zehn Jahre praktische Erfahrung im Umgang mit schwerwiegenden Angriffen auf OT-Netzwerke und kenne die Komplexität und Risiken industrieller Umgebungen. Diese verfügten häufig über ein enormes Ausmaß, stützen sich auf einzigartigen Systemen, unterlägen hohen Anforderungen an die Verfügbarkeit und ließen sich nicht durch Lösungen zur IT- Cybersicherheit schützen.

Weitere Informationen zum Thema:

DRAGOS
Dragos Makes Defense Doable / Build your cybersecurity program with the platform, threat intelligence, and services designed for how OT works

DRAGOS
Kai Thomsen: Director, Global Incident Response Services

datensicherheit.de, 11.11.2014
Stuxnet: Kaspersky Lab identifiziert die ersten fünf Opfer / Neue Analyse: Infizierung über Lieferkette / Erste Attacke nicht via USB-Stick

datensicherheit.de, 28.11.2010
Stuxnet als ernstzunehmende Bedrohung: Infrastrukturbetreiber sollten Gefahr nicht unterschätzen / Norwegischer IT-Security-Spezialist Norman warnt vor künftiger Verbreitung über Laptops oder Mobilgeräte

datensicherheit.de, 18.10.2010
Abwehr von Stuxnet-Angriffen durch Sicherheitszone für die Produktionsabteilung / GeNUA Fernwartungs-Appliance „GeNUBox“ verhindert einseitige Zugriffe von außen

datensicherheit.de, 03.10.2010
ENISA-Chef Dr. Udo Helmbrecht: Stuxnet stellt Paradigmenwechsel dar / Jüngste Attacke sei als „first strike“ gegen kritische Informationsinfrastruktur zu werten