OT-Wochenlage DACH, KW 43/2026
Die Lage ist hoch, weil mehrere Zero-Days in Fernwartungs- und WAN-Produkten aktiv ausgenutzt werden, die dort, wo sie als Fernwartungszugang genutzt werden, direkt vor der Leittechnik stehen. Zuerst kommen BeyondTrust (patchen, Zugangsdaten wechseln, Spuren suchen) und die Härtung der SPS-Webserver, für die es für einen großen Teil der Produkte noch keinen Fix gibt. Lage: hoch.
Gesamt, alle OT-Branchen
Die Lage ist hoch, weil mehrere Zero-Days in Fernwartungs- und WAN-Produkten aktiv ausgenutzt werden, die dort, wo sie als Fernwartungszugang genutzt werden, direkt vor der Leittechnik stehen. Zuerst kommen BeyondTrust (patchen, Zugangsdaten wechseln, Spuren suchen) und die Härtung der SPS-Webserver, für die es für einen großen Teil der Produkte noch keinen Fix gibt.
- KRITISCH · BeyondTrust Remote Support: Zero-Day vor der Veröffentlichung ausgenutzt, KEV seit 16.10. (CVE-2026-102764), Quelle
- HOCH · Siemens SIMATIC S7-1500 und ET 200SP: acht CVEs im Webserver (Typen laut CISA: Eval Injection und Cross-Site Scripting), für einen großen Teil der Produkte noch kein Fix (ICSA-26-295-14), Quelle
- HOCH · FBI, CISA, US Secret Service, LKA Rheinland-Pfalz und britische Behörden warnen vor SafePay-Ransomware (AA26-293A), Quelle
Branchenbericht Gesamt, alle OT-Branchen lesen · PDF
Strom und Energie
Die Lage ist hoch, weil zwei Fernzugangs-Produkte betroffen sind: BeyondTrust Remote Support, dessen Ausnutzung Mandiant laut Rapid7 einem mutmaßlich China-nahen Spionageakteur zuordnet, und Palo Alto GlobalProtect, bei dem Unit 42 Ausnutzungsversuche durch Ransomware-Betreiber beobachtet. Dazu kommt die Ransomware-Gruppe SafePay, die laut Advisory über gestohlene oder erratene Passwörter, ausgenutzte Schwachstellen und Phishing einsteigt. Vorrang hat die Prüfung von BeyondTrust und GlobalProtect auf Kompromittierung, nicht nur das Patchen.
- KRITISCH · BeyondTrust Remote Support: Zero-Day laut Mandiant von mutmaßlich China-naher Gruppe ausgenutzt, KEV seit 16.10. (CVE-2026-102764), Quelle
- HOCH · Palo Alto GlobalProtect (CVE-2026-0257): Unit 42 beobachtet Ausnutzungsversuche durch Ransomware-Betreiber Qilin und Inc, Quelle
- HOCH · SafePay-Ransomware: FBI, CISA, US Secret Service, LKA Rheinland-Pfalz, NCA und NWROCU warnen gemeinsam (AA26-293A), Quelle
Branchenbericht Strom und Energie lesen · PDF
Kommunale Versorger und KRITIS
Die Lage ist hoch. Vorrang haben Fernwartungs- und VPN-Zugänge (BeyondTrust, VeloCloud, VPN ohne MFA): patchen, auf Kompromittierung prüfen und hinterlegte Zugangsdaten wechseln.
- KRITISCH · BeyondTrust Remote Support: vor der Veröffentlichung ausgenutzt, seit 16.10. im KEV (CVE-2026-102764), Quelle
- HOCH · Siemens SIMATIC S7-1500 und ET 200SP: acht CVEs im Webserver, für einen großen Teil der Produkte noch kein Fix (ICSA-26-295-14), Quelle
- HOCH · PHP2Shell: kritische RCE-Lücken in PHP (CVE-2026-109618/-109619), Quelle
Branchenbericht Kommunale Versorger und KRITIS lesen · PDF
Lebensmittel und Getränke
Die Lage ist erhöht. Kühlketten mit offen erreichbarer Fernwartung werden nach Einschätzung der französischen Behörde wahrscheinlich weiter angegriffen, und für einen großen Teil einer weit verbreiteten SPS-Familie gibt es noch keinen Fix. Vorrang haben das Abschotten von Kälte- und SPS-Webzugängen und MFA auf allen VPN-Zugängen.
- HOCH · Siemens SIMATIC S7-1500 und ET 200SP: acht CVEs im Webserver, für viele Produkte noch kein Fix (ICSA-26-295-14), Quelle
- HOCH · Angriffe auf Kühlsteuerungen: französische Behörde hält sie für wahrscheinlich andauernd, Europol in Kontakt mit Behörden, Quelle
- HOCH · Behörden aus den USA, Deutschland und Großbritannien warnen vor SafePay-Ransomware (AA26-293A), Quelle
Branchenbericht Lebensmittel und Getränke lesen · PDF
Maschinen- und Anlagenbau
Die Lage ist erhöht bis hoch, weil Steuerungslücken, für die es großteils noch keinen Fix gibt, und aktiv ausgenutzte Fernwartungs- und Engineering-Software zusammenkommen. Vorrang haben die Prüfung der BeyondTrust-Appliances, die Prüfung der Windows- und Engineering-PCs auf ClickFix/MSI-Ausführungen mit Siemens Software Center und die Absicherung der S7-1500-Webserver in ausgelieferten Anlagen.
- KRITISCH · Siemens SIMATIC S7-1500 und ET 200SP: acht CVEs im Webserver, für viele Produkte noch kein Fix (ICSA-26-295-14), Quelle
- KRITISCH · BeyondTrust Remote Support: Zero-Day vor der Veröffentlichung ausgenutzt, KEV seit 16.10. (CVE-2026-102764), Quelle
- HOCH · Siemens Software Center wird über ClickFix-Köder ausgenutzt (CVE-2026-110936), Quelle
Branchenbericht Maschinen- und Anlagenbau lesen · PDF
Zuletzt aktualisiert: 23.10.2026