# Erfolgreiche OT-Angriffe 2026: Wege und Prioritäten

Von Max Gilg · 02.11.2026 · 6 Min. Lesezeit

Kurz gesagt: Zwischen November 2025 und November 2026 finde ich sechs öffentlich belegte Cyberangriffe, nach denen Anlagen stillstanden, nur noch von Hand liefen oder echter Schaden entstand, darunter die Kühlschränke in französischen Supermärkten und das polnische Energienetz. Wo der Einstieg bekannt ist, war es jedes Mal Technik, die aus dem Internet erreichbar und schlecht gehärtet war; einen Zero-Day belegt keine Quelle. Betreiber sollten deshalb zuerst Fernzugänge, Edge-Geräte und offene Steuerungen schließen und ihre OT-Notfallplanung üben.
Fünf Fälle in zwölf Monaten: Mehr erfolgreiche OT-Angriffe mit belegten Folgen für die Anlage geben die Quellen nicht her. Max Gilg, OT-Cybersecurity-Experte aus Rosenheim, hat nur Fälle aufgenommen, bei denen eine Behörde, das betroffene Unternehmen oder ein Fachmedium mit Primärbezug ausdrücklich Stillstand, Handbetrieb oder Schaden an der Anlage beschreibt. Reine IT-Ransomware ohne Folgen für die Produktion fehlt bewusst. Entsprechend kurz ist die Liste. Was Betreiber daraus ableiten sollten, lässt sich trotzdem klar benennen.

[Bild: Infografik: Erfolgreiche OT-Angriffe 2026: Wege und Prioritäten]

„Dort, wo der Weg bekannt ist, brauchten die Angriffe der letzten zwölf Monate keinen Zero-Day. Sie kamen über Fernzugänge und Steuerungen, die offen im Internet hingen.“ (Max Gilg)

## Fünf Angriffe, bei denen die Anlage betroffen war

Fall
Datum
Auswirkung
Angriffsweg
Quelle

Supermärkte Frankreich (Kühlschränke, Danfoss-Steuerungen)
CERT-FR-Alarm 12.10.2026
Kühlung gestört
Laut Danfoss meist Altgeräte ohne Updates, viele Bedienoberflächen direkt aus dem Internet erreichbar; genauer Einstieg nicht bekannt
SecurityWeek (https://www.securityweek.com/supermarket-refrigeration-attack-widens-to-copeland-dixell-controllers/)

Energiesektor Polen (über 30 Wind- und PV-Parks, ein kleineres Heizwerk, ein Fertigungsbetrieb)
29.12.2025
Firmware von Controllern zerstört, Fernsteuerung verloren
Edge Device: FortiGate als Firewall und VPN, aus dem Internet erreichbar, ohne Multi-Faktor-Authentifizierung; Standard-Zugangsdaten an einem Controller
CERT Polska (https://cert.pl/en/posts/2026/01/incident-report-energy-sector-2025/), Help Net Security (https://www.helpnetsecurity.com/2026/08/11/poland-energy-sector-cyberattack-heating-plant-private-apn/)

Iran-nahe Angriffe auf PLCs in den USA (mehrere Sektoren der kritischen Infrastruktur)
Advisory 07.04.2026, Update 22.07.2026
„operational disruption and financial loss“, manipulierte HMI-Anzeigen, Eingriffe in Projektdateien
Aus dem Internet erreichbare OT-Geräte
CISA (https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a)

Wasserversorger Minnesota (mehrere Gemeinden, u. a. Braham, St. Paul und Plymouth)
in der Quelle nicht genannt
St. Paul: Vorfall an Technik der Wasserversorgung; Plymouth: mutmaßlicher Angriff
nicht bekannt
WaterWorld (https://www.waterworld.com/water-utility-management/news/55394026/multiple-minnesota-water-utilities-investigate-coordinated-cyberattack)

Mackay Sugar, Australien
Meldung 10.06.2026
Zwei Zuckermühlen abgeschaltet, Ernte gestoppt
nicht bekannt
The Record (https://therecord.media/cyberattack-shuts-down-major-australian-sugar-producer)

Ob bei Mackay Sugar die Steuerungsebene selbst getroffen wurde oder ob der Betreiber vorsorglich abgeschaltet hat, ist öffentlich nicht geklärt. Für die Produktion macht das am Ende keinen Unterschied: Die Linie stand.

## Kühlschränke in Frankreich

Laut SecurityWeek haben Angreifer die Kühlung in Supermärkten in Frankreich gestört. CERT-FR hat am 12. Oktober 2026 Alarm geschlagen.

Betroffen waren Kältesteuerungen von Danfoss, laut Hersteller überwiegend Altgeräte, die keine Updates mehr bekommen. Einer bestimmten Schwachstelle ordnet der CERT-FR-Alarm die Kompromittierungen laut SecurityWeek nicht zu, und weder Danfoss noch die Behörden haben einen Bezug zu den Claroty-Lücken hergestellt. Fest steht nur: Censys zählte am 11. Oktober über 1.800 Bedienoberflächen dieser Systeme in Frankreich, die direkt aus dem Internet erreichbar waren. Am 13. Oktober hat CERT-FR die Warnung auf Copeland/Dixell XWEB ausgeweitet.

An keinem anderen Fall des Jahres lässt sich so gut ablesen, wie nah OT längst am Alltag ist: Auch hinter dem Kühlschrank im Supermarkt steht eine Anlage mit Steuerung und Fernwartung, in aller Regel samt Herstellerportal. Technisch unterscheidet sie sich kaum von der Kälteanlage einer Molkerei im Allgäu oder im Pinzgau.

## Der Weg ins polnische Energienetz

Am 29. Dezember 2025 traf ein koordinierter Angriff laut CERT Polska „more than 30 wind and photovoltaic farms“, ein großes Heizkraftwerk für fast eine halbe Million Kunden und einen Fertigungsbetrieb. Die Angreifer beschädigten die Firmware von Controllern, löschten Systemdateien und starteten eigene Schadsoftware. Strom erzeugten die Parks weiter. Steuern oder überwachen konnte der Netzbetreiber sie laut CISA aber nicht mehr wie vorgesehen.

Der Einstieg ist gut dokumentiert. CISA spricht von „vulnerable internet-facing edge devices“, Help Net Security beschreibt die Kette genauer: Eine FortiGate diente als Firewall und VPN-Konzentrator, das VPN war aus dem Internet erreichbar und ohne Multi-Faktor-Authentifizierung abgesichert. Von dort ging es über das private APN, also den Funkweg der Fernwirktechnik, zu einem WAGO-Controller in einem kleineren Heizwerk. Dessen Weboberfläche lief noch mit Standard-Zugangsdaten.

## PLCs und Wasserversorger in den USA

Die gemeinsame Warnung von CISA und weiteren Behörden beschreibt Iran-nahe Akteure, die aus dem Internet erreichbare OT-Geräte angreifen. Als Folgen nennt das Advisory manipulierte Werte auf HMI- und SCADA-Anzeigen, Eingriffe in Projektdateien und in einigen Fällen „operational disruption and financial loss“. Betroffen waren mehrere Sektoren der kritischen Infrastruktur in den USA. Namen nennt die Behörde nicht.

In Minnesota untersuchen laut WaterWorld mehrere Wasserversorger Vorfälle, darunter Braham, St. Paul und Plymouth. In St. Paul geht es um einen Vorfall an Technik, die für Teile der Wasserversorgung genutzt wird, in Plymouth um einen mutmaßlichen Angriff. Einen Angriffsweg nennt die Quelle nicht. Wer dahintersteckt und ob die Vorfälle zusammenhängen, bleibt damit offen.

## Was die fünf Fälle gemeinsam haben

Bei zwei der fünf Fälle ist der Einstieg öffentlich belegt: in Polen ein VPN ohne zweiten Faktor, in den USA OT-Geräte, die aus dem Internet erreichbar waren. In Frankreich ist der genaue Weg offen. Belegt ist dort nur, dass viele Bedienoberflächen der Kältesteuerungen direkt im Internet standen, oft auf Altgeräten ohne Updates. Gescheitert ist die Verteidigung in den belegten Fällen an der Grundhärtung. Einen Zero-Day nennt keine der Quellen.

Bei Minnesota und Mackay Sugar ist der Weg nicht bekannt. Für die Betreiber ist das ein Problem für sich: Ohne bekannten Einstiegsweg lässt sich eine Anlage nach einem Angriff nicht sicher wieder anfahren.

Schaden an Geräten ist in Polen belegt, dort war die Firmware beschädigt. In Frankreich war die Kühlung gestört, in den übrigen Fällen war der Betrieb gestört oder stand still.

„Ob der Angreifer genial war, interessiert in der Produktion niemanden. Ein offener Fernzugang reicht, um die Linie zu stoppen.“ (Max Gilg)

## Wo Anlagenbetreiber jetzt ansetzen sollten

Die Empfehlungen orientieren sich an den SANS Five ICS Cybersecurity Critical Controls.

CC4 Secure Remote Access zuerst. Sämtliche Fernzugänge gehören in ein Verzeichnis, vom Herstellerportal bis zum Mobilfunkrouter an der Station. Kein Zugang ohne zweiten Faktor, keine Weboberfläche einer Steuerung direkt im Internet. In Polen und bei den PLCs in den USA hätte das den Einstieg mindestens deutlich erschwert, in Frankreich die Angriffsfläche verkleinert.

CC5 Risk-Based Vulnerability Management für Edge Devices und Altgeräte. Firewalls und VPN-Gateways werden zuerst gepatcht. Für Steuerungen, die der Hersteller nicht mehr mit Updates versorgt, braucht es eine bewusste Entscheidung: abschotten, ersetzen oder das Risiko dokumentiert weiterführen. Standard-Zugangsdaten werden bei der Inbetriebnahme geändert, nicht irgendwann.

CC2 Defensible Architecture. Segmentierung zwischen Büro-IT, Fernwartung und Steuerung. Wie weit der Angriff bei Mackay Sugar reichte, ist offen. Ist die Steuerung sauber getrennt, muss nach einem Angriff in aller Regel nur die IT neu aufgesetzt werden. Fehlt die Trennung, steht womöglich auch die Linie.

CC3 ICS Network Visibility & Monitoring. Wer Zugriffe auf Kältesteuerungen oder Änderungen an PLC-Programmen sieht, kann früher eingreifen. Für Betreiber unter NIS2 ist Angriffserkennung in OT-Netzen ohnehin Thema.

CC1 ICS Incident Response. Fällt die Automatisierung aus, muss der Betrieb von Hand weiterlaufen können. Das muss die Instandhaltung geübt haben, mit Papier-Checklisten und Telefonnummern, die auch ohne IT funktionieren.

## Bayern, Salzburg und Tirol

In der Region stehen genau die Anlagentypen, die in den Fällen oben getroffen wurden: Molkereien und Lebensmittelverarbeitung mit ihrer Kälte- und Lagertechnik, dazu Wasserkraft, Wind und PV. Viele davon betreuen Dienstleister per Fernwartung, oft über Mobilfunkrouter im Schaltschrank. Betreiber, die unter NIS2 fallen, müssen diese Zugänge in ihr Risikomanagement aufnehmen. Maschinenbauer und Hersteller von Steuerungen sollten den Cyber Resilience Act (CRA) im Blick haben: Sichere Standardeinstellungen und Sicherheitsupdates für einen festgelegten Supportzeitraum werden Pflicht. Warum, zeigen Fälle wie die Kühlschränke in Frankreich.

Betreiber, die wissen wollen, welche ihrer Anlagen aus dem Internet erreichbar sind und wo Fernzugänge ohne zweiten Faktor laufen, unterstützt OT-Cyber.de in ganz DACH mit OT-Security-Beratung, dem OT-Asset-Inventar und Angriffserkennung in OT-Netzen. Im Ernstfall ist die OT-Notfallhilfe rund um die Uhr erreichbar.

[Bild: Schema: Prioritäten nach SANS Five ICS Critical Controls]

## Methodik

Für jeden Fall gibt es eine Belegliste mit wörtlichen Zitaten und direktem Link. Fälle ohne Primärquelle, ohne Datum im Zeitraum oder ohne Bezug zur Anlage sind nicht enthalten. Dazu zählen Berichte über Hacktivisten in Spanien, deren Einzelfälle nicht datiert sind, und laufende Untersuchungen ohne bestätigten Angriff.

## Häufige Fragen

**Welche Cyberangriffe haben 2026 Anlagen zum Stillstand gebracht?**
Öffentlich belegt sind sechs Fälle zwischen November 2025 und November 2026: Kühlanlagen in französischen Supermärkten, das polnische Energienetz, Iran-nahe Angriffe auf PLCs in den USA, Wasserversorger in Minnesota, Mackay Sugar in Australien und fairlife in den USA.

**Wie kommen Angreifer in OT-Anlagen?**
In allen Fällen mit bekanntem Einstieg über Technik, die aus dem Internet erreichbar war: Bedienoberflächen, VPN-Firewalls ohne zweiten Faktor und falsch konfigurierte PLCs. Einen Zero-Day nennt keine der Quellen.

**Was tun, wenn die Produktion nach einem Cyberangriff stillsteht?**
Auf geübten Handbetrieb umschalten, betroffene Fernzugänge trennen, den Einstieg klären, bevor wieder angefahren wird, und bei NIS2-Pflicht die Meldefristen beachten. Die Wasserversorger in Minnesota haben so den Betrieb gesichert.

**Darf der Servicetechniker per Fernwartung auf die SPS?**
Ja, aber nur über einen dokumentierten Zugang mit zweitem Faktor, zeitlich begrenzt und ohne dass Steuerung oder Weboberfläche direkt im Internet stehen. Genau diese Lücken waren 2026 der häufigste belegte Einstieg.

## Quellen

- www.france24.com (https://www.france24.com/fr/france/20261012-des-supermarch%C3%A9s-fran%C3%A7ais-victimes-d-une-cyberattaque-contre-leurs-installations-frigorifiques)
- www.securityweek.com (https://www.securityweek.com/supermarket-refrigeration-attack-widens-to-copeland-dixell-controllers/)
- www.rts.ch (https://www.rts.ch/info/monde/2026/article/cyberattaque-en-france-les-frigos-de-supermarches-pirates-29383389.html)
- cert.pl (https://cert.pl/en/posts/2026/01/incident-report-energy-sector-2025/)
- cyberscoop.com (https://cyberscoop.com/cisa-warning-russian-cyberattack-poland-power-grid/)
- www.helpnetsecurity.com (https://www.helpnetsecurity.com/2026/08/11/poland-energy-sector-cyberattack-heating-plant-private-apn/)
- www.cisa.gov (https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a)
- www.waterworld.com (https://www.waterworld.com/water-utility-management/news/55394026/multiple-minnesota-water-utilities-investigate-coordinated-cyberattack)
- therecord.media (https://therecord.media/cyberattack-shuts-down-major-australian-sugar-producer)
- www.sec.gov (https://www.sec.gov/Archives/edgar/data/0000021344/000162828026048466/ko-20260716.htm)
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Für Redaktionen ordnet er Angriffe kurzfristig ein. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 02.11.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Ferfolgreiche-ot-angriffe-2026-wege-und-prioritaeten.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Ferfolgreiche-ot-angriffe-2026-wege-und-prioritaeten.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Ferfolgreiche-ot-angriffe-2026-wege-und-prioritaeten.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Ferfolgreiche-ot-angriffe-2026-wege-und-prioritaeten.html&text=Erfolgreiche%20OT-Angriffe%202026%3A%20Wege%20und%20Priorit%C3%A4ten)WhatsApp (https://wa.me/?text=Erfolgreiche%20OT-Angriffe%202026%3A%20Wege%20und%20Priorit%C3%A4ten%20https%3A%2F%2Fot-cyber.de%2Fblog%2Ferfolgreiche-ot-angriffe-2026-wege-und-prioritaeten.html)E-Mail (mailto:?subject=Erfolgreiche%20OT-Angriffe%202026%3A%20Wege%20und%20Priorit%C3%A4ten&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Ferfolgreiche-ot-angriffe-2026-wege-und-prioritaeten.html)