# OT-Lage vom 03.10.2026
Tagesbericht · aktuelle Lage (/ot-lage/)
Automatisch zusammengestellt aus öffentlichen Quellen – ohne Gewähr. Einordnung und Beratung: OT-Cyber.de (/)
📄 Lagebild als PDF herunterladen (/ot-lage/2026-10-03.pdf)
🛡 OT-Briefing 03.10.
• [Relevanz hoch] Warlock-Ransomware trifft Betreiber kritischer Infrastruktur, Einstieg über SharePoint – Laut Symantec (01.10.) hat die China-nahe Gruppe Longlegs (Storm-2603) mindestens vier Organisationen in portugiesisch- und spanischsprachigen Ländern angegriffen, auch in Europa: einen Wasserversorger, einen Telekom-Anbieter, eine regionale Behörde und eine Universität. Ein Opfer in DACH ist nicht bekannt. Der Einstieg lief wahrscheinlich über Schwachstellen in ungepatchten On-Premises-SharePoint-Servern. In einem dokumentierten Fall lagen zwischen der ersten Webshell (22.07.) und der Verteilung der Ransomware auf 33 Hosts (31.07.) nur neun Tage. Stadtwerke mit eigenem SharePoint sollten prüfen, ob alle SharePoint-Patches eingespielt sind, die von 2025 und auch die neueren von 2026, und nach Webshells suchen. Quellen: https://www.security.com/threat-intelligence/warlock-ransomware-critical-infrastructure (https://www.security.com/threat-intelligence/warlock-ransomware-critical-infrastructure) und https://www.bleepingcomputer.com/news/security/warlock-ransomware-breach-sharepoint-in-water-telecom-operator-attacks/ (https://www.bleepingcomputer.com/news/security/warlock-ransomware-breach-sharepoint-in-water-telecom-operator-attacks/)
• [Relevanz hoch] Fortinet FortiMail: kritischer Zero-Day wird ausgenutzt – Für FortiMail wird eine kritische Schwachstelle gemeldet, die bereits aktiv ausgenutzt wird. Betreiber sollten betroffene Versionen und Fix-Stände im Fortinet-Advisory prüfen und zügig patchen. Quellen: https://thehackernews.com/2026/10/critical-fortimail-zero-day-flaw.html (https://thehackernews.com/2026/10/critical-fortimail-zero-day-flaw.html) und https://www.cisa.gov/news-events/alerts/2026/10/01/cisa-adds-one-known-exploited-vulnerability-catalog (https://www.cisa.gov/news-events/alerts/2026/10/01/cisa-adds-one-known-exploited-vulnerability-catalog)
Thema für LinkedIn: Eine Ransomware-Gruppe hat Betreiber kritischer Infrastruktur angegriffen, darunter einen Wasserversorger. Der Einstieg lief wahrscheinlich über ungepatchte SharePoint-Server. Aus meiner Erfahrung führt der Weg in die OT eines Stadtwerks häufig über die Büro-IT, Edge-Geräte und Remote Access.
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und Inhaber von OT-Cyber.de. Seit mehr als 15 Jahren arbeitet er an der Sicherheit industrieller Anlagen und kritischer Infrastrukturen (KRITIS) – heute mit Dragos, zuvor unter anderem bei Claroty, Tripwire, Infoblox, Controlware und den Stadtwerken Rosenheim. Er berät Betreiber und Maschinenbauer in Bayern, Salzburg und Tirol sowie in ganz DACH (Deutschland, Österreich, Schweiz) zu Anlagen- und Maschinensicherheit, CRA und NIS2 – mit Praxis an der Anlage, nicht nur auf dem Papier. Mehr über Max Gilg → (/max-gilg/)