Ransomware in der Produktionslinie

Die Bedrohung

Ein Phishing-Zugang in der Unternehmens-IT eskaliert zu einer domänenweiten Ransomware, die das Werksnetz erreicht. Steuerungssysteme fallen aus, Aufträge stauen sich, und der Angreifer droht mit dem Leak gestohlener Konstruktionsdaten.

Zentrale Injects

• 01EDR meldet Massenverschlüsselung Richtung OT-DMZ.
• 02Die Linie steht; ein Schichtleiter fragt nach sicherem Herunterfahren.
• 03Ein Großkunde fordert binnen einer Stunde eine Liefergarantie.
• 04Der Angreifer startet einen Countdown auf seiner Leak-Site.

Was bewertet wird

• IT/OT-Segmentierung unter Zeitdruck
• Disziplin in Lieferanten- und Kundenkommunikation
• Governance der Lösegeldentscheidung & juristische Freigabe
• Beweissicherung für die Meldepflicht

Übungsziele

• Binnen 30 Minuten nach dem ersten Inject über die IT/OT-Trennung entscheiden, mit protokollierter Abwägung von Produktion, Sicherheit und Lieferfähigkeit.
• In der ersten Stunde eine arbeitsfähige Krisenorganisation aufstellen: Rollen, Entscheidungsbefugnisse, Berichtstakt.
• Die 24-Stunden-Frühwarnung an die zuständige Behörde (NIS2-Meldekette) vor Übungsende im Entwurf fertig haben.
• Eine konsistente Kunden- und Lieferantenlinie halten, solange die Lösegeldforderung offen ist.

Rollen am Tisch

• ●Krisenstabsleitung · Verantwortet Takt, Entscheidungslog und Eskalationen; hält den Raum bei Entscheidungen statt bei Diagnosen.
• ●IT-/SOC-Lead · Eindämmungsoptionen, forensische Sicherung und die ehrliche Antwort auf „Breitet es sich noch aus?“
• ●OT / Werksbetrieb · Optionen für sicheres Herunterfahren und Handbetrieb; spricht für das, was die Linie wirklich noch kann.
• ●Kommunikation · Sprachregelungen für Kunden, Lieferanten und Presse; eine Geschichte über alle Kanäle.
• ●Recht / Datenschutz · Zulässigkeit der Zahlung, Vertragsstrafen, Meldepflichten und Beweisdisziplin.
• ●Geschäftsleitung · Haltung zur Lösegeldfrage, Ausgabenfreigaben und die letzte Entscheidung, wenn Bereiche sich widersprechen.

Diskussionsfragen

• 01Würden Sie das OT-Netz allein auf Verdacht trennen, und wer hat die Befugnis, die Produktion für Tage zu stoppen?
• 02Ihre Backups sind verschlüsselt oder ungeprüft. Ab wann wird Zahlen zur Vorstandsoption, und wer spricht es zuerst aus?
• 03Ein Schlüsselkunde verlangt binnen einer Stunde eine Liefergarantie. Was sagen Sie zu, solange das Schadensausmaß unbekannt ist?
• 04Der Angreifer leakt einen Auszug gestohlener Konstruktionsdaten. Ändert das Ihre Verhandlungsposition, oder Ihre Meldepflichten?
• 05Wer informiert Betriebsrat und Schichten, und was passiert, wenn ein Mitarbeiter ein Foto der Forderung postet?
• 06Könnten Sie nächste Woche das Entscheidungsprotokoll vorlegen, das Aufsicht oder Versicherer verlangen werden?

Empfohlener Ablauf

• 00:00–00:20Detektion & Alarm: EDR-Meldung, Erst-Triage, Krisenstab tritt zusammen
• 00:20–01:00Eindämmung: IT/OT-Trennentscheidung, sicheres Herunterfahren, Backup-Status
• 01:00–02:00Eskalationsspitze: Kundendruck, Leak-Site-Countdown, Lösegeld-Haltung
• 02:00–02:40Meldung & Kommunikation: Frühwarnung im Entwurf, Kunden- und Presselinie abgestimmt
• 02:40–03:00Hot Wash: Entscheidungen am zeitgestempelten Protokoll überprüft