Die Prioritätsunterschiede bei der organisationalen Resilienz kritischer Infrastrukturen sind signifikant: Das Patch-Management zeigt die Branchenkluft auf.

Deutliche Unterschiede in der Priorität der Resilienz kritischer Infrastrukturen: Patch-Management offenbart Branchenkluft

Einleitung

Eine der größten Herausforderungen für Sicherheitsverantwortliche ist die Schwierigkeit, die eigene Sicherheitslage im Vergleich zu anderen akkurat einzuschätzen. Der dritte jährliche CISO-Forschungsbericht von Onyxia Cyber mit dem Titel „Branchenkluft: Resilienzprioritäten von Sicherheitsverantwortlichen in verschiedenen Sektoren“ enthüllt eine alarmierende Realität: Organisationen kritischer Infrastrukturen patchen und reagieren auf Schwachstellen deutlich langsamer als andere Branchen, und diese Diskrepanz wird von Angreifern ausgenutzt. Der Bericht, der auf Umfragen unter CISOs mehrerer Branchen basiert, zeigt, wie unterschiedliche Risikotoleranzen zu einer erheblichen Divergenz in den Sicherheitsstrategien führen.

Ereignisüberblick

• Zeitpunkt: 21. Juli 2026
• Herausgeber: Onyxia Cyber (Sicherheitsanbieter, veröffentlicht CISO-Forschungsberichte)
• Wichtigste Erkenntnis: Nur 31,3 % der Organisationen kritischer Infrastrukturen schließen kritische Schwachstellen innerhalb von drei Tagen nach Entdeckung. In anderen Branchen (z. B. Finanzen, Technologie) liegt dieser Anteil mit rund 60 % fast doppelt so hoch.
• Hintergrund: Organisationen kritischer Infrastrukturen stehen vor besonderen betrieblichen Einschränkungen, wie Verfügbarkeitsanforderungen von OT-Systemen, längeren Änderungsfenstern und alternden Anlagen, was zu Verzögerungen bei der Patch-Bereitstellung führt.
• Vollständiger Titel des Berichts: „Industry Divides: Uncovering the CISO's Resilience Priorities Across Sectors“

Technische Analyse und Risikoanalyse

Angriffsweise: Die Verzögerung im Patch-Management erhöht direkt das Risiko von Ransomware und Angriffen, die bekannte Schwachstellen ausnutzen. Angreifer scannen bevorzugt ungepatchte CVEs (z. B. Log4Shell, ProxyLogon) in kritischen Infrastrukturen, da die Auswirkungen von Betriebsunterbrechungen in solchen Organisationen enorm sind und die Zahlungsbereitschaft für Lösegeld höher ist.

Angriffskette: Angreifer identifizieren über öffentliche Schwachstellendatenbanken weit verbreitete, ungepatchte Systeme in kritischen Infrastrukturen, verschaffen sich ersten Zugang (z. B. durch Phishing, VPN-Schwachstellen), bewegen sich lateral zu kritischen Assets (z. B. SCADA, Industriecontroller) und setzen schließlich Ransomware ein oder führen Datendiebstahl durch.

• Betroffene Assets:
• Endpunktsysteme: Veraltete OT-Anlagen und nicht rechtzeitig gepatchte IT-Systeme.
• Identitätssysteme: Active Directory, privilegierte Konten.
• Cloud-Umgebungen: Allerdings sind kritische Infrastrukturen stärker von lokalen und OT-Architekturen abhängig.
• OT-Systeme: Speicherprogrammierbare Steuerungen (SPS), Mensch-Maschine-Schnittstellen (MMS), industrielle Steuerungssysteme (ICS).

Analyse der Unternehmensauswirkungen

• Aus Unternehmenssicht sind die Auswirkungen des verzögerten Patch-Managements mehrdimensional:- Betriebsrisiko: Das Schließen von Sicherheitslücken erfordert Ausfallzeiten, die jedoch für kritische Infrastrukturen (wie Strom, Wasser, Fertigung) Produktivitätsverluste und Probleme bei der Einhaltung von Sicherheitsvorschriften bedeuten. Eine Verzögerung der Patches kann zu Angriffen und damit zu längeren Unterbrechungen führen.
• Finanzielles Risiko: Ein erfolgreicher Ransomware-Angriff verursacht im Durchschnitt direkte Verluste in Millionenhöhe, einschließlich Lösegeld, Wiederherstellungskosten und regulatorischer Strafen.
• Compliance-Risiko: Rahmenwerke wie die Anweisungen der US-amerikanischen CISA, NERC CIP und die europäische NIS2 verlangen die rechtzeitige Behebung kritischer Schwachstellen. Die Nichteinhaltung kann rechtliche Sanktionen nach sich ziehen.
• Markenrisiko: Unterbrechungen kritischer Infrastrukturdienste führen zu öffentlichem Misstrauen und behördlicher Prüfung.
• Datenrisiko: Auch wenn OT-Systeme nicht primär als Datenspeicher dienen, können Angreifer über IT/OT-Verbindungen dennoch Kunden- oder Betriebsdaten stehlen.

Beobachtungen zu Branchentrends

Dieses Ereignis ist kein Einzelfall, sondern spiegelt tiefere Branchentrends wider:

1. Ungleichgewicht bei Patch-Management-Praktiken: Organisationen kritischer Infrastrukturen können aufgrund ihrer Anforderungen an die Betriebskontinuität Patches oft nicht so schnell bereitstellen wie die Finanz- oder Technologiebranche. Diese Kluft vergrößert sich eher, als dass sie sich verringert. 2. Divergenz der Risikotoleranz: Der Bericht weist darauf hin, dass ein von einer Branche als inakzeptabel angesehenes Risikoniveau von einer anderen Branche stillschweigend geduldet werden kann. Diese "Normalisierungsabweichung" erschwert branchenübergreifende Benchmarking. 3. Wachstum von KI-Angriffen: Angreifer nutzen KI-Tools, um Schwachstellen automatisiert zu scannen und auszunutzen, was das Risiko durch Patch-Verzögerungen verschärft. 4. Verstärkter Schutz kritischer Infrastrukturen: Regierungen weltweit verschärfen die Regulierung kritischer Infrastrukturen, die tatsächliche Umsetzung bleibt jedoch hinter den Erwartungen zurück. 5. Zero Trust und Asset-Transparenz: Immer mehr CISOs erkennen, dass Patch-Management nur ein Teil der Resilienz ist und mit Netzwerksegmentierung, kontinuierlichem Monitoring und Notfallreaktion kombiniert werden muss.

Empfehlungen für Verteidigung und Reaktion

Angesichts der Besonderheiten von Organisationen kritischer Infrastrukturen empfiehlt sich eine mehrschichtige Verteidigungsstrategie:

• Auf Unternehmensebene:
• Identitätssicherheit: Implementierung der Multi-Faktor-Authentifizierung (MFA) an allen Zugangspunkten, insbesondere für Fernzugriff und verwaltete Dienste.
• Zero-Trust-Architektur: Umsetzung des Prinzips "Niemals vertrauen, immer überprüfen" mit Mikrosegmentierung für IT- und OT-Netzwerke.
• Schwachstellenmanagement: Aufbau einer risikobasierten Patch-Priorisierung; für kritische Schwachstellen Einsatz von virtuellen Patches oder kompensierenden Kontrollen; bei nicht sofort möglicher Behebung Aktivierung von Angriffserkennung und Asset-Isolation.

• Auf technischer Ebene:
• SIEM/SOAR: Integration von OT-Bedrohungsinformationen zur automatischen Korrelation abnormaler Ereignisse.
• EDR/XDR: Bereitstellung von Endpunkterkennung in IT- und OT-Umgebungen, unter Berücksichtigung der Kompatibilität mit Produktionssystemen.
• Abonnement von Bedrohungsinformationen: Nutzung von Informationen der CISA, ISACs u. a., um über aktive Schwachstellenausnutzung informiert zu sein.Managementebene:
• Incident-Response-Plan: Entwicklung spezifischer Prozesse für die OT-Umgebung, einschließlich physischer Isolationsverfahren und Start von Ersatzsystemen.
• Risikomanagement für Dritte: Bewertung des Sicherheitsniveaus von Lieferanten und verwalteten Diensten, klare Festlegung der Patch-Verantwortlichkeiten.
• Cybersicherheits-Governance: Integration des Patch-Reifegrads in Kennzahlen auf Vorstandsebene, Förderung der Unterstützung von Sicherheitsinvestitionen durch die Fachabteilungen.

SecurityPost Insight

Der Bericht von Onyxia Cyber deckt eine entscheidende Tatsache auf: Die Verzögerung beim Patch-Management in Organisationen kritischer Infrastrukturen ist nicht auf mangelnde technische Fähigkeiten zurückzuführen, sondern auf operative und kulturelle Abwägungen. Dieses „akzeptable Risiko“ wird jedoch mit der Zunahme staatlich unterstützter Angriffe inakzeptabel. Institutionen wie CISA und ENISA haben wiederholt gewarnt, dass kritische Infrastrukturen zur Frontlinie des Cyberkriegs geworden sind.

Lehren für die Unternehmenssicherheit: Das eigene Sicherheitsniveau sollte nicht ausschließlich anhand von Branchendurchschnittswerten gemessen werden. Organisationen kritischer Infrastrukturen sollten branchenspezifische Resilienz-Benchmarks etablieren und aktiv Kompensationskontrollen (wie Netzwerksegmentierung, proaktive Bedrohungsjagd) nutzen, um Patch-Verzögerungen auszugleichen. Darüber hinaus trägt der Austausch von Bedrohungsinformationen und Best Practices mit Gleichgesinnten (z. B. über ISAC) dazu bei, die Sicherheitslücke zu schließen.

Zukünftige Trends: Es wird mit mehr automatisierten Exploit-Tools speziell für kritische Infrastrukturen sowie mit verbindlichen Anforderungen der Aufsichtsbehörden an die Aktualität von Patches gerechnet. Sicherheitsverantwortliche müssen das Patch-Management von einem IT-Projekt zu einer Säule der Geschäftskontinuität aufwerten, andernfalls drohen zunehmende Risiken und Kosten.