Staatliche Akteure aus feindlichen Ländern sind für 75 % der Cyberangriffe auf kritische Infrastrukturen des Vereinigten Königreichs verantwortlich – Tiefgreifende Analyse des NCSC-Jahresberichts

Ereignisübersicht

Am 17. Juni 2026 enthüllte Richard Horne, CEO des britischen National Cyber Security Centre (NCSC), auf dem jährlichen Sicherheitsvortrag des Royal United Services Institute (RUSI), dass das NCSC im vergangenen Jahr (Juni 2025 bis Mai 2026) insgesamt 200 Cybervorfälle bearbeitet hat, die die kritische nationale Infrastruktur (CNI) betrafen. Davon gingen etwa 75 % von oder standen im Zusammenhang mit feindlichen staatlichen Akteuren wie Russland, China und Iran. Diese Zahl ist im Vergleich zu den 204 „national bedeutenden“ Vorfällen des vorherigen Jahresberichts leicht gesunken, aber die Dominanz feindlicher staatlicher Akteure hat sich weiter verstärkt.

• Horne unterteilte die Cyberbedrohungen in drei „Konflikträume“:
• Fernraum: Das Heimatgebiet der Gegner, das Großbritannien durch Geheimdiensterfassung, Sanktionen, Strafverfolgung und offensive Cyberoperationen unterdrückt.
• Mittelraum: Die digitale Infrastruktur, die von legitimen und böswilligen Akteuren gemeinsam genutzt wird. Angreifer nutzen Cloud- und Open-Source-Lieferketten, um Schadcode zu verbreiten und eine skalierte Wirkung zu erzielen.
• Nahraum: Die internen Systeme der Zielorganisation. Horne rief die Vorstände auf, grundlegende Fähigkeiten priorisiert umzusetzen: Kenntnis der Angriffsfläche, Abwehr und Reaktion.

Technologie- und Risikoanalyse

Angriffsmethoden und Angriffsketten Horne wies darauf hin, dass staatliche Akteure häufig die Strategie der Vorpositionierung (Prepositioning) anwenden, wie beispielsweise die von China unterstützte Gruppe Volt Typhoon, die in der digitalen Infrastruktur der USA dauerhafte Zugangspunkte geschaffen hat. Diese vorpositionierten „unsichtbaren Stützpunkte“ können bei einem Konflikt schnell aktiviert werden und massive Schäden verursachen. Angreifer nutzen zudem Cloud-Dienste, Open-Source-Komponenten und Lieferketten Dritter, um Schadcode zu verbreiten und durch den „Mittelraum“ Hebelwirkungen zu erzielen.

KI wird als „Beschleuniger“ eingestuft. Das NCSC bewertet, dass moderne KI-Modelle bereits in der Lage sind, langjährige Schwachstellen im Code effektiv zu erkennen, und dass es „hochwahrscheinlich“ ist, dass Angreifer bis 2028 KI automatisieren werden, um gegen bekannte Schwachstellen in der britischen kritischen Infrastruktur vorzugehen. Horne warnte: „Viele Schwachstellen, die heute von Organisationen toleriert werden, werden morgen im Konflikt ausgenutzt.“

Betroffene Vermögenswerte und Branchen Andrew Lintell, EMENA-Geschäftsführer von Claroty, wies darauf hin, dass OT-intensive Branchen (Fertigung, Wasserversorgung, Stromerzeugung) mehr als 40 % der beobachteten Angriffe im CNI-Bereich ausmachen, da sie bei erfolgreicher Kompromittierung das größte Chaos und die größte Panik verursachen können. James Neilson, Global Senior Vice President von OPSWAT, betonte, dass in der Umgebung kritischer Infrastrukturen eine Mischung aus IT- und OT-Anlagen vorhanden sei, aber es nur sehr wenige Personen mit tiefgreifender Fachkenntnis in beiden Bereichen gebe, was zu einer Wissenslücke bei der Bedrohungsbewertung und der Entwicklung von Abwehrmaßnahmen führe.

Analyse der Unternehmensauswirkungen

Betriebliche und finanzielle Risiken Angriffe staatlicher Akteure zielen in der Regel auf langfristige Infiltration, Datendiebstahl und verheerende Zerstörung ab, was zu Unterbrechungen der Kernindustrieprozesse, Produktionsstillständen und Datenverlusten führen kann. Die Wiederherstellungskosten sind oft extrem hoch, einschließlich Notfallmaßnahmen, Systemwiederaufbau, behördlicher Geldstrafen und Reputationsverlust.### Compliance- und Markenrisiken Großbritannien hat den Cybersecurity and Resilience Act verabschiedet, um die Regulierung kritischer nationaler Infrastrukturen (CNI) zu verschärfen. Organisationen, die nicht nachweisen können, dass sie angemessene Cybersicherheitsmaßnahmen ergriffen haben, drohen strenge Strafen. Darüber hinaus gehen Angriffe staatlicher Akteure häufig mit Spionagetätigkeiten und geopolitischen Verflechtungen einher, was zu einer Markenvertrauenskrise führt.

Datenrisiken Angreifer können Industriedesigns, Betriebsdaten, Kundeninformationen usw. stehlen und die negativen Auswirkungen durch Erpressung noch verstärken. Selbst wenn keine Erpressung stattfindet, stellt ein Datenleck bereits ein nationales Sicherheitsrisiko dar.

Branchentrends

Cybersicherheit ist ein „Wettkampf“, kein „Risiko“ Horne kritisiert scharf das traditionelle Denken, Cybersicherheit als einen „zu verwaltenden Punkt“ im Risikoregister zu betrachten, und plädiert dafür, es als einen kontinuierlichen „Wettkampf um Fähigkeiten und Leistung“ neu zu definieren. Graeme Stewart, Leiter des öffentlichen Sektors bei Check Point, pflichtet bei: Der CEO des NCSC habe vollkommen recht; Organisationen, die Cybersicherheit nur als Compliance-Häkchen betrachten, gefährden sich selbst.

KI-gesteuerte Angriffe werden bald alltäglich Das NCSC prognostiziert, dass KI in den nächsten zwei Jahren genutzt wird, um veraltete Schwachstellen in großem Maßstab auszunutzen. Das bedeutet, dass Unternehmen ihre Patch-Prozesse beschleunigen und KI-gestützte Abwehrwerkzeuge einsetzen müssen. Gleichzeitig könnten Cloud- und KI-as-a-Service von Gegnern missbraucht werden, was die Komplexität der Lieferkette erhöht.

Legacy-Systeme als Achillesferse Viele kritische Infrastrukturen laufen noch auf nicht mehr unterstützten Altsystemen, die in Konflikten zu Hauptzielen werden. Horne betont: „Im Cyberspace führen wir gewissermaßen bereits die Schlachten von morgen.“

Verteidigungs- und Handlungsempfehlungen

Auf Unternehmensebene - Identitäts- und Zugriffsmanagement: Implementierung von Multi-Faktor-Authentifizierung (MFA) und dem Prinzip der geringsten Rechte, um laterale Bewegungen nach einem Credential-Leck zu verhindern. - Zero-Trust-Architektur: Sowohl interner als auch externer Datenverkehr wird konsequent überprüft; keinerlei standardmäßig als „sicher“ eingestufte Bereiche. - Schwachstellenmanagement: Priorisieren Sie das Patchen bekannter ausgenutzter Schwachstellen, insbesondere bei Legacy-Systemen in OT/ICS.

Auf technischer Ebene - Bereitstellung von EDR/XDR: Ermöglicht Echtzeitüberwachung und Verhaltensanalyse von Endpunkten und Netzwerken. - Integration von Bedrohungsinformationen: Abonnieren Sie offizielle und kommerzielle Quellen wie NCSC, CISA, um vor gezielten Angriffen gewarnt zu werden. - OT-Sicherheitsisolierung: Starke logische oder physische Trennung von IT- und OT-Netzen; Einsatz dedizierter Eindringungserkennungssysteme.

Auf Managementebene - Vorfallsreaktionsübungen: Regelmäßige Simulation von Angriffsszenarien staatlicher Akteure, Test abteilungsübergreifender Koordination und Wiederherstellungsprozesse. - Risikobewertung der Lieferkette: Sicherheitsaudits bei kritischen Lieferanten, um die Vertrauenswürdigkeit von Upstream-Code und Cloud-Diensten zu gewährleisten. - Sicherheitsbewusstsein im Vorstand: Sicherstellen, dass das Management das Konzept des „kontinuierlichen Wettkampfs“ versteht und dem Sicherheitsteam ausreichend Ressourcen zur Verfügung stellt.

SecurityPost InsightNCSCs Warnung ist keinesfalls übertrieben. Der Anteil von 75 % staatlicher Akteure zeigt, dass geopolitische Spannungen den Cyberraum vollständig durchdrungen haben. Kritische Infrastrukturen verwandeln sich von „indirekten Zielen“ zu „vorderster Front“. Hornes „dreidimensionales“ Rahmenwerk – weiträumige Unterdrückung, strukturelle Verhärtung im mittleren Raum, grundlegende Verteidigung im Nahbereich – bietet Organisationen eine klare strategische Schichtung. Dennoch stecken viele Unternehmen noch in einem Compliance-orientierten „Risikolisten“-Denken fest und übersehen, dass Gegner im mittleren Raum (Cloud, Lieferketten, KI-Dienste) Angriffsfähigkeiten vorinstallieren.

Die größte Herausforderung liegt im Zeitfenster: Das NCSC prognostiziert, dass KI bis 2028 für groß angelegte Ausnutzung von Schwachstellen eingesetzt wird, während viele Organisationen noch nicht damit begonnen haben, veraltete Systeme, die seit über zwanzig Jahren laufen, auszumustern. Für Einrichtungen kritischer Infrastrukturen, die auf gemischte OT- und IT-Umgebungen angewiesen sind, besteht die dringendste Aufgabe darin, bereichsübergreifende Wissenslücken zu schließen und ein widerstandsfähiges System aufzubauen, das sowohl physische als auch digitale Bedrohungen bewältigen kann.

Dieser Wettlauf hat kein Ende, aber Organisationen, die in kontinuierlichen Kapazitätsaufbau investieren – statt in einmalige Compliance-Projekte – werden in diesem langen Kampf die Oberhand behalten.

--- *Quelle der Information: Infosecurity Magazine Bericht „Hostile States Behind 75% of Cyber-Attacks on UK Critical Infrastructure, NCSC Warns“*