Wie Angreifer die Rüstungsindustrie ins Visier nehmen

Die Google Threat Intelligence Group (GTIG) zeigt in ihrem aktuellen Bericht „Beyond the Battlefield: Threats to the Defense Industrial Base “, dass geopolitische Konflikte längst nicht mehr nur mit militärischen Mitteln ausgetragen werden. Stattdessen verlagern sich Auseinandersetzungen zunehmend in den Cyberraum. Im Fokus stehen dabei nicht nur militärische Systeme selbst, sondern auch Rüstungsunternehmen, deren Zulieferer sowie deren Beschäftigte.

Zentrale Erkenntnisse aus der Bedrohungsanalyse:

Rüstungsunternehmen mit Zukunftstechnologien im Visier

Besonders betroffen sind Unternehmen, die an Gefechtsfeldtechnologien der nächsten Generation arbeiten – allen voran an unbemannten Flugsystemen (Unmanned Aircraft Systems, UAS), wie sie im Krieg zwischen Russland und der Ukraine eine zentrale Rolle spielen. Russland-nahe Akteure greifen diese Firmen gezielt an und geben sich dabei häufig als legitime Anbieter von Verteidigungslösungen aus, um Militärangehörige auszuspionieren.

Mitarbeiter als neue Angriffsfläche

Beschäftigte entwickeln sich zunehmend zum bevorzugten Angriffsziel. Bedrohungsakteure nutzen Bewerbungsprozesse, private E-Mail-Konten und Remote-Arbeitsmodelle aus, um etablierte Sicherheitsmechanismen in Unternehmen zu umgehen.

Chinesische Spionage als größte staatliche Bedrohung

Staatlich unterstützte Spionage aus China stellt laut GTIG derzeit die größte Bedrohung dar. Der Fokus verlagert sich dabei auf die Kompromittierung von Edge-Geräten und Netzwerk-Appliances, um langfristig und möglichst unentdeckt Zugang zu Organisationen der Verteidigungsindustrie zu erhalten.

Lieferketten bleiben hochgradig verwundbar

Die gesamte industrielle Wertschöpfungskette – einschließlich Hersteller von Dual-Use-Gütern – gerät verstärkt ins Visier. Zwar sind Rüstungsunternehmen selbst seltener von Ransomware betroffen, doch Angriffe auf Zulieferer können ihre Fähigkeit gefährden, die Produktion in Krisenzeiten schnell hochzufahren.

Spezifische Entwicklungen in Europa:

Russische Spionage gegen europäische Rüstungsunternehmen

Seit Januar 2025 führt ein mutmaßliches russisches Bedrohungscluster namens UNC5976 Phishing-Kampagnen durch. Dabei geben sich die Angreifer als Rüstungsfirmen oder Telekommunikationsanbieter aus und nutzen eine Infrastruktur, die Unternehmen in Großbritannien, Deutschland, Frankreich, Schweden und Norwegen imitiert.

Pro-russische Hacktivisten und der Drohnenkrieg

Mutmaßliche Infrastruktur der Gruppe APT43 imitiert deutsche Verteidigungsorganisationen wie etwa die Firma Diehl Defence. (Quelle: Google)

Gegen Ende 2025 konzentrierten sich Cyberoperationen prorussischer Hacktivisten verstärkt auf den Einsatz ukrainischer Drohnen. Dies unterstreicht sowohl die militärische Bedeutung dieser Systeme als auch den Versuch der Hacktivisten, ihre Cyberaktivitäten als unmittelbar wirksam für reale militärische Operationen darzustellen.

Luke McNamara, stellvertretender Chefanalyst der GTIG, fasst zusammen

„Die Verteidigungsindustrie bleibt ein Hauptziel hochentwickelter Cyberoperationen – von gezielten Angriffen auf Drohnenentwickler in der Ukraine bis hin zu verdeckten Spionagekampagnen chinesisch verbundener Akteure. Während weltweit die Verteidigungsausgaben steigen, nimmt zugleich die Vielfalt und Raffinesse der Angriffsmethoden zu. Die Bedrohungslage verändert sich rasant, weshalb der Aufbau von Resilienz im gesamten Ökosystem höchste Priorität hat.“