Wenn Ransomware das Fließband stoppt: Warum Produktionsbetriebe anders denken müssen

Was ist bei dem Angriff passiert?

Im Juli 2026 traf ein Ransomware-Angriff die Coca-Cola-Tochter Fairlife und legte die komplette US-Produktion still. Nicht ein einzelnes Werk, nicht eine Schicht — die Fertigung insgesamt.

Das Bemerkenswerte daran ist, was nicht im Vordergrund stand: Es ging in der öffentlichen Wahrnehmung kaum um gestohlene Rezepturen oder Kundendaten. Der Schaden entstand durch den Stillstand — nicht produzierte Ware, gerissene Lieferketten, leere Regale.

Genau hier unterscheidet sich ein Produktionsbetrieb von einem Büro. Fällt in einer Verwaltung die IT aus, ist ein Tag mühsam, aber aufholbar. Fällt in der Fertigung die Steuerung aus, steht die Anlage — und jede Stunde kostet unmittelbar Geld, oft mit Vertragsstrafen im Rücken.

Warum ist die Produktion besonders verwundbar?

Weil dort zwei Welten aufeinandertreffen, die unterschiedlich ticken. Die IT (Büro-Technik) wird regelmäßig aktualisiert, neu gestartet und ausgetauscht. Die OT (Betriebstechnik: Maschinensteuerungen, SPS, Leitsysteme) ist auf Verfügbarkeit über Jahrzehnte ausgelegt.

Daraus folgen drei typische Schwachstellen. Erstens laufen Steuerungsrechner oft auf alten Betriebssystemen, weil die Maschinensoftware nichts Neueres unterstützt — teils ohne Sicherheitsupdates. Zweitens lässt sich eine Anlage nicht mal eben für ein Update anhalten; Wartungsfenster sind rar und teuer. Drittens wurden Produktions- und Büronetz historisch zusammengeschaltet, weil es praktisch war — für Auftragsdaten, Fernwartung, Auswertungen.

Das Ergebnis: Ein Angriff, der im Büro startet — mit einer Phishing-Mail in der Buchhaltung — findet oft einen offenen Weg bis in die Fertigung.

Was bedeutet das für den Mittelstand?

Dass die Größe des Opfers nichts über die Betroffenheit sagt. Ransomware-Gruppen arbeiten überwiegend automatisiert und opportunistisch: Sie suchen erreichbare, verwundbare Systeme, nicht bestimmte Namen. Ein Zulieferer mit 80 Beschäftigten ist genauso auffindbar wie ein Konzern — und hat meist weniger Verteidigung.

Hinzu kommt der Hebel über die Lieferkette: Steht Ihre Fertigung, steht möglicherweise auch die Ihres Kunden. Das erhöht den Druck, zu zahlen — und macht Sie als Ziel attraktiver, nicht unattraktiver. Wie Ransomware grundsätzlich funktioniert und welche Schutzebenen wirken, haben wir in Ransomware im Mittelstand beschrieben.

Wie schützen Sie Produktion und Büro-IT gemeinsam?

Der wirksamste Hebel ist die Trennung der Netze. Produktion und Büro gehören nicht in dasselbe flache Netz — ein kompromittierter Bürorechner darf keine Sichtverbindung zur Maschinensteuerung haben. Umgesetzt wird das über Segmentierung mit klar definierten Übergängen.

Dazu kommen vier Punkte, die sich in der Praxis bewährt haben:

• Fernwartungszugänge kontrollieren: Maschinenbauer brauchen Zugriff — aber zeitlich begrenzt, protokolliert und mit MFA, nicht als Dauerleitung.
• Unveränderliche Backups inklusive Steuerungs-Konfigurationen und Maschinenparametern, nicht nur der Dateiserver.
• Erkennung statt nur Abwehr: Monitoring und EDR, damit ein Einbruch auffällt, bevor verschlüsselt wird.
• Alte Systeme kapseln: Was nicht mehr aktualisiert werden kann, wird abgeschottet statt ignoriert.

Was gehört in den Notfallplan eines Produktionsbetriebs?

Ein Notfallplan, der voraussetzt, dass die IT funktioniert, ist im Ernstfall wertlos. Für die Fertigung heißt das konkret: Wie lange kann ohne IT weiterproduziert werden — gibt es Papierfallbacks für Aufträge, Chargen und Rückverfolgbarkeit? Wer entscheidet über den kontrollierten Anlagenstopp? Wie erreichen Sie Schicht, Kunden und Lieferanten, wenn E-Mail und Telefonie ausfallen?

Und die Frage, die am häufigsten unbeantwortet bleibt: Wie lange dauert das Wiederanfahren? Nicht die Datenwiederherstellung — das Hochfahren der Produktion, inklusive Kalibrierung, Freigaben und Qualitätssicherung. Wer das erst im Ernstfall herausfindet, verliert Tage. Die Grundstruktur dazu liefert unser Beitrag Was gehört in einen IT-Notfallplan?.

Was sollten Sie als Nächstes tun?

Der Fall Fairlife ist kein Konzernproblem, sondern eine Blaupause. Die Kernfrage für jeden produzierenden Betrieb lautet: Was passiert bei uns, wenn morgen früh die Steuerung nicht mehr startet? Wer darauf keine belastbare Antwort hat, hat eine Lücke — unabhängig davon, wie gut die Büro-IT aufgestellt ist.

Wir schauen uns Ihre Situation gemeinsam an: Wo hängen Produktion und Büro zusammen, welche Zugänge existieren, was sichern Ihre Backups wirklich, und wie schnell wären Sie wieder lieferfähig? Daraus wird ein realistischer Fahrplan — abgestimmt auf Ihre Anlagen, nicht auf ein Lehrbuch.