Um 06:30 Uhr an einem Montag erfährt ein Werksleiter, dass das Produktionsnetzwerk offline ist. Der Fernzugriff funktioniert nicht mehr, und mehrere Betriebssysteme sind nicht mehr vertrauenswürdig. Die Maschinen laufen zwar möglicherweise noch, aber Aufträge, Rezepturen, Rückverfolgbarkeitsdaten, Freigabedaten, Lagerbewegungen und Versanddokumente sind möglicherweise nicht mehr verfügbar. In einem Ransomware-Angriff in der Fertigungsindustrie In diesem Fall ist die erste Entscheidung klar: Kann das Unternehmen weiterhin produzieren, Produkte auf den Markt bringen, versenden, Rechnungen ausstellen und Zahlungen einziehen?

Sensata Technologies berichtete, dass die am 6. April 2025 entdeckte Ransomware Geräte verschlüsselt und den Versand, den Wareneingang, die Produktion sowie weitere Abläufe beeinträchtigt habe. Die Nucor Corporation teilte am 20. Mai 2025 mit, dass sie die Produktion an mehreren Standorten eingestellt habe, während sie einen Cybervorfall eindämmte. Nucor bestätigte später, dass ein Angreifer in begrenztem Umfang Daten entwendet habe und dass der Zugriff auf Betriebsanwendungen weiterhin eingeschränkt sei.

Am 16. Juli 2026, The Coca-Cola Company Bei Fairlife wurde ein unbefugter Zugriff bekannt, der produktionsbezogene Systeme betraf. Die Unternehmen unterscheiden sich zwar in Größe und Branche, doch der Ablauf ist derselbe: Zuerst bricht das Vertrauen zusammen, dann schwächt sich die Kontrolle ab, und der Liquiditätsdruck setzt ein, noch bevor die Untersuchung abgeschlossen ist.

Ransomware-Angriffe: Die ersten 72 Stunden entscheiden über den Ausgang

Die Richtlinie (EU) 2022/2555, die NIS2-Richtlinie, legt eine kurze Meldefrist fest. Artikel 23 erfordert eine frühzeitige Warnung innerhalb von 24 Stunden, eine förmliche Aufforderung innerhalb von 72 Stunden, und in der Regel ein Abschlussbericht innerhalb von ein Monat. Die Unternehmensleitung muss Bericht erstatten, solange sich die technischen Gegebenheiten noch ändern. Nationale Cybersicherheitsbehörden und CSIRTs können in den Prozess einbezogen werden, unterstützt von der Agentur der Europäischen Union für Cybersicherheit und EU-CyCLONe.

Drei Entscheidungen dürfen nicht aufgeschoben werden

1. Die Produktion ist einzustellen oder einzuschränken, wenn das Werk die Produktidentität, die Rezepturkontrolle, die Rückverfolgbarkeit oder die Qualitätsfreigabe nicht nachweisen kann.
2. Schützen Sie Ihre Barmittel, indem Sie jede operative Einschränkung mit Sendungen, Rechnungen, Belegen und fälligen Zahlungen verknüpfen.
3. Übertragen Sie einem leitenden Angestellten die Weisungsbefugnis über die Bereiche IT, Betrieb, Finanzen, Rechtsabteilung, Kundenteams und den Werksleiter.

Das Bundesamt für Sicherheit in der Informationstechnik, die US-Behörde für Cybersicherheit und Infrastruktursicherheit (Cybersecurity and Infrastructure Security Agency) sowie das Internet Crime Complaint Center des FBI können die Maßnahmen auf breiterer Ebene unterstützen. Sie können jedoch nicht entscheiden, ob die Freigabe einer Charge unbedenklich ist, ob ein Kundenversprechen glaubwürdig ist oder ob das Unternehmen eine weitere Woche mit eingeschränkter Produktion finanzieren kann.

Ist die Rückverfolgbarkeit ungewiss, gilt die Anlage als nicht wiederhergestellt.

Maschinenbewegungen stellen keine verkaufsfähigen Leistungen dar

Eine Produktionslinie kann den Betrieb wieder aufnehmen, während das Unternehmen seine Produktion noch immer nicht verkaufen kann. Das Werk muss Chargenhistorie, Seriennummern, Prozesseinstellungen, Materialstatus, Prüfergebnisse und Freigabegenehmigungen miteinander verknüpfen. Fehlt auch nur ein Teil davon, dauern die durch Cyberangriffe verursachten Produktionsausfälle an, selbst wenn ausgewählte Maschinen laufen.

Der Mindesttest besteht aus sechs Teilen: Kann das Unternehmen den Auftrag, das Material, die genehmigten Einstellungen, die Prüfung, die Freigabe und den Versand nachweisen? Das Gedächtnis und unkontrollierte Tabellenkalkulationen stellen keine ausreichenden Nachweise dar. Das Werk sollte diese Produktion als „eingeschränkt“ und nicht als „wiederhergestellt“ kennzeichnen.

CE Interim's Notfallplan für den Umgang mit Ransomware-Vorfällen im Werk befasst sich mit der Eindämmungssequenz auf Anlagenebene. Der wirtschaftliche Test beginnt, wenn das Team die technische Erholung in kontrollierte Ergebnisse umsetzen muss, bevor das Bargeld und das Vertrauen der Kunden zur Neige gehen.

Die Wiederherstellung nach einem Ransomware-Angriff in der Industrie muss der Produktionskette folgen

Systemverantwortliche sollten die Reihenfolge der Einziehung nicht eigenmächtig festlegen. Die Reihenfolge muss dem Weg vom Kundenauftrag bis zum Zahlungseingang folgen. In einem Ransomware-Angriff in der Fertigungsindustrie Als Reaktion darauf sorgt diese Vorgabe dafür, dass sich das Team auf den betrieblichen Nutzen statt auf die Anzahl der Server konzentriert.

• Die Identitäts- und Zugriffskontrollen neu gestalten, damit das Unternehmen über eine zuverlässige Betriebsgrundlage verfügt.
• Genehmigte Aufträge, Spezifikationen, Rezepturen und Arbeitsanweisungen wiederherstellen.
• Materialstatus, Lagerbewegungen und Aufzeichnungen zu unfertigen Erzeugnissen wieder miteinander verknüpfen.
• Überprüfen Sie Qualitätskontrollen, Abstammungsdaten, Freigabeprotokolle und Laborverknüpfungen.
• Stellen Sie Versanddokumente, Kundenbeziehungen, Rechnungsstellung und Inkasso wieder her.

Backups helfen nur, wenn sie fehlerfrei, vollständig, kompatibel und nutzbar sind – in dieser Reihenfolge. Identitätsdienste, ERP-Systeme, MES, Historiendaten, Etiketten, Laborsysteme und Lagerdaten werden oft zu unterschiedlichen Zeitpunkten wiederhergestellt. Die Wiederherstellung nach einem Ransomware-Angriff in der Industrie scheitert, wenn das Management eine Anwendung als wiederhergestellt erklärt, während der Betriebsprozess weiterhin gestört ist.

Wenn Waren nicht versandt und in Rechnung gestellt werden können, wird der Bargeldumsatz zum maßgeblichen Indikator.

Durch Ausfallzeiten infolge von Cyberangriffen entstehen zwei Arten von Verlusten

Der erste Verlust betrifft den Umsatz. Das Werk kann nicht genügend Waren freigeben, versenden oder in Rechnung stellen. Der zweite Verlust sind die laufenden Kosten. Lohn- und Gehaltsabrechnungen, Nebenkosten, Miete, Leasingraten, Lieferantenrechnungen und Schulden sind weiterhin fällig. Die Wiederherstellung erfordert zusätzlich forensische Untersuchungen, Hardware, Überstunden, rechtliche Unterstützung und Eiltransporte.

Key Tronic Corporation schätzte, dass ein durch Ransomware verursachter Betriebsausfall den Quartalsumsatz um etwa $15 Millionen verringerte und etwa $2.3 Millionen bei den Kosten. Das Unternehmen führte diese Kosten auf neue IT-Ausrüstung und externe Unterstützung im Bereich Cybersicherheit zurück, während die Lohnzahlungen weitergingen. So beginnt eine Insolvenz im Bereich Cybersicherheit in der Fertigungsindustrie: Die Zahlungseingänge sinken, während die regulären und außerordentlichen Zahlungen weiterlaufen.

Der Finanzvorstand benötigt einen täglichen Überblick über die Liquidität

Die monatliche Budgetplanung ist zu langsam. Der Finanzvorstand benötigt eine auf 13 Wochen ausgelegte Liquiditätsprognose, die sich an die Verfügbarkeit von Produktionskapazitäten, Produkteinführungen, Versandtermine, Rechnungen, Kundenabzüge, Druck seitens der Lieferanten, Versicherungsfristen und Wiederherstellungskosten orientiert. Bei jeder Eingabe muss angegeben werden, ob es sich um eine bestätigte oder eine angenommene Zahl handelt. Kreditgeber reagieren stärker auf schwache Belege als auf ein eindeutiges Defizit.

Der Leitfaden von CE Interim zu Management des Cashflows in einer Krise passt zu dieser Phase. In einem Ransomware-Angriff in der Fertigungsindustrie In diesem Fall sind Kassenführung und Betriebssteuerung ein und dieselbe Aufgabe. Jede Zahl hängt davon ab, was das Werk nachweisen, freigeben, versenden und in Rechnung stellen kann.

Sollte der Kunde auf eine doppelte Beschaffung umsteigen, könnte die Erholung zu spät eintreten

Das Cyber-Audit bei den Tier-2-Zulieferern beginnt während des Betriebsausfalls

Die Kunden werden nicht abwarten, bis die forensische Untersuchung abgeschlossen ist. Die Teams aus den Bereichen Beschaffung, Qualität, Recht, Sicherheit und Betrieb werden andere Kapazitäten prüfen. Sie werden Lagerbestände, Berichte zur Nachfragesituation und zukünftige Bestellungen überprüfen. Für Tier-2-Zulieferer aus der Automobil- und Industriebranche ist ein Cyber-Audit für Tier-2-Zulieferer sowohl ein Test der Geschäftskontinuität als auch eine Sicherheitsüberprüfung.

Der Kunde wird vier Punkte prüfen: Produktkontrolle, verlässliche Liefertermine, eine benannte Verwertungsstelle und ausreichend Liquidität, um die Arbeiten abzuschließen. Schon eine einzige schwache Antwort kann dazu führen, dass das Auftragsvolumen an einen anderen Lieferanten verlagert wird. Das Werk mag sich zwar technisch erholen, verliert aber dennoch den Kundenwert, der das Geschäft gestützt hat.

Jaguar Land Rover zeigt, wie sich disruptive Veränderungen auf die Zulieferer auswirken

Am 23. September 2025, Jaguar Land Rover verlängerte seine Produktionspause bis zum 1. Oktober während das Unternehmen eine schrittweise Wiederaufnahme der Produktion vorbereitete. Die Produktion wurde am 8. Oktober 2025, und Jaguar Land Rover meldete später, dass die Produktion bis zum Mitte November 2025. Diese Diskrepanz verdeutlicht, warum Ausfallzeiten aufgrund von Cyberangriffen kein Zeitfenster für die IT-Wartung darstellen.

Am 28. September 2025 hat die Britisches Ministerium für Wirtschaft und Handel sowie UK Export Finance kündigte eine Bürgschaft in Höhe von bis zu 1,5 Milliarden Pfund an, um die Finanzierung und die Sicherheit der Lieferkette zu gewährleisten. Diese Maßnahme spiegelte den Liquiditätsdruck wider, der entsteht, wenn ein großer Hersteller den Betrieb einstellt. Ein kleinerer Zulieferer kann nicht davon ausgehen, dass ihm eine ähnliche Unterstützung zuteilwird.

Bei einem Cyber-Audit bei einem Tier-2-Zulieferer wird die Unternehmensführung geprüft, nicht nur die Software

Die Richtlinie (EU) 2022/2555 umfasst die Sicherheit der Lieferkette als Teil der vorgeschriebenen Risikomaßnahmen. Für wesentliche Einrichtungen gilt, Artikel 34 sieht Höchststrafen von mindestens 10 Millionen Euro oder 21 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Der Anwendungsbereich hängt von der Branche, der Unternehmensgröße, der Geschäftstätigkeit, dem Land und den nationalen Rechtsvorschriften ab. Dennoch müssen die Vorstände darlegen, wie sie wesentliche Betriebs- und Lieferantenrisiken kontrollieren.

Ein glaubwürdiges Cyber-Audit bei einem Tier-2-Zulieferer sollte die Befugnisse zum Neustart, die manuelle Rückverfolgbarkeit, Kundenaktualisierungen, Sicherungskontrollen, Liquiditätsprognosen, die Priorisierung von Zulieferern sowie den Betrieb ohne wichtige Schnittstellen prüfen. Außerdem sollte es die Führungskraft benennen, die in diesen Bereichen Kompromisse eingehen kann. Eine Insolvenz im Bereich der Cybersicherheit in der Fertigung wird wahrscheinlicher, wenn Ausschüsse die Verantwortung teilen, aber niemand die Verantwortung für das Ergebnis übernimmt.

Bei der Entscheidung über die Durchführung eines Ransomware-Angriffs geht es darum, ob ein Wert erhalten bleibt

Der Vorstand muss die Sanierung von der Rentabilität trennen

A Ransomware-Angriff in der Fertigungsindustrie Ein Vorfall wird zu einem Restrukturierungsfall, wenn vertrauenswürdige Produktionsergebnisse erst später als Liquidität zurückkehren und die Kunden warten können. Der Chief Operating Officer kontrolliert möglicherweise die Produktion, der Chief Financial Officer die Liquidität und der Werksleiter die sichere Produktion. Technische Teams stellen die Systeme wieder her. Ohne eine zentrale Instanz, die den gesamten Ablauf überwacht, laufen die Entscheidungen auseinander.

Auf dem Spielbrett gibt es nun drei Möglichkeiten. „Umstrukturierung“ bedeutet, eine kontrollierte Sanierung zu finanzieren und gleichzeitig Kosten, Führungsstrukturen und Kundenversprechen neu zu definieren. „Verkauf“ bedeutet, zu handeln, solange das Werk, die Verträge, die Belegschaft und die Kundenbeziehungen noch einen veräußerbaren Wert haben. „Schließung“ bedeutet, Mitarbeiter, Kunden, Gläubiger, Daten und Vermögenswerte zu schützen, bevor die Kontrolle durch unvorhergesehene Ereignisse verloren geht.

Ein Interimsmanager mit Zuständigkeit für den operativen Bereich und die Liquidität kann erforderlich sein, wenn die derzeitige Struktur nicht in der Lage ist, Entscheidungen in der für den Vorfall erforderlichen Geschwindigkeit zu treffen. Hierbei handelt es sich nicht um eine technische Funktion. Es geht um eine vorübergehende operative Kontrolle, wenn technische Reparaturen, die Wiederherstellung nach einem Ransomware-Angriff und die Finanzierung in einen Zeitplan zusammengefasst wurden.