NOUSEC adressiert die zwei Dinge, die menschliches Risiko in Industrie und Energie anders machen: die Lieferkette und die Werkhalle. Dritte sind an 61 % der Datenschutzverletzungen im verarbeitenden Gewerbe beteiligt, mehr als in jeder anderen Branche im Verizon DBIR. Die entscheidenden Vorwände sind daher geänderte Bankverbindungen von Lieferanten, Lieferanten-Onboarding und Recruiter-Ansprachen an Betriebspersonal. Und weil ein großer Teil der Belegschaft keinen festen Arbeitsplatz hat, simuliert NOUSEC neben E-Mail auch über QR-Code, USB-Köder, SMS und WhatsApp und liefert Schulungen in kurzen Formaten – einschließlich Postern und Infografiken für Bereiche, in denen niemand einen Bildschirm hat.
Die meistangegriffene Branche, fünf Jahre in Folge.
Ihre Lieferkette ist eine soziale Angriffsfläche.
Einundsechzig Prozent Beteiligung Dritter sind kein Problem für den Lieferanten-Fragebogen. Es ist ein Menschenproblem mit angehängter Bestellung.
| Vorwand | Warum er funktioniert | Die Kontrolle, die hält |
|---|---|---|
| Geänderte Bankverbindung eines Lieferanten | Sie kommt aus einer echten Geschäftsbeziehung, im richtigen Ton und zu einem plausiblen Zeitpunkt im Rechnungszyklus. | Rückbestätigung über den bereits hinterlegten Kontakt – nie über den Kontakt aus der Anfrage. |
| Lieferanten-Onboarding / gefälschtes Angebot | Der Einkauf soll auf neue Lieferanten schnell reagieren. | Ein definierter Onboarding-Weg, der keine Dokumente außerhalb des Prozesses annimmt. |
| Recruiter-Ansprache an Betriebspersonal | Schmeichelhaft, persönlich und außerhalb jedes Firmenkanals. | Schulung, die das Muster benennt, und ein Meldeweg, der den Beschäftigten nichts kostet. |
Das ist nicht hypothetisch. In seinem OT-Jahresrückblick 2026 beschreibt Dragos die von ihm als PYROXENE verfolgte Gruppe, die mehrjährige Kampagnen über die Lieferkette führt und dabei Social Engineering gegen Betriebspersonal einsetzt – unter anderem mit gefälschten LinkedIn-Profilen, die sich als Recruiter ausgeben.[13]
Viele der Menschen, die Sie erreichen müssen, lesen keine E-Mails.
Schichtbetrieb, gemeinsam genutzte Terminals und in vielen Rollen gar kein persönliches Postfach. Drei Gruppen, drei verschiedene Antworten.
Werk und Außendienst
Schichtbetrieb, gemeinsam genutzte Terminals und in vielen Rollen gar kein persönliches Postfach. Simulation per QR-Code und USB-Köder erreicht diese Gruppe dort, wo E-Mail es nicht kann; die Schulung kommt als Poster, Infografik und kurzes Modul statt als 20-minütiger Kurs.
Einkauf, Kreditorenbuchhaltung und Engineering
Die Gruppe, auf die die Vorwände aus der Lieferkette tatsächlich zielen. Simulation per E-Mail, SMS, WhatsApp und Rückruf, die Module zu BEC und Credential Harvesting und adaptive Zuweisung nach gemessenen Fehlern.
OT- und Leitstandpersonal
Geschult auf Prozesskontrollen, nicht auf das Erkennen synthetischer Medien. Eskalationswege und Rückbestätigung über einen zweiten Kanal – dazu die ehrliche Aussage, was Menschen unterscheiden können und was nicht.
14 Formate, 30 Sprachen – 9 heute vollständig lokalisiert, 21 weitere auf Anfrage – und ein Lehrplan zu Lieferantenbetrug, BEC, Credential Harvesting und schädlichen Anhängen. Vollständiges White-Label mit automatischer Währungsbehandlung für Gruppen in mehreren Ländern.
Zwei Anhänge, zwei Einstufungen, eine Nachweiskette.
| Regelwerk | Artikel | Was es verlangt | Wie NOUSEC es nachweist |
|---|---|---|---|
| NIS2 – Energie[3] | Anhang I.1 | Elektrizität, Fernwärme und -kälte, Erdöl, Erdgas und Wasserstoff sind Sektoren mit hoher Kritikalität. Größere Einrichtungen sind nach Art. 3 wesentlich. | Serverseitige Abschlussprüfung; prüfungsbereinigte Scorecard. |
| NIS2 – verarbeitendes Gewerbe | Anhang II.5 | Medizinprodukte und In-vitro-Diagnostika; Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse (NACE 26); elektrische Ausrüstungen (27); Maschinenbau a. n. g. (28); Kraftwagen und Kraftwagenteile (29); sonstiger Fahrzeugbau (30) – wichtige Einrichtungen. | Dieselbe Nachweiskette, eine andere Bußgeldobergrenze. |
| NIS2 | Art. 21 Abs. 2 Buchst. g | Cyberhygiene und Schulungen zur Cybersicherheit als verpflichtende Mindestmaßnahme. | Abschlussnachweise, keine bloßen Zuweisungsdatensätze. |
| NIS2 | Art. 34 Abs. 4–5 | Die Mitgliedstaaten müssen Höchstbußgelder von mindestens 10 Mio. € oder 2 % des weltweiten Umsatzes (wesentlich) bzw. 7 Mio. € oder 1,4 % (wichtig) vorsehen, je nachdem, welcher Betrag höher ist. | — |
| DSGVO | Art. 39 Abs. 1 Buchst. b | Sensibilisierung und Schulung als Teil der Überwachungsaufgabe des Datenschutzbeauftragten. | Richtlinienbestätigung mit Versionsverfolgung. |
| ISO/IEC 27001:2022[5] | Abschn. 7.2 / 7.3, A 6.3 | Kompetenz, Bewusstsein, Schulung. | Öffentliche Seite zur Zertifikatsprüfung. |
Die Zusammenfassungen der Vorschriften dienen der Orientierung und sind keine Rechtsberatung. Anwendungsbereich und Einstufung hängen von der Umsetzung in Ihrem Mitgliedstaat ab. Abschlussprüfung und Compliance-Scorecard ab Essentials; Richtlinienbestätigung und öffentliche Zertifikatsprüfung ab Professional; Audit-Log und SIEM-Export im Enterprise-Paket.
Die vier Mechanismen, auf denen diese Seite beruht.
QR-Code und USB-Köder
Formate, die ohne Bildschirm funktionieren
Adaptive Zuweisung nach gemessenen Fehlern
White-Label über Ländergrenzen
Weiterlesen: QR-Code-Phishing-Angriffe sowie die Glossareinträge zu Rechnungsbetrug, OSINT und Pretexting. Unsere eigene Sicherheitslage steht unter Trust und Sicherheit.
Fragen
Was ein Konzern-CISO über Werke und Länder hinweg zuerst fragt.
Jede Zahl auf dieser Seite und woher sie stammt
Zuletzt geprüft: 21. Oktober 2026. Die Rechtszitate werden bei jeder Prüfung mit der konsolidierten Fassung auf EUR-Lex abgeglichen.
- 2026 Data Breach Investigations ReportVerizon Business – Branchenteil, S. 84 für Finanz- und Versicherungswesen (NAICS 52). Datenbasis: über 31.000 Vorfälle, über 22.000 bestätigte Datenpannen, 145 Länder, Okt. 2024 – Nov. 2025 · 2026Verwendet für: Verarbeitendes Gewerbe (NAICS 31–33): 3.627 Vorfälle; 61 % Beteiligung Dritter; 77 % der Social-Engineering-Angriffe waren Phishing; Social Engineering als zweithäufigstes Muster der Branche – der einzige Rang, den der Bericht ausdrücklich nennt.
- X-Force Threat Intelligence Index 2026IBM – veröffentlicht am 25. Februar 2026, Daten aus 2025 · 2026Verwendet für: Das verarbeitende Gewerbe als meistangegriffene Branche im fünften Jahr in Folge, mit 27,7 % der beobachteten Vorfälle.
- OT Cybersecurity Year in ReviewDragos – 9. Jahresausgabe, 17. Februar 2026 · 2026Verwendet für: 119 Ransomware-Gruppen, 49 % mehr als 80 im Jahr 2024, trafen 3.300 Industrieunternehmen, davon über zwei Drittel aus dem verarbeitenden Gewerbe; dazu PYROXENEs mehrjähriges Social Engineering über die Lieferkette gegen Betriebspersonal. Die 49 % beziehen sich auf die Zahl der beobachteten Gruppen, nicht auf Opfer oder Angriffe.
- Directive (EU) 2022/2555 (NIS2)Amtsblatt der Europäischen Union, ABl. L 333, 27.12.2022 · 2022Verwendet für: Art. 3 zur größenabhängigen Einstufung, Art. 21 Abs. 2 Buchst. g, Art. 34 Abs. 4–5 zu Bußgelduntergrenzen sowie Anhang I.1 und Anhang II.5.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Internationale Organisation für Normung (ISO) – 3. Ausgabe · 2022Verwendet für: Abschnitte 7.2 und 7.3; Titel der Anhang-A-Maßnahme 6.3.