Der Black-Kite-Report führt die anhaltende Attraktivität der Fertigung auf die unmittelbaren Betriebsfolgen zurück. „Ein einziger erfolgreicher Angriff kann Produktionslinien stoppen und Lieferzusagen zerstören, und jede Stunde Stillstand stärkt die Verhandlungsposition des Angreifers", sagt Ferhat Dikbiyik, Chief Research and Intelligence Officer bei Black Kite. Angreifer gingen dabei nicht blind vor: Ihre Aufklärung stütze sich auf von außen sichtbare Signale – ungepatchte Systeme, angreifbare Dienste, geleakte Zugangsdaten und fehlkonfigurierte Schutzmechanismen.
Besonders betroffen ist der Mittelstand. „Die mittelgroßen Hersteller, die den Großteil dieser Angriffe abfangen, sind jene Zulieferebene, aus der große Konzerne ihre Produkte zusammensetzen. Wenn der Mittelstand das primäre Ziel ist, dann ist die Lieferantenliste eines großen Herstellers seine Angriffsfläche", heißt es im Bericht.
Auch die Täterlandschaft verändert sich rasch: Die Hälfte der Angriffe geht auf Gruppen zurück, die vor zwei Jahren noch nicht existierten. Allein The Gentlemen – von Black Kite erstmals im September 2025 beobachtet – zeichnet für 12 Prozent der diesjährigen Attacken verantwortlich und hatte bis Mitte 2026 bereits 142 Opfer in der Fertigung für sich reklamiert. Die aktuelle Rangfolge der aktivsten Akteure lautet Qilin, The Gentlemen, Akira, DragonForce und INC Ransom.
Geografisch verschiebt sich das Bild spürbar nach Europa. Während die Zahl der US-Angriffe nahezu unverändert blieb, legten europäische Ziele um 85 Prozent zu. Der US-Anteil sank dadurch von 52 auf 35 Prozent, gemessen an absoluten Zahlen bleiben die USA mit 412 Angriffen aber die meistbetroffene Region. Europa kommt auf 369 Angriffe, der Rest der Welt hat sich mit 402 Vorfällen fast verdoppelt.
Schwerpunkt des europäischen Anstiegs ist Deutschland mit 77 Angriffen – die Fertigung machte hier 2024 rund 20 Prozent der Volkswirtschaft aus. Die Gruppe SafePay stand 2025 für 22 Prozent der Angriffe im Land und zählt auch 2026 zu den aktivsten Akteuren. Es folgen Italien mit 57, Großbritannien mit 43 und Frankreich mit 40 Vorfällen.
Den Distributionssektor betrachtet Black Kite getrennt: Speditionen, Frachtvermittler und Lagerbetreiber bildeten eine eigene Branche mit eigener Angriffsfläche und einer besonderen Position in der Lieferkette – als Schicht, in der sich die Waren vieler Unternehmen an einem Ort konzentrieren. Die Angriffszahlen sind niedriger, die Opfer kleiner. Das Jahr 2025 erreichte mit 196 Vorfällen einen Höchststand, verzerrt durch eine Clop-Kampagne im Januar und Februar, die allein 52 Opfer und mehr als ein Viertel des Jahrestotals ausmachte. Bereinigt um diese Kampagne stieg die Zahl von 75 auf 95 Vorfälle im jeweils ersten Halbjahr.
Beide Sektoren bieten Angreifern Hebelwirkung über die Lieferkette – stromabwärts traf der Jaguar-Land-Rover-Vorfall 5.000 weitere Organisationen, stromaufwärts brachte der Clop-Angriff auf Cleo am Ende fast 400 offengelegte Opfer hervor. Betroffene Lieferkettenopfer besitzen die ausgenutzten Schwachstellen nicht und können sie auch nicht patchen. Der britische Cyber Security and Resilience Bill (CSRB) setzt hier an: Er soll Ministern erlauben, Lieferungen von als hochriskant eingestuften Anbietern an kritische Infrastruktur zu blockieren.