Warum das Baugewerbe jetzt eines der wichtigsten Ransomware-Ziele in Großbritannien ist - und was man dagegen tun kann

Die Baubranche hat sich aus einem bedrückend einfachen Grund zu einer der attraktivsten Zielbranchen für Ransomware-Gruppen entwickelt: Die Kombination aus engen Projektfristen, komplexen Lieferketten und einer seit jeher unterfinanzierten IT-Sicherheit schafft genau die Bedingungen, nach denen Angreifer suchen. Der hohe Druck, den Betrieb schnell wiederherzustellen, sowie die begrenzte Fähigkeit, längere Ausfallzeiten zu verkraften, führen dazu, dass Bauunternehmen deutlich eher bereit sind, ein Lösegeld zu zahlen, als Unternehmen in anderen Branchen.

In diesem Leitfaden wird erläutert, warum die Baubranche so stark ins Visier genommen wird, wie die konkreten Angriffsvektoren aussehen und – was am wichtigsten ist – welche praktischen IT-Maßnahmen Ihr Unternehmen schützen können, ohne Ihre tatsächliche Arbeitsweise vor Ort zu beeinträchtigen.

Warum Bauunternehmen so stark ins Visier geraten

Ransomware-Gruppen gehen nicht willkürlich vor. Sie recherchieren ihre Ziele, erstellen Profile ihrer Systeme und wählen den Zeitpunkt ihrer Angriffe so, dass sie maximale Wirkung erzielen. Die Baubranche weist eine spezifische Kombination von Merkmalen auf, die sie besonders attraktiv macht:

Die Termingebundenheit führt zu Zahlungsdruck

Ein Ransomware-Angriff auf ein Unternehmen mitten in einem Projekt – bei dem für Montag ein Betoniertermin ansteht, eine Vertragsstrafe bei Verzögerungen vorgesehen ist und eine ganze Kette von Subunternehmern von Ihren Systemen abhängig ist – erzeugt einen enormen Druck, lieber schnell zu zahlen, als sich langsam wieder zu erholen. Angreifer wissen das. Sie stimmen ihre Angriffe bewusst zeitlich auf Projektmeilensteine ab. Eine Branchenumfrage ergab, dass 77 % der Bauunternehmen nicht länger als fünf Tage ohne Zugriff auf Projektunterlagen auskommen können, bevor es zu schwerwiegenden betrieblichen Beeinträchtigungen kommt – und ein Ransomware-Vorfall im Jahr 2025 dauerte durchschnittlich 24 Tage.

Verteilte Standorte schaffen eine große Angriffsfläche

Jede Baustelle ist ein potenzieller Angriffspunkt. Baustellleiter, die über private Hotspots auf Unternehmenssysteme zugreifen, provisorische Baustellenbüros mit nicht verwalteten Routern, Subunternehmer, die sich mit ungeprüften Geräten in gemeinsame Projektplattformen einloggen – all dies sind Angriffsflächen, die ein zentralisiertes, im Büro ansässiges Unternehmen schlichtweg nicht aufweist. Je mehr Baustellen Sie gleichzeitig betreiben, desto größer und weniger kontrollierbar wird Ihr Netzwerkperimeter.

Die IT-Investitionen waren in der Vergangenheit gering

Die Baubranche war in der Vergangenheit kein Sektor, der stark in IT-Sicherheit investiert hat. Viele Unternehmen nutzen nach wie vor ein Flickwerk aus privaten Breitbandverbindungen, privaten Endgeräten und Lösungen zur Dateifreigabe, das sich eher organisch entwickelt hat, anstatt von vornherein unter Sicherheitsaspekten konzipiert worden zu sein. Ransomware-Gruppen zielen gezielt auf Branchen ab, in denen die Kluft zwischen dem Wert der Daten und der Qualität der Sicherheitsmaßnahmen zu deren Schutz am größten ist.

Wertvolle, zeitkritische Daten lassen sich leicht identifizieren

Ausschreibungsunterlagen, Vertragsbedingungen, Preisangaben von Subunternehmern, Kundenlisten, BIM-Modelle – die Projektdaten eines Bauunternehmens haben einen offensichtlichen, erkennbaren wirtschaftlichen Wert. Angreifer können diese Daten verschlüsseln, mit der Veröffentlichung an Wettbewerber drohen und haben so ein sehr klares Ziel für ihre Erpressungsforderungen. Das Modell der doppelten Erpressung – Verschlüsselung und Androhung der Veröffentlichung – ist mittlerweile gängige Praxis bei Angriffen auf die Baubranche.

Die häufigsten Angriffsvektoren in der Baubranche

Zu verstehen, wie Angriffe tatsächlich beginnen, ist hilfreicher als allgemeine Ratschläge zur Cybersicherheit. In der Baubranche sind die drei häufigsten Angriffspunkte:

Wie sich ein Ransomware-Angriff für ein Bauunternehmen konkret auswirkt

Es lohnt sich, konkret zu erläutern, was 24 Tage Ausfallzeit in der Praxis für ein Bauunternehmen bedeuten, da Finanzmodelle oft abstrakt bleiben – bis sie es nicht mehr sind:

• Woche 1: Alle Projektdateien, Vertragsunterlagen und Buchhaltungssysteme wurden verschlüsselt. Die Baustellen haben keinen Zugriff auf Zeichnungen oder Leistungsbeschreibungen. Die Beschaffung wurde eingestellt. Subunternehmer können weder bezahlt noch beauftragt werden. Es werden dringende IT-Maßnahmen eingeleitet. Eine Lösegeldforderung geht ein.
• Woche 2–3: Die Wiederherstellung aus dem Backup beginnt (sofern Backups vorhanden und fehlerfrei sind). Rechtliche Beratung zur Zahlung des Lösegelds. Benachrichtigung von Kunden, Subunternehmern und Versicherern. Mögliche Meldung an die ICO, falls personenbezogene Daten betroffen sind. Vertragliche Vertragsstrafen beginnen zu laufen. Wichtige Mitarbeiter werden von der Projektarbeit abgezogen.
• Woche 3–4: Die Systeme sind teilweise wiederhergestellt. Forensische Untersuchung zur Ermittlung des ursprünglichen Angriffspunkts. Meldungen an Aufsichtsbehörden und Versicherungen. Gespräche mit Kunden über die Auswirkungen des Vorfalls auf den Ruf des Unternehmens. Es entstehen erhebliche Kosten.

Die direkten finanziellen Kosten eines schwerwiegenden Ransomware-Vorfalls in der Baubranche belaufen sich in der Regel auf einen sechsstelligen Betrag, wenn man die Kosten für die Wiederherstellung, Produktivitätsverluste, Vertragsstrafen und Honorare für Fachleute mit einbezieht. Die Reputationsschäden, die entstehen, wenn die Preisangaben Ihrer Subunternehmer an Wettbewerber durchsickern oder Ihre Kundendaten öffentlich bekannt werden, lassen sich schwerer beziffern – fragen Sie jedoch einfach einen Geschäftsführer, der dies bereits erlebt hat.

Sechs IT-Kontrollmaßnahmen, die das Ransomware-Risiko in der Baubranche gezielt verringern

Die Zertifizierung nach „Cyber Essentials Plus“: Warum sie für Ausschreibungen im Bauwesen von Bedeutung ist

Die „Cyber Essentials Plus“-Zertifizierung dient nicht nur dem Schutz Ihres Unternehmens, sondern wird zunehmend auch als Voraussetzung in Ausschreibungsunterlagen des öffentlichen Sektors und von Tier-1-Auftragnehmern genannt. In staatlichen Rahmenvereinbarungen, Verträgen mit Kommunalbehörden und Rahmenvereinbarungen großer Bauträger wird von den Akteuren der Lieferkette zunehmend verlangt, dass sie zertifizierte Cybersicherheitsstandards nachweisen.

Unternehmen ohne „Cyber Essentials Plus“-Zertifizierung werden bereits von Ausschreibungslisten ausgeschlossen, für die sie ansonsten in Frage kämen. Der Zertifizierungsprozess – der Netzwerk-Firewalls, sichere Konfiguration, Zugriffskontrollen, Malware-Schutz und Patch-Management umfasst – deckt zudem die häufigsten Angriffsvektoren in der Baubranche ab. Er stellt sowohl eine geschäftliche Anforderung als auch eine echte Verbesserung der Sicherheit dar.

Foxcomm bereitet die „Cyber Essentials Plus“-Zertifizierung für Bauunternehmen vor, führt sie durch und verwaltet sie von Anfang bis Ende – einschließlich der technischen Korrekturmaßnahmen, die für das Bestehen der Prüfung erforderlich sind, sowie des laufenden Kontrollmanagements, das dafür sorgt, dass Sie Ihre Zertifizierung jährlich aufrechterhalten können.

Der praktische Ausgangspunkt

Die meisten Bauunternehmen, mit denen wir sprechen, handeln nicht vorsätzlich fahrlässig – ihnen fehlt lediglich eine IT-Infrastruktur, die von Grund auf auf Sicherheit ausgelegt ist. Die Systeme sind organisch gewachsen, Standorte wurden ad hoc miteinander vernetzt, und die IT wurde eher reaktiv als proaktiv verwaltet.

Der Ausgangspunkt besteht darin, genau zu verstehen, wo Sie derzeit stehen. Ein strukturiertes IT-Sicherheitsaudit, das von Fachleuten durchgeführt wird, die sich in der Baubranche auskennen, wird Ihre spezifischen Schwachstellen aufdecken, diese nach ihrem Risiko priorisieren und Ihnen ein klares Bild davon vermitteln, was geändert werden muss – und in welcher Reihenfolge.