Ransomware bei Pilz: Produktionsniveau vor der IT zurück

Nach einem Ransomwareangriff schaltete der Automatisierungsanbieter Pilz im Oktober 2019 sämtliche Netzwerke und Server ab. Am 21. November meldete das Unternehmen für seine europäischen Produktionsstandorte wieder das frühere Produktionsniveau. Bis alle Beschäftigten wieder sämtliche IT-Dienste nutzen konnten, rechnete Pilz noch mit weiterem Zeitbedarf.

Verwandt: Black October: Viele Angriffe liefen seit Monaten

Ausgangslage in Ostfildern

Pilz, ein Automatisierungsanbieter mit Stammsitz in Ostfildern, zählte im November 2019 nach eigenen Angaben rund 2.500 Mitarbeiter. Zu den geschäftsführenden Gesellschaftern gehörten Thomas Pilz und Susanne Kunschert. Die Gruppe betrieb Produktionsstandorte in Europa und Server an Standorten weltweit. Geschäftsvorgänge wie Aufträge erfasste das Unternehmen in einem SAP-System.

Zeitachse des Angriffs

Am 13. Oktober 2019 erkannte Pilz den Angriff. Die Täter setzten Ransomware ein, also Schadsoftware, die Daten verschlüsselt und nur gegen Zahlung wieder freigeben soll. Sie verschlüsselten weltweit einen Teil der Daten auf Servern des Unternehmens. Noch nach der Erkennung schaltete Pilz sämtliche Netzwerke und Server ab.

Die ersten Krisentage organisierte das Unternehmen mit Whiteboards, sicheren Messenger-Diensten und Arbeitsgruppen. Nach Angaben von Thomas Pilz lief die Produktion in der dritten Woche nach dem Angriff wieder an. In der sechsten Woche waren nach seinen Angaben alle Werke wieder online. Am 21. November 2019 meldete Pilz für die europäischen Produktionsstandorte wieder das frühere Produktionsniveau. Anfang Februar 2020 legte das Unternehmen offen, warum es die Forderungen der Angreifer verweigert hatte.

Entscheidungen in der Krise

Die erste dokumentierte Entscheidung betraf die eigene Infrastruktur. Pilz nahm sämtliche Netzwerke und Server vom Netz, um eine weitere Ausbreitung zu verhindern. Damit stand die gewohnte IT auch für die Bewältigung der Krise nicht mehr zur Verfügung.

Die zweite Linie zog Susanne Kunschert. Sie erklärte Kundenbetreuung und Belieferung zur obersten Priorität. Nach Angaben der VDI nachrichten verschickte Pilz zwischenzeitlich Lagerware von Hand und dokumentierte Aufträge handschriftlich.

Die dritte Entscheidung betraf das Geld. Pilz verweigerte die Forderungen der Angreifer und begründete das mit zwei Argumenten. Das Unternehmen wollte weitere Angriffe nicht finanzieren. Zudem sollten eigene Daten und Kundendaten keiner zusätzlichen Gefährdung ausgesetzt werden.

Wiederanlauf von Produktion und IT

Der Wiederanlauf verlief in Etappen. Nach der dritten Woche lief die Produktion wieder, in der sechsten Woche waren nach Angaben von Thomas Pilz alle Werke online. Im November 2019 arbeiteten die europäischen Standorte wieder auf dem früheren Produktionsniveau.

Mit dem früheren Produktionsniveau war die IT-Wiederherstellung noch nicht abgeschlossen. Pilz erwartete zu diesem Zeitpunkt weiteren Zeitbedarf, bis sämtliche IT-Dienste allen Mitarbeitern wieder vollständig zur Verfügung standen. Sobald wieder saubere Rechner verfügbar waren, wurden die handschriftlich erfassten Vorgänge im SAP-System nachgepflegt.

Lehre für CISOs im DACH-Raum

Aus dem dokumentierten Verlauf lassen sich für Sicherheitsverantwortliche fünf Folgerungen ziehen.

• Abschaltung als Option planen. Pilz schaltete nach der Erkennung sämtliche Netzwerke und Server ab. Für einen solchen Schritt gehören Auslöser, Zuständigkeiten und die Reihenfolge des Herunterfahrens in den Notfallplan.
• Krisenkommunikation außerhalb der Firmennetze. Pilz arbeitete in den ersten Tagen mit Whiteboards, sicheren Messengern und Arbeitsgruppen. Krisenstäbe brauchen Kommunikationswege, die eine vollständige Abschaltung der eigenen Infrastruktur überstehen.
• Ersatzabläufe mit Rückweg. Handschriftliche Aufträge und Versand von Hand hielten Lieferungen aufrecht. Papierprozesse sollten festlegen, wie die Vorgänge später in das ERP-System zurückfließen, also in die Software für die Planung von Aufträgen, Material und Finanzen.
• Produktion und IT getrennt ausweisen. Das frühere Produktionsniveau war erreicht, während die IT-Dienste noch nicht vollständig zurück waren. Lagebilder für Geschäftsführung, Kunden und Belegschaft sollten beide Stände getrennt zeigen.
• Haltung zum Lösegeld vorab klären. Pilz begründete die Ablehnung mit der Finanzierung weiterer Angriffe und dem Schutz der Daten. Geschäftsführung und CISO sollten die Kriterien für diese Entscheidung festlegen, bevor eine Forderung vorliegt.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Wurden bei dem Angriff auf Pilz Kundendaten gestohlen?

Nach damaligen Angaben von Thomas Pilz wurden Kunden- und Lieferantendaten bei dem Angriff nicht gestohlen. Die Angreifer verschlüsselten einen Teil der Daten auf Servern des Unternehmens.

Wie arbeiteten Produktion und Logistik beim Wiederanlauf?

Als die europäischen Standorte im November 2019 wieder das frühere Produktionsniveau erreichten, arbeiteten Produktion und Logistik in zusätzlichen Schichten. Kundenbetreuung und Belieferung hatte Susanne Kunschert zur obersten Priorität erklärt.

Welche Forderung richtete Pilz an Wirtschaft und Politik?

Susanne Kunschert forderte eine stärkere Zusammenarbeit von Unternehmen, Verbänden, Behörden und Politik. Ziel war, anderen Organisationen vergleichbare Erfahrungen zu ersparen.

Lesetipps der Redaktion

LesetippLinux-Kernel-Lücke: Ubuntu liefert noch keinen PatchLesetippCisco-VPN wird angegriffen: Wer jetzt patchen mussLesetippKI-Agenten brauchen begrenzte Vollmachten

Bildquelle: KI-generiert (November 2026)

Mehr aus dem MBF Media Netzwerk

cloudmagazinCloud-Souveränität könnte 115 Milliarden Euro kosten MyBusinessFutureKI-Assistenten bringen seltener Zielkunden als die Suche Digital ChiefsSchwarz setzt auf Cohere: Was Aleph-Alpha-Kunden tun