The Coca-Cola Company hat am 16. Juli eine aufsichtsrechtliche Offenlegung und eine öffentliche Erklärung eingereicht, in der ein erheblicher Cybersicherheitsvorfall bekannt gegeben wurde, der die hundertprozentige Molkereitochter fairlife, LLC betrifft. Der Vorfall umfasste den unbefugten Zugriff Dritter auf die Informationstechnologie (IT) und die produktionsbezogenen Systeme von fairlife infolge eines Ransomware-Angriffs.

Nach der Aufdeckung aktivierte fairlife seine Protokolle für Incident Response und Business Continuity, zog externe Berater für Incident Response und Forensik hinzu und benachrichtigte die Bundesstrafverfolgungsbehörden gemäß seinem IR-Plan. Während die Systeme zur Überwachung der Produktqualität, der Sicherheit und der Lebensmittelsicherheit nicht beeinträchtigt wurden, zwang der Cyberangriff fairlife dazu, die Milchverarbeitungs- und Produktionsbetriebe in allen seinen Produktionsstätten in den Vereinigten Staaten vorübergehend einzustellen. Der Betrieb in der kanadischen Betriebsstätte von fairlife blieb unbeeinträchtigt und betriebsbereit.

Am 20. und 21. Juli 2026 listete die aufstrebende Bedrohungsgruppe Anubis-Ransomware fairlife auf ihrer Darknet-Datenleck-Website auf und reklamierte das Eindringen und die Exfiltration von Unternehmensdaten für sich.

Erste Schweregradbewertung

• Schweregradeinstufung: KRITISCH (Betriebliche Bedrohung)

• Auswirkungsumfang: Hohe Betriebsunterbrechung in den US-Verarbeitungseinheiten; moderates finanzielles Risiko; keinerlei unmittelbare Auswirkungen auf die Produktsicherheit oder die Gesundheit der Verbraucher.

• Relevanz für Fertigung und OT: Dieser Vorfall verdeutlicht das betriebliche Risiko, das Ransomware für die Bereiche Konsumgüter (CPG) sowie Ernährung und Landwirtschaft darstellt. Selbst wenn die industriellen Steuerungssysteme (ICS) auf der Werksebene nicht direkt verschlüsselt sind, kann der Verlust unterstützender IT-Systeme – wie Manufacturing Execution Systems (MES), ERP-Plattformen oder Qualitätssicherungsdatenbanken – zu vorsorglichen Betriebsstilllegungen zwingen.

Zeitlicher Ablauf des Vorfalls

• Vor dem 16. Juli 2026 (unbestätigtes Zeitfenster): Erste Kompromittierung der fairlife-Umgebung, Lateral Movement, Berechtigungsnachweis-Ernte und potenzielle Datenexfiltration finden statt.

• 16. Juli 2026 (Erkennung & Isolierung): Der Sicherheitsbetrieb von fairlife identifiziert unbefugten Zugriff auf IT- und produktionsbezogene Systeme. Incident-Response-Protokolle werden ausgelöst. Die Produktion in allen US-amerikanischen Fertigungsstätten wird als Eindämmungsmaßnahme eingestellt.

• 16. Juli 2026 (Öffentliche Bekanntgabe): The Coca-Cola Company veröffentlicht eine offizielle Pressemitteilung und eine SEC-Meldung, in der die Technologieunterbrechung und die Betriebspause detailliert beschrieben werden. Strafverfolgungsbehörden und externe Forensikunternehmen werden offiziell beauftragt.

• 17.–19. Juli 2026 (Untersuchung & Scope-Ermittlung): Forensikteams führen forensische Scope-Ermittlungen, Active-Directory-Audits und Systemisolierungen durch. Es wird bestätigt, dass die kanadischen Einrichtungen isoliert und betriebsbereit sind.

• 20.–21. Juli 2026 (Ransomware-Forderung): Die Anubis-Ransomware-Gruppe listet fairlife auf ihrer TOR-basierten Double-Extortion-Leak-Plattform auf. Cyber Daily und Darknet-Tracking-Dienste berichten über die Behauptung.

Technische Vorfallsanalyse

Da die forensischen Untersuchungen von Coca-Cola und den beauftragten Incident-Response-Dienstleistern noch andauern, wurden detaillierte technische Artefakte noch nicht offiziell veröffentlicht. Die folgende Analyse synthetisiert bestätigte Fakten mit plausiblen technischen Schlussfolgerungen auf der Grundlage etablierter Bedrohungsinformationsmuster.

Erstzugang

• Bestätigte Fakten: Externe unbefugte Akteure erlangten unbefugten Zugriff auf einen Teil des Netzwerks von fairlife.

• Technische Schlussfolgerung: Bedrohungsakteure, die im Jahr 2026 Ransomware-Kampagnen durchführen, erlangen den Erstzugang primär über drei Vektoren:

  1. Ausnutzung von Edge-Geräten (z. B. VPN-Konzentratoren, Perimeter-Firewalls, virtuelle Desktop-Infrastruktur).

  2. Gestohlene Anmeldedaten, die von Initial Access Brokern (IABs) über Infostealer-Protokolle erworben wurden.

  3. Phishing-Kampagnen unter Verwendung bösartiger Anhänge oder Spear-Phishing-Links.

Privilegienausweitung und Lateral Movement

• Bestätigte Fakten: Der Angreifer drang über die Einstiegspunkte hinaus vor, um Systeme zu beeinträchtigen, die den Produktionsbetrieb unterstützen.

• Technische Schlussfolgerung: Der Bedrohungsakteur führte wahrscheinlich eine interne Aufklärung über Standard-Living-off-the-Land (LotL)-Binärdateien (z. B. net.exe, nltest.exe, PowerShell, WMI) durch, um Domänenvertrauensstellungen abzubilden und Server-Subnetze zu identifizieren, die geschäftliche und betriebliche Assets hosten.

Auswirkungen auf das Produktionssystem

• Bestätigte Fakten: fairlife hat den US-Produktionsbetrieb eingestellt. Die Produktqualität und die Sicherheitsüberwachung wurden nicht beeinträchtigt.

• Technische Schlussfolgerung: SPS und HMIs auf Werksebene wurden wahrscheinlich nicht direkt verschlüsselt oder modifiziert. Stattdessen wurde die Produktion aufgrund der Nichtverfügbarkeit von IT-abhängigen Systemen der Ebene 3/3.5 (z. B. Manufacturing Execution Systems, Rohstoff-Dosierungssoftware, automatisierte Logistik oder ERP-Plattformen) oder als Sicherheitsmaßnahme zur Verhinderung einer lateralen Ausbreitung gestoppt.

Datenexfiltration und Ransomware-Bereitstellung

• Bestätigte Fakten: Der Vorfall wurde als Ransomware-Ereignis identifiziert. Anubis listete fairlife als Opfer auf seiner Datenleck-Website auf.

• Technische Schlussfolgerung: Anubis folgt einem Double-Extortion-Modell. Vor der Bereitstellung dateiverschlüsselnder Payloads in der Unternehmens-IT-Umgebung exfiltrierte der Bedrohungsakteur sensible Dateien über automatisierte Command-and-Control (C2)-Utilities oder Cloud-Speicher-Tools (wie Rclone, MEGAsync).

OT-Sicherheitsanalyse

Um zu verstehen, wie ein Cyber-Vorfall bei einem Milchverarbeiter zu Betriebsunterbrechungen führt, müssen die Interdependenzen zwischen IT, industriellen DMZs und Operational Technology (OT) analysiert werden.

Direkte OT-Kompromittierung vs. vorsorgliche Betriebsstilllegung

Eine zentrale Frage bei Vorfällen in der Fertigung ist, ob der Bedrohungsakteur aktiv Steuerungsgeräte der Ebene 1/2 (SPS, SCADA) kompromittiert hat oder ob der Betrieb aufgrund des Ausfalls unterstützender IT-Systeme eingestellt wurde.

• Direkte OT-Kompromittierung (geringe Wahrscheinlichkeit): Es gibt keine Beweise dafür, dass Anubis oder damit verbundene Akteure spezialisierte ICS-Malware (z. B. PIPEDREAM, INDUSTROYER) eingesetzt oder die Firmware von Feldsteuerungen gelöscht haben.

• Unterbrechung der IT-OT-Interdependenz (hohe Wahrscheinlichkeit): Moderne Molkereibetriebe hängen stark von Systemen der Ebene 3 ab:

  1. Manufacturing Execution Systems (MES): Verfolgen Arbeitsaufträge, Zutatenmengen und Rezepturpläne. Wenn MES-Server verschlüsselt oder getrennt sind, können automatisierte Abfülllinien keine Auftragsdefinitionen empfangen.

  2. Rezeptur- und Chargenmanagementsysteme: Stellen sicher, dass Ultrafiltration, Pasteurisierung und Proteinmischung den gesetzlichen Vorgaben entsprechen. Der Ausfall des Rezepturmanagements verhindert den automatisierten Leitungsstart.

  3. Qualitätssicherung (QS) und Rückverfolgbarkeit: Staatliche Lebensmittelsicherheitsvorschriften verlangen eine Echtzeit-Verfolgung der Pasteurisierungstemperaturprotokolle. Wenn Historian- oder QS-Datenbanken nicht zugänglich sind, verbieten regulatorische Compliance-Vorgaben den Betrieb der Linien.

• Proaktive Isolierung (hohe Wahrscheinlichkeit): Das Trennen der Netzwerkverbindungen zwischen Unternehmen und Werk, um die Ausbreitung von Ransomware in die Netzwerke der Werksebene 2/3 zu verhindern, erfordert oft die manuelle Abschaltung automatisierter Systeme.

Purdue-Modell und architektonische Auswirkungen

Ebene 4/5 (Unternehmens-IT)

Primäre Zone der Kompromittierung. Active Directory, Dateiserver und administrative Arbeitsstationen wurden wahrscheinlich im Rahmen von Eindämmungs- oder Ransomware-Aktivitäten isoliert, waren nicht verfügbar oder anderweitig betroffen.

Ebene 3.5 (Industrielle DMZ)

Die Effektivität der IDMZ bestimmt, ob ein Angriff bei der Unternehmens-IT stoppt. Jump-Hosts, Patch-Server und zentralisierte Active-Directory-Domänencontroller, die in der IDMZ platziert sind, dienen oft als Kanäle, wenn sie dual-homed oder unsachgemäß segmentiert sind.

Ebene 3 (Standortbetrieb)

Enthält MES, lokale Historians und Chargenserver. Wenn die Ebene 3 die Active-Directory-Authentifizierung mit der Unternehmens-IT (Ebene 4) teilt, ermöglichen kompromittierte Unternehmens-Anmeldedaten ein direktes Lateral Movement in den Werksbetrieb.

Ebene 0–2 (Steuerung & physischer Prozess)

SPS, Frequenzumrichter (VFDs) und sicherheitsgerichtete Systeme (SIS) blieben physisch intakt. Kontrollen der Lebensmittelsicherheit (z. B. Sicherheitsabschaltungen bei der Kurzzeit-Hochtemperatur-Pasteurisierung) arbeiten unabhängig von Unternehmensnetzwerken.

Grenzüberschreitende Segmentierung

Eine wichtige betriebliche Erkenntnis aus diesem Vorfall ist, dass die kanadischen Betriebe von fairlife nicht betroffen waren und weiterliefen. Der fortlaufende Betrieb der kanadischen Einrichtungen deutet stark darauf hin, dass eine architektonische, organisatorische oder netzwerkseitige Trennung den betrieblichen Schadensradius effektiv begrenzte. Die spezifischen Segmentierungsmechanismen wurden jedoch nicht öffentlich bekannt gegeben. Separate Active-Directory-Gesamtstrukturen, isolierte VPN-Infrastrukturen oder unterschiedliche Enterprise-Tenant-Strukturen zwischen den US-amerikanischen und kanadischen Betrieben haben den Schadensradius erfolgreich eingegrenzt.

MITRE ATT&CK Mapping

MITRE ATT&CK für Enterprise

MITRE ATT&CK für ICS

Zum Zeitpunkt der Durchführung dieser Analyse gab es keine Hinweise auf Modify Controller Tasking, Program Download, Controller Firmware oder Loss of View.

Indicators of Compromise (IOCs)

Offizieller Status-Hinweis: Bis zum Datum dieser Veröffentlichung wurden keine öffentlich verifizierten Indicators of Compromise (IOCs) – einschließlich Dateihashes, C2-IP-Adressen, Domänen oder spezifischer Registrierungsschlüssel – von The Coca-Cola Company, fairlife, Strafverfolgungsbehörden oder den untersuchenden Cybersicherheitsdienstleistern freigegeben.

Sobald verifizierte IOCs veröffentlicht werden, wird dieser Abschnitt aktualisiert. Organisationen sollten sich auf die verhaltensbasierten Erkennungsregeln konzentrieren, die in den folgenden Abschnitten beschrieben werden.

Analyse der Anubis-Ransomware

Hintergrund und Entwicklung der Gruppe

Die Anubis-Ransomware ist eine aufstrebende Ransomware-as-a-Service (RaaS)-Plattform, die unter einem Double-Extortion-Geschäftsmodell operiert. Die Gruppe zielt auf mittlere bis große kommerzielle Unternehmen, KRITIS-Betreiber und Fertigungsorganisationen ab.

Typische TTPs (Allgemeine Anubis-Profile vs. Vorfallsbeobachtungen)

Erstzugang

• Allgemeines Anubis-Profil: Nutzt gestohlene Anmeldedaten (Infostealer), ungepatchte Schwachstellen in Fernzugriffslösungen (Fortinet, Citrix, Ivanti) oder im Internet exponierte RDP-Endpunkte.

• Im Vorfall beobachtet: Der spezifische Mechanismus des Erstzugangs bleibt von fairlife unbestätigt.

·      Erkennung und Abwehraustricksung

• Allgemeines Anubis-Profil: Deaktiviert Sicherheitssoftware (EDR/AV) unter Ausnutzung von Schwachstellen in Treibern auf Kernel-Ebene (BYOVD - Bring Your Own Vulnerable Driver) oder kompromittierten administrativen Tools. Löscht Windows-Ereignisprotokolle (wevtutil cl).

• Im Vorfall beobachtet: Kombinierter Zugriff, der eine sofortige Erkennung verhinderte, bis die Vorbereitung der Verschlüsselung die Reaktionsprotokolle auslöste.

Datenexfiltration

• Allgemeines Anubis-Profil: Verwendet Befehlszeilen-Archivierungstools (7-Zip, WinRAR) in Kombination mit Rclone oder MEGAsync, um Dateien vor der Verschlüsselung in die Cloud-Infrastruktur zu exfiltrieren.

• Im Vorfall beobachtet: Anubis listete fairlife am 20. und 21. Juli 2026 als Opfer auf seiner Leak-Website auf, was darauf hindeutet, dass die Datenexfiltration wahrscheinlich vor der Systemisolierung stattfand.

Verschlüsselung

• Allgemeines Anubis-Profil: Bezieht benutzerdefinierte, in C/C++ kompilierte Binärdateien ein, die Datenbankdienste (SQL, Exchange), Hypervisoren (ESXi, Hyper-V) und Volume Shadow Copy Services beenden (vssadmin delete shadows /all /quiet). Hängt eine bestimmte Dateiendung an verschlüsselte Dateien an und hinterlässt eine RECOVER-FILES.txt-Erpressernote.

• Im Vorfall beobachtet: Das Ausmaß der Verschlüsselung auf Dateiebene in produktionsbezogenen Systemen bleibt unbenannt.

Erkenntnisse für die Fertigungsindustrie

Architektonische Unabhängigkeit von Systemen der Ebene 3

Fertigungsstätten stoppen die Produktion bei IT-Vorfällen häufig, weil die Anlagensysteme direkt von der Active Directory, dem DNS und den Lizenzservern des Unternehmens abhängen. Organisationen müssen die Ebene 3 MES- und SCADA-Infrastruktur von der Ebene 4 Unternehmens-IT entkoppeln, um den Werksbetrieb bei Ausfällen des Unternehmensnetzwerks über längere Zeiträume im „Inselmodus“ betreiben zu können.

Identitätsdisambiguierung über IT und OT hinweg

Die Verwendung einer einheitlichen Active-Directory-Gesamtstruktur für Unternehmensumgebungen und Werksnetzwerke schafft einen Single Point of Failure. Erlangt ein Angreifer Domänen-Admin-Rechte in der IT, erhält er automatisch die Domänenhoheit über HMIs und Historian-Server auf Werksebene. Active-Directory-Strukturen auf Werksebene sollten in unabhängige, nicht vertrauenswürdige Gesamtstrukturen isoliert oder über lokale Identitätsanbieter mit obligatorischer MFA auf allen Jump-Hosts verwaltet werden.

Business Continuity und manuelle Fallback-Planung

In hochautomatisierten Lebensmittel- und Getränkeanlagen (wie Hochgeschwindigkeits-Abfüll- und Filtrationsanlagen) kann der manuelle Betrieb schwierig sein. Dennoch sollten Werke dokumentierte, regelmäßig geübte manuelle Fallback-Verfahren für kritische Teilprozesse (z. B. manuelle Temperaturprotokollierung, Offline-Chargenverfolgung) vorhalten, um eine Notbetriebskapazität aufrechtzuerhalten.

Lieferkettenrisiko und Lieferantenzugriff

Industrielle Umgebungen nutzen häufig den Fernzugriff von Lieferanten für spezialisierte Verarbeitungsanlagen (z. B. Homogenisatoren, Pasteurisatoren, automatisierte Verpackungslinien). Unüberwachte Lieferantenverbindungen umgehen traditionelle IT-Sicherheitsperimeter. Ein strikter Zero Trust Network Access (ZTNA) mit Sitzungsaufzeichnung und zeitbasierten Zugriffskontrollen muss für jeden externen Engineering-Support erzwungen werden.

Erkennungsmöglichkeiten

Security Operations Centers (SOCs) und OT-Monitoring-Teams können die folgenden verhaltensbasierten Erkennungsregeln implementieren, um ähnliche Bedrohungsmuster zu identifizieren:

1. Active Directory und Privilegienmissbrauch

// Query: Detect Lateral Movement via RDP/SMB across IT-OT DMZ Boundaries

DeviceNetworkEvents

| where RemotePort in (3389, 445)

| where LocalDeviceName has_any ("IDMZ-JUMP", "MES-SRV", "HISTORIAN")

| where InitiatingProcessFileName in~ ("mstsc.exe", "psexec.exe", "powershell.exe")

| summarize Count=count() by InitiatingProcessAccountName, RemoteIP, LocalDeviceName

| where Count > 5

2. Löschen von Schattenkopien & BCD-Modifikation

// Query: Detect Common Ransomware Inhibiting System Recovery

DeviceProcessEvents

| where ProcessCommandLine has_any (

    "vssadmin delete shadows",

    "wmic shadowcopy delete",

    "bcdedit /set {default} bootstatuspolicy ignoreallfailures",

    "bcdedit /set {default} recoveryenabled no"

)

| project Timestamp, DeviceName, AccountName, ProcessCommandLine, FolderPath

3. Anomalie bei der Exfiltration über Befehlszeilen-Programme

// Query: Detect Unauthorised Archiving or Cloud Exfiltration Execution

DeviceProcessEvents

| where ProcessFileName in~ ("rclone.exe", "7z.exe", "megasync.exe", "winrar.exe")

| where ProcessCommandLine has_any ("--config", "copy", "sync", "a -hp", "upload")

| project Timestamp, DeviceName, AccountName, ProcessCommandLine

4. Erkennung von Anomalien im industriellen Netzwerk

• Ungewöhnlicher administrativer Datenverkehr: Überwachen Sie auf unerwartete SMB/RDP-Verbindungen, die von IP-Bereichen der Ebene 4 der Unternehmens-IT stammen und versuchen, sich direkt mit HMI-Subnetzadressen der Ebene 2 zu verbinden, wobei IDMZ-Jump-Server umgangen werden.

• Massenhafte Dateiumbenennung: Überwachen Sie lokale Dateisysteme auf MES- und Historian-Servern auf hochfrequente Dateiänderungen, Umbenennungen oder die Erstellung unbekannter Dateiendungen.

Strategische Analyse

Auswirkungen auf den Sektor Ernährung und Landwirtschaft

Der Cyberangriff auf fairlife verdeutlicht die Verwundbarkeit des Ernährungs- und Landwirtschaftssektors, der ein Segment der kritischen Infrastruktur (KRITIS) darstellt, das durch geringe Margentoleranz, enge Lieferfristen und kontinuierliche Verarbeitungsanforderungen gekennzeichnet ist.

Die Lebensmittelherstellung unterscheidet sich von der Automobilindustrie. Die Verderblichkeit verändert die Ökonomie von Ransomware, da Milch eine begrenzte Haltbarkeit hat. Sobald die Sammeltanks voll sind, muss das Werk stoppen.

• Leicht verderbliche Lieferketten: Im Gegensatz zur allgemeinen diskreten Fertigung werden in der Milch- und Lebensmittelverarbeitung leicht verderbliche Rohstoffe verarbeitet. Produktionsstopps können zur Entsorgung unverarbeiteter Rohmilch zwingen und zu Lieferengpässen in den Einzelhandelsnetzen führen.

• Abhängigkeiten von gesetzlichen Vorschriften: Lebensmittelverarbeitungsbetriebe unterliegen strengen gesetzlichen Standards (z. B. FDA, USDA) in Bezug auf Pasteurisierungszeiten, Hygiene und Temperaturerfassung. Der Ausfall digitaler Protokollierungssysteme zwingt zu Betriebspausen aufgrund von Compliance-Vorgaben, selbst wenn die mechanischen Systeme funktionsfähig bleiben.

• Zielgerichtete Trends: Bedrohungsakteure erkennen, dass Fertigungsorganisationen mit erheblichen Ausfallkosten konfrontiert sind, was das vermeintliche Druckmittel für Lösegeldforderungen erhöht.

Shieldworkz-Empfehlungen

Für CISOs & Executive Security Leaders

• Vollständige Trennung der Identitätsinfrastruktur von IT und OT erzwingen: Überprüfen Sie die Active-Directory-Architektur, um sicherzustellen, dass eine Kompromittierung von Unternehmens-IT-Anmeldedaten keinen Zugriff auf Netzwerke der Ebene 3 MES oder Ebene 2 SCADA gewährt.

• SEC-Offenlegungs- und Cyber-Incident-Playbooks überprüfen: Stellen Sie sicher, dass die Rechts-, Kommunikations- und Technikteams des Unternehmens die Protokolle zur Meldung wesentlicher Vorfälle gemäß den SEC-Regeln geübt haben.

Für OT-Sicherheitsteams und Betriebsingenieure

• Inselmodus-Betriebstests durchführen: Testen Sie die Fähigkeit einzelner Fertigungsstätten, den grundlegenden Betrieb aufrechtzuerhalten, wenn die WAN-Verbindungen des Unternehmens und die Unternehmens-IT-Dienste unterbrochen werden.

• Strikte IDMZ-Architektur implementieren: Stellen Sie sicher, dass die gesamte Kommunikation zwischen Ebene 4 (IT) und Ebene 3 (OT) über eine gehärtete industrielle DMZ verläuft, ohne direkte dual-homed Netzwerkrouten.

• Offline-Rezeptur- und SPS-Konfigurationen sichern & verifizieren: Halten Sie physisch getrennte (air-gapped), verschlüsselte und regelmäßig getestete Backups aller SPS-Logikprogramme, HMI-Software-Images und MES-Rezepturdatenbanken vor.

Für Incident Response- und SOC-Teams

• Verhaltensbasiertes EDR auf Systemen der Ebene 3 einsetzen: Stellen Sie sicher, dass EDR-Lösungen, die in der Lage sind, LotL-Techniken, das Löschen von Schattenkopien und das Ausspähen von Anmeldedaten zu erkennen, auf allen Windows/Linux-Assets in der IDMZ und in Netzwerken der Ebene 3 installiert sind.

• Vorab autorisierte OT-Vorfallsprotokolle erstellen: Legen Sie explizite Protokolle fest, die definieren, wer befugt ist, Werksnetzwerke während eines laufenden Cyber-Vorfalls zu trennen, um die Eindämmung der Bedrohung gegen die Risiken von Produktionsausfällen abzuwägen.

Offene Unbekannte

Sicherheitsbewertung

• Ransomware-Vorfall und Produktionseinstellung (Hohe Zuverlässigkeit): Direkt bestätigt durch offizielle aufsichtsrechtliche Meldungen (SEC Form 8-K) und Pressemitteilungen von The Coca-Cola Company vom 16. Juli 2026.

• Integrität von Produktqualität und Sicherheit (Hohe Zuverlässigkeit): Bestätigt durch Erklärungen des Unternehmens, wonach die Sicherheitsüberwachung und die Kontrollen der Lebensmittelqualität während des gesamten Ereignisses normal funktionierten.

• Zuschreibung zur Anubis-Ransomware (Mittlere Zuverlässigkeit): Basiert auf Darknet-Einträgen, die am 20. und 21. Juli 2026 veröffentlicht wurden. Während Darknet-Behauptungen im Allgemeinen verlässliche Indikatoren für eine Beteiligung sind, steht eine offizielle forensische Bestätigung durch Coca-Cola oder die Strafverfolgungsbehörden noch aus.

• IT-zu-OT-Unterbrechungsmechanismus (Hohe Zuverlässigkeit): Basiert auf der Aufrechterhaltung der Produktsicherheitssysteme parallel zur Unterbrechung der automatisierten Produktion, was eher auf eine Störung der IT-Abhängigkeit auf Ebene 3 als auf eine physische Zerstörung der Steuerungsebene hindeutet.

Fertigungsunternehmen sollten sich darauf einstellen, dass Ransomware-Gruppen zunehmend produktionsunterstützende Systeme ins Visier nehmen (anstatt eine direkte Kompromittierung von industriellen Steuerungen zu versuchen). Die Störung von MES, Identitätsdiensten, Qualitätssystemen und Unternehmenslogistik führt oft zum gleichen betrieblichen Ergebnis, erfordert aber weitaus weniger spezialisiertes Wissen über industrielle Steuerungssysteme.