Blick hinter die Kulissen der Sicherheitsverletzung: Was bei MAG tatsächlich geschah
Kundendaten von rund 8,7 Millionen Personen an den Flughäfen Manchester, London Stansted und East Midlands. E-Mail-Adressen, Telefonnummern, Kfz-Kennzeichen und Postleitzahlen wurden über Systeme offengelegt, die für das Parken, Flughafen-Lounges, die Fast-Track-Sicherheitskontrolle und die WLAN-Anmeldung in den Terminals genutzt werden. Zahlungskartendaten waren nicht betroffen, und die Manchester Airport Group (MAG) erklärte, dass der Flugbetrieb, die Passagiersicherheit und die Luftsicherheit zu keinem Zeitpunkt gefährdet waren.
Oberflächlich betrachtet handelt es sich hierbei um einen begrenzten Abfluss von Kundendaten mit glimpflichem Ausgang. Bei genauerem Hinsehen zeigt sich jedoch ein weitaus lehrreicheres Bild: Es ist eine weitere Bestätigung dafür, dass Angreifer in der Luftfahrt, der Energiewirtschaft, der verarbeitenden Industrie und anderen betriebsnotwendigen Sektoren (KRITIS) nicht mehr die am besten geschützten Systeme im Kern angreifen. Sie konzentrieren sich stattdessen auf die weniger streng überwachten Randsysteme direkt daneben – und MAG ist bereits der fünfte große Vorfall im Luftfahrtsektor seit September 2025, der diesem Muster folgt.
Shieldworkz hat eine umfassende, evidenzbasierte forensische Analyse des MAG-Vorfalls erstellt, um gesicherte Fakten von Spekulationen der Branche abzugrenzen, den wahrscheinlichen Angriffspfad auf das MITRE ATT&CK-Framework abzubilden und diesen im Kontext von Collins Aerospace/MUSE, dem Flughafen Dublin, dem Tulsa International Airport sowie anderen jüngsten Sicherheitsvorfällen in der Luftfahrt einzuordnen. Auf dieser Seite wird zusammenfassend dargestellt, warum dieser Bericht von zentraler Bedeutung ist und welche Konsequenzen sich daraus für alle Verantwortlichen ergeben, die heute Betriebsumgebungen (OT/IT) absichern müssen.
Warum Sie diesen Bericht herunterladen sollten
Die meisten öffentlichen Kommentare zur Sicherheitsverletzung bei MAG wiederholen lediglich dieselben wenigen Zeilen aus Pressemitteilungen. Der Bericht von Shieldworkz geht jedoch weiter und wendet dieselbe evidenzbasierte, OT/ICS-spezifische Methodik an, die wir auch bei unseren eigenen Vorfalluntersuchungen und Sicherheitsüberprüfungen für Kunden nutzen.
Eine vertrauensbewertete Evidenzmatrix. Jede Aussage im Bericht ist als CONFIRMED, REPORTED, ASSESSED oder NOT PUBLICLY ESTABLISHED klassifiziert. So wissen Sie genau, welches Gewicht die einzelnen Ergebnisse tatsächlich haben – und nicht nur, was die Schlagzeilen versprechen.
Eine vollständige MITRE ATT&CK-Abbildung. Der wahrscheinliche Angriffspfad, von der Datenerfassung über die Exfiltration bis hin zur Erpressung, wird bekannten Techniken zugeordnet – unter expliziter Berücksichtigung der verbleibenden Unbekannten, einschließlich des Erstzugangs (Initial Access).
Sektorweite Musteranalyse. MAG wird neben Collins Aerospace/MUSE, den Flughäfen Dublin und Cork, dem Tulsa International Airport sowie anderen jüngsten Vorfällen eingeordnet, um aufzuzeigen, was tatsächlich einen Trend darstellt und was einen Einzelfall abbildet.
Spezifische IT/OT-Segmentierungsanalyse für Flughäfen und Industrieanlagen. Eine praxisnahe Analyse, welche Systeme theoretisch betriebliche oder sicherheitsrelevante Auswirkungen hätten verursachen können, welche Systeme von diesem Angriff unberührt blieben und welche Konsequenzen eine Grenzüberschreitung durch den Angreifer gehabt hätte.
Attribution and root cause remain unresolved. No group has claimed the attack, no ransom has been reported, and the specific vulnerability or credential path used is unknown, Danfoss has stated only that affected units were running outdated firmware. The report treats this honestly as an open question rather than filling the gap with speculation.
Wichtigste Erkenntnisse aus dem Bericht
Any organisation operating internet-reachable OT or building-management devices, refrigeration, HVAC, access control, or similar embedded controllers, shares the exposure pattern behind this incident, whether or not it runs Danfoss equipment.
Eine zentralisierte Datenarchitektur vervielfacht die Auswirkungen von Datenabflüssen. Die Aggregation von Kunden-Zusatzdaten aus drei Flughäfen in einem einzigen System verwandelte eine einzelne Kompromittierung in die Offenlegung von 8,7 Millionen Datensätzen – eine direkte Lehre über das Risiko einer übermäßigen Zentralisierung nicht-kritischer Daten ohne angemessenen Schutz.
Auch scheinbar unwichtige Nebendaten besitzen einen echten Erpressungswert. Angreifer benötigen keine Zahlungskartendaten oder direkten operativen Zugriff, um Profit zu schlagen. Kontaktdaten in Verbindung mit Fahrzeugregistrierungen und Postleitzahlen genügen bereits, um überzeugende Folge-Scams und Social-Engineering-Angriffe zu initiieren.
Die IT/OT-Segmentierung scheint dieses Mal funktioniert zu haben. Es gibt keine Hinweise darauf, dass der Angreifer den Bereich des Flugbetriebs erreicht hat, jedoch wird im Bericht sorgfältig zwischen einer erfolgreichen Segmentierung und einem Angreifer unterschieden, der schlicht keinen Grund hatte, weiter vorzudringen.
Plattformen von Drittanbietern und Captive-Portalen werden konsequent unzureichend überprüft. Wi-Fi-Anmelde- und Buchungsplattformen erfassen Daten im großen Stil, während sie oft weniger Sicherheitsaufmerksamkeit erhalten als die Kern-IT des Unternehmens – eine Sicherheitslücke, die sich durch die gesamte Branche zieht.
A regulatory map without overreach. The report surveys IEC 62443, NIST CSF 2.0, NIST SP 800-82, ISO 27001/22301, the NIS2 Directive, the EU Cyber Resilience Act, and EU food-safety law, honestly noting where applicability is still uncertain rather than asserting a mandate that may not exist for your organisation.
Wie Shieldworkz Ihre OT-Sicherheitslage nachhaltig stärkt
OT-Sicherheitsbewertungen. Bereitgestellt über OThello Assess, mit Bewertungszyklen von unter 24 Stunden, die exponierte Assets, schwache Segmentierung und Drittanbieterrisiken identifizieren – ohne den laufenden Betrieb zu stören.
Network Detection and Response für OT/ICS. Kontinuierliche Transparenz des Datenverkehrs von SCADA, PLC und cyber-physischen Systemen, damit ungewöhnliche Zugriffsmuster erkannt werden, bevor sie zu schwerwiegenden Sicherheitsvorfällen führen.
Validierung der IT/OT-Segmentierung. Unabhängige Überprüfung und Prüfung der Architektur, die über reine Incident-Response-Maßnahmen hinausgeht. Sie bestätigt, statt nur anzunehmen, dass Ihre Peripherie- und Unternehmenssysteme tatsächlich von sicherheitskritischen Infrastrukturen isoliert sind.
Regulatorische Compliance. Compliance-Programme, die auf die Anforderungen von NIS-2, IEC 62443, NERC CIP, SOCI, Saudi OTCC/ECC und dem Singapore Cybersecurity Act ausgerichtet sind – entwickelt für Betreiber, die nachweisbare Resilienz erbringen müssen, statt diese nur zu behaupten.
OT-Threat-Intelligence und SOC-Design. Beratungs- und Implementierungsunterstützung, damit Ihre Incident-Response-Playbooks eine Verletzung des Schutzes von Kundendaten präzise von einem echten Vorfall der Betriebssicherheit (Safety) trennen – eine Unterscheidung, die gemäß dem MAG-Bericht unter Druck oft fälschlicherweise vermischt wird.
Thirteen prioritised remediation actions span exposure, authentication, segmentation, independent monitoring and incident response. Top priorities (P1) include removing direct internet exposure of refrigeration and BMS management interfaces, inventorying every controller, applying firmware lifecycle management, securing remote access with MFA and just-in-time grants, and deploying independent temperature monitoring not dependent on the controller UI.
No framework should be assumed mandatory without verification. The report is explicit that legal applicability of NIS2, the EU Cyber Resilience Act, and other frameworks depends on entity type, size and member-state law, and recommends verifying with counsel rather than assuming coverage.
Greifen Sie auf den vollständigen Untersuchungsbericht zu.
Wenn Ihr Unternehmen in den Bereichen Luftfahrt, OT, ICS, Fertigung, Energie, Transport oder Kritische Infrastrukturen (KRITIS) tätig ist, hilft Ihnen dieser Bericht dabei, Ihre Sicherheitsstrategie zu schärfen und Ihre Abwehrmechanismen zu stärken.
Füllen Sie das folgende Formular aus, um den Manchester Airports Group Cyber Incident Report herunterzuladen und ein kostenloses, 30-minütiges technisches Briefing mit unseren OT-Sicherheitsexperten zu buchen.
Der vollständige Bericht enthält den lückenlosen Zeitablauf, die Rekonstruktion des Angriffsvektors, das MITRE ATT&CK-Mapping, eine Bewertung der Bedrohungsakteure, einen Branchenvergleich sowie rollenspezifische strategische Empfehlungen – allesamt präzise nach Vertrauensgrad klassifiziert, damit Sie Ihre Geschäftsführung auf Basis von Fakten statt Spekulationen informieren können.
OThello Assess for rapid inventory and gap assessment. Supports rapid IEC 62443, NIS2 and related assessment cycles with sub-24-hour cycles, directly addressing the report's recommendations to build a controller inventory and dependency map (R2, R3, R6).
Shield Sensor and OThello NDR for passive OT network monitoring. Addresses the report's call for detection on set-point changes, defrost-duration anomalies, new administrator logins, and simultaneous multi-site anomalies (R9), without requiring active scanning of fragile embedded devices.
OThello TI for exposure and threat tracking. Supports ongoing visibility into internet-exposed management interfaces across owned and contractor address space (R1), the single highest-priority action in the report's remediation plan.
Regulatory playbooks and remediation guides. Practical, document-based guidance published at mapped to the IEC 62443, NIS2 and related frameworks surveyed in this report.
OT SOC design and incident response support. For the joint, cross-team incident response the report recommends across SOC, OT, facilities, food safety and suppliers (R11), with evidence-preservation steps appropriate for embedded devices.
Download the Report
Get the full confidence-graded intelligence assessment, the incident facts and confidence matrix, the reconstructed timeline, five tested hypotheses on access and cause, the blast-radius and time-to-spoilage risk model, the complete 13-point remediation plan, the KPI/KRI scorecard, and the regulatory landscape, to understand what this incident really shows about internet-exposed OT, and what to do about it before your own organisation becomes the next case study.
Schedule a Demo With Shieldworkz OT Security Experts
