Bericht
Cyber-Sicherheitsvorfall bei Novo Nordisk
Keine Registrierung erforderlich!
Im Inneren der Novo Nordisk-Sicherheitsverletzung: Bestätigte Fakten vs. Behauptungen des Bedrohungsakteurs
Am 11. Juni 2026 bestätigte Novo Nordisk, dass Angreifer Zugriff auf eine begrenzte Anzahl interner IT-Systeme erlangt und nicht-öffentliche Daten nach außen kopiert hatten, darunter pseudonymisierte Daten klinischer Studien sowie Kontaktdaten von medizinischem Fachpersonal. Einige Tage später behauptete eine Erpressergruppe namens FulcrumSec auf ihrer Leak-Site, eine weitaus größere Beute gemacht zu haben: rund 1,3 Terabyte in mehr als 700.000 Dateien, die von Quellcode über Wirkstoffdaten bis hin zu in der Wirkstoffforschung eingesetzten KI/ML-Modellen reichen.
Bei alledem stach eine Tatsache besonders hervor: Die Produktion stand zu keinem Zeitpunkt still. Die Betriebsstätte in Kalundborg, die weltweit größte Produktionsstätte für Insulin, lief unterbrechungsfrei weiter. Die Distribution lief unvermindert fort. Das ist der Aspekt dieses Vorfalls, den jedes auf operative Technologien (OT) angewiesene Unternehmen genau analysieren sollte. Er zeigt eindrucksvoll, was eine präzise segmentierte IT/OT-Schnittstelle unter realem Druck zu leisten vermag.
Shieldworkz hat eine lückenlose Vorfallsanalyse des Novo-Nordisk-Sicherheitsvorfalls erstellt, die dort ansetzt, wo die meisten Berichterstattungen aufhören: Sie trennt in jeder Phase präzise zwischen verifizierten Fakten und bloßen Behauptungen. Zudem wird aufgezeigt, was beide Szenarien konkret bedeuten, wenn Sie die Verantwortung für eine Produktionsanlage, ein Versorgungsnetz, eine Pipeline oder eine kritische Infrastruktur tragen, in der Ausfallzeiten keine Option darstellen.
Warum dieser Bericht wichtig ist
Die meisten Deckungskonzepte für Sicherheitsvorfälle beschränken sich auf die Frage: „Wurde das Unternehmen gehackt?“ Für Verantwortliche von Industrieanlagen, Stromnetzen oder Produktionslinien ist dies jedoch nicht die entscheidende Frage. Die tatsächliche Kernfrage ist wesentlich präziser: Wurden durch diesen Vorfall Systeme, Daten oder Identitätsnachweise (Credentials) beeinträchtigt, die mit der physischen Betriebstechnik (OT) verknüpft sind? Und falls dies dieses Mal nicht der Fall war: Welche Voraussetzungen hätten dafür erfüllt sein müssen? Die bestätigten Offenlegungen von Novo Nordisk beantworten einen Teil dieser Frage. Die Behauptungen der Bedrohungsakteure liefern den Rest – und genau in der Diskrepanz zwischen diesen beiden Perspektiven liegen die entscheidenden Erkenntnisse für die IT/OT-Sicherheit.
Das bestätigte Schadensausmaß ist bereits gravierend. Novo Nordisk hat unbefugten Zugriff bestätigt sowie die Tatsache, dass pseudonymisierte klinische Prüfdaten und identifizierbare Daten von medizinischem Fachpersonal extern kopiert wurden. Dies allein reicht aus, um eine gesetzliche Meldepflicht auszulösen und das Vertrauen von Patienten und Leistungserbringern zu gefährden.
Das behauptete Ausmaß des Datenabflusses ist um eine Größenordnung höher und unbestätigt. FulcrumSec spricht von etwa 1,3 Terabyte verteilt auf über 700.000 Dateien, einschließlich Quellcode, Verbunddatensätzen und KI/ML-Modellen. Ein zweiter, nicht bestätigter Akteur behauptet, einen separaten Einbruch durchgeführt zu haben, und stellt eigene Lösegeldforderungen. Keine der beiden Behauptungen konnte bisher forensisch bestätigt werden.
Eine Zeile in den Behauptungen der Angreifer verdient im OT-Bereich besondere Aufmerksamkeit. FulcrumSec verweist auf Daten, die sich auf „operative Technologie (OT) und Software zur Interaktion mit Sensoren und Geräten“ beziehen. Dies ist zwar unbestätigt und beschreibt keinen direkten Zugriff auf laufende Steuerungssysteme (ICS), verweist jedoch auf ein strukturelles Risiko: Technische Zeichnungen und Sensor-Schnittstellen-Code befinden sich routinemäßig in der gewöhnlichen IT-Infrastruktur des Unternehmens, schlicht weil Ingenieure ihre Arbeit dort abspeichern.
Erpressung ohne Verschlüsselung ist hier das Modell, nicht die Ausnahme. Es wurde von keinem der Akteure eine Dateiverschlüsselung oder eine destruktive Schadfunktion (Payload) bestätigt oder auch nur behauptet. Es handelt sich hierbei um Datendiebstahl und öffentlichen Druck – ein Bedrohungsszenario, auf das die meisten Incident-Response-Pläne nicht ausgelegt sind.
Die genannten Akteure und die zugeordneten Techniken bieten Cyber-Abwehrkräften eine konkrete Handlungsgrundlage. Die Bedrohungsakteure sind identifiziert, ihre mutmaßlichen TTPs wurden der MITRE ATT&CK-Matrix zugeordnet und ihre Angriffsziele dokumentiert. Diese Erkenntnisse sind für alle Sektoren von hohem Wert, die klinische Forschung und Entwicklung, proprietäre Prozessdaten oder KI-gestützte Entwicklungspipelines betreiben.
Warum Sie diesen Bericht herunterladen sollten
Dies ist keine aufgewärmte Pressemitteilung, die lediglich mit dem Logo eines Bedrohungsakteurs versehen wurde. Dieser Bericht verdient Ihre Aufmerksamkeit aus konkreten Gründen:
Es rekonstruiert den mutmaßlichen ersten Zugriffspunkt: Cloud- und Source-Control-Zugangsdaten, die fälschlicherweise im clientseitigen JavaScript auf vergessenen Staging-Subdomänen hinterlegt waren – ein blinder Fleck, den die meisten Secret-Scanning-Tools übersehen.
Es bildet die behauptete Angriffskette auf MITRE ATT&CK ab: Dies liefert Detektionsteams eine überprüfbare Hypothese, wobei jeder Schritt transparent als behauptet („claimed“) und nicht als bestätigt („confirmed“) gekennzeichnet ist.
Es trennt auf jeder Stufe verifizierte Fakten von den Behauptungen der Bedrohungsakteure: So wird dem Vorstand oder den Regulierungsbehörden nichts als gesichert gemeldet, was es in Wirklichkeit nicht ist.
Es widmet dem einzigen OT-nahen Vorfall in diesem Ereignis einen eigenen Abschnitt und legt dar, warum dieser eine genaue Prüfung verdient, anstatt Panik oder Ignoranz hervorzurufen.
Es schließt mit einem sequenzierten defensiven Fahrplan ab: von den nächsten 30 Tagen bis hin zu 9+ Monaten, der die Secrets-Hygiene, das Identitäts- und Zugriffsmanagement sowie die langfristige IT/OT-Governance abdeckt.
Wichtigste Erkenntnisse aus dem Bericht
Dies war eine bestätigte Verletzung der Datenvertraulichkeit, kein bestätigter Ransomware- oder OT/ICS-Vorfall. Novo Nordisk bestätigte die Offenlegung von klinischen Prüfungsdaten und HCP-Daten und erklärte, dass Produktion und Vertrieb nicht betroffen waren.
Der beanspruchte Geltungsbereich ist wesentlich weiter gefasst als der bestätigte Geltungsbereich. Quellcode, Verbunddaten und KI-Modelle spielen in den Angaben eine große Rolle, sind jedoch nach wie vor nicht verifiziert.
Die Erpressung durch Datendiebstahl ohne Verschlüsselung ist mittlerweile ein dominantes Angriffsmuster. Reaktionspläne, die rein nach dem Muster „Systeme werden verschlüsselt, Wiederherstellung aus dem Backup“ aufgebaut sind, decken dieses Bedrohungsmodell nicht ab.
Geheimnisse im clientseitigen Code auf vergessenen Subdomains stellen einen echten blinden Fleck dar. Während Produktivumgebungen kontinuierlich überwacht werden, ist dies bei der vor 18 Monaten bereitgestellten Staging-Umgebung in der Regel nicht der Fall.
KI- und ML-Assets sind mittlerweile Kronjuwelen-Ziele. Modellgewichte, Trainingsdaten und die Pipeline-Infrastruktur werden mittlerweile als gleichwertig mit oder sogar wertvoller als klinische Daten und Verbindungsdaten eingestuft.
Betriebskontinuität und Datenvertraulichkeit stellen nicht dasselbe Risiko dar. Novo Nordisk verzeichnete zeitgleich eine schwerwiegende Verletzung der Vertraulichkeit und einen betrieblich reibungslosen Vorfall. Die Annahme, dass „die Produktion nie stillstand“ der Beweis dafür ist, dass „alles in Ordnung ist“, ist ein Fehler, den Ihr Risikoregister nicht machen sollte.
Wie Shieldworkz Ihre OT-Cyber-Resilienz stärkt
Das Lesen eines präzisen Vorfallberichts ist nützlich. Zu wissen, ob dieselbe Sicherheitslücke in Ihrer eigenen Umgebung existiert, ist das, was Ihre Risikolage tatsächlich verändert – und genau hier setzt Shieldworkz an.
Shieldworkz schützt die industriellen Systeme, die Anlagen, Stromnetze und kritische Infrastrukturen (KRITIS) am Laufen halten. Unsere OThello Assess-Methodik liefert vollständige OT-Sicherheitsanalysen in weniger als 24 Stunden, sodass Sie eine verlässliche Antwort und keine bloße Annahme darüber erhalten, ob Ihre IT/OT-Schnittstelle so standhält, wie Sie es erwarten.
Über Sicherheitsanalysen hinaus realisiert unser Team Compliance-Programme nach NIS2 und IEC 62443, stellt vollbesetzte OT Security Operations Centers bereit, liefert branchenspezifische Threat Intelligence Advisories und unterstützt Sie bei der regulatorischen Betriebsbereitschaft gemäß NERC CIP, SOCI, Saudi OTCC/ECC sowie dem Singapore Cybersecurity Act – gestützt auf eine der weltweit größten Threat-Intelligence-Operationen für OT und IoT.
Erkennen Sie die Lücke zwischen verifizierter und beanspruchter Sicherheit – erhalten Sie die vollständige Analyse
Die Shieldworkz Novo Nordisk Vorfallsanalyse steht Industrieanlagenbetreibern und Sicherheitsentscheidern kostenlos zum Download zur Verfügung. Sie umfasst den bestätigten Zeitablauf, die vermutete Angriffskette, das ATT&CK-Mapping, eine vollständige Bewertung der geschäftlichen Auswirkungen sowie eine defensive Roadmap, die von den nächsten 30 Tagen bis zum nächsten Jahr sequenziert ist.
Laden Sie den Bericht herunter (keine Registrierung erforderlich). Sie haben zudem die Möglichkeit, ein unverbindliches 30-minütiges Beratungsgespräch mit einem Shieldworkz-Spezialisten für OT-Sicherheit zu buchen, in dem wir die Ergebnisse des Berichts in Bezug auf Ihren spezifischen Sektor, Ihre Infrastruktur und Ihr aktuelles Sicherheitsniveau erörtern können.
Bringen Sie Ihre eigenen Fragen in das Gespräch ein: Wo genau befinden sich Ihre OT-relevanten Daten? Wer könnte sie von einer gewöhnlichen IT-Kompromittierung aus erreichen? Würde Ihre Segmentierung so standhalten, wie es bei Novo Nordisk offenbar der Fall war?
Um zu verstehen, wie sich die bestätigte Sicherheitsverletzung bei Novo Nordisk und die unbestätigten Behauptungen im OT-Umfeld auf Ihre eigene Umgebung auswirken könnten, buchen Sie noch heute ein Threat Intelligence Briefing mit unseren Experten.
