Am 11. Mai 2026 tauchte Foxconn, der weltgrößte Elektronikhersteller, auf der Extortionsseite der Nitrogen-Ransomware-Gruppe auf. Binnen 24 Stunden bestätigte der taiwanesische Konzern einen Cyberangriff auf seine nordamerikanischen Werke. Die Angreifer behaupteten, 8 Terabyte Daten und mehr als 11 Millionen Dateien gestohlen zu haben, darunter streng vertrauliche Schemata und Projektunterlagen von Apple, Nvidia, Google, AMD, Dell und Intel. Der Foxconn-Hack ist der folgenreichste Ransomware-Angriff auf einen Auftragsfertiger in der Geschichte der Elektronikindustrie und ein Schlag, der Schockwellen durch die gesamte globale Lieferkette sendet.

Chronologie des Angriffs: Was am 11. Mai 2026 geschah

Die Nitrogen-Gruppe listete Foxconn am Montag, dem 11. Mai 2026, auf ihrer Leak- und Extortionsplattform. Zu diesem Zeitpunkt hatten die Angreifer die Phase der stillen Infiltration bereits hinter sich. In den vorangegangenen Wochen hatten sie sich tief in Foxconns nordamerikanische Fertigungsumgebung eingegraben, Daten exfiltriert und schließlich Ransomware auf Teile der Infrastruktur ausgerollt.

Am folgenden Tag, dem 12. Mai, bestätigte ein Foxconn-Sprecher den Vorfall offiziell: “Einige Fabriken von Foxconn in Nordamerika waren von einem Cyberangriff betroffen. Das Cybersicherheitsteam hat sofort Reaktionsmaßnahmen aktiviert und mehrere operative Maßnahmen ergriffen, um die Kontinuität von Produktion und Lieferung sicherzustellen.” Die Formulierung klingt beherrscht. Die Realität in den betroffenen Werken sah anders aus.

In der Fabrik in Mount Pleasant, Wisconsin, wurde die Belegschaft angewiesen, sämtliche Computer sofort herunterzufahren. Zeiterfassungssysteme gingen offline. Teile der Belegschaft wurden nach Hause geschickt oder auf papierbasierte Workflows umgestellt. Das Werk in Houston, Texas, war ebenfalls direkt betroffen. Sicherheitsforscher von Arctic Wolf bestätigten die Attacke unabhängig und identifizierten die Nitrogen-Gruppe anhand von Mustern auf der Leak-Seite. Screenshots der gestohlenen Dateien kursierten kurz darauf im Darknet und wurden von mehreren Experten als authentisch eingestuft.

8 Terabyte Beute: Was Nitrogen wirklich erbeutete

Laut den Behauptungen der Nitrogen-Gruppe umfasst die Beute mehr als 11 Millionen Dateien mit einem Gesamtvolumen von 8 TB. Analysen der veröffentlichten Screenshots durch Sicherheitsforscher zeichnen ein konkretes Bild: Die exfiltrierten Daten stammen nach bisherigem Stand aus mindestens sechs verschiedenen Kategorien.

Besonders brisant: Die gestohlenen Dateien enthalten Projektmaterial zu Produkten, die für einige der wertvollsten Technologieunternehmen der Welt gefertigt werden. Analysten bei Halcyon berichten von Schaltplänen und Montageanweisungen für Apple-Produkte, Netzwerktopologie-Dokumentationen für Google- und Intel-Rechenzentren, Hardware-Schemata für Nvidia-KI-Server sowie technische Unterlagen für Dell- und AMD-Projekte. Hinzu kommen Temperatursensor-Spezifikationen, integrierte Schaltkreislayouts und Finanzdokumente des Houston-Werkes.

Solche Unterlagen gehen weit über gewöhnliche Unternehmensdaten hinaus. Integrierte Schaltkreislayouts, Netzwerktopologien von Hyperscaler-Rechenzentren und proprietäre Montageprozesse repräsentieren jahrelange Forschung und Milliarden an Investitionen. Sie können für gezielte Produktfälschungen, Reverse-Engineering oder klassische Industriespionage durch staatliche Akteure genutzt werden. Dieser Aspekt des Angriffs bleibt langfristig der gefährlichste, weit über unmittelbare Betriebsunterbrechungen hinaus.

KennzahlWert (Stand: Mai 2026)
Jahresumsatz Foxconn 2025~259 Mrd. USD (NT$8,1 Bio.)
Mitarbeiter weltweit~827.000
Marktanteil Auftragsfertigung30–40 %
Umsatzwachstum Q4 2025+22 % (YoY)
HauptkundenApple, Nvidia, Google, Dell, Intel, AMD
Gestohlene Datenmenge8 TB / über 11 Mio. Dateien
Betroffene Werke (bestätigt)Mount Pleasant (WI), Houston (TX)
AngreiferNitrogen Ransomware Group
Datum der Bestätigung12. Mai 2026

Wer ist Nitrogen? Geschichte einer unterschätzten Ransomware-Gruppe

Nitrogen ist keine neue Erscheinung, aber eine, die lange unterschätzt wurde. Die Gruppe wurde 2023 gegründet und erlangte laut Symantec und Carbon Black im September 2024 breitere Aufmerksamkeit in der Sicherheitsgemeinschaft. Seitdem hat sie rund 50 Opfer angegriffen, vorwiegend aus den Sektoren Fertigung, Technologie, Baugewerbe und Finanzdienstleistungen in Nordamerika und Westeuropa.

Verbindungen zu ALPHV/BlackCat

Nitrogen operiert nicht im Vakuum. Sicherheitsforscher haben enge Verbindungen zur berüchtigten ALPHV/BlackCat-Ransomware-Gruppierung dokumentiert. Halcyon-Analysten berichten, dass Nitrogen ursprünglich ALPHV-Ransomware einsetzte, bevor die Gruppe ihre eigene Infrastruktur aufbaute. Der aktuelle Code basiert auf weitverbreiteten “Conti 2”-Quellcode-Ableitungen und enthält eine kritische Schwachstelle in der Verschlüsselungslogik, auf die wir noch zurückkommen.

Strategie: Lieferketten statt Direktziele

Ismael Valenzuela, VP of Threat Intelligence Research bei Arctic Wolf, beschreibt Nitrogens Strategie präzise: “Sie zielen bewusst auf mittelgroße Unternehmen ab, die mit Industriebetrieben und Lieferketten verknüpft sind. Das sagt Ihnen sehr viel darüber, wie sie vorgehen.” Damit erklärt sich auch der Foxconn-Angriff: Der Konzern selbst ist ein Zwischenglied, nicht das eigentliche Ziel. Der Wert liegt in den Kundendaten von Apple, Nvidia und Co., die über Foxconn als Auftragsfertiger zugänglich sind.

Ian Gray, VP of Intelligence bei Flashpoint, bestätigte Nitrogens wachsende Aktivität und betonte, dass die Gruppe Unternehmen ins Visier nimmt, die sensible Daten mehrerer großer Auftraggeber bündeln. Dieses Muster macht Auftragsfertiger und Zulieferer zu besonders attraktiven Zielen: Ein einziger erfolgreicher Einbruch liefert Daten von dutzenden Endkunden.

Foxconn: Das Fertigungsimperium, das die Technologiewelt zusammenhält

Um den Schaden vollständig zu begreifen, muss man Foxconns Position in der globalen Lieferkette verstehen. Hon Hai Technology Group, besser bekannt als Foxconn, ist der weltgrößte Auftragsfertiger für Elektronik. Das Unternehmen hält einen geschätzten Marktanteil von 30 bis 40 Prozent in der globalen Elektronikmontage und beschäftigt weltweit rund 827.000 Mitarbeiter, womit es zu den größten Arbeitgebern der Welt zählt.

Im Geschäftsjahr 2025 erzielte Foxconn einen Umsatz von umgerechnet rund 259 Milliarden US-Dollar. Das Unternehmen produziert jährlich Milliarden von Einzelbauteilen und Endgeräten, von Smartphones über Spielekonsolen bis hin zu KI-Serverracks. Seit 2023 ist Foxconn der Hauptfertigungspartner von Nvidia für KI-Server, die weltweit in Hyperscaler-Rechenzentren eingesetzt werden.

Im Q4 2025 meldete Foxconn ein Umsatzwachstum von 22 Prozent gegenüber dem Vorjahr, angetrieben von der explodierenden Nachfrage nach KI-Infrastruktur. Das Q1 2025 war ein Rekordumsatzquartal mit einem Zuwachs von 24,2 Prozent. Dieser wirtschaftliche Aufschwung macht den Foxconn-Cyberangriff umso schmerzhafter: Betriebsunterbrechungen treffen Foxconn in einer Phase maximaler Lieferverpflichtungen gegenüber den wichtigsten Technologiekonzernen der Welt.

Hinzu kommt: Foxconn fertigt nicht nur Endgeräte, sondern auch hochsensible KI-Server-Komponenten für Nvidias Blackwell-Plattform, die das Rückgrat vieler kommerzieller KI-Dienste bildet. Ein Datenleck in diesem Bereich trifft die gesamte KI-Infrastruktur-Lieferkette, von Chipherstellern über Cloud-Anbieter bis zu Endkunden. Dieser Aspekt verleiht dem Nitrogen-Ransomware-Angriff auf Foxconn eine strategische Dimension, die über gewöhnliche Cyberkriminalität weit hinausgeht.

Die Verschlüsselungsfalle: Warum Nitrogen-Opfer nie zahlen sollten

Nitrogen macht seinen Opfern ein perfides Angebot: Zahlt die geforderte Summe, und ihr bekommt eure Daten zurück. Sicherheitsforscher haben jedoch einen kritischen Konstruktionsfehler im Verschlüsselungsmechanismus entdeckt, der dieses Versprechen zunichtemacht. Coveware-Sicherheitsforscher identifizierten einen Memory-Management-Fehler im VMware-ESXi-Encryptor von Nitrogen: Ein Programmfehler korrumpiert den öffentlichen Verschlüsselungsschlüssel systematisch während des Verschlüsselungsprozesses. Das Ergebnis ist eine mathematisch unmögliche Entschlüsselung, selbst wenn die Angreifer kooperieren wollten.

Mit anderen Worten: Wer Nitrogen bezahlt, bekommt seine Daten trotzdem nicht zurück. Der einzige Ausweg aus einer Ransomware-Infektion durch Nitrogen sind intakte Backups. Das erhöht den Druck zur Prävention und zu robusten Backup-Strategien dramatisch und unterstreicht, warum unveränderliche Offline-Backups heute keine Option, sondern Pflicht sind.

Paradoxerweise macht dieser Fehler Nitrogen für Opfer noch gefährlicher: Da eine Entschlüsselung ohnehin nicht möglich ist, konzentriert sich die Gruppe vollständig auf die zweite Säule der Doppelerpressung, nämlich die Drohung, gestohlene Daten zu veröffentlichen. Foxconn und seine betroffenen Kunden stehen damit vor einem reinen Datenschutz- und Geheimhaltungsproblem, das durch Zahlung nicht gelöst werden kann.

BYOVD: Wie Nitrogen die Sicherheitssoftware ausschaltete

Nitrogen greift auf eine Technik zurück, die in der Sicherheitsgemeinschaft als Bring Your Own Vulnerable Driver (BYOVD) bekannt ist. Dabei installieren die Angreifer einen legitimen, aber intern verwundbaren Kernel-Treiber auf dem Zielsystem, um darüber Sicherheitslösungen zu deaktivieren und erhöhte Systemrechte zu erlangen. Die Methode ist besonders tückisch, weil das Betriebssystem den Treiber als legitim einstuft.

Im Fall von Nitrogen wurde ein verwundbarer Treiber in der Topaz Antifraud-Software, Schwachstelle CVE-2023-52271, ausgenutzt, um Sicherheitssoftware im Netzwerk der Opfer zu deaktivieren. Der Trick funktioniert, weil Windows kernel-signierte Treiber automatisch vertraut, auch wenn sie für privilegierte Operationen missbraucht werden können. BYOVD erlaubt es Angreifern, tief in das System einzudringen und Schutzmechanismen zu umgehen, bevor die eigentliche Ransomware-Payload ausgerollt wird.

Diese Methode ist gefährlich, weil herkömmliche Endpoint-Sicherheitslösungen häufig nicht in der Lage sind, den Missbrauch legitimer Treiber zuverlässig zu erkennen. Erst auf Kernel-Ebene wirkende EDR/XDR-Systeme mit Treiber-Integritätsprüfungen, verbunden mit Microsoft-Blocklisten für bekannte verwundbare Treiber, können BYOVD-Angriffe verlässlich abwehren.

Kollateralschaden: Was Apple, Nvidia und Google riskieren

Die eigentlichen Leidtragenden dieses Angriffs sind möglicherweise nicht Foxconn, sondern dessen Kunden. Apple sieht sich mit der Möglichkeit konfrontiert, dass Schaltpläne und Montageprozesse für künftige iPhone-, iPad- oder MacBook-Generationen enthüllt wurden. Jedes Hardware-Schema, das öffentlich wird, gibt Wettbewerbern einen Vorsprung und eröffnet Möglichkeiten für Produktfälschungen im großen Maßstab.

Für Nvidia ist die Situation besonders heikel. Als führender Anbieter von KI-Chips und mit Foxconn als Hauptfertigungspartner für AI-Serverracks könnten gestohlene Netzwerktopologien und Hardware-Layouts auf die nächste Server-Generation verweisen. In einem Markt, in dem Wettbewerber wie AMD und Intel massiv in KI-Beschleuniger investieren, sind solche Informationen strategisch hochwertig.

Google sieht sich mit einer anderen Bedrohung konfrontiert: Die gestohlenen Rechenzentrum-Topologien könnten Einblicke in interne Netzwerkarchitekturen geben, die als streng gehütete Geschäftsgeheimnisse gelten. Wer versteht, wie Google seine Hyperscaler-Infrastruktur aufbaut und welche Komponenten sie verbinden, gewinnt wertvolles strategisches Know-how. Staatliche Akteure mit Interesse an Industriespionage können von solchen Daten stark profitieren.

Ransomware gegen Hersteller: Historischer Vergleich 2020–2026

Der Foxconn-Angriff reiht sich in eine Serie von Ransomware-Attacken auf globale Fertigungsunternehmen ein. Dieser Sektor ist ein bevorzugtes Ziel, weil Produktionsunterbrechungen unmittelbaren wirtschaftlichen Schaden verursachen und Opfer unter enormen Druck setzen, schnell zu handeln.

UnternehmenDatumAngreiferAusmaß / Schaden
FoxconnMai 2026Nitrogen8 TB, 11 Mio. Dateien; Apple/Nvidia/Google-Schemata
M&S (Marks & Spencer)April 2025DragonForceKundendaten; £300 Mio. Schaden
Foxconn (1. Angriff)November 2020DoppelPaymer100 GB; 34 Mio. USD Lösegeld gefordert
Continental AGAugust 2022LockBit40 TB; 50 Mio. USD Lösegeld gefordert
Bridgestone AmericasFebruar 2022LockBitProduktionsunterbrechung; mehrere Werke stillgelegt
Hyundai Europa2023BlackBastaEuropäische Kundendaten; Ausmaß nicht öffentlich

Was auffällt: Foxconn ist nun das zweite Mal innerhalb von sechs Jahren einem Ransomware-Angriff zum Opfer gefallen. Der erste Angriff im November 2020 durch DoppelPaymer betraf mexikanische Werke, 100 GB Daten wurden gestohlen, und die Angreifer forderten 34 Millionen US-Dollar Lösegeld. Damals bestätigte Foxconn die Zahlung nicht öffentlich. Dass der Konzern 2026 erneut kompromittiert werden konnte, wirft ernsthafte Fragen zur Lernbereitschaft und Sicherheitsarchitektur auf.

Foxconn 2020: Was aus dem ersten Angriff hätte gelernt werden müssen

Im November 2020 kompromittierte DoppelPaymer Foxconns mexikanische Werke. Der Angriff war seinerzeit aufsehenerregend, da erstmals belegt wurde, dass selbst ein Unternehmen mit Foxconns Ressourcen und Sicherheitsbudget von Ransomware getroffen werden kann. Laut damaligen Berichten erbeuteten die Angreifer 100 GB an Daten und forderten ein Lösegeld von umgerechnet 34 Millionen US-Dollar in Bitcoin.

Sicherheitsexperten haben den 2026er Angriff bereits als Zeichen mangelnder Konsequenz aus dem 2020er Vorfall gewertet. Kernfragen: Wurden die damals identifizierten Eintrittspunkte vollständig geschlossen? Wurden OT-Netzwerke (Operational Technology) der Fertigungsanlagen konsequent von IT-Systemen getrennt? Wurden Mitarbeiter ausreichend geschult, um Social Engineering und kompromittierte Zugangsdaten zu erkennen? Die Nitrogen-Attacke 2026 legt nahe, dass erhebliche Lücken geblieben sind.

Sicherheitsforscher weisen zudem darauf hin, dass Unternehmen, die einmal von Ransomware getroffen wurden, statistisch häufiger erneut angegriffen werden. Threat-Actor-Gruppen tauschen Informationen über erfolgreiche Eintrittspunkte aus, und eine unvollständige Behebung der ursprünglichen Schwachstellen kann ein Unternehmen dauerhaft zur bevorzugten Zielscheibe machen.

Technische Gegenmaßnahmen: Was Unternehmen jetzt tun müssen

Sicherheitsexperten empfehlen angesichts des Foxconn-Hacks und der BYOVD-Technik ein mehrschichtiges Schutzkonzept, das sowohl präventive als auch reaktive Elemente umfasst. Die folgenden Maßnahmen sind besonders relevant für Fertigungsunternehmen und Lieferkettenteilnehmer.

Kernel-Level-EDR mit Treiberschutz: Standard-Antivirensoftware reicht gegen BYOVD-Angriffe nicht aus. EDR/XDR-Lösungen mit Kernel-Integritätsprüfung, Treibersignatur-Validierung und automatischen Alarmen bei ungewöhnlichen Treiberinstallationen sind notwendig.

Microsoft-Blockliste für verwundbare Treiber: Microsoft pflegt eine Liste bekannter verwundbarer Treiber im Rahmen der Windows Defender Application Control (WDAC). Diese Blockliste muss aktiviert und regelmäßig aktualisiert werden, um den Missbrauch neuer verwundbarer Treiber zu verhindern.

Netzwerksegmentierung OT/IT: Fertigungs-OT-Netze müssen strikt von IT-Systemen getrennt sein. Identitätsbasierte Zugriffskontrollen (Zero Trust) sollten jeden Netzwerkzugang regeln. Der Foxconn-Angriff zeigt exemplarisch, wie ein kompromittiertes IT-System direkten Einfluss auf Produktionsprozesse haben kann.

DLP für Schemata und technische Dokumente: Proprietäre Schaltpläne, CAD-Dateien und Fertigungsdokumentationen müssen mit Data-Loss-Prevention-Lösungen überwacht werden. Große Dateitransfers oder das Erstellen großer Archive außerhalb normaler Betriebszeiten sollten sofortige Alarme auslösen.

Unveränderliche Offline-Backups: Angesichts des Verschlüsselungsfehlers in Nitrogen sind intakte Backups die einzige zuverlässige Wiederherstellungsoption nach einem Angriff. Backups müssen offline, unveränderlich und regelmäßig auf Wiederherstellbarkeit getestet sein. Die 3-2-1-Regel (3 Kopien, 2 Medien, 1 Offsite) ist Mindeststandard.

Egress-Monitoring: Anomalien im ausgehenden Netzwerkverkehr, insbesondere große Dateiübertragungen zu unbekannten Zielen oder in ungewöhnlichen Zeitfenstern, müssen automatisch erkannt und geblockt werden. Nitrogen nutzte die Exfiltration als zweite Erpressungsebene; wer die Exfiltration blockiert, eliminiert diesen Hebel.

Fünf Prognosen: Was 2026 noch auf uns zukommt

1. Weitere Angriffe auf Auftragsfertiger: Nitrogen und ähnliche Gruppen werden Foxconns Lieferkettennachbarn ins Visier nehmen. Unternehmen wie Pegatron, Compal und Wistron produzieren ebenfalls für Apple und Nvidia und sind mit vergleichbaren Schwachstellen exponiert.

2. Strengere Sicherheitsaudits durch Apple und Nvidia: Die Enthüllung, dass Nitrogen sensible Kundenschemata via deren Fertigungspartner stehlen konnte, wird Apple, Nvidia und Google zwingen, deutlich strengere Sicherheitsanforderungen für Lieferanten einzuführen, einschließlich regelmäßiger externer Penetrationstests und Zertifizierungspflichten.

3. EU-regulatorische Reaktion: Der Cyber Resilience Act der EU verpflichtet ab 2027 Hersteller digitaler Produkte zu Cybersicherheitsstandards. Attacken wie der Foxconn-Hack werden EU-Behörden veranlassen, Lieferkettensicherheit als eigene Anforderungskategorie zu formalisieren.

4. BYOVD-Ausbreitung auf weitere Gruppen: Da BYOVD so wirksam gegen traditionelle Antivirenlösungen ist, werden weitere Ransomware-Gruppen diese Technik für 2026 übernehmen. Microsoft steht unter Druck, den Kernel-Schutzmechanismus zu stärken und die Blockliste verwundbarer Treiber aggressiver zu erweitern.

5. Datenpublikation und Folgeschäden: Wenn Foxconn kein Lösegeld zahlt, was angesichts des Verschlüsselungsfehlers ohnehin zwecklos wäre, wird Nitrogen die gestohlenen 8 TB veröffentlichen. Die Folgen reichen von Produktfälschungen bei Apple-Hardware bis zu Industriespionage bei Nvidia-KI-Serverdesigns mit mehrjährigen Auswirkungen auf die Wettbewerbslandschaft.

Verwandte Berichte

Weiterführende Analysen zu Ransomware-Gruppen und Cyberangriffen auf shattered.io:

Externe Quellen:

Häufige Fragen zum Foxconn-Cyberangriff

Wann fand der Foxconn-Cyberangriff statt?
Nitrogen listete Foxconn am 11. Mai 2026 auf seiner Extortionsplattform. Foxconn bestätigte den Angriff offiziell am 12. Mai 2026.

Wie viele Daten wurden gestohlen?
Die Nitrogen-Gruppe behauptet, 8 Terabyte Daten und mehr als 11 Millionen Dateien entwendet zu haben. Screenshots der Dateien wurden von Sicherheitsforschern als authentisch bestätigt.

Welche Unternehmen sind durch den Foxconn-Hack betroffen?
Nitrogen behauptet, Schemata und Projektdokumentationen von Apple, Nvidia, Google, AMD, Dell und Intel erbeutet zu haben, da diese Unternehmen Foxconn als Auftragsfertiger nutzen.

Was ist Nitrogen Ransomware?
Nitrogen ist eine 2023 gegründete Doppelerpressungs-Ransomware-Gruppe mit dokumentierten Verbindungen zu ALPHV/BlackCat. Sie kombiniert Datenverschlüsselung mit Datendiebstahl und richtet sich bevorzugt gegen Fertigungs- und Technologieunternehmen in Nordamerika und Westeuropa. Bisher hat sie rund 50 Opfer angegriffen.

Sollte Foxconn das Lösegeld zahlen?
Nein. Coveware-Forscher haben einen kritischen Fehler in Nitrogens VMware-ESXi-Encryptor identifiziert: Ein Memory-Management-Bug korrumpiert den Verschlüsselungsschlüssel, sodass eine Entschlüsselung mathematisch unmöglich ist. Die einzige Wiederherstellungsoption sind intakte Backups.

Wie können sich österreichische Unternehmen schützen?
Die wichtigsten Maßnahmen sind: Kernel-Level-EDR mit BYOVD-Schutz, Aktivierung der Microsoft-Blockliste für verwundbare Treiber, konsequente Netzwerksegmentierung zwischen OT und IT, DLP-Lösungen für technische Dokumente sowie unveränderliche Offline-Backups, die regelmäßig auf Wiederherstellbarkeit getestet werden.

War Foxconn schon früher Opfer eines Ransomware-Angriffs?
Ja. Im November 2020 attackierte DoppelPaymer Foxconns mexikanische Werke, stahl 100 GB Daten und forderte 34 Millionen US-Dollar Lösegeld. Der 2026er Angriff ist Foxconns zweiter bestätigter Ransomware-Vorfall.

Was bedeutet der Angriff für europäische Lieferketten?
Nitrogen ist explizit auch in Westeuropa aktiv. Österreichische und deutsche Unternehmen, die als Zulieferer in internationalen Wertschöpfungsketten agieren, befinden sich im Fadenkreuz ähnlicher Angriffe. Der Foxconn-Hack sollte als dringendes Warnsignal verstanden werden, eigene Sicherheitsmaßnahmen zu überprüfen und anzupassen.