Cyberbedrohungen setzen Thailands Industrie mit einem Wert von 12,74 Billionen Baht unter Druck

Thailands digitale Wirtschaft ist zunehmend bedroht

Zehn bedeutende thailändische Branchen erwirtschafteten 2024 einen wirtschaftlichen Wert von 12,74 Billionen Baht. Ihre Abhängigkeit von digitalen Zahlungssystemen, Anlagensteuerungen, Kommunikation und Online-Diensten macht Cybersicherheit inzwischen zu einer Frage der Produktion, der Beschäftigung und grundlegender öffentlicher Dienstleistungen.

Assoc Prof Dr Aat Pisanwanich, Dozent an der Wirtschaftswissenschaftlichen Fakultät der Rangsit-Universität, stuft Finanz- und Bankwesen sowie Energie- und Versorgungswirtschaft in die höchste Risikogruppe ein. Allein das verarbeitende Gewerbe erwirtschaftet 3,86 Billionen Baht oder 20,3 % des Bruttoinlandsprodukts (BIP). Handel und E-Commerce tragen weitere 2,54 Billionen Baht oder 13,4 % bei.

Der Bericht von NETSCOUT zur Bedrohungslage in Thailand verzeichnet zwischen Januar und Juni 2026 insgesamt 10.258 Distributed-Denial-of-Service-Angriffe, kurz DDoS-Angriffe. Dabei wird ein Online-Dienst mit Datenverkehr überlastet, bis reguläre Nutzer nur noch schwer darauf zugreifen können. Die Angriffe dauerten im Durchschnitt 54,2 Minuten; Telekommunikationsunternehmen waren am häufigsten betroffen.

Thailands Nationale Behörde für Cybersicherheit (NCSA) hat Angriffe im Zusammenhang mit künstlicher Intelligenz in ihrer nationalen Risikobewertung für 2026 ebenfalls als vorrangiges Problem eingestuft. Zusammengenommen zeigen die Befunde ein Problem, das von betrügerischen Nachrichten an Einzelpersonen bis hin zu Ausfällen reicht, die Dienste beeinträchtigen, die viele Unternehmen gleichzeitig nutzen.

Ministerpräsident Anutin Charnvirakul hat die zuständigen Behörden angewiesen, sich vorzubereiten. Bei einer Veranstaltung im ICONSIAM in Bangkok am 8. November, nach der Eröffnung des Amazing Thailand Grand Diwali Festival, sagte er außerdem, dass Unternehmen, Geschäfte und andere private Betriebe eigene Schutzmaßnahmen und Reaktionsverfahren benötigten.

Was die zehn Risikogruppen der Branchen zeigen

Aats Analyse unterteilt die Branchen nach ihrer Gefährdung und den Folgen möglicher Ausfälle in drei Gruppen:

• Sehr hohes Risiko: Finanz- und Bankwesen; Energie- und Versorgungswirtschaft.
• Hohes Risiko: Gesundheitswesen; Telekommunikation; verarbeitendes Gewerbe; Transport und Logistik; Regierung.
• Mittleres Risiko: Handel und E-Commerce; Tourismus und Hotels; Medien und Unterhaltung.

Verarbeitendes Gewerbe und Handel tragen den in der Analyse verwendeten Zahlen zufolge zusammen 6,40 Billionen Baht oder 33,7 % zum BIP bei. Damit entfällt etwa die Hälfte des Gesamtwerts der zehn Branchen auf diese beiden Sektoren. Störungen könnten daher Fabriken, Zulieferer, Geschäfte und Beschäftigte in einem erheblichen Teil der Wirtschaft treffen.

Die Gesamtsumme von 12,74 Billionen Baht beziffert die von den Branchen erwirtschaftete Wirtschaftsleistung. Die tatsächlichen Verluste durch einen Angriff hängen davon ab, welche Organisationen betroffen sind, wie lange ihre Systeme ausfallen, wie schwer der Schaden ist und wie schnell die Dienste wieder verfügbar sind.

Kann eine Fabrik nicht auf Produktionsanweisungen zugreifen, muss sie die Arbeit möglicherweise unterbrechen. Sind die Buchungssysteme eines Logistikunternehmens nicht verfügbar, können sich Lieferungen verzögern. Sind die beiden Unternehmen voneinander abhängig, kann sich die Störung über die zuerst angegriffene Organisation hinaus ausbreiten.

Warum Angriffszahlen in ihrem Kontext betrachtet werden müssen

Aat verweist auf Statistiken der NCSA und von ThaiCERT, denen zufolge es 2023 rund 2.000 Vorfälle und von Januar bis September 2026 mehr als 3.000 gab. Seine Analyse spricht von durchschnittlich etwa zwölf Vorfällen pro Tag. Eine veröffentlichte Zusammenfassung nennt außerdem 363 Vorfälle pro Tag, ohne diese zweite Zahl zu erklären; die Berechnung bleibt daher unklar.

Die von NETSCOUT erfassten 10.258 Angriffe betreffen eine bestimmte Kategorie, DDoS, die das Unternehmen in den ersten sechs Monaten des Jahres 2026 über seine ATLAS-Monitoringplattform beobachtete. Nationale Vorfallstatistiken und die technische Überwachung eines Unternehmens erfassen unterschiedliche Aktivitäten. Deshalb müssen bei jeder Zahl auch der Erhebungszeitraum und die Definition angegeben werden.

CYFIRMA erfasst einen weiteren Teil der Bedrohungslage. Im am 23. April 2025 veröffentlichten Bericht zur Bedrohungslage in Thailand identifizierte das Unternehmen für 2024 insgesamt 17 Kampagnen gegen Thailand, 240 % mehr als 2023. Eine Kampagne ist eine koordinierte Operation, die mehrere Versuche umfassen kann, in Organisationen einzudringen.

Die Zahlen machen deutlich, warum Unternehmen sowohl wiederholte technische Angriffe als auch länger andauernde Operationen zur Informationsbeschaffung oder zum Zugang zu Systemen verfolgen müssen. Ein Dienst, der eine Stunde lang überlastet ist, erfordert andere Wiederherstellungsmaßnahmen als ein Eindringling, der unbemerkt Zugang zu sensiblen Systemen behält.

Telekommunikation steht im Zentrum möglicher Störungen

NETSCOUT verzeichnete 5.440 Angriffe auf die Kategorie „All Other Telecommunications“ und 2.102 auf Mobilfunkanbieter. Auf diese beiden Kategorien entfielen zusammen etwa 73,5 % der 10.258 Angriffe, die im Berichtszeitraum in Thailand registriert wurden.

Computing-Infrastruktur, Datenverarbeitung, Webhosting und verwandte Dienste waren Ziel von 896 Angriffen. Sie dauerten durchschnittlich 176 Minuten, also fast drei Stunden und mehr als dreimal so lange wie die im Durchschnitt erfassten Angriffe. Festnetzanbieter waren von weiteren 514 Angriffen betroffen, die durchschnittlich 79 Minuten andauerten.

Telekommunikations- und Hostingunternehmen stellen Verbindungen und Rechenleistungen bereit, auf die andere Organisationen angewiesen sind. Ein Ausfall bei einem gemeinsam genutzten Anbieter kann deshalb Kunden aus mehreren Branchen treffen, selbst wenn diese in ihren eigenen Betriebsstätten normal arbeiten.

NETSCOUT beobachtete bis zu 14 Angriffsmethoden innerhalb eines einzelnen Angriffs. TCP ACK, eine Methode mit Nachrichten, die bei Internetverbindungen verwendet werden, kam in 5.098 Angriffen vor. Es folgten DNS-Amplification mit 937 und TCP SYN mit 919 Angriffen. Bei der DNS-Amplification werden Internetdienste zur Adressauflösung missbraucht, um größere Datenmengen auf ein Ziel zu lenken.

Die Vielfalt der Methoden ist für den Schutz entscheidend: Ein Dienst muss möglicherweise mehrere Arten unerwünschten Datenverkehrs gleichzeitig abwehren. Kapazitäten zur Aufnahme des Datenverkehrs, Überwachung und Vereinbarungen mit Netzanbietern tragen gemeinsam dazu bei, Dienste verfügbar zu halten.

KI steht an der Spitze der nationalen Risikobewertung

Der Bericht der NCSA zur nationalen Cybersicherheitsrisikobewertung Thailands 2026 untersucht 20 Risikoszenarien und blickt dabei auf einen Zeitraum von zwei Jahren. Er stützt sich auf die Antworten von 235 Personen aus 134 Organisationen und wertet 1.156 Risikoeinträge aus, die von den Befragten ausgewählt wurden.

Angriffe mithilfe von KI, darunter Angriffe auf KI-Systeme selbst, wurden von 160 Befragten beziehungsweise 68,1 % ausgewählt. 94 Befragte, also 40 % aller Teilnehmenden, stuften dieses Szenario als vorrangig ein. Von den Befragten, die es ausgewählt hatten, bewerteten 70 % es als hohes Risiko.

Angreifer können KI nutzen, um Schadsoftware zu erstellen und überzeugende gefälschte Nachrichten, Stimmen und Bilder schneller zu erzeugen. Für ein Unternehmen kann das etwa eine betrügerische Zahlungsaufforderung bedeuten, die wie die Stimme einer vertrauten Führungskraft klingt, oder eine täuschende Nachricht, die auf die Arbeit eines Beschäftigten zugeschnitten ist.

Die Bewertung stufte 576 ausgewählte Einträge beziehungsweise 49,8 % als hohes Risiko ein. Dieser Anteil bezieht sich auf die Einträge, die die Befragten für eine detaillierte Bewertung auswählten. Von den 20 Szenarien lagen neun im Durchschnitt in der Kategorie hohes Risiko, zehn in der Kategorie mittleres und eines in der Kategorie niedriges Risiko.

Die Behörde empfiehlt, ein Verzeichnis der KI-Systeme zu führen, Zuständigkeiten für sie festzulegen, ihren Zugriff zu begrenzen und bei Handlungen mit potenziell schwerwiegenden Folgen eine menschliche Aufsicht vorzuschreiben. In ihrer Bewertung berücksichtigt sie auch bekannte Bedrohungen wie Ransomware, Phishing, gestohlene Konten und die Ausnutzung von Softwareschwachstellen.

Spionage und Ransomware schaffen unterschiedliche Risiken

CYFIRMA führte 55,56 % der von dem Unternehmen analysierten Angriffe auf Thailand auf Informationsdiebstahl und Spionage zurück. Finanzielle Motive und Cyberkriminalität machten zusammen 40 % aus. Finanzdienstleister, IT-Dienstleister und Industriekonzerne gehörten zu den am häufigsten angegriffenen Sektoren.

Das Unternehmen schätzt, dass mehr als 70 % der Bedrohungsakteure, die Thailand ins Visier nehmen, aus China und Russland stammen. In seinen Beobachtungen zählte es MISSION2025, Lazarus Group und TA505 zu den führenden Gruppen. Dabei handelt es sich um Einschätzungen von CYFIRMA zu den von dem Unternehmen verfolgten Aktivitäten.

Thailands Rolle im regionalen Finanzwesen, in der Fertigung und in der Logistik macht das Land für Angreifer aus mehreren Gründen attraktiv: Geld, Kundendaten, industrielles Wissen und Informationen über Handels- oder Regierungsentscheidungen. CYFIRMA weist außerdem darauf hin, dass die Abhängigkeit von externen Technologieanbietern Angreifern einen Weg in andere Organisationen eröffnen kann.

Ransomware sperrt den Zugang zu Systemen und Daten oder macht ihn auf andere Weise unmöglich; die Täter fordern dafür Geld. CYFIRMA verzeichnete bis April 2025 acht Opfer in Thailand und schrieb LockBit3 52,78 % der in Thailand beobachteten Ransomware-Aktivitäten zu. Auch RansomHub und Qilin waren aktiv.

Im umfassenderen Ransomware-Datensatz von CYFIRMA stieg die Zahl der bestätigten Opfer von 4.723 im Jahr 2023 auf 5.123 im Jahr 2024, ein Anstieg um 8,5 %. Das Unternehmen beschreibt, wie kriminelle Partner nach Maßnahmen gegen bestimmte Gruppen zu anderen Ransomware-Diensten wechseln und so Angriffe unter anderen Namen fortsetzen können.

Wie Thailand im Vergleich zu seinen Nachbarländern abschneidet

Aats Analyse verweist auf OECD-Zahlen für 2026. Demnach entfielen in den untersuchten ostasiatischen und ASEAN-Staaten jeweils 10 % der gemeldeten Vorfälle auf Thailand, Singapur und die Philippinen. Damit hatten diese drei Länder in dem Datensatz den höchsten Anteil unter den ASEAN-Staaten.

Auf China entfielen 22 % und auf Japan 21 %; Südkorea kam ebenfalls auf 10 %. Der Anteil Malaysias lag bei 6 %, der Indonesiens bei 4 % und der Kambodschas und Vietnams jeweils bei 3 %. Bezugsgröße ist die untersuchte Gruppe aus Ostasien und den ASEAN-Staaten.

Für die gesamte Welt nennt die Analyse kumulierte Zahlen seit 2014: 51 % für Nordamerika und 27 % für Europa und Zentralasien, zusammen 78 %. In dieser regionalen Aufschlüsselung entfielen 5 % auf Ostasien und die ASEAN-Staaten.

Aat nennt fünf Faktoren, die die Gefährdung erhöhen: die Ausweitung digitaler Aktivitäten, geopolitische Konflikte, KI, kriminelle Online-Netzwerke und begrenzte Sicherheitsressourcen. In Thailand und den ASEAN-Staaten bleiben Betrug über Callcenter, Anlagebetrug, Identitätsdiebstahl und Nachrichten, die Menschen zu Geldüberweisungen verleiten sollen, akute Probleme.

Mehrere Datenpunkte zeigen, wie sich die Entwicklung von internationalen Störungen hin zu den aktuellen Vorbereitungen in Thailand vollzog:

• 2017: NotPetya betraf die Ukraine und mehrere andere Länder. Der Vorfall ist Teil von Aats Analyse internationaler Cyberbedrohungen.
• 24. Februar 2022: Russland begann seine umfassende Invasion der Ukraine. Das Datum dient als Bezugspunkt für die Analyse von Cyberaktivitäten im Zusammenhang mit geopolitischen Konflikten.
• 2024: CYFIRMA beobachtete 17 Kampagnen gegen Thailand.
• 23. April 2025: CYFIRMA veröffentlichte seine Bewertung der Bedrohungslage in Thailand.
• Januar bis Juni 2026: NETSCOUT verzeichnete 10.258 DDoS-Angriffe in Thailand.

Ein einzelner Ausfall kann sich auf mehrere Branchen ausweiten

Die Bewertung der NCSA nennt Angriffe auf Betriebstechnologie und industrielle Steuerungssysteme (R13) sowie Angriffe auf Lieferketten (R14) als besondere Risiken für eine Ausbreitung von Störungen zwischen Branchen. Betriebstechnologie steuert physische Prozesse, etwa Maschinen oder Anlagen in der Versorgungswirtschaft. Bei einem Lieferkettenangriff gelangen Täter über einen Zulieferer, ein Softwareprodukt oder einen genutzten Dienst in eine Organisation.

Die Behörde beschreibt gemeinsam genutzte Systeme und Anbieter als mögliche Ausgangspunkte für die Ausbreitung von Störungen. Die Befragten nannten grundlegende staatliche Dienste, Finanz- und Bankwesen, IT und Telekommunikation sowie die breite Öffentlichkeit als Gruppen, die solchen vernetzten Auswirkungen ausgesetzt sind.

Auch das Gesundheitswesen sticht in der von Aat angeführten Forschung hervor. Eine Studie aus dem Jahr 2024 von Friederikos Fotis, die 17 Branchen verglich, bezifferte die Auswirkungen auf das Gesundheitswesen auf 10 Millionen US-Dollar, auf das Finanzwesen auf 5,97 Millionen US-Dollar und auf die Pharmaindustrie auf 5,01 Millionen US-Dollar. Behörden, Hotels und Medien rangierten in der Risikobewertung dieser Studie eher am unteren Ende, während Aats Bewertung für Thailand die Regierung der Gruppe mit hohem Risiko zuordnet.

Aats Überblick über internationale Forschung nennt Schätzungen zu wirtschaftlichen Verlusten zwischen 0,32 % und 2,3 % des BIP. Die untersuchten Studien reichen bei den Dollarbeträgen von 40 Millionen bis 111,14 Milliarden US-Dollar. Für thailändische Organisationen kommt es in der Praxis darauf an, wie sich ein Ausfall auf Behandlung, Zahlungen, Produktion oder Lieferungen auswirkt und wie viel Arbeit während der Wiederherstellung der Systeme weitergehen kann.

Sieben Prioritäten für Unternehmen und Regierung

Aat schlägt sieben Handlungsfelder vor, die die Wiederherstellung des Geschäftsbetriebs mit dem Schutz grundlegender Dienste und der Unterstützung kleinerer Unternehmen verbinden:

• Daten regelmäßig sichern und Pläne zur Wiederherstellung der Systeme nach Ransomware-Angriffen vorbereiten.
• Den DDoS-Schutz für Banken, Zahlungsdienste, Regierungswebsites und weit verbreitete digitale Dienste verstärken.
• Kritische Infrastruktur wie Strom- und Wasserversorgung, Luftfahrt, Krankenhäuser, Lebensmittelbetriebe und Logistik schützen.
• Kleine und mittlere Unternehmen beim Zugang zu Sicherheitsdiensten durch Zuschüsse, Steuervorteile oder kostengünstige gemeinsame Dienste unterstützen.
• Budgets und Fachpersonal aufstocken und Sicherheitslücken überprüfen.
• Mit ASEAN-Partnern und anderen Ländern Informationen über Bedrohungen austauschen.
• Die Vorbereitungen von Regierung und Privatwirtschaft auf hybride Kriegsführung koordinieren, bei der Cyberangriffe, Sabotage und Informationsmanipulation zusammenwirken.

Kleinere Unternehmen stehen besonders unter Druck, weil ihnen möglicherweise sowohl Fachpersonal als auch das Geld für Schutzsysteme fehlen. Zugang zu kostengünstigen Sicherheits- und Wiederherstellungsdiensten würde ihnen praktische Unterstützung für die digitalen Werkzeuge bieten, mit denen sie Zahlungen entgegennehmen, Aufträge verwalten und Kunden bedienen.

Die NCSA übersetzt diese Prioritäten in konkrete Aufgaben für Organisationen: Sicherungskopien getrennt von den Primärsystemen aufbewahren, die Wiederherstellung testen, Netzwerke unterteilen, um die Bewegungsfreiheit eines Eindringlings einzuschränken, und Abhängigkeiten von externen Anbietern erfassen. Außerdem empfiehlt die Behörde Mehr-Faktor-Authentifizierung, bei der zusätzlich zum Passwort eine weitere Prüfung erforderlich ist, sowie Zugriffskontrollen, die Nutzer und Geräte überprüfen, statt ihnen automatisch zu vertrauen.

Die Behörde nennt auch die Vorbereitung auf Bedrohungen durch Quantencomputer. Organisationen sollten ihre Verschlüsselungssysteme und Informationen erfassen, die noch viele Jahre vertraulich bleiben müssen, und anschließend eine Umstellung auf Post-Quanten-Kryptografie planen, also Verschlüsselung, die künftigen Quantenangriffen standhalten soll. Für den laufenden Betrieb bleiben getestete Wiederherstellungspläne und das Wissen um gemeinsam genutzte Abhängigkeiten entscheidend, um Störungen zu begrenzen.

Die wichtigsten Punkte

• Zehn thailändische Branchen, die als durch Cyberbedrohungen gefährdet gelten, erwirtschafteten 2024 einen Wert von 12,74 Billionen Baht.
• Verarbeitendes Gewerbe und Handel trugen der Analyse zufolge zusammen 33,7 % zum BIP bei.
• NETSCOUT verzeichnete von Januar bis Juni 2026 in Thailand 10.258 DDoS-Angriffe mit einer durchschnittlichen Dauer von 54,2 Minuten.
• 68,1 % der Befragten in der nationalen Bewertung der NCSA wählten KI-Angriffe als Risikofaktor aus.
• Gemeinsam genutzte Telekommunikations-, Rechen- und Industriesysteme können Störungen über mehrere Sektoren hinweg verbreiten.
• Zu den vorgeschlagenen Maßnahmen zählen getestete Datensicherungen, ein stärkerer Schutz von Diensten, Unterstützung für kleinere Unternehmen und der internationale Austausch von Informationen über Bedrohungen.