Die Wasserversorger in den USA sahen sich im Juli einer konzentrierten Welle von Cyberangriffen ausgesetzt. Offen zugängliche industrielle Steuerungssysteme boten den Angreifern dabei einen direkten Weg in die Betriebstechnik.
Die Cybersecurity and Infrastructure Security Agency erklärte, dass böswillige Akteure im Juli 2026 mehr als 100 internetexponierte Systeme im US-Sektor für Wasser- und Abwassersysteme ins Visier nahmen. In mehreren Fällen griffen die Angreifer aus der Ferne auf speicherprogrammierbare Steuerungen zu, änderten Geräteeinstellungen und beeinträchtigten die Fähigkeit der Versorger, Anlagen zu überwachen oder zu steuern.
CISA zufolge griffen die Angreifer aus der Ferne auf exponierte SPS zu, änderten Geräte-IP-Adressen und Passwörter und führten in einigen Fällen dazu, dass Versorger ihre Überwachungs- und Steuerungsmöglichkeiten verloren. Einige Vorfälle führten zudem zu Betriebsstörungen, allerdings gibt es keine bestätigten Hinweise auf eine großflächige Verunreinigung von Trinkwasser.
Berichten zufolge waren Versorger in mindestens einem Dutzend Bundesstaaten betroffen, darunter Minnesota, Michigan, Georgia, South Dakota und New Jersey. Allein Minnesota bestätigte bösartige Aktivitäten im Zusammenhang mit mehr als 30 kommunalen Wasserversorgungssystemen.
Die Schwachstelle: Fernzugriff
Die Warnung von CISA konzentriert sich stark auf ein Problem, das leicht übersehen werden kann: Fernzugriffe, die aus Bequemlichkeit eingerichtet, aber offen gelassen wurden.
„Die direkte Verbindung von SPS mit dem Internet über Mobilfunkmodems kann erhebliche Sicherheitsrisiken schaffen“, sagte CISA in ihren Leitlinien.
Die Behörde empfiehlt, unnötige Fernzugriffe zu entfernen und legitime Verbindungen über ein sicheres Gateway, eine Firewall, ein VPN oder eine zentral verwaltete Lösung zu leiten, statt eine direkte Verbindung zu einer SPS, einer Mensch-Maschine-Schnittstelle oder einer Fernwirkeinheit herzustellen.
Versorger sollten außerdem Standardpasswörter ändern, Sicherheitspatches anwenden, nicht mehr unterstützte Geräte ersetzen und nach Möglichkeit eine Multifaktor-Authentifizierung nutzen. Die Leitlinien empfehlen Organisationen zudem, die Verbindungen von Anbietern und Auftragnehmern zu überprüfen. Das ist wichtig, weil Dritte internetexponierte Geräte einführen können, die möglicherweise nicht im eigenen Anlagenverzeichnis eines Versorgers auftauchen.
Zuordnung bleibt unklar
Die US-Regierung hat die Kampagne vom Juli öffentlich keinem bestimmten Bedrohungsakteurzugeordnet.
Die Zählung von CISA erfasst ins Visier genommene Systeme, nicht unbedingt erfolgreiche Angriffe oder separat kompromittierte Versorger. Sie belegt außerdem nicht, dass jeder Vorfall auf denselben Angreifer zurückgeht.
Die Kampagne im Juli verdeutlicht zudem eine schwierige Realität für kleinere Wasserversorger: Cybersicherheit muss mit betrieblichen Anforderungen und begrenzten Ressourcen konkurrieren.
Für Wasserversorger besteht die unmittelbare Lehre weniger darin, den Fernzugriff abzuschaffen, als genau zu wissen, was exponiert ist.
CISA empfiehlt Betreibern, internetexponierte Geräte zu erfassen, unnötige Direktverbindungen zu entfernen und von Anbietern und Auftragnehmern installierte oder gewartete Systeme zu überprüfen. Dienste zur Ermittlung exponierter Systeme wie Shodan, Censys und Shadowserver können Versorgern ebenfalls dabei helfen, Systeme zu identifizieren, die möglicherweise aus dem öffentlichen Internet erreichbar sind.
Für kleinere Versorger mit begrenztem Cybersicherheitspersonal kann diese Transparenz der wichtigste erste Schritt sein: Eine SPS lässt sich nicht absichern, wenn der Versorger nicht weiß, dass sie exponiert ist.
Weitere Nachrichten: Ein Cyberangriff auf den Medizintechnikhersteller Boston Scientific störte den weltweiten Betrieb und die Fähigkeit des Unternehmens, Kundenbestellungen zu bearbeiten und zu versenden, bislang gibt es noch keinen Zeitplan für eine vollständige Wiederherstellung.