Am 26.–27. Juli 2026 versuchten Hacker, in mindestens 30 kommunale Wassersysteme in Minnesota einzudringen. Seitdem haben Michigan, New Jersey und mehrere weitere Bundesstaaten über ähnliche Cyberangriffe berichtet, laut Quellen, die mit der Angelegenheit vertraut sind.

Die Angreifer versuchten nicht, die in den Bürogebäuden der Versorger verwendeten Administrationscomputer zu infiltrieren. Stattdessen zielten sie darauf ab, die Kontrolle über kleine eingebettete Computer – sogenannte speicherprogrammierbare Steuerungen (PLCs) – zu übernehmen, die Geräte wie Pumpen und Ventile regulieren, welche für die Trinkwasserversorgung von Millionen Menschen verantwortlich sind.

Die Versorger reagierten auf die Angriffe, indem sie die Steuerungscomputer herunterfuhren und Personal ins Feld schickten, um die Anlagen manuell zu bedienen. Beamte erklärten, dass das Trinkwasser während der gesamten Vorfälle sicher blieb.

Die bei diesen Angriffen eingesetzten Methoden stimmen mit Mustern überein, die üblicherweise bei internationalen Cyberoperationen beobachtet werden, so Cybersicherheitsforscher. Der anfängliche Verdacht richtete sich gegen Hacker, die Berichten zufolge mit dem Iran in Verbindung stehen, wie Wired berichtete, obwohl die US-Regierung die Angriffe bislang keiner bestimmten Akteurin oder keinem bestimmten Staat formell zugeordnet hat.

Wasser- und Abwassersysteme gehören zu den 16 vom Bund festgelegten Sektoren kritischer Infrastrukturen. Die Angriffe ereignen sich vor dem Hintergrund einer breiteren Eskalation der Aufklärung US-amerikanischer Industrieanlagen durch Nationalstaaten. Im Februar 2021 gelangte ein Angreifer per Fernzugriff in eine Wasseraufbereitungsanlage in Oldsmar, Florida, und versuchte, den Natriumhydroxidgehalt auf gefährliche Konzentrationen zu erhöhen, bevor ein Mitarbeiter eingriff. Ende 2023 übernahmen mutmaßlich mit dem Iran verbundene Hacker die Kontrolle über eine PLC der Municipal Water Authority of Aliquippa, Pennsylvania. Die Vorfälle von 2026 zeichnen sich durch ihr Ausmaß aus – Dutzende Versorger wurden innerhalb eines koordinierten Zeitfensters über mehrere Bundesstaaten hinweg ins Visier genommen – statt um eine einzelne Anlage.

Funktionsweise der Steuerungssysteme von Wasserversorgern

Die Vereinigten Staaten verfügen nach Bundesdaten über approximately 152.000 öffentliche Trinkwassersysteme. Die überwiegende Mehrheit versorgt weniger als 3.300 Kunden und arbeitet mit nur wenigen Mitarbeitern – eine strukturelle Gegebenheit, die sektorweite Cybersicherheitsinitiativen seit langem erschwert. Kommunales Wasser wird typischerweise aus Seen, Stauseen, Flüssen oder unterirdischen Grundwasserleitern gewonnen. Pumpen befördern das Wasser durch Rohre zu einer Aufbereitungsanlage, wo es gefiltert und desinfiziert wird. Weitere Pumpen drücken das aufbereitete Wasser in Speichertanks und anschließend durch Verteilungsrohre zu Haushalten und Unternehmen. Diese Systeme können sich über viele Quadratmeilen erstrecken.

Die Hacker zielten auf PLCs ab – kleine Computer, die eine Vielzahl industrieller Anlagen steuern. Diese Steuerungen lesen Sensoren, die Zustände wie Wasserdruck, Wasserchemie, Füllstände und Gerätestatus erfassen, und betreiben automatisch Pumpen, Ventile und Alarme. Ein Hausthermostat bietet eine nützliche Analogie: Es liest die Temperatur und gibt dem Heiz- oder Kühlsystem entsprechende Anweisungen.

PLCs übertragen außerdem Betriebsdaten an das zentrale Computersystem eines Versorgers. Die Mitarbeiter nutzen Dashboards, um die Informationen zu überwachen und Befehle an die Steuerungen zurückzusenden. Diese bidirektionale Kommunikation kann über kabelgebundene Netzwerke, Funk- oder Mobilfunkverbindungen oder Internetverbindungen erfolgen.

Viele Versorger arbeiten mit kleinem Personal, wodurch Fernverbindungen unverzichtbar sind. Sie ermöglichen es einer Mitarbeiterin oder einem Mitarbeiter, eine entfernte Pumpe oder einen entfernten Tank zu überwachen, Alarme außerhalb der Geschäftszeiten zu empfangen oder einem Anbieter die Ferndiagnose von Anlagen zu gestatten, ohne jeden Standort aufzusuchen.

Steuerungen, die das Internet nutzen, können sich entweder direkt verbinden oder über Schutz-Firewalls, sichere Gateways oder virtuelle private Netzwerke (VPNs) laufen. Der direkte Zugriff ist anfälliger, da weniger Schutzbarrieren zwischen der Steuerung und potenziellen Angreifern stehen. Ein Hacker kann eine Steuerung finden, indem er das Internet nach ihrer Internet Protocol (IP)-Adresse absucht und dann versucht, ein schwaches oder gestohlenes Passwort zu verwenden oder eine bekannte Sicherheitslücke auszunutzen.

Um eine Steuerung zu erreichen, die durch ein sicheres Gateway oder einen verschlüsselten Dienst geschützt ist, müsste ein Hacker Zugangsdaten für den Fernzugriff stehlen, das Gateway oder private Netzwerk knacken oder den Arbeitsplatzrechner eines Operators kompromittieren, um einen Zugangspunkt zu etablieren.

Ein Zugriffsversuch kann auch Teil einer langfristigen Strategie sein, um Informationen zu sammeln, Abwehrmaßnahmen zu testen oder einen dauerhaften Zugang für einen künftigen Einsatz zu schaffen.

Anatomie eines Angriffs

Angriffe auf industrielle Steuerungssysteme folgen typischerweise einer wiedererkennbaren Abfolge. Die Infiltration beginnt oft mit einer Aufklärungsphase: Angreifer durchsuchen Internetadressen nach freiliegenden Steuerungen, Dashboards und Drittanbieter-Diensten für den Fernzugriff auf der Suche nach Systemen, die direkt mit dem Internet verbunden sind. Forscher finden routinemäßig Tausende von PLCs und Mensch-Maschine-Schnittstellen aus dem Wassersektor, die über Tools wie Shodan – einer Suchmaschine für internetverbundene Geräte – im öffentlichen Netz exponiert sind.

Als Nächstes sucht der Angreifer nach einem Standard- oder gestohlenen Passwort, einer ungepatchten Schwachstelle oder einem falsch konfigurierten Fernzugriffsdienst. Ausgereifte Malware ist nicht immer erforderlich. Im Jahr 2023 berichteten US-Behörden, dass mutmaßlich mit dem Iran verbundene Hacker internetverbundene Unitronics-PLCs ins Visier nahmen, die von Wasserversorgern verwendet werden. Laut der Cybersecurity and Infrastructure Security Agency (CISA) nutzten einige Versorger noch immer das Standardpasswort des Herstellers.

In der letzten Phase nutzt der Angreifer den gewonnenen Zugriff aus. Dies kann das Ändern eines Passworts, das Senden von Befehlen oder den Versuch umfassen, die Software der Steuerung zu verändern. Forscher des National Institute of Standards and Technology (NIST) weisen darauf hin, dass ein Eindringling legitime Steuerungsbefehle durch bösartige ersetzen könnte. Ein Angreifer könnte auch über Phishing in einen Bürocomputer eindringen und dann in das Steuerungsnetzwerk wechseln.

Industrieanlagen, die seit Jahrzehnten im Einsatz sind, sind besonders anfällig, da sie möglicherweise keine modernen Sicherheitsfunktionen unterstützen. Versorger verschätzen Updates häufig, um Betriebsunterbrechungen zu vermeiden.

Berichten zufolge griffen die Hacker über Steuerungen auf die Wassersysteme in Minnesota zu, die direkt über das Internet kommunizierten. Eine gemeinsame Warnung des FBI und der Environmental Protection Agency vom 30. Juli (IC3 PSA) besagte, dass Angreifer per Fernzugriff auf Rockwell Automation MicroLogix-PLCs zugriffen, die direkt mit dem Internet verbunden waren, und deren IP-Adressen und Passwörter änderten.

Schutzmaßnahmen

Die unmittelbarste Schutzmaßnahme, die Versorger ergreifen können, besteht darin, Steuerungen und Mensch-Maschine-Schnittstellen-Dashboards aus der direkten Internetexposition zu entfernen. Nach den Angriffen in Minnesota forderte CISA die Wasserversorger auf, diese Geräte hinter ordnungsgemäß konfigurierten Firewalls und anderen Schutzmaßnahmen zu platzieren.

Wenn Fernzugriff erforderlich ist, sollten Versorger die Kommunikation über ein sicheres Gateway oder VPN leiten, Multi-Faktor-Authentifizierung verlangen und Zugriffsrechte nach dem Minimalprinzip vergeben. Versorger sollten außerdem Standardpasswörter ändern, ungenutzte Fernzugriffsdienste deaktivieren und vom Hersteller genehmigte Updates installieren.

In ihrem Leitfaden zu internet-exponierten Dashboards empfiehlt CISA, operative Netzwerke von E-Mail- und anderen Geschäftssystemen zu trennen, um die Seitwärtsbewegung zwischen den beiden Systemen zu erschweren.

Zudem sollten Versorger Steuerungsprogramme sichern, Fernzugriffsaktivitäten protokollieren und das Wiederherstellen von Systemen sowie den manuellen Betrieb einüben.

Die EPA, die im Rahmen der bundesweiten Strategie für kritische Infrastrukturen als sektorspezifische Behörde für den Wassersektor fungiert, hat den Kongress um gesetzliche Befugnisse gebeten, um Cybersicherheitsstandards im gesamten Sektor durchzusetzen. Derzeit unterliegen Wasserversorger keiner bundesweiten Cybersicherheitsvorgabe, die mit den für das Stromnetz geltenden Standards vergleichbar wäre, die von der North American Electric Reliability Corporation (NERC-CIP) reguliert werden. Gesetzesentwürfe aus früheren Sitzungsperioden des Kongresses zur Schließung dieser Lücke sind nicht vorangekommen.

Die Ressourcenlücke

Ländliche Wasserversorger mit begrenzten Budgets und wenig Personal stellen eine erhebliche Schwachstelle innerhalb der kritischen Infrastruktur der Vereinigten Staaten dar. Eine Gruppe ehrenamtlicher Cybersicherheitsexperten bietet Wasserversorgern Unterstützung, doch ihre Reichweite bleibt begrenzt. Kleinere Versorger benötigen möglicherweise staatliche Finanzierung oder gemeinsame Cybersicherheitsdienste, um eine angemessene Verteidigung aufzubauen. Sektorspezifische Informationsaustauschorganisationen wie das Water Information Sharing and Analysis Center (WaterISAC) bieten Bedrohungshinweise an, doch die Nutzung durch kleine Systeme bleibt ungleichmäßig.

William Akoto ist Assistant Professor für Globale Sicherheit an der American University School of International Service. Dieser Artikel wird mit Genehmigung von The Conversation unter einer Creative-Commons-Lizenz nachgedruckt.