Angriff auf über 100 US-Wassersysteme: Internet-exponierte SPS im Juli im Visier

Die Cybersecurity and Infrastructure Security Agency (CISA) hat im Juli 2026 bösartige Cyberaktivitäten gegen mehr als 100 Systeme des US-amerikanischen Wasser- und Abwassersektors (Water and Wastewater Systems, WWS) beobachtet. Die Behörde hat kürzlich einen aktualisierten Leitfaden zur Verringerung der Internet-Exposition veröffentlicht und dabei bekannt gegeben, dass der häufigste Angriffsvektor der direkte Zugriff auf speicherprogrammierbare Steuerungen (SPS) war, die über Mobilfunkmodems mit dem öffentlichen Netz verbunden sind. Eine zugehörige Warnung trägt das Datum 30. Juli 2026.

Über 100 Wassersysteme im Visier

Die CISA hat bestätigt, dass sie im Juli 2026 Eindringversuche und unbefugte Zugriffe auf mehr als 100 internetexponierte Systeme im US-amerikanischen Wasser- und Abwassersektor festgestellt hat. Es handelt sich nicht um einen einzelnen isolierten Vorfall, sondern um eine koordinierte Welle bösartiger Aktivitäten, die kritische Infrastrukturen in mehreren Bundesstaaten getroffen hat.

Der WWS-Sektor umfasst Wasseraufbereitungsanlagen, Verteilnetze, Abwassersysteme und Kläranlagen. Viele dieser Anlagen, die oft von kleinen Gemeinden oder privaten Unternehmen mit begrenzten Ressourcen betrieben werden, nutzen industrielle Steuerungssysteme (Industrial Control Systems, ICS) und Betriebstechnologie (Operational Technology, OT) zur Überwachung und Steuerung ihrer Prozesse. Ihre direkte Exposition gegenüber dem Internet, oft ohne angemessene Sicherheitsmaßnahmen, hat sie zu leichten Zielen gemacht.

Der Angriffsvektor: SPS direkt an Mobilfunkmodems angeschlossen

Der am häufigsten ausgenutzte Einstiegspunkt war die direkte Verbindung von SPS mit Mobilfunkmodems. Praktisch bedeutete dies, dass Geräte zur Steuerung physischer Prozesse – wie Ventile, Pumpen, Füllstandssensoren und Chemikaliendosiersysteme – für jedermann im Internet erreichbar waren, weil sie über eine SIM-Karte und ein Mobilfunkmodem verbunden waren, ohne sichere Gateways, VPNs oder Firewalls dazwischen.

SPS sind nicht die einzigen exponierten Assets. Die CISA nennt auch Mensch-Maschine-Schnittstellen (Human-Machine Interfaces, HMI), Fernwirkgeräte (Remote Terminal Units, RTU), SCADA-Komponenten und IIoT-Geräte. Alle diese Elemente können, wenn sie direkt mit dem öffentlichen Netz verbunden sind, mit Scan-Werkzeugen wie Shodan oder Censys gefunden und dann relativ leicht angegriffen werden.

Das Problem ist nicht neu. Protokolle wie Modbus, EtherNet/IP, DNP3 und OPC UA, die häufig im OT-Bereich eingesetzt werden, sind nicht dafür ausgelegt, ungeschützt dem Internet ausgesetzt zu sein. Wenn dies doch geschieht, kann jeder versuchen, ihren Zustand auszulesen oder zu verändern.

Was die Angreifer taten: IP-Adressen und Passwörter geändert

Laut CISA haben die Angreifer unbefugten Fernzugriff auf die exponierten SPS erlangt. Einmal drinnen, änderten sie die IP-Adressen der Geräte und die Passwörter. Diese einfache Aktion hatte unmittelbare Folgen: Die legitimen Betreiber verloren die Fähigkeit, die Prozesse zu überwachen und zu steuern, weil die Systeme nicht mehr auf Befehle reagierten oder nicht mehr erreichbar waren.

In einigen Fällen meldet die CISA lokale Betriebsunterbrechungen. Der Verlust der Überwachungs- und Steuerungsfunktionen, auch ohne direkte physische Schäden, kann die Regelung von Pumpen, die Verwaltung des Chlorgehalts oder die Erkennung von Anomalien verhindern. SecurityWeek, das zuerst über den Vorfall berichtete, spielt die Auswirkungen herunter und erklärt, dass es keine erheblichen Unterbrechungen gegeben habe. Die beiden Bewertungen gehen auseinander: Die CISA hebt reale, aber begrenzte Schäden hervor, während SecurityWeek betont, dass kein Wasserdienst großflächig ausgefallen ist.

Das künftige Risiko ist jedoch hoch. Die Leichtigkeit, mit der diese Systeme kompromittiert wurden, zeigt, wie fragil die OT-Sicherheit ist, wenn eine ordnungsgemäße Netzwerksegmentierung fehlt.

Unklare Zuordnung und die Karte der Bundesstaaten

Über die Identität der Angreifer sind sich die Quellen nicht einig. SecurityWeek bringt die Angriffe explizit mit Gruppen in Verbindung, die mit dem Iran in Verbindung stehen, und verweist auf frühere Operationen gegen kritische Infrastrukturen der USA. Der CISA-Leitfaden hingegen enthält keine explizite Zuordnung.

Auch über die Zahl der betroffenen Bundesstaaten gibt es keine offizielle Bestätigung. Die Bundesregierung hat nicht bekannt gegeben, wie viele Bundesstaaten Eindringversuche erlebt haben. SecurityWeek schätzt mindestens 12, und sechs haben den Vorfall öffentlich bestätigt: Minnesota, Michigan, South Dakota, Georgia, New Jersey und Alabama.

Kurz vor der Veröffentlichung des Leitfadens hatte die CISA bereits vor Angriffen im Zusammenhang mit dem Iran auf industrielle Steuerungssysteme von Siemens, Schneider Electric und Rockwell Automation gewarnt. Es wird nicht spezifiziert, ob diese drei Anbieter direkt an der Welle vom Juli 2026 beteiligt sind, aber der Kontext deutet auf ein anhaltendes Interesse staatlicher oder affiliierter Akteure an amerikanischer OT hin.

Die vier Schritte der CISA zur Verringerung der Exposition

Der CISA-Leitfaden beschreibt einen Weg in vier Schritten, um Organisationen des Wassersektors – und allgemeiner alle kritischen Infrastrukturen – dabei zu unterstützen, ihre Angriffsfläche zu verringern.

1. Aktuelle Exposition bewerten. Identifizieren Sie alle über das Internet erreichbaren Assets mithilfe interner Inventare und externer Scan-Werkzeuge wie Cyber Hygiene Vulnerability Scanning der CISA, Shodan, Censys, Thingful oder Shadowserver. Überprüfen Sie auch Fernzugriffe Dritter: Systemintegratoren, MSSPs, Anbieter und alle Verbindungen über VPN oder Mobilfunkmodems.

2. Notwendigkeit der Exposition bewerten. Fragen Sie sich, ob jedes Asset wirklich über das Internet erreichbar sein muss. Wenn die Antwort Nein lautet, entfernen Sie den Zugriff vollständig oder schränken Sie ihn erheblich ein.

3. Risiken für Assets mindern, die exponiert bleiben müssen. Ändern Sie alle Standardpasswörter, wenden Sie Sicherheitsupdates an, ersetzen Sie nicht mehr unterstützte Software und Geräte, verwenden Sie einen Jump-Host für sicheren und überwachten Zugriff, kontrollieren Sie ein- und ausgehenden Datenverkehr, implementieren Sie Multi-Faktor-Authentifizierung (MFA) – auch nur auf Jump-Host-Ebene – und befolgen Sie die Richtlinien für sicheren Fernzugriff auf OT-Umgebungen.

4. Regelmäßige Bewertungen etablieren. Netzwerke und Drittanbieterverbindungen ändern sich ständig: Es ist notwendig, exponierte Assets regelmäßig zu überprüfen.

Für sicheren Fernzugriff empfiehlt die CISA, den gesamten Datenverkehr über sichere Gateways, Firewalls, VPNs oder andere zentralisierte Lösungen zu leiten, niemals direkt zu SPS, HMI oder RTU. Jeder Zugriff muss eindeutige Benutzernamen, starke Passwörter und phishing-resistente MFA erfordern. Die Authentifizierungskontrollen müssen Brute-Force-Versuchen und Angriffen auf Basis gestohlener Zugangsdaten standhalten.

Werkzeuge und Kontrollen, um exponierte eigene Assets zu entdecken

Die CISA gibt auch operative Hinweise für Verteidiger. Organisationen sollten ihre öffentlichen IP-Bereiche regelmäßig scannen und jeden unerwarteten offenen Port untersuchen. Ein offener Port bedeutet nicht automatisch eine Schwachstelle, aber jeder exponierte OT- oder Fernzugriffsdienst muss gerechtfertigt sein: Wenn er nicht benötigt wird, ist er zu entfernen; wenn doch, sind die Minderungsmaßnahmen anzuwenden.

Werkzeuge wie Shodan, Censys, Thingful und Shadowserver ermöglichen die Entdeckung exponierter Assets. Für das CIP-Protokoll (Port 44818) schlägt die CISA Abfragen wie die folgenden vor:

• Censys: host.services.port: 44818 and host.ip: "X.X.X.X/Y"
• Shodan: port: 44818 net:X.X.X.X/Y

Die Liste der mindestens zu prüfenden Ports umfasst die klassischen Fernzugriffsdienste – SSH (22), Telnet (23), HTTP (80), HTTPS (443), RDP (3389), VNC (5900), TeamViewer (5938) – sowie die gängigsten Industrieprotokolle: Modbus (502–507 und andere Implementierungen), EtherNet/IP (44818/TCP und 2222/UDP), DNP3 (19999/UDP und 20000/TCP/UDP), OPC UA (4840/TCP und 4843/TCP), BACnet (47808/TCP) sowie Niagara Fox (1911/TCP und 4911/TCP).

Organisationen des Wassersektors können außerdem die kostenlosen Cyber-Hygiene-Dienste der CISA, die regionalen Cybersecurity Advisors und die spezifischen Ressourcen für den WWS-Sektor von CISA und EPA nutzen. Für Meldungen steht die Adresse [email protected] zur Verfügung.

Der Vorfall fügt sich in einen größeren Rahmen ein: Der Kongress erwägt derzeit einen Gesetzentwurf zur Stärkung der Cybersicherheit im Wassersektor und die Einrichtung eines „Water Watch Center“. Die OT-Sicherheit, insbesondere in weniger geschützten Sektoren, ist zu einer nationalen Priorität geworden.