Zusammenfassung: Über 30 Wasserversorgungssysteme in Minnesota wurden am 26. und 27. Juli von einem koordinierten Cyberangriff getroffen. Einige Tage später bestätigte Michigan ähnliche Sicherheitsverletzungen bei neun seiner eigenen Wasserversorgungssysteme. Dieses Muster verdeutlicht, wie ein einziger Konstruktionsfehler in der Cybersicherheit der operativen Technik (OT) zu einer landesweiten Angriffsfläche wurde.
Am 30. Juli 2026 veröffentlichten das FBI und die EPA eine gemeinsame PSA (Public Service Announcement; Warnmeldung I-073026-PSA), in der näher auf den Angriff in Minnesota eingegangen wurde. Der Mitteilung zufolge verschafften sich die Angreifer Fernzugriff auf mit dem Internet verbundene SPSen und änderten deren IP-Adressen und Passwörter, wodurch die Überwachungs- und Steuerungsfunktionen der Betreiber außer Kraft gesetzt wurden. Mindestens eine Organisation entdeckte zudem geänderte SPS-Projektdateien, nachdem sie an mehreren Standorten Unstimmigkeiten in der Ladder-Logik festgestellt hatte. Das FBI wies darauf hin, dass Ähnlichkeiten in den von Drittanbietern bereitgestellten Netzwerkkonfigurationen es den Angreifern möglicherweise ermöglicht haben, dieselbe Technik bei mehreren Kunden anzuwenden.
Am 1. August wurde ein weiterer Angriff bekannt gegeben. Diesmal bestätigte das Ministerium für Umwelt, die Großen Seen und Energie des Bundesstaates Michigan bestätigte Cyberangriffe auf neun seiner Wasserversorgungssysteme, nur wenige Tage nachdem Minnesota ähnliche Sicherheitsvorfälle im gesamten Bundesstaat gemeldet hatte.
Bundesbeamte nannten den Iran als Hauptverdächtigen; die Zuordnung ist jedoch vorläufig, und das FBI ermittelt weiterhin zu den Vorfällen in beiden Bundesstaaten.
In allen betroffenen Gemeinden sind die Mitarbeiter des Tiefbauamts auf manuellen Betrieb umgestellt, wodurch die Wasser- und Abwasserversorgung auch während der Störung der automatischen Steuerung ohne Unterbrechung weiterlaufen konnte. Das ist ein operativer Erfolg, und den Betreibern in Minnesota gebührt dafür Anerkennung. Der manuelle Ausweichbetrieb hat diesmal funktioniert, aber beim nächsten Mal könnte es anders aussehen.
Kritische Infrastrukturen können sich nicht immer auf die Wachsamkeit ihrer Anlagenbetreiber verlassen, um das Fehlen einer sicheren Architektur zu kompensieren.
Ein vermeidbares Muster, das sich seit Jahren wiederholt
Auch wenn es gewissermaßen bequem wäre, den Angriff als einen isolierten Vorfall im Zusammenhang mit dem Iran zu betrachten – als einen Einzelfall, der eng mit den bestehenden Spannungen mit dem Iran verbunden ist –, so ist der Angriff auf kritische Infrastrukturen der USA doch Teil eines Musters.
Laut einer gemeinsamen Durchsetzungswarnung der EPAhaben die CISA, das FBI, die National Security Agency, die EPA und andere Bundesbehörden zahlreiche Warnungen vor Cyberangriffen auf Informationsnetzwerke und Prozessleitsysteme in Wasser- und Abwassersystemen durch staatlich geförderte Cyberakteure herausgegeben. Um nur einige zu nennen:
- Der iranischen Regierung nahestehende Cyberakteure, die der IRGC angehören
- pro-russische Hacktivisten
- Staatlich geförderte Cyberakteure aus Volksrepublik China , bekannt unter den Namen „Volt Typhoon“, „Vanguard Panda“ und anderen.
Die Vorfälle in Minnesota und Michigan sind nur die jüngsten Beispiele für eine Bedrohungslage, die Bundesbehörden bereits seit mindestens Ende 2023 schriftlich beschreiben.
Der Zugang zu sauberem Wasser ist ein grundlegendes Menschenrecht; eine Anlage, bei der die chemische Dosierung oder die Druckregelung nicht überprüft werden können, ist eine nationale Krise im Bereich der öffentlichen Gesundheit, die nur darauf wartet, auszubrechen.
Nach den Worten von EPA-Administrator Lee Zeldin liegt die Verantwortung bei den Betreibern der Anlagen. Die Empfehlungen sind seit Jahren öffentlich bekannt, und die Betreiber sollten nicht auf eine Anordnung der Bundesregierung warten, um ihre Anlagen zu sanieren.
Viele SPSen, darunter auch die MicroLogix-Geräte, die im Mittelpunkt dieses Vorfalls stehen, sind veraltete Hardware, die möglicherweise keine Sicherheitsupdates erhalten und für den Einsatz in der Fertigung, nicht für das Internet konzipiert wurden. Sind diese Steuerungen ungeschützt, kann bereits ein kleiner Angriff zu erheblichen Betriebsstörungen in großen und kleinen Gemeinden führen.
Wie sich dieses Muster beim Anschlag in Minesotta zeigt
Ein typischer OT-Angriff beginnt häufig mit einer Phishing-E-Mail, durch die ein IT-Benutzer oder ein Endgerät kompromittiert wird. Der Angreifer erweitert anschließend seine Berechtigungen über Active Directory, dringt vom IT-Netzwerk in die OT-Umgebung vor, kompromittiert einen technischen Arbeitsplatzrechner und verschafft sich schließlich Zugriff auf SPSen, um industrielle Prozesse zu manipulieren oder zu stören.
Bei dem Angriff in Minnesota haben die Angreifer (zumindest) fast alle Schritte übersprungen. Wie es scheint, mussten die Angreifer nicht zuerst das IT-Netzwerk des Unternehmens kompromittieren; sie haben einfach SPSen gefunden und ausgenutzt, die direkt mit dem Internet verbunden waren.
Aufgrund der vorliegenden Informationen ist es möglich, dass sich die Angreifer durch Ausnutzung von Standardzugangsdaten, schwachen Passwörtern oder fehlenden Richtlinien zur MFA (Multi-Faktor-Authentifizierung) Administratorrechte für die SPS verschafft haben. Dadurch konnten sie den herkömmlichen Angriffsweg von der IT zur OT umgehen und die Anzahl der Schritte, die erforderlich waren, um die Steuerungen zu kompromittieren, erheblich reduzieren.
Die Angriffskette verdeutlicht, warum Geräte der Stufen 0 und 1 niemals über das Internet erreichbar sein sollten.
Netzwerkkontrollen reichen für die Betriebstechnik nicht aus
Die Angriffskette verdeutlicht, warum Geräte der Stufen 0 und 1 niemals über das Internet erreichbar sein sollten.
Was bewährte Verfahren im Bereich der OT-Cybersicherheit angeht, empfehlen das FBI, die EPA und die CISA zu Recht, die Anbindung an das Internet zu unterbinden sowie Firewalls, VPNs, Netzwerksegmentierung und strenge Authentifizierungsrichtlinien einzuführen. Dies sind nach wie vor grundlegende Kontrollmaßnahmen, die überall dort umgesetzt werden sollten, wo ein Fernzugriff erforderlich ist. Bei industriellen Steuerungssystemen mit hohen Folgen sollten Unternehmen jedoch hinterfragen, ob ein eingehender Fernzugriff überhaupt erforderlich ist.
VPNs und Firewalls sind Softwarekomponenten, was bedeutet, dass sie Schwachstellen aufweisen. Sie werden von Menschen konfiguriert, was bedeutet, dass sie falsch konfiguriert werden können. Dieselben Akteure, die den Juli damit verbracht haben, das Internet nach ungeschützten SPSen zu durchsuchen, können diese Scanner genauso gut als Nächstes auf anfällige oder falsch konfigurierte VPN-Endpunkte und Firewalls richten. Es ist dasselbe Problem, nur mit einer anderen Suchanfrage.
Kein Controller, der für die Wasser-, Strom- oder Verkehrsversorgung oder andere lebenswichtige Dienste zuständig ist, sollte über das öffentliche Internet direkt erreichbar sein. Es gibt einen Unterschied zwischen „sicher“ und „isoliert“, doch genau hier versagen die Cybersicherheitssysteme einiger Versorgungsunternehmen.
VPNs authentifizieren und verschlüsseln den Fernzugriff, während Firewalls regeln, welcher Datenverkehr zugelassen wird. Beide setzen voraus, dass ein gewisses Maß an eingehender Konnektivität weiterhin verfügbar ist. Ein unidirektionales Gateway – auch Daten-Diode genannt – verfolgt ein anderes Sicherheitsziel: die vollständige Unterbindung der eingehenden Netzwerkkonnektivität für Systeme, die keine Fernsteuerung erfordern.
Wie Einwegströme eine ganze Risikoklasse beseitigen
Im Allgemeinen lassen sich industrielle Kommunikationssysteme in zwei Kategorien einteilen:
1. Der Steuerungsverkehr, der Befehle an Prozesse sendet.
2. Überwachung des Datenverkehrs, wobei Betriebsdaten an Historien-Systeme, SOCs, Unternehmensanwendungen, Cloud-Analysesysteme oder Verwaltungsportale exportiert werden.
Viele kritische Systeme nutzen letztendlich nur die zweite Kategorie. In diesen Umgebungen vergrößert die Zulassung eingehender Verbindungen lediglich die Angriffsfläche, ohne einen betrieblichen Nutzen zu bieten.
Falls Betriebsdaten das System doch verlassen müssen, sollten sie nicht über einen Weg übertragen werden, über den auch Daten zurückfließen können. Stattdessen sollten sie eine durch Hardware gesicherte, physisch als Einbahnstraße konzipierte Grenze passieren.
Durch einen einseitig erzwungenen Datenfluss behalten die Betreiber den vollständigen Überblick über die Vorgänge in der Produktionshalle. Angreifer hingegen haben keine Möglichkeit, über diese Verbindung zurückzudringen.
Das ist das Prinzip hinter OPSWAT’s MetaDefender™ NetWallvon MetaDefender : Daten-Dioden der nächsten Generation, die unidirektionale Sicherheit bieten. NetWall setzt eine hardwaregestützte Einwegkommunikation um, die Betriebsdaten wie Historien, Alarme, Protokolle oder Telemetriedaten von kritischen OT-Systemen zu Unternehmenssystemen überträgt und gleichzeitig verhindert, dass Netzwerksitzungen, Verwaltungsdatenverkehr oder Steuerbefehle zurück zu den geschützten Steuerungen gelangen.
Der Rückweg muss nicht gesichert werden, da er gar nicht existiert. Dadurch wird eine Kategorie von Schwachstellen beseitigt, die eine Firewall nicht vollständig schließen kann: eine falsch konfigurierte Regel, ein offener Port oder eine Ausnahmeregel. Auch menschliches Versagen als Risikofaktor wird vollständig beseitigt, da Dioden keine komplexen bidirektionalen Konfigurationsregeln erfordern, wie sie bei Firewalls zum Einsatz kommen. MetaDefender NetWall wurde entwickelt, um strenge Sicherheitsanforderungen in industriellen Umgebungen sowie die EPA-Empfehlungen zur Ausfallsicherheit im Wassersektor zu erfüllen.
10.000 Hosts sind nach wie vor ungeschützt – wie können wir diese Lücke schließen?
Derzeit sind mehr als 4.100 mit dem Internet verbundene Rockwell Automation-/Allen-Bradley-Hosts, über 4.100 Siemens-Hosts und mehr als 2.000 Schneider Electric-Hosts sind über das offene Internet erreichbar. Laut CISA stellen Mobilfunkmodems, die von Betreibern, Anbietern oder Systemintegratoren hinzugefügt wurden, häufig eine Schwachstelle dar, da sie oft nicht dokumentiert sind und daher bei routinemäßigen Angriffsflächen-Scans übersehen werden.
Mit anderen Worten: Über 10.000 Geräte sind genau der Art von Angriff ausgesetzt, von der gerade die Wasserversorger in Michigan und Minnesota betroffen waren. Dabei kommen Steuerungen zum Einsatz, die – wenn sie kompromittiert werden – eine Anlage überfluten oder dazu führen können, dass Wasser unbehandelt bleibt. Die CISA empfiehlt VPNs und Firewalls als Mindeststandard zum Schutz kritischer Infrastrukturen in den USA. Diese Maßnahmen haben zwar durchaus ihre Berechtigung, doch handelt es sich dabei immer noch um internetbasierte Tools. Die aktuellen Empfehlungen zum Schutz eines Druckventils, einer Chemikalienzufuhr und des Leitungswassers einer Familie können nicht in dieselbe Kategorie von Tools fallen wie diejenigen, die zum Schutz einer Anmeldeseite entwickelt wurden.
Minnesota und Michigan machen deutlich, dass Sicherheit auf Internet-Niveau nie als letzte Verteidigungslinie für physische, für die öffentliche Sicherheit kritische Systeme konzipiert wurde. Die Infrastruktur für die öffentliche Sicherheit benötigt eine physische Lösung – eine Grenze, die Angreifer nicht neu konfigurieren, ausnutzen oder durchscannen können, da es keinen Rückweg gibt, den ein Scanner aufspüren könnte.
Die erste Folge der neuen Dokumentarserie von „ OPSWAT“, moderiert von Kari Byron aus „MythBusters“, macht deutlich: Ein mehrschichtiger Schutz, einschließlich eines hardwareseitig erzwungenen Einweg-Datenflusses, ist für kritische Infrastrukturen kein bloßes „Nice-to-have“. Tatsächlich kann er den Unterschied zwischen einem einfachen Vorfallbericht und einem Notfall für die öffentliche Gesundheit ausmachen.
„Breaking the Firewall “ führt die Zuschauer von den Veranstaltungsräumen der Sicherheitskonferenzen zu praktischen Demonstrationen, die genau zeigen, wie Firewalls versagen und was an ihre Stelle treten muss. Sehen Sie sich die erste Folge an und erfahren Sie, was nötig ist, um Amerikas kritische Infrastruktur zu schützen.
