Die Cyberangriffe im Wassersektor nehmen in den USA offenbar weiter zu. Mehrere Bundesstaaten berichten von Vorfällen, die mit einer laufenden Hacker-Kampagne gegen Wasser- und Abwassereinrichtungen zusammenhängen könnten. Während die Namen der betroffenen Regionen noch nicht vollständig vorliegen, liegen mittlerweile einzelne offizielle Bestätigungen vor.
Wichtig ist dabei nicht nur, wie viele Standorte betroffen sind, sondern auch wie die Angreifer vorgehen. Die US-Sicherheitsbehörden haben dazu Details veröffentlicht, die besonders für Betreiber von technischen Anlagen (OT) relevant sind.
Mindestens 12 Bundesstaaten berichten über Vorfälle
Nach Angaben von ABC News sind zumindest 12 US-Bundesstaaten von der Kampagne betroffen. Allerdings sind bislang nur für einige Regionen konkrete Informationen an die Öffentlichkeit gelangt. In mehreren Fällen geht es um verdächtige Aktivitäten, Störungen oder bestätigte Angriffe auf Systeme, die für Betrieb und Versorgung zuständig sind.
Minnesota, Michigan und South Dakota: erste Meldungen
Den Anfang machte Minnesota. Dort wurden am 26. und 27. Juli mehr als 30 kommunale Wassersysteme ins Visier genommen. In Michigan hat die Regierung offiziell bestätigt, dass bei einer kleinen Anzahl von Gemeinden bösartige Cyberaktivitäten festgestellt wurden. Auch aus South Dakota gibt es mindestens einen Stadtbericht über einen Cyberangriff, der offenbar Teil derselben Kampagne sein könnte.
Georgia bestätigt Störung im Betrieb
Mittlerweile liegt auch in Georgia eine offizielle Bestätigung vor: Die Clayton County Water Authority erklärte, sie habe eine vorübergehende Unterbrechung erlebt, die einen Teil ihrer Betriebssysteme sowie die Wasserbereitstellung betroffen habe. Laut Bericht führte das zu reduziertem Wasserdruck in einzelnen Bereichen, die Wasserversorgung sei jedoch innerhalb weniger Stunden wiederhergestellt worden.
Weitere Bundesstaaten: teils noch unklar, teils keine Bestätigung
Auch Wisconsin wurde in Medienberichten erwähnt. Bisher hat man dort jedoch noch keine konkreten Einbrüche offiziell bestätigt. Vertreter mehrerer großer Wasserversorger gaben außerdem an, nicht von Cyberangriffen betroffen gewesen zu sein.
Aus New York gibt es bislang keine Aussage, ob die Kampagne dort tatsächlich Auswirkungen hatte. Gleichzeitig wurden jedoch in dieser Woche mehr als 9 Millionen US-Dollar an Fördermitteln angekündigt, um 153 Wassersysteme bei der Verbesserung der Cybersicherheit zu unterstützen.
In Utah wurde zwar ebenfalls ein Hackerangriff gemeldet, allerdings richtete sich dieser gegen industrielle Steuerungssysteme in einer Einrichtung zur Entsorgung von salzhaltigem Wasser aus einem Ölgebiet. Diese Entdeckung datiert auf März und wirkt nach aktuellem Stand nicht Teil der jüngsten Kampagne. Neue Angriffe wurden seither in Utah nicht gemeldet.
FBI: Ziel waren PLCs in OT-Umgebungen
Während einzelne Bundesstaaten erst nach und nach Stellung nehmen, hat das FBI bereits weitergehend Informationen bereitgestellt. Stand 30. Juli bestätigte die Behörde offiziell, dass mindestens 7 Bundesstaaten betroffen sind. In einem Cyber-Alert beschrieb das FBI zudem, dass die Angreifer auf Micrologix-Programmable-Logic-Controller (PLCs) von Rockwell Automation abzielten.
Nach den bisherigen Mitteilungen gab es keine offiziellen Hinweise auf größere Betriebsstörungen. Gleichzeitig blieb das Trinkwasser offenbar sicher. Dennoch sind die Details zur Vorgehensweise entscheidend, weil sie erklären, warum die Angriffe potenziell ernst werden können.
Wie die Angreifer PLCs verändern
Das FBI schildert, dass sogenannte malicious cyber actors (MCA) gezielt internet-exponierte PLCs ins Visier nehmen. Genannt werden dabei unter anderem die MicroLogix 1100- und 1400-Serien (Rockwell Automation/Allen-Bradley).
Laut FBI nutzen Angreifer die Remote-Verbindung, um Gerätekonfigurationen zu manipulieren. Konkret kann es dabei um das Ändern von IP-Adressen gehen sowie darum, Passwörter einzuschalten und neu zu setzen. Folgen können sein:
- ein Verlust der Sicht auf angeschlossene Anlagen
- in manchen Fällen auch der Verlust von Funktionen der betroffenen Ausrüstung
- sichtbare Unterschiede in Projektdateien, z. B. bei Ladder-Logik
Zusätzlich weist das FBI darauf hin, dass bei mehreren Opfern Gemeinsamkeiten in der Netzwerkstruktur, die durch Dritte bereitgestellt wurden, helfen könnten, Erfolge zu skalieren, wenn sowohl die Netz- als auch die Hardwarekonfigurationen verwundbar sind.
Mögliche Auswirkungen: Druckverlust und Überflutungen
Als operative Effekte nennt das FBI unter anderem Verlust von Druck sowie Überflutungen. Ein möglicher Zusammenhang: Wenn es zu Druckverlusten kommt, könnte unbehandeltes Grundwasser in Leitungen eindringen, weil der hydraulische Zustand nicht mehr stabil ist.
Wie stark eine Anlage betroffen ist, hängt laut FBI davon ab, wofür der PLC konfiguriert ist – etwa ob er Monitoring oder Kontrollfunktionen übernimmt. Auch Details zum Gerät (1100 vs. 1400), zur unterstützten Funktion sowie zur Möglichkeit, auf manuellen Betrieb umzuschalten, spielen eine Rolle.
Wer steckt dahinter? Hinweise richten sich vor allem auf Iran
Zum aktuellen Zeitpunkt ist nicht offiziell geklärt, wer die Angriffe ausführt. Dennoch wird in Berichten schnell Iran als wahrscheinlicher Verdacht genannt, weil iranische Akteure bereits in der Vergangenheit Zielmuster im Bereich ICS/OT verfolgt haben – unter anderem auch im Wassersektor.
Berichten zufolge untersuchen Bundesermittler eine mögliche Beteiligung. Außerdem soll ein nicht öffentliches WaterISAC-Dokument, das als Informationsaustauschstelle für den Wassersektor dient, Hinweise enthalten haben, dass die Angriffe mit Kampagnen übereinstimmen, die zuvor dem Iran zugerechnet wurden.
Empfehlungen für Verteidiger: OT absichern und PLCs schützen
Für Betreiber und Verantwortliche in der Wasserwirtschaft wird die Lage vor allem durch konkrete Schutzempfehlungen relevant. Unter anderem hat CISA dazu aufgerufen, OT-Systeme besonders die PLCs, besser abzusichern.
Darüber hinaus haben Bundesbehörden eine bereits im April veröffentlichte Warnung aktualisiert. Diese richtet sich gegen iranische Angriffe auf OT-Geräte und nennt, dass auch ICS-Komponenten von Siemens, Schneider Electric und Rockwell Automation als Ziel identifiziert wurden.
Exponierte Anlagen: Angreifer könnten über das Internet erreichbar sein
Ein weiterer Aspekt, der für die Verteidigung wichtig ist: Es gibt Hinweise, dass ein relevanter Anteil an PLC-Geräten im öffentlichen Netz erreichbar ist. Censys wird in diesem Zusammenhang mit der Einschätzung zitiert, dass etwa 10.000 PLCs von Rockwell, Siemens und Schneider im Internet auffindbar seien. Gleichzeitig bleibt unklar, wie viele davon tatsächlich verwundbar sind oder ob sie im jeweiligen Kontext ausnutzbar sind.
Um die Hürde für Abwehrteams zu senken, wurde außerdem ein Bericht bereitgestellt, der den Stand der bisher bekannten technischen Informationen für die OT-Sicherheitscommunity zusammenfasst. Ziel ist es, defenders dabei zu unterstützen, die Angriffslogik und die typischen Muster besser zu erkennen.
Was die bisherigen Meldungen praktisch bedeuten
Auch wenn bisher keine großen, offiziell bestätigten Versorgungsunterbrechungen im gesamten Gebiet gemeldet wurden, zeigen die Ereignisse ein klares Bild: Die Angriffe zielen nicht auf klassische IT-Probleme, sondern auf steuerungsnahe Systeme, die für den Betrieb von Wasser- und Abwasseranlagen entscheidend sind.
Die Kombination aus Remote-Manipulation, möglichen Konfigurationsänderungen und dem Verlust von Sicht oder Funktionen kann je nach Setup schnell zu betrieblichen Risiken führen. Gerade deshalb lohnt es sich, die eigenen OT-Umgebungen konsequent zu prüfen: von der Netzsegmentierung bis hin zur Absicherung der erreichbaren Steuergeräte.
Cyberangriffe im Wassersektor sind damit nicht nur ein regionales Medienereignis, sondern ein Weckruf für die Branche. Wer Schutzmaßnahmen priorisiert, Prozesse für Incident Response vorbereitet und die Exponierung von OT-Komponenten reduziert, verbessert die Chancen, Angriffe früh zu erkennen oder wirksam abzuwehren.
Fazit
Die Zahl gemeldeter Vorfälle im Rahmen der Kampagne gegen Wasser- und Abwassereinrichtungen wächst weiter. Mindestens 12 Bundesstaaten werden als betroffen genannt, während das FBI bislang mindestens 7 offiziell bestätigt. Besonders kritisch ist die dokumentierte Vorgehensweise: Angreifer zielen auf PLC-basierte OT-Systeme, manipulieren Konfigurationen und können so bis hin zu Betriebsfolgen wie Druckverlust oder Überflutungen beitragen.
Für Betreiber und Sicherheitsteams steht daher im Vordergrund, OT-Strukturen zu härten, PLCs gezielt zu schützen und die eigenen Systeme so auszurichten, dass eine Kompromittierung keine langanhaltenden oder weitreichenden Folgen nach sich zieht.
Quelle: https://www.securityweek.com/water-sector-cyberattacks-reportedly-hit-at-least-12-states/
