Im Juli 2026 hat die US-Behörde CISA laut eigenen Angaben böswillige Aktivitäten gegen internet-exponierte Wassersysteme beobachtet. Es ging dabei um mehr als 100 Systeme, die direkt aus dem Internet erreichbar waren. Die Hinweise sollen Organisationen im Wassersektor und darüber hinaus helfen, ihre Angriffsfläche systematisch zu verkleinern – insbesondere im Bereich der industriellen Steuerung (OT).
Auch wenn es nach den bisherigen Informationen keine erheblichen Betriebsstörungen gegeben habe, steigt der Druck auf Betreiber, die Risiken besser einzuschätzen. Denn die Angriffe zeigen, wie schnell sich aus einer aus dem Internet erreichbaren Schnittstelle ein reales Sicherheitsproblem für kritische Infrastruktur entwickeln kann.
Mehr als 100 Ziele im Wassersektor
CISA macht deutlich, dass die jüngste Welle von Angriffen nicht nur einzelne Einrichtungen betrifft, sondern eine größere Anzahl von Zielen. In der veröffentlichten Einschätzung heißt es, CISA habe im Juli 2026 eine gezielte Aktivität gegen über 100 internet-exponierte Systeme im Sektor Water and Wastewater Systems (WWS) festgestellt.
Besonders häufig erfolgte der Zugriff dem Bericht zufolge über programmierbare Logiksteuerungen (PLCs), die direkt mit einem Mobilfunkmodem verbunden sind. Diese Kombination erhöht die Angriffsfläche, weil industrielle Komponenten dann nicht mehr nur in abgeschotteten Netzen arbeiten, sondern potenziell aus dem öffentlichen Internet erreichbar werden können.
Warum die Angriffe für Betreiber relevant sind
Bis zu diesem Zeitpunkt hatten Bundesbehörden die Zahl betroffener Systeme in der beschriebenen Angriffswelle nicht öffentlich quantifiziert. CISA stellt nun eine messbare Dimension in den Vordergrund und liefert damit eine Grundlage für Prioritäten im Risikomanagement.
Die Angriffe werden in Verbindung mit iranischen Bedrohungsakteuren gebracht. Zielrichtung war laut CISA vor allem die Störung von OT-Systemen. Damit geht es nicht primär um klassische IT-Ausfälle, sondern um die Verfügbarkeit und Integrität von Prozess- und Steuerungstechnik, auf der Betriebsvorgänge basieren.
Welche Regionen betroffen waren
CISA nannte nicht, wie viele Staaten insgesamt betroffen waren. Allerdings deutet die Lage laut den vorliegenden Informationen auf mindestens zwölf Bundesstaaten hin. Mehrere davon werden explizit genannt, darunter Minnesota, Michigan, South Dakota, Georgia, New Jersey und Alabama. Nicht alle betroffenen Staaten seien bereits öffentlich bekannt.
Keine großen Störungen – aber ein deutliches Warnsignal
Ein wichtiger Punkt in der aktuellen Einschätzung: Nach Angaben der Behörde führten die Cyberangriffe nicht zu nennenswerten Unterbrechungen des Betriebs. Dennoch bleiben die Vorfälle relevant, weil sie das Potenzial für weitreichende Auswirkungen in der Wasserbranche sichtbar machen.
Gerade im OT-Umfeld kann schon die Möglichkeit einer Manipulation oder die Störung von Steuerungsabläufen erhebliche Folgekosten verursachen – etwa durch Sicherheitsrisiken, Serviceausfälle oder erforderliche Notfallmaßnahmen. Die Angriffe wirken daher vor allem als Warnung, die eigene Exponierung genauer zu prüfen.
CISA-Ansatz: Internetangriffsfläche aggressiv reduzieren
Im Zentrum der neuen Hinweise steht ein klarer Handlungsrahmen: Organisationen sollen ihre Internetangriffsfläche deutlich verkleinern. Der Fokus liegt dabei nicht auf theoretischen Maßnahmen, sondern auf konkreten Schritten, die die Erreichbarkeit relevanter Systeme aus dem Internet reduzieren.
CISA betont dabei ausdrücklich den Bereich der operationalen Technologie (OT), weil dort oft Systeme eingesetzt werden, die historisch bedingt anders gebaut wurden als klassische IT-Umgebungen. Genau dadurch können Lücken entstehen, wenn OT-Komponenten versehentlich online gestellt werden.
Schritt 1: Sichtbarkeit schaffen – intern und extern prüfen
Bevor Veränderungen umgesetzt werden, fordert CISA eine Bestandsaufnahme. Zunächst sollen Organisationen alle internetzugänglichen Systeme ermitteln. Das kann über interne Inventare ebenso gelingen wie über externe Scanning-Tools, mit denen sich prüfen lässt, welche Systeme von außen erreichbar sind.
Der zweite Teil ist ebenso wichtig: Betreiber sollen anschließend bewerten, welche Zugriffe für den Betrieb wirklich erforderlich sind. Was nicht zwingend gebraucht wird, sollte entweder entfernt oder eingeschränkt werden.
Schritt 2: Notwendige Systeme härten
Falls bestimmte Komponenten aus betrieblichen Gründen weiterhin online sein müssen, empfiehlt CISA zusätzliche Schutzmaßnahmen. Dazu gehören unter anderem:
- Ändern von Standardkennwörtern für relevante Systeme und Zugänge.
- Einspielen von Sicherheitsupdates, sofern dies im Betriebsrahmen möglich ist.
- Remotezugriff absichern, indem der Zugriff über sichere Gateways oder Jump Hosts erfolgt.
- Multi-Faktor-Authentifizierung aktivieren, um Zugriffe besser abzusichern.
- Verkehr kontinuierlich überwachen, um Auffälligkeiten früh zu erkennen.
Gerade die Kombination aus Härtung und kontrolliertem Zugriff zielt darauf ab, dass Angreifer nicht einfach „durch das Internet“ an industrielle Komponenten gelangen.
Besonderer Fokus: PLCs über Mobilfunk und öffentliches Internet
CISA weist in den Guidance-Details besonders auf das Risiko hin, PLCs und andere industrielle Steuerungssysteme (ICS) über zelluläre Modems oder das öffentliche Internet erreichbar zu lassen. Laut den vorliegenden Informationen hat genau diese Form der Exponierung das beobachtete schädliche Vorgehen gegen Wassersysteme ermöglicht.
Für Betreiber bedeutet das: Nicht nur die IT-Server, sondern auch Steuerungs- und Automationskomponenten müssen in die Sicherheitsstrategie einbezogen werden. Wenn OT-Komponenten über Fernzugriffskanäle angebunden sind, muss die Absicherung entsprechend streng ausfallen.
Regelmäßige Neubewertung einplanen
Ein weiterer Punkt in CISA’s Empfehlung: Sicherheitszustände sind nicht „einmal erledigt“. Netzwerke ändern sich, Drittsysteme werden angebunden, Fernzugriffe werden erweitert und Schnittstellen kommen dazu. Deshalb rät die Behörde zu regelmäßigen Reassessments, um die Exponierung fortlaufend zu prüfen und zu korrigieren.
Einordnung: Weitere Warnungen aus jüngster Zeit
Die neue Guidance kommt zeitlich kurz nach früheren Warnungen der Behörde im Umfeld von Iran-verbundenen Angriffen auf ICS. CISA hatte dabei auch die Bedeutung von Schutzmaßnahmen für industrielle Umgebungen betont, insbesondere wenn PLCs und ähnliche Komponenten Ziel von Angriffen werden.
Aus der gleichen Richtung stammen auch Hinweise, die in Berichten zu den Risiken von PLC-Zugriffen und Angriffen auf kritische US-Sektoren aufgegriffen wurden. Insgesamt wird deutlich: CISA versucht, Sicherheitsverantwortliche im OT-Umfeld wiederholt für die gleiche Kerngefahr zu sensibilisieren – nämlich für den unkontrollierten Fernzugriff auf Steuerungstechnik.
Fazit: Exponierung senken, OT gezielt absichern
Die Mitteilung von CISA macht klar, dass internet-exponierte Wassersysteme im Juli 2026 in großem Umfang Ziel von böswilligen Aktivitäten waren. Auch wenn die aktuellen Informationen keine gravierenden Störungen belegen, zeigen die Vorfälle, wie schnell OT-Umgebungen durch Erreichbarkeit aus dem Internet gefährdet werden können.
Praktisch sollten Betreiber jetzt mit einer klaren Bestandsaufnahme beginnen, unnötige Internetzugänge entfernen oder einschränken und notwendige Zugänge konsequent härten – inklusive sicherem Remotezugriff, Multi-Faktor-Authentifizierung und laufender Überwachung. Wer die Internetangriffsfläche bei OT fortlaufend überprüft, verbessert seine Resilienz deutlich und reduziert das Risiko zukünftiger Angriffe.
