Am 26. und 27. Juli 2026 wurde in Minnesota eine Reihe von Angriffen auf operative Technik (OT) bekannt, die über 30 kommunale Wasser- und teilweise Abwassersysteme betroffen haben sollen. Die Behörden sprechen von einem koordinierter Cyberangriff, weil mehrere Vorfälle zeitlich zusammenfielen und gemeinsame Merkmale bei Zugriffsmethoden und Zielstrukturen zeigten. Eine landesweite Reaktion auf Landes- und Behördenseite wurde gestartet.
Für einzelne Orte wurden unterschiedliche Auswirkungen beschrieben: von Ausfällen einer Anlage über Probleme bei der Kommunikation bis hin zu Störungen automatisierter Steuerungen. Bis heute wurden die Täter nicht öffentlich benannt, ebenso wenig wie die genaue Schwachstelle, betroffene Produkte oder ob Daten abgezogen wurden.
Mehr als 30 Wasser- und Abwassersysteme betroffen
Laut Minnesota IT Services (MNIT) bestätigte man am 28. Juli, dass mehr als 30 Wasser- und damit verbundene Systeme im Bundesstaat betroffen waren. Gleichzeitig betonte MNIT, dass Art und Umfang der Störungen je System variierten und die Untersuchung noch klärt, wie viele Standorte echte operative Unterbrechungen erlebten.
MNIT beschrieb außerdem gemeinsame Eigenschaften der Ereignisse. Dazu zählen unter anderem Zeitpunkt und Zugriffsart sowie die Art der angegriffenen Infrastruktur. Genau diese Muster stützten die Einschätzung, dass es sich um eine abgestimmte Aktion handelt.
Lokale Beispiele: Ausfall, Kommunikationsprobleme und manuelle Weiterführung
Mehrere Städte und Gemeinden machten öffentliche Angaben zu den Auswirkungen. Der konkrete Verlauf war nicht überall gleich.
- Braham: Die Wasseranlage ging offline. Die Stadt bat Einwohnerinnen und Einwohner, die Wassernutzung vorübergehend zu minimieren, bis die Behandlung wieder stabil lief.
- Plymouth: Es gab Berichte über Probleme mit der zellularen Kommunikation an zwei Wassertürmen sowie an mehreren Abwasser-Hebeanlagen. Trotzdem konnte der Betrieb laut Angaben weiterhin manuell aufrechterhalten werden.
- South St. Paul: Die Versorgung blieb funktionsfähig, auch nachdem automatisierte Steuerungsfunktionen beeinträchtigt wurden.
- Maple Plain: Auch hier blieben die Dienste bestehen, obwohl die automatisierten Utility-Controls betroffen waren. Zur Unterstützung der lokalen Reaktion wurde zudem ein lokaler Ausnahmezustand ausgerufen.
Die Schilderungen zeigen vor allem eines: Selbst wenn ein Angriff ähnlich strukturiert war, konnte er je Standort unterschiedlich starke operative Effekte nach sich ziehen.
Keine Hinweise auf öffentliche Änderungen der Trinkwasser-Nutzung
Nach Angaben von MNIT war man bis zum 28. Juli nicht darüber informiert, dass aktive Anfragen an die Bevölkerung gerichtet wurden, das Trinkwasserverhalten grundlegend zu ändern. Das heißt nicht, dass keine Sicherheits- oder Betriebshinweise existierten, aber die Behörden sahen zum damaligen Zeitpunkt offenbar keinen allgemeinen Aufruf zur Veränderung der Nutzung.
Wichtig ist außerdem: Offene Informationen zu den technischen Einzelheiten lagen öffentlich zunächst nicht vor. MNIT nannte weder die Identität der Angreifer noch die betroffenen Produkte oder die ausgenutzte Schwachstelle.
Ermittlungen laufen: Ziel ist Eindämmung, Analyse und Wiederherstellung
MNIT erklärte, dass die Antwort auf die Vorfälle mehrgleisig lief: Eindämmung (Containment), Untersuchung (Investigation), Wiederherstellung (Recovery) sowie der Austausch von Bedrohungsinformationen. Dabei sollten nicht nur Landesstellen, sondern auch Bundesbehörden und betroffene Versorger eingebunden werden.
Als zentrale Partner wurden unter anderem das Cybersecurity and Infrastructure Security Agency (CISA), die Environmental Protection Agency (EPA) und das Federal Bureau of Investigation (FBI) genannt – außerdem die jeweiligen Versorgungsunternehmen.
John Israel, Assistant Commissioner und Chief Information Security Officer von Minnesota, ordnete die Lage in den Kontext kritischer Infrastrukturen ein: Bei Angriffen dieser Kategorie sei eine koordinierte Reaktion über Behörden hinweg notwendig, um die Lage unter Kontrolle zu bringen und Folgeschäden zu verhindern.
Warum die Behörden von koordinierten Merkmalen ausgehen
MNIT sagte, dass die Ähnlichkeiten zwischen den Vorfällen mit beobachteten Mustern übereinstimmen, die Bundespartner in anderen Bundesstaaten und Branchen registriert hatten. Gleichzeitig konnte man noch nicht abschließend festlegen, ob ein einzelner Akteur für alle Ereignisse verantwortlich war.
Darüber hinaus wurden laut MNIT auch Unterschiede nicht komplett ausgeblendet: Die Untersuchung fokussiert derzeit, wie die Systeme genau erreicht wurden. Während der Analyse wurden jedoch noch keine konkreten technischen Details öffentlich geteilt. Auch die Zuschreibung zu einer Gruppe (Attribution) sei noch nicht final.
Vorwarnungen zu PLC-Angriffen: Kontext aus einer US-weiten Kampagne
Ein wichtiger Hintergrund: Vier Tage vor den Ereignissen in Minnesota erweiterten US-Behörden ihre Warnung vor Angriffen auf internetseitig erreichbare Steuerungen, insbesondere programmable logic controllers (PLCs). Dabei ging es um PLCs von mehreren Herstellern, die in der OT-Welt häufig eingesetzt werden.
In der US-Warnung wurde beschrieben, dass Angreifer unter anderem:
- Projektdateien exfiltrieren und verändern,
- anzeigen, die über Mensch-Maschine-Schnittstellen (HMIs) und Leittechniksysteme (SCADA) sichtbar sind, manipulieren,
- Logik zum Abschalten und Alarmieren gezielt deaktivieren.
Ob Minnesota direkt mit dieser breiteren Kampagne in Verbindung stand, wurde von den zuständigen Stellen nicht öffentlich bestätigt.
FBI und EPA: Angriffe auf internetseitige MicroLogix-PLCs in mehreren Staaten
Zusätzlich zu den Minnesota-Vorfällen veröffentlichten das FBI und die EPA am 30. Juli eine gesonderte Warnung. Demnach meldeten Utilities in mindestens sieben Staaten seit dem 27. Juli Vorfälle, die internetzugängliche Rockwell Automation/Allen-Bradley MicroLogix 1100 und MicroLogix 1400 PLCs betrafen.
Das FBI sagte, es habe die Aktivität nur in Bezug auf diese Modelle beobachtet. Für Betreiber anderer PLC-Marken wurde jedoch empfohlen, ähnliche Schutzmaßnahmen zu übernehmen.
Laut Warnung änderten die Angreifer remote IP-Adressen und Passwörter der Steuerungen. Das führte in einigen Fällen zum Verlust von Überwachung und Kontrolle. Berichtet wurden zudem Qualitäts- und Betriebsverschlechterungen, etwa Druckprobleme oder Überschwemmungen. In mindestens einem Fall sollen außerdem geänderte PLC-Projektdateien festgestellt worden sein, nachdem Leiterlogik-Unstimmigkeiten über mehrere Standorte hinweg erkannt wurden.
Defensive Empfehlungen: Protokollieren, Zugriffe begrenzen, Projektdateien prüfen
Die zuständigen Stellen verwiesen auf sectorweite Abwehrmaßnahmen. Für Betreiber gab es konkrete Hinweise, unter anderem:
- Zellulare Modem-Verbindungen protokollieren,
- den Zugriff auf Steuerungen auf autorisierte Systeme beschränken,
- laufende Projektdateien auf nicht autorisierte Änderungen prüfen,
- beim Wiederherstellen Backups validieren,
- bei Steuerungen mit physischem Modus-Schalter den Betrieb (Run Mode) erst nach Prüfung der Projektdateien aktivieren.
Auch in Minnesota blieb die technische Konkretisierung vorerst begrenzt: Die Behörden nannten öffentlich keine bestimmte PLC-Familie, keinen exakten Zugriffspfad und keine einzelne ausgenutzte Schwachstelle.
Stand der Lage: Untersuchung weiterhin aktiv
Zum Zeitpunkt des Updates am 29. Juli 2026 erklärte MNIT, dass die Untersuchung weiter läuft und die Einsatzkräfte weiterhin prüfen, welche Systeme wirklich betroffen waren. Gleichzeitig wurden in späteren Aktualisierungen Kommentare von MNIT und ergänzende Informationen aus der Sicherheitsforschung berücksichtigt.
Während die Behörden die Lage in Minnesota weiter aufarbeiten, bleibt die zentrale Botschaft klar: Ein koordinierter Cyberangriff auf kritische Infrastruktur kann die Betriebsfähigkeit einzelner Anlagen spürbar beeinträchtigen – und macht eine schnelle, abgestimmte Reaktion über viele Stellen hinweg erforderlich.
Fazit: Koordination und OT-Schutz sind jetzt entscheidend
Der Vorfall in Minnesota zeigt, wie empfindlich Wasser- und Abwassersysteme gegenüber Störungen aus dem Cyberraum sein können. Die beschriebenen Effekte reichen von vollständigen Anlagenstillständen bis zu Kommunikations- und Automatisierungsproblemen. Weil Art und Umfang zwischen den Standorten unterschiedlich ausfielen, wird die Genauigkeit der technischen Ursachenaufklärung umso wichtiger.
Für Betreiber kritischer Infrastrukturen unterstreicht die Situation, wie entscheidend proaktive OT-Sicherheitsmaßnahmen sind – von Zugangsbeschränkungen über das Prüfen von Projektdateien bis hin zu belastbaren Wiederherstellungsprozessen. Solange Attribution und technische Details nicht vollständig geklärt sind, sollten betroffene Organisationen sich an den veröffentlichten Abwehrhinweisen orientieren und ihre Sicherheitslage systematisch nachziehen.
Quelle: https://thehackernews.com/2026/07/coordinated-cyberattack-targets-30.html
