Eine US-Warnung nennt eine deutsche Steuerung

CISA, das FBI und die NSA veröffentlichten am 20. August eine gemeinsame Warnung, wonach mutmaßlich iranische Hacker künstliche Intelligenz nutzen, um Exploit-Skripte gegen speicherprogrammierbare Steuerungen vom Typ Siemens S7 zu erzeugen.

Die Warnung erfasst praktisch jede mit dem Internet verbundene S7-Steuerung, also Geräte, die in Wasserwerken, Energienetzen und Fabriken laufen, und die Behörden bestätigten Eindringungen in Minnesota, Michigan, Arkansas, Georgia und New Jersey.

Künstliche Intelligenz machte aus öffentlichen Handbüchern Exploit-Code

Die Behörden erklärten, die Angreifer hätten ihren Exploit-Code mit KI-Modellen erzeugt, die mit öffentlich verfügbaren Informationen über die S7-Steuerungen gefüttert wurden, nicht mit gestohlenen Zugangsdaten oder internem Wissen über die Anlagen.

Dieses Detail wiegt schwerer als der Exploit selbst: Eine SPS zu manipulieren erforderte bisher spezialisierte ICS-Ausbildung, heute genügen dieselben öffentlichen Handbücher, die jeder S7-Kunde erhält, gefüttert in ein Modell, das den Angriff schreibt.

Dieselbe Steuerung läuft in Wasser- und Energieanlagen in ganz Europa

Siemens entwickelt und baut die S7-Familie in Deutschland, und die Baureihe steckt mindestens ebenso häufig in EU-Wasserwerken, Energienetzen und Fabrikhallen wie in den Vereinigten Staaten.

Bis zum Redaktionsschluss hatte keine EU- oder britische Behörde eine entsprechende Warnung veröffentlicht, sodass europäische Betreiber eine US-Warnung über Geräte lesen, die im eigenen Netzwerk stehen, ohne dass sie direkt adressiert wurden.

NIS2 legt die Haftung auf den Schreibtisch des Betreibers

Unter NIS2 liegt die Haftung für eine ungepatchte, aus dem Internet erreichbare SPS zunehmend beim Betreiber, der sie einsetzt, nicht bei Siemens als dem Hersteller, der sie gebaut hat.

Ein Betreiber in der EU oder in Großbritannien, der S7-Steuerungen in einem aus dem Internet erreichbaren Netzwerk betreibt, sollte diese Warnung als ein Problem von heute behandeln und nicht als ein rein amerikanisches, denn der KI-generierte Exploit-Weg braucht nur die Dokumentation, die die eigenen Steuerungen ohnehin mitliefern.

Weiterlesen: Deutschlands NIS2-Schonfrist ist vorbei  |  Gunra-Ransomware Nutzt Fortinet-Lücken von 2025