Siemens und Schneider kamen am 22. Juli dazu

Eine Herstellerliste änderte sich, und niemand berichtete darüber

Am 7. April 2026 veröffentlichte die US-Behörde CISA die Warnung AA26-097A. Sie beschrieb Angriffe auf speicherprogrammierbare Steuerungen, die aus dem Internet erreichbar waren, in den Bereichen Verwaltung, Wasser und Abwasser sowie Energie. Genannt wurden Geräte von Rockwell Automation Allen-Bradley, die beschriebenen Aktivitäten reichten bis in den März zurück. Für einen europäischen Betreiber las sich das wie ein amerikanisches Problem mit amerikanischer Technik.

Am 22. Juli wurde die Warnung aktualisiert. Die Überarbeitung erweiterte die genannten Geräte um Steuerungen von Schneider Electric und Siemens, ergänzte Hinweise zur Erkennung manipulierter Codebausteine und veröffentlichte neue Indikatoren für den Zeitraum September 2025 bis Juli 2026. Vier Tage später, zwischen dem 26. und dem 27. Juli, traf ein koordinierter Angriff mehr als dreißig kommunale Wassersysteme in Minnesota.

Seither drehen sich alle Schlagzeilen um den Angriff selbst oder um die Frage, wer dahintersteckt. Der Teil, der über den Atlantik reicht, ist die Herstellerliste - und die hat sich vor neun Tagen geändert.

Die drei Steuerungen, die jetzt genannt werden

Die Warnung nennt Rockwell Automation CompactLogix und Micro850, Schneider Electric Modicon M340 sowie die Baureihe Siemens S7-1200. Zwei dieser drei Familien sind die Standardausstattung eines europäischen Anlagenraums. Die installierte Basis von Rockwell liegt schwerpunktmäßig in Nordamerika; Siemens und Schneider sind europäische Hersteller, deren Steuerungen europäische Wasseraufbereitung, Abwasserbehandlung, Lebensmittelproduktion und allgemeine Fertigung betreiben.

Die Änderung beschreibt keinen Produktfehler. Nirgends ist von einer neu offengelegten Schwachstelle in einem Produkt von Siemens oder Schneider die Rede. Beschrieben werden Steuerungen, die aus dem öffentlichen Internet erreichbar sind, mit Standardpasswörtern oder unveränderten Zugangsdaten geschützt, deren Programme anschließend verändert wurden. Diese Angriffsfläche ist eine Konfigurations- und Zugriffsentscheidung, meist vor Jahren von einem Integrator getroffen und seither nicht überprüft.

Der Unterschied entscheidet darüber, wer die Behebung schuldet. Eine Produktschwachstelle ist ein Patch, auf den man wartet. Eine erreichbare Steuerung ist ein Anlagenverzeichnis und ein Fernzugriffsweg, und beides gehört Ihnen.

Die Technik wanderte vom Passwort in die Logik

2023 und 2024 traf es denselben Sektor über Steuerungen der Unitronics-Vision-Reihe: Mindestens 75 Geräte in den Vereinigten Staaten, Israel, dem Vereinigten Königreich und Irland wurden über unveränderte Standardpasswörter übernommen. Das war ein Zugangsproblem mit einer Zugangsantwort. Die Kampagne von 2026 arbeitet auf einer anderen Ebene.

Die Warnung beschreibt drei aufeinanderfolgende Schritte. Mit Engineering-Software der Hersteller, betrieben auf fremd gehosteter Infrastruktur, wurden SPS-Projektdateien aus den Umgebungen der Betroffenen herausgezogen. Anschließend wurden Add-On Instructions manipuliert, also die wiederverwendbaren Codebausteine in diesen Programmen, um Sicherheitsabschaltungen und Alarme abzuschalten. Zuletzt wurden die Daten hinter den HMI- und SCADA-Anzeigen verändert, sodass Anlagen außerhalb sicherer Grenzen gefahren werden konnten, ohne dass der Bedienbildschirm etwas Auffälliges zeigte.

Daneben stehen die gröberen Schritte: geänderte Administratorpasswörter, die Betreiber aus ihren eigenen Steuerungen aussperren, und veränderte IP-Einstellungen, die eine Steuerung von dem Netz trennen, das sie überwacht. Eine Passwortrichtlinie beantwortet den Angriff von 2023. Für einen manipulierten Alarm hat keine Passwortrichtlinie eine Antwort.

Zwei Stunden in Braham sind eine Personalfrage

Braham in Minnesota hat rund 1.700 Einwohner. Der Angriff legte die rechnergestützte Steuerung des Brunnens und des Wasserwerks lahm, und die Mannschaft hatte den Betrieb binnen zwei Stunden wieder im Griff. Auch Plymouth, South St Paul und Maple Plain meldeten Vorfälle; insgesamt waren am 26. und 27. Juli mehr als dreißig Kommunen betroffen.

Was Braham in zwei Stunden zurückbrachte, waren Menschen, die die Anlage von Hand fahren konnten. Das ist eine Personalposition und keine Position im Sicherheitsbudget, und sie wird am häufigsten mit dem Argument gekürzt, der Prozess laufe ja automatisiert. In den bisher gemeldeten Vorfällen war die Trinkwasserqualität nicht betroffen, wobei die CISA-Meldung vom 30. Juli Abkochgebote und langen Handbetrieb zu den Folgen zählt, die diese Aktivität verursacht hat.

Bei der Zuordnung ist nichts entschieden. Keine Bundes- oder Landesbehörde hat die Angriffe in Minnesota förmlich zugeordnet. Ein Memo des WaterISAC verweist auf das Minnesota Fusion Center, wonach die Aktivität zu der von CISA beschriebenen Kampagne passt, ohne direkte Belege vorzulegen; das Vorgehen ähnelt dem von CyberAv3ngers, einer Gruppe, die förmlich dem Cyber-Electronic Command der iranischen Revolutionsgarden zugeordnet wird; US-Nachrichtendienste sollen den Iran verdächtigen; der Präsident hat dem öffentlich widersprochen. Keine dieser Positionen ändert eine einzige Maßnahme, die Sie ergreifen würden.

Drei Fragen, die ohne Zuordnung auskommen

Erstens: Lassen Sie sich von Ihrem Integrator jeden Fernzugriffsweg auf eine Steuerung nennen, und geben Sie sich nicht mit dem Netzplan zufrieden. Der Plan dokumentiert den Entwurf; die Angriffsfläche entsteht meist aus dem, was später für einen Wartungsvertrag, eine Inbetriebnahme oder eine Rufbereitschaft hinzukam. Die CISA-Meldung vom 30. Juli, gemeinsam mit der Umweltbehörde EPA und dem FBI herausgegeben, verlangt genau drei Dinge: Steuerungen aus dem öffentlichen Internet nehmen und über VPN oder Gateway erreichen, Passwortschutz aktivieren und jedes Standardpasswort ändern, und die zugelassenen Adressen auf eine Positivliste setzen.

Zweitens: Können Sie das heutige Steuerungsprogramm ausgeben und mit der zuletzt freigegebenen Fassung vergleichen, einschließlich der Add-On Instructions? Wenn die ehrliche Antwort lautet, dass das aktuelle Programm nur auf der Steuerung selbst existiert, dann gibt es für die beschriebene Manipulation in Ihrer Anlage überhaupt keinen Erkennungsweg. Die wirksame Maßnahme ist ein signierter, versionierter Nachweis darüber, wie die Logik aussehen soll, und die meisten Standorte können ihn nicht vorlegen.

Drittens: Weist Ihr Alarmtest nach, dass der Alarm aus dem Prozess ausgelöst wird, oder nur, dass die Anzeige ihn darstellen kann? Das reicht über die Anlage hinaus. Wasser und Abwasser sind unter NIS2 wesentliche Sektoren nach Anhang I, ein erheblicher Vorfall trägt also eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden, wobei die Geschäftsleitung für die Maßnahmen einsteht. In Deutschland läuft diese Meldung beim BSI auf, und die Wasserversorgung zählt seit Langem zu den KRITIS-Sektoren. Die Frist beginnt mit Ihrer Kenntnis, und eine Technik, die zugleich die Sicherheitslogik und den Bildschirm verändert, der darüber berichtet, ist eine Technik, die genau diesen Moment der Kenntnis hinauszögern soll.

Weiterlesen: CISA setzt erstmals eine KI-Agentenplattform auf die Patchpflicht  |  Der SharePoint-Patch, den Sie im Mai übersprungen haben, ist jetzt dringend