Am 19. August 2026 veröffentlichten die National Security Agency, die CISA, das FBI, das Energieministerium und die Umweltschutzbehörde (EPA) eine gemeinsame Cybersicherheitswarnung ( AA26-231A) zu aktiven Bedrohungsaktivitäten gegen speicherprogrammierbare Steuerungen (SPS) der Siemens S7-Serie. Die Einbeziehung der EPA deutet darauf hin, dass Wasserversorgungsunternehmen eine der Hauptzielgruppen dieser Warnung sind.

On-Demand-Webinar: Was CI Fortify über Kommunikation verschweigt

Man sollte genau darauf achten, was in den Berichten steht, denn die Genauigkeit bestimmt, welche Maßnahmen die Betreiber als Nächstes ergreifen sollten. Die verfassenden Behörden beschreiben die Aufklärung und die Entwicklung von Fähigkeiten und bewerten die Aktivität als anhaltende Aufklärung, die der Vorbereitung zukünftiger operativer Auswirkungen dient. Sie dokumentieren Lese- und Schreibzugriff auf den SPS-Speicher, Konfigurationsdaten und die Kontaktplanlogik über das S7comm-Protokoll. Sie berichten nicht von einem Ausfall des Dienstes. Kein Energieversorger wird darüber informiert, dass er die Kontrolle über einen Prozess bereits verloren hat. Die Behörden weisen zudem darauf hin, dass die Angriffe auf SPSen nicht auf Siemens beschränkt sind und dass alle SPS-Betreiber die entsprechenden Schutzmaßnahmen ergreifen sollten.

Die Erkenntnis, die die Rechnung verändert

Das aus operativer Sicht wichtige Detail ist die Art und Weise, wie das Tool erstellt wird. Laut AA26-231A kombinieren Angreifer öffentlich verfügbare Bibliotheken für die industrielle Automatisierung, insbesondere snap7.dll und python-snap7, mit Hilfe von „ KI “-Skripten, um maßgeschneiderte Tools zu erstellen, die legitime OT-Überwachungssoftware imitieren. Die Behörden gehen davon aus, dass dies den technischen Aufwand und die Zeit, die für die Entwicklung funktionsfähiger ICS-Exploit-Skripte erforderlich sind, drastisch reduziert. Diese Aktivität wird der MITRE ATT&CK-Technik T1588.007, „Obtain Capabilities: Artificial Intelligence“, zugeordnet .

Lesen Sie dazu auch den Abschnitt über die Erkundungsmethode: kommerzielle Internet-Scan-Dienste, die dazu dienen, exponierte oder unzureichend segmentierte Controller aufzuspüren. Zusammen beschreiben diese beiden Erkenntnisse ein Angriffsmodell, das eher auf der Exposition als auf den Folgen basiert.

Auswirkungen auf die risikobasierte Priorisierung

In den meisten Branchenleitfäden und Risikoregistern für Versorgungsunternehmen wird davon ausgegangen, dass das Interesse der Angreifer proportional zur Tragweite eines erfolgreichen Angriffs ist. Die Annahme, dass kleinere Versorgungsunternehmen weniger Aufmerksamkeit auf sich ziehen, hat sich vor allem deshalb gehalten, weil der Branche klare Belege fehlten, um diese These zu widerlegen.

AA26-231A liefert den Beweis dafür. Wenn gefährdete Ressourcen automatisch ermittelt und Exploit-Skripte auf Abruf generiert werden können, ist das Hinzufügen eines weiteren Dienstprogramms zur Zielliste nahezu kostenfrei. Ein Dienstprogramm, das vierzigtausend Menschen versorgt und von einem dreiköpfigen Betriebsteam betreut wird, ist genauso leicht aufzuspüren wie ein Chemiewerk, in dem weniger Personal zur Verfügung steht, um auf Angriffe zu reagieren.

Die in den Leitlinien beschriebene Sicherheitslücke dürfte jedem bekannt sein, der schon einmal ein kleines System geprüft hat: Steuerungen, auf die von nicht vertrauenswürdigen Netzwerken aus zugegriffen werden kann, standardmäßige oder nur minimal konfigurierte Authentifizierung sowie Drittanbieter, die über Fernzugriff verfügen, von dem der Anlagenbetreiber möglicherweise gar nichts weiß. Die Behörden weisen ausdrücklich darauf hin und warnen, dass Anlagenbetreiber möglicherweise nicht erkennen, dass ihre Systeme über ihre Dienstleister angreifbar sind.

Die Liste der Abhilfemaßnahmen ist ein Koordinationsproblem

Die sieben Maßnahmen zur Absicherung sind relativ unkompliziert. Erfassen Sie alle S7-Steuerungen und vergleichen Sie deren Firmware mit einer als fehlerfrei bekannten Kopie. Installieren Sie Patches, wobei Geräte mit Internetanbindung und solche in der DMZ Vorrang haben. Blockieren Sie den TCP-Port 102 am Netzwerkrand und überprüfen Sie die Segmentierung. Beschränken Sie den Programmierzugriff auf autorisierte Engineering-Arbeitsplätze. Aktivieren Sie den Passwortschutz für Geräte sowie die Schutzstufen. Deaktivieren Sie nicht genutzte Protokolle und Webserver. Wenden Sie sich an Siemens, um modellspezifische Anleitungen zu erhalten.

Die Bestätigung, dass die Arbeiten tatsächlich durchgeführt wurden, ist ein anderes Problem. Die Leitlinien weisen Organisationen, die auf Systemintegratoren oder Managed-Service-Anbieter zurückgreifen, an, die Empfehlung weiterzugeben und deren Umsetzung zu verlangen. Das Dokument schließt mit der Aufforderung, die Reaktion zwischen den Teams für Sicherheit, Technik, Geschäftsleitung, Anlagenbetrieb und Lieferantenunterstützung zu koordinieren. Dabei handelt es sich um eine Anforderung zur Rechenschaftspflicht, die interne Rollen und externe Parteien unter Zeitdruck umfasst – und das in Organisationen, die häufig über keine einheitliche, verbindliche Liste verfügen, aus der hervorgeht, wer für welchen Controller verantwortlich ist.

Die Herausforderung besteht selten darin, die Arbeit zu erledigen. Vielmehr geht es darum, Wochen später nachweisen zu können, welche Maßnahmen auf welchen Geräten und von wem ergriffen wurden. Aufsichtsbehörden, Vorstände und die für die Nachbetrachtung zuständigen Stellen werden erwarten, dass diese Aufzeichnungen vorliegen.

Sieben Maßnahmen zur Risikominderung, eine Frist und ein Systemintegrator, den Sie nicht beschäftigen. Die technischen Möglichkeiten sind begrenzt. Die Verantwortlichkeit hingegen nicht – und genau hier könnte ein kleines Versorgungsunternehmen die Chance verpassen.

Ein konkreterer Aspekt des Dialoggesprächs

Die Empfehlung wirft zudem eine operative Frage auf. Verfügt ein Akteur in einer Umgebung über Lesezugriff auf den SPS-Speicher und die Konfiguration, geht man bei einer Untersuchung davon aus, dass Teile dieser Umgebung für ihn einsehbar sind. Die interne Diskussion darüber, was festgestellt wurde, welche Geräte gefährdet sind und was sich ändern wird, sollte nicht auf derselben Infrastruktur stattfinden, die gerade untersucht wird. Unternehmen sollten prüfen, ob Besprechungen zur Reaktion auf den Vorfall auf derselben Infrastruktur stattfinden sollten, die gerade untersucht wird. Kommunikationswerkzeuge beheben zwar nicht direkt Schwachstellen in SPSen, können jedoch die Koordination der Reaktion und die Nachvollziehbarkeit unterstützen.

In welchem Zusammenhang dies mit der Erkennung steht

AA26-231A empfiehlt eine ICS-konforme Intrusion-Detection und enthält spezifische Suchkriterien, darunter anomale S7comm-Aktivitäten an Port 102 außerhalb der Wartungsfenster, sequenzielles Scan-Verhalten sowie Python-Prozesse, die Snap7-Bibliotheken auf Engineering-Workstations importieren. Die Erkennung ist eine andere betriebliche Anforderung als die Reaktion. Bei der Erkennung werden Aktivitäten identifiziert. Die Koordination bestimmt, ob Reaktionsmaßnahmen ausgeführt, nachverfolgt und überprüft werden können.

Bei vielen Versorgungsunternehmen wird diese Ebene der Rechenschaftspflicht über eine spezielle Plattform für Krisenkommunikation und Störungsbewältigung verwaltet. BlackBerry^® AtHoc^® übernimmt diese zweite Ebene: strukturierte Benachrichtigungen mit Empfangsbestätigung und lückenloser Nachverfolgbarkeit über interne Rollen und beauftragte Dienstleister hinweg, wodurch ein nachprüfbares Protokoll darüber entsteht, wer was wann bestätigt hat. Wenn ein Kontinuitätsszenario den Ausfall externer Verbindungen einbezieht, hängt diese Funktion vom Bereitstellungsmodell ab; On-Premise- und Hybrid-Optionen unterstützen sie, und die Plattform ist standardmäßig auf „Cloud-First“ ausgelegt. BlackBerry^® SecuSUITE^® bietet den zertifizierten Out-of-Band-Kanal für Sprache und Nachrichtenübermittlung für die oben beschriebene Kommunikation. Beide Lösungen decken die in der Schlussfolgerung der Empfehlung hervorgehobene Koordinierungsebene ab.

Der Teil, den es wert ist, weitergeführt zu werden

AA26-231A ist kurz, konkret und beantwortet die gestellten Fragen, und die sieben Abhilfemaßnahmen sind genau die richtigen. Die Betreiber, die den darin beschriebenen Aktivitäten am stärksten ausgesetzt sind, sind gleichzeitig diejenigen, die am wenigsten in der Lage sind, nachzuweisen, dass sie diese umgesetzt haben. Es ist unwahrscheinlich, dass sich der nächste Beratungszyklus, das nächste Tarifverfahren oder die nächste staatliche Untersuchung auf Absichten konzentrieren wird. Der Fokus wird vielmehr darauf liegen, was nachgewiesen werden kann.

Weiterführende Literatur:

• Das „Water Watch Center“ macht Lücken bei der Cyber-Reaktionsfähigkeit der Wasserversorger deutlich

• Warum die Sicherheitsrichtlinien für CI bei kleinen Versorgungsunternehmen immer wieder versagen

• Von einer Kompromittierung ausgehen – und was dann? Über den Slogan hinaus zu operativen Anforderungen

• Was CI Fortify von Versorgungsunternehmen verlangt – und die Funktion, die es nie erwähnt

• Wenn die Handys ausfallen: Die Koordinationslücke, mit der niemand rechnet

• Lehren aus den Angriffen auf Wasserversorgungsunternehmen im Juli: Was die gemeinsame Empfehlung den Betreibern für das weitere Vorgehen rät

• Warum die Planung der OT-Isolierung eine lückenlose Kommunikation erfordert