%3Aquality(100)&w=640&q=75){kind=logo}
ASIO: Feinde haben bereits Zugang zu Australiens kritischer Infrastruktur
STATUS: Aktive Kompromittierung SCHWERWIEGENDKEIT: 8/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
29. Juli 2026
·Blog
·Sichere Kommunikation
%3Aquality(100)&w=3840&q=75)
Der ASIO warnt davor, dass ausländische Gegner bereits in Australiens kritische Infrastruktur eingedrungen sind. Berichten zufolge haben Angreifer Netzwerke kompromittiert, Zugangsdaten von Sicherheitspersonal gestohlen und sich für mögliche zukünftige Sabotageakte positioniert – wodurch aus dem Sicherheitsmotto „Assume Breach“ (von einem Einbruch ausgehen) eine zwingende Notwendigkeit für die nationale Sicherheit geworden ist.¹ ²
Was dieser Angriff bewirkt – und warum er funktioniert
Positionierung in Friedenszeiten, keine opportunistische Cyberkriminalität. ASIO-Generaldirektor Mike Burgess erklärte im Rahmen der jährlichen Bedrohungsanalyse 2026 der Behörde, dass ausländische Gegner einen Anbieter kritischer Infrastruktur kompromittiert, das Netzwerk kartiert, sich den Zugriff gesichert und Anmeldedaten aktiver Nutzer erlangt hätten – darunter auch die für die Verteidigung zuständigen IT-Fachkräfte.¹ Dies unterscheidet sich von einem typischen Angriff, da das Ziel nicht Diebstahl, Erpressung oder eine unmittelbare Störung der Öffentlichkeit war. Der Wert lag in der stillen Kontrolle: genügend Wissen über Identitäten, Zugänge und Betriebsabläufe, um später, zu einem vom Angreifer gewählten Zeitpunkt, wesentliche Dienste zu sabotieren.¹
Das operative Risiko besteht unmittelbar, selbst wenn die Störung erst später eintritt. Sobald Angreifer über gültige Zugangsdaten verfügen und die Umgebung kennen, können sie sich in den normalen Betrieb einfügen, die Sichtbarkeit der Verteidiger testen, ruhende Einfallstore aufrechterhalten und ermitteln, welche Systeme bei einer Deaktivierung oder Manipulation die größten realen Auswirkungen hätten.² Für Betreiber in den Bereichen Energie, Telekommunikation, Verkehr und öffentliche Verwaltung wird der Cyberzugang in dieser Situation nach einer Kompromittierung zu einem Problem der Widerstandsfähigkeit: Ausfälle, verzögerte Notfallreaktionen, der Verlust vertrauenswürdiger Kommunikationswege, kaskadierende Dienstausfälle und ein Verlust des öffentlichen Vertrauens sind die Folgen – nicht nur die Offenlegung von Daten.²
Aus diesem Grund verändert der Vorfall die Frage zur Verteidigung. Das alte Modell fragt, ob Perimeterkontrollen Angreifer fernhalten können. Dieser Fall geht von einer gefährlicheren Realität aus: Gegner könnten sich bereits im Inneren befinden, legitime Identitäten nutzen und auf den Moment warten, in dem Störungen maximalen Druck erzeugen.¹ John Hultquist, Chefanalyst bei Google Threat Intelligence, bekräftigte denselben Punkt: Wirksame Angriffe auf kritische Infrastrukturen können jahrelange Vorarbeit erfordern, was bedeutet, dass die Betreiber in Friedenszeiten faktisch den Konflikt von morgen bekämpfen.² ³
Was die Angreifer erbeutet haben – und was sie damit anstellen können
Angreifergewinn | Was es ermöglicht | Operative Konsequenz | Risiko nach dem Kompromiss |
Aktive Benutzeranmeldedaten¹ | Sie geben sich als legitime Benutzer aus, greifen auf interne Systeme zu und umgehen die für Außenstehende vorgesehenen Sicherheitskontrollen. | Routinemäßige Aktivitäten können böswillige Aktivitäten verschleiern und so die Erkennung verzögern, da die Verteidiger davon ausgehen, dass die Systeme normal funktionieren. | Angreifer können so lange zurückkehren, bis die Anmeldedaten aktualisiert, die Sitzungen ungültig gemacht und die Vertrauensbeziehungen erneut überprüft wurden. |
Zugangsdaten des IT-/Sicherheitspersonals¹ | Greifen Sie auf Verwaltungstools zu, zeigen Sie Sicherheitstelemetriedaten an, ändern Sie Konfigurationen und machen Sie sich mit den Reaktionsprozessen vertraut. | Sicherheitsbeauftragte verlieren möglicherweise den Überblick oder verschwenden Zeit damit, Symptomen nachzugehen, während privilegierte Konten dazu genutzt werden, den Zugriff aufrechtzuerhalten. | Die Bereinigung ist erst dann abgeschlossen, wenn die Workflows für privilegierte Identitäten, Überwachung und Administration unter der Annahme einer Kompromittierung neu aufgebaut wurden. |
Netzwerkdiagramme und Systemkenntnisse¹ | Ermitteln Sie Abhängigkeiten, Knoten mit hoher Auswirkung, Zugriffspfade und Systeme, die den IT-Betrieb mit wesentlichen Diensten verbinden. | Sabotage kann gezielt auf maximale Störungen statt auf zufällige Ausfälle ausgerichtet sein, was das Risiko für Energie-, Telekommunikations-, Verkehrs- und staatliche Dienste erhöht. | Selbst nach der Entfernung der Malware verfügt der Angreifer möglicherweise weiterhin über die erforderlichen Informationen, um erneut in das System einzudringen oder über benachbarte Systeme Angriffe zu starten. |
Dauerhafter Ruhezustand¹ | Halten Sie Ihre Stützpunkte unauffällig aufrecht, bis geopolitische Umstände, Krisensituationen oder operativer Druck eine Störung lohnender machen. | Der Vorfall stellt ein anhaltendes Kontinuitätsrisiko dar und ist kein abgeschlossenes Sicherheitsereignis. | Bei der Resilienzplanung müssen mehrjährige Verweildauer, wiederholte Zugriffsversuche und eine verzögerte Aktivierung berücksichtigt werden. |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Die Perimeter-Abwehr verhindert das Eindringen. | Die Angreifer befinden sich bereits im System und haben sich schon Jahre im Voraus dort positioniert; die Entdeckung kann erst Jahre nach der ersten Kompromittierung erfolgen.¹ | Die kontinuierliche Überwachung UEM erkennt anomales Geräteverhalten nach einer Kompromittierung – nicht nur bei der Registrierung. |
Das Vertrauen in einen Lieferanten ist eine einmalige Beschaffungsentscheidung. | Kompromittierte Zugangsdaten, darunter auch Konten von IT-Mitarbeitern, untergraben das Vertrauen in Anbieter und Infrastruktur.¹ | Die staatlich kontrollierte Infrastruktur und die Schlüsselverwahrung verbleiben im Zuständigkeitsbereich des Kunden; IRAP-zertifiziert für den Einsatz durch die australische Regierung. |
IT- und OT-Sicherheit sind zwei getrennte Themen. | Angriffe auf die Energie-, Telekommunikations- und Verkehrsbranche betreffen auch die Geräte, die die Betriebssysteme steuern.² | Die Durchsetzung UEM und die Überwachung der Einhaltung erstrecken sich auch auf Endpunkte im OT-nahen Bereich. |
Empfohlene Maßnahmen
SOFORT | Suche nach bestehenden Zugriffsmöglichkeiten: Wechseln Sie privilegierte Anmeldedaten regelmäßig aus, überprüfen Sie die Aktivitäten in privilegierten Sitzungen und suchen Sie nach inaktiven Einfallstoren, anstatt auf Warnmeldungen zu warten.¹ |
SOFORT | Führen Sie eine phishing-resistente MFA für IT- und Sicherheitsmitarbeiter ein; der ASIO hat bestätigt, dass die Zugangsdaten von Sicherheitskräften ein aktives Ziel von Datenerfassungsversuchen sind.¹ |
KURZFRISTIG | Erweitern Sie die UEM -Überwachung, soweit dies möglich ist, auf Geräte für das Management kritischer Infrastrukturen, einschließlich Endpunkte im OT-nahen Bereich. |
KURZFRISTIG | Bewerten Sie die Risiken im Zusammenhang mit der Zuständigkeit von Anbietern über den gesamten Infrastruktur-Stack hinweg neu, nicht nur auf der Kommunikationsebene. |
LAUFEND | Beziehen Sie die mehrjährige Verweildauer von Angreifern als Grundannahme in die Planung der Widerstandsfähigkeit und in die Budgets für die Erkennung ein.² |
Position im Bereich „BlackBerry Secure Communications“
Wenn ein nationaler Geheimdienst erklärt, dass sich Gegner bereits seit Jahren in kritischen Infrastrukturen eingenistet haben, stellt sich die Frage der Beschaffung ganz anders dar.¹ Es geht nicht mehr darum, ob „dieser Anbieter einen Sicherheitsverstoß verhindern kann“, sondern darum, ob „dieser Anbieter souveräne Kontrolle und kontinuierliche Compliance nachweisen kann, sobald ein solcher Verstoß bereits eingetreten ist“.
Quellenangaben:
Jahresbericht zur Bedrohungslage 2026 des Generaldirektors für Sicherheit (Australian Security Intelligence Organisation (ASIO), Mike Burgess, Jahresbericht zur Bedrohungslage 2026, 8. Juli).
SIO warnt: Cyberangreifer haben bereits Zugang zu Australiens kritischen Infrastrukturen (iTWire / Kommentar von Google Threat Intelligence, 29. Juni 2026).
Staatliche Akteure haben sich Zugang zu kritischer australischer Infrastruktur verschafft, um diese zu einem Zeitpunkt ihrer Wahl lahmzulegen (The Register, 25. Juni 2026).
ASIO: Feinde haben bereits Zugang zu Australiens kritischer Infrastruktur
STATUS: Aktive Kompromittierung SCHWERWIEGENDKEIT: 8/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
29. Juli 2026
·Blog
·Sichere Kommunikation
Der ASIO warnt davor, dass ausländische Gegner bereits in Australiens kritische Infrastruktur eingedrungen sind. Berichten zufolge haben Angreifer Netzwerke kompromittiert, Zugangsdaten von Sicherheitspersonal gestohlen und sich für mögliche zukünftige Sabotageakte positioniert – wodurch aus dem Sicherheitsmotto „Assume Breach“ (von einem Einbruch ausgehen) eine zwingende Notwendigkeit für die nationale Sicherheit geworden ist.¹ ²
Was dieser Angriff bewirkt – und warum er funktioniert
Positionierung in Friedenszeiten, keine opportunistische Cyberkriminalität. ASIO-Generaldirektor Mike Burgess erklärte im Rahmen der jährlichen Bedrohungsanalyse 2026 der Behörde, dass ausländische Gegner einen Anbieter kritischer Infrastruktur kompromittiert, das Netzwerk kartiert, sich den Zugriff gesichert und Anmeldedaten aktiver Nutzer erlangt hätten – darunter auch die für die Verteidigung zuständigen IT-Fachkräfte.¹ Dies unterscheidet sich von einem typischen Angriff, da das Ziel nicht Diebstahl, Erpressung oder eine unmittelbare Störung der Öffentlichkeit war. Der Wert lag in der stillen Kontrolle: genügend Wissen über Identitäten, Zugänge und Betriebsabläufe, um später, zu einem vom Angreifer gewählten Zeitpunkt, wesentliche Dienste zu sabotieren.¹
Das operative Risiko besteht unmittelbar, selbst wenn die Störung erst später eintritt. Sobald Angreifer über gültige Zugangsdaten verfügen und die Umgebung kennen, können sie sich in den normalen Betrieb einfügen, die Sichtbarkeit der Verteidiger testen, ruhende Einfallstore aufrechterhalten und ermitteln, welche Systeme bei einer Deaktivierung oder Manipulation die größten realen Auswirkungen hätten.² Für Betreiber in den Bereichen Energie, Telekommunikation, Verkehr und öffentliche Verwaltung wird der Cyberzugang in dieser Situation nach einer Kompromittierung zu einem Problem der Widerstandsfähigkeit: Ausfälle, verzögerte Notfallreaktionen, der Verlust vertrauenswürdiger Kommunikationswege, kaskadierende Dienstausfälle und ein Verlust des öffentlichen Vertrauens sind die Folgen – nicht nur die Offenlegung von Daten.²
Aus diesem Grund verändert der Vorfall die Frage zur Verteidigung. Das alte Modell fragt, ob Perimeterkontrollen Angreifer fernhalten können. Dieser Fall geht von einer gefährlicheren Realität aus: Gegner könnten sich bereits im Inneren befinden, legitime Identitäten nutzen und auf den Moment warten, in dem Störungen maximalen Druck erzeugen.¹ John Hultquist, Chefanalyst bei Google Threat Intelligence, bekräftigte denselben Punkt: Wirksame Angriffe auf kritische Infrastrukturen können jahrelange Vorarbeit erfordern, was bedeutet, dass die Betreiber in Friedenszeiten faktisch den Konflikt von morgen bekämpfen.² ³
Was die Angreifer erbeutet haben – und was sie damit anstellen können
Angreifergewinn | Was es ermöglicht | Operative Konsequenz | Risiko nach dem Kompromiss |
Aktive Benutzeranmeldedaten¹ | Sie geben sich als legitime Benutzer aus, greifen auf interne Systeme zu und umgehen die für Außenstehende vorgesehenen Sicherheitskontrollen. | Routinemäßige Aktivitäten können böswillige Aktivitäten verschleiern und so die Erkennung verzögern, da die Verteidiger davon ausgehen, dass die Systeme normal funktionieren. | Angreifer können so lange zurückkehren, bis die Anmeldedaten aktualisiert, die Sitzungen ungültig gemacht und die Vertrauensbeziehungen erneut überprüft wurden. |
Zugangsdaten des IT-/Sicherheitspersonals¹ | Greifen Sie auf Verwaltungstools zu, zeigen Sie Sicherheitstelemetriedaten an, ändern Sie Konfigurationen und machen Sie sich mit den Reaktionsprozessen vertraut. | Sicherheitsbeauftragte verlieren möglicherweise den Überblick oder verschwenden Zeit damit, Symptomen nachzugehen, während privilegierte Konten dazu genutzt werden, den Zugriff aufrechtzuerhalten. | Die Bereinigung ist erst dann abgeschlossen, wenn die Workflows für privilegierte Identitäten, Überwachung und Administration unter der Annahme einer Kompromittierung neu aufgebaut wurden. |
Netzwerkdiagramme und Systemkenntnisse¹ | Ermitteln Sie Abhängigkeiten, Knoten mit hoher Auswirkung, Zugriffspfade und Systeme, die den IT-Betrieb mit wesentlichen Diensten verbinden. | Sabotage kann gezielt auf maximale Störungen statt auf zufällige Ausfälle ausgerichtet sein, was das Risiko für Energie-, Telekommunikations-, Verkehrs- und staatliche Dienste erhöht. | Selbst nach der Entfernung der Malware verfügt der Angreifer möglicherweise weiterhin über die erforderlichen Informationen, um erneut in das System einzudringen oder über benachbarte Systeme Angriffe zu starten. |
Dauerhafter Ruhezustand¹ | Halten Sie Ihre Stützpunkte unauffällig aufrecht, bis geopolitische Umstände, Krisensituationen oder operativer Druck eine Störung lohnender machen. | Der Vorfall stellt ein anhaltendes Kontinuitätsrisiko dar und ist kein abgeschlossenes Sicherheitsereignis. | Bei der Resilienzplanung müssen mehrjährige Verweildauer, wiederholte Zugriffsversuche und eine verzögerte Aktivierung berücksichtigt werden. |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Die Perimeter-Abwehr verhindert das Eindringen. | Die Angreifer befinden sich bereits im System und haben sich schon Jahre im Voraus dort positioniert; die Entdeckung kann erst Jahre nach der ersten Kompromittierung erfolgen.¹ | Die kontinuierliche Überwachung UEM erkennt anomales Geräteverhalten nach einer Kompromittierung – nicht nur bei der Registrierung. |
Das Vertrauen in einen Lieferanten ist eine einmalige Beschaffungsentscheidung. | Kompromittierte Zugangsdaten, darunter auch Konten von IT-Mitarbeitern, untergraben das Vertrauen in Anbieter und Infrastruktur.¹ | Die staatlich kontrollierte Infrastruktur und die Schlüsselverwahrung verbleiben im Zuständigkeitsbereich des Kunden; IRAP-zertifiziert für den Einsatz durch die australische Regierung. |
IT- und OT-Sicherheit sind zwei getrennte Themen. | Angriffe auf die Energie-, Telekommunikations- und Verkehrsbranche betreffen auch die Geräte, die die Betriebssysteme steuern.² | Die Durchsetzung UEM und die Überwachung der Einhaltung erstrecken sich auch auf Endpunkte im OT-nahen Bereich. |
Empfohlene Maßnahmen
SOFORT | Suche nach bestehenden Zugriffsmöglichkeiten: Wechseln Sie privilegierte Anmeldedaten regelmäßig aus, überprüfen Sie die Aktivitäten in privilegierten Sitzungen und suchen Sie nach inaktiven Einfallstoren, anstatt auf Warnmeldungen zu warten.¹ |
SOFORT | Führen Sie eine phishing-resistente MFA für IT- und Sicherheitsmitarbeiter ein; der ASIO hat bestätigt, dass die Zugangsdaten von Sicherheitskräften ein aktives Ziel von Datenerfassungsversuchen sind.¹ |
KURZFRISTIG | Erweitern Sie die UEM -Überwachung, soweit dies möglich ist, auf Geräte für das Management kritischer Infrastrukturen, einschließlich Endpunkte im OT-nahen Bereich. |
KURZFRISTIG | Bewerten Sie die Risiken im Zusammenhang mit der Zuständigkeit von Anbietern über den gesamten Infrastruktur-Stack hinweg neu, nicht nur auf der Kommunikationsebene. |
LAUFEND | Beziehen Sie die mehrjährige Verweildauer von Angreifern als Grundannahme in die Planung der Widerstandsfähigkeit und in die Budgets für die Erkennung ein.² |
Position im Bereich „BlackBerry Secure Communications“
Wenn ein nationaler Geheimdienst erklärt, dass sich Gegner bereits seit Jahren in kritischen Infrastrukturen eingenistet haben, stellt sich die Frage der Beschaffung ganz anders dar.¹ Es geht nicht mehr darum, ob „dieser Anbieter einen Sicherheitsverstoß verhindern kann“, sondern darum, ob „dieser Anbieter souveräne Kontrolle und kontinuierliche Compliance nachweisen kann, sobald ein solcher Verstoß bereits eingetreten ist“.
Quellenangaben:
Jahresbericht zur Bedrohungslage 2026 des Generaldirektors für Sicherheit (Australian Security Intelligence Organisation (ASIO), Mike Burgess, Jahresbericht zur Bedrohungslage 2026, 8. Juli).
SIO warnt: Cyberangreifer haben bereits Zugang zu Australiens kritischen Infrastrukturen (iTWire / Kommentar von Google Threat Intelligence, 29. Juni 2026).
Staatliche Akteure haben sich Zugang zu kritischer australischer Infrastruktur verschafft, um diese zu einem Zeitpunkt ihrer Wahl lahmzulegen (The Register, 25. Juni 2026).
%3Aquality(100)&w=3840&q=75)