CI Fortify schließt die Lücke – Angriff auf kritische Infrastruktur in Minnesota deckt Schwachstelle auf

CISA und die „Five Eyes“-Behörden veröffentlichen gemeinsamen Leitfaden zur Isolierung der OT-Infrastruktur angesichts eines laufenden Angriffs auf Wasserversorgungsunternehmen

Was ist passiert?

Die CISA hat gemeinsam mit Cybersicherheitsbehörden aus Großbritannien, Australien, Kanada und Neuseeland den Bericht „CI Fortify,“, einen sechsstufigen Leitfaden zur Isolierung von Betriebstechnologie (OT) während Cyberangriffen. Der Leitfaden weist Betreiber kritischer Infrastrukturen an, spezielle Isolationspunkte in wichtige Systeme einzubauen, damit wesentliche Dienste auch dann weiterlaufen können, wenn Netzwerke absichtlich von der Außenwelt abgeschnitten werden.

Die CAF Bank hat ihre Online-Dienste vorübergehend ausgesetzt, nachdem Probleme im Zusammenhang mit einer Sicherheitslücke in einer Software eines Drittanbieters aufgetreten waren, sodass das Unternehmen während der Arbeiten zur Wiederherstellung des Dienstes Notfallmaßnahmen ergreifen musste.¹

Die Veröffentlichung erfolgt zeitgleich mit zwei aktuellen Vorfällen, über die in den Medien berichtet wurde: Die CAF Bank hat ihre Online-Dienste nach einer Sicherheitslücke in einer Drittanbieter-Software ausgesetzt, und ein koordinierter Angriff hat die OT-Systeme bei mehr als 30 Wasserversorgungsunternehmen in Minnesota lahmgelegt. Sowohl die Wasserversorger in Minnesota als auch die CAF Bank zeigen, was passiert, wenn während einer erzwungenen Isolation keine Ausweichkommunikationsschicht vorhanden ist: Die Koordination bricht genau in dem Moment zusammen, in dem sie am wichtigsten ist.

Wasserversorger in Minnesota: Was wir wissen

• Zeitraum des Angriffs: 26. bis 27. Juli 2026. Minnesota IT Services (MNIT) bestätigte den Angriff am 28. Juli öffentlich und leitete landesweite Maßnahmen zur Reaktion auf den Cybersicherheitsvorfall ein.²

• Mehr als 30 kommunale Wasser- und Abwassersysteme waren betroffen; Braham, Plymouth, South St. Paul und Maple Plain gaben öffentlich bekannt, dass die automatisierten Steuerungsfunktionen beeinträchtigt waren.³

• Dank Notfallmaßnahmen konnten die Wasser- und Abwasserversorgung in den meisten betroffenen Gemeinden aufrechterhalten werden. Nach Angaben des Gesundheitsministeriums von Minnesota hat keine Gemeinde eine Empfehlung zur Änderung der Wassernutzung an die Einwohner herausgegeben.⁴

• Die Zuordnung ist zum Stand vom 29. Juli noch unbestätigt. Das MNIT arbeitet mit der CISA, der EPA und dem FBI zusammen und hat Ähnlichkeiten im Zugriffsmuster mit Angriffen in anderen Bundesstaaten und Sektoren festgestellt, ohne jedoch einen Verantwortlichen zu benennen.

• Bundesebene: Die im selben Zeitfenster aktualisierte CISA-Empfehlung AA26-097A befasst sich mit Akteuren mit Verbindungen zum Iran, die programmierbare Logiksteuerungen (PLCs) in kritischen Infrastrukturen der USA ausnutzen. Berichten zufolge stimmt der Zeitpunkt mit diesen umfassenderen Aktivitäten überein, obwohl kein formeller Zusammenhang zu den Angriffen in Minnesota festgestellt wurde.⁵

• Struktureller Risikofaktor: In den USA gibt es etwa 150.000 bis 170.000 Wasserversorgungssysteme, von denen die meisten klein und unterfinanziert sind. Eine Prüfung des EPA Office of Inspector General aus dem Jahr 2024 ergab, dass die Mehrheit der untersuchten Wasserversorgungssysteme hinsichtlich der vorgeschriebenen Risikobewertungen und Notfallpläne nicht auf dem neuesten Stand war.^{6 7}

Die sechs Schritte

1. Identifizieren Sie kritische Systeme und Netzwerke

2. Identifizieren Sie wichtige Kunden

3. Ermittlung gängiger Kritikalitäts- und Vertrauensstufen für Netzwerke und Hosts

4. Potenzielle Isolationsstellen identifizieren und Verbindungen zu kritischen Systemen abbilden

5. Wirksame Trenn- und Isolationsstellen schaffen

6. Erstellen und Testen eines Isolationsplans

Warum es wichtig ist

Die zentrale Vorgabe des Leitfadens ist unmissverständlich: Organisationen müssen physische Isolationspunkte in kritische Systeme integrieren und von Netzbetreibern bereitgestellte Netzwerke als nicht vertrauenswürdig und potenziell feindlich einstufen. Diese Anforderung führt zu einer unmittelbaren betrieblichen Lücke. Wenn eine Behörde ihr OT- oder IT-Netzwerk isoliert, wie kann sie dann ihr Personal während der Isolation selbst auf dem Laufenden halten und die Koordination gewährleisten?

Hier geht es in erster Linie um ein Problem der Massenbenachrichtigung und Notfallkommunikation. Der Leitfaden geht davon aus, dass Betreiber die Infrastruktur isolieren können; er bietet jedoch keine Lösung dafür, wie Führungskräfte, Außendienstmitarbeiter und betroffene Kunden nach einer solchen Isolierung miteinander in Kontakt bleiben können. Genau diese Lücke schließt das BlackBerry-Portfolio.

Wie BlackBerry in das Konzept passt

Empfohlene Maßnahmen auf der Grundlage des Konzepts

• Kombinieren Sie jeden OT/IT-Isolationsplan mit einem Plan zur Aufrechterhaltung der Kommunikation. Eine Isolation ohne Koordinationskanal verzögert die Störung lediglich, verhindert sie aber nicht.

• Eine Bestandsaufnahme, bei der die Notfall- und Kommandokommunikation derzeit davon abhängt, dass derselbe Netzbetreiber oder dieselbe IT-Infrastruktur isoliert ist. Diese Abhängigkeit ist die Lücke, die CI Fortify nicht schließt.

• Testen Sie den Isolationsplan und den Kommunikations-Ausweichplan gemeinsam. Der im Leitfaden beschriebene sechsstufige Prozess endet mit dem Schritt „Erstellen und Testen eines Isolationsplans“; die Benachrichtigung und Koordination sollten im Rahmen derselben Übung getestet werden, nicht separat.

• Priorisieren Sie Out-of-Band-Benachrichtigungen über mehrere Kanäle für alle Zonen, die als Kandidaten für eine stufenweise Isolierung identifiziert wurden, damit die Sichtbarkeit der Befehlsausführung auch während des Isolierungsvorgangs selbst gewährleistet bleibt.

BlackBerry-Perspektive

„CI Fortify“ fordert Behörden dazu auf, ihre Netzwerke zu isolieren. Es gibt ihnen jedoch keine Anleitung, wie sie danach weiterhin in Verbindung bleiben können. Die Folgen bei den Wasserversorgern in Minnesota und bei der CAF Bank zeigen, welche Kosten diese Lücke in der Praxis verursacht: Ausfälle bei den Dienstleistungen, keine klare Ausweichlösung für Führung und Koordination. BlackBerry AtHoc genau für diese Lücke entwickelt: eine verifizierte, mehrkanalige Notfallkommunikation, die unabhängig von der Infrastruktur funktioniert, über die sie berichtet.

Weiterführende Literatur:

• Das „Water Watch Center“ macht Lücken bei der Cyber-Reaktionsfähigkeit der Wasserversorger deutlich

• Warum die Sicherheitsrichtlinien für CI bei kleinen Versorgungsunternehmen immer wieder versagen

• Von einer Kompromittierung ausgehen – und was dann? Über den Slogan hinaus zu operativen Anforderungen

• Was CI Fortify von Versorgungsunternehmen verlangt – und die Funktion, die es nie erwähnt

• Wenn die Handys ausfallen: Die Koordinationslücke, mit der niemand rechnet

• Lehren aus den Angriffen auf Wasserversorgungsunternehmen im Juli: Was die gemeinsame Empfehlung den Betreibern für das weitere Vorgehen rät

• Warum die Planung der OT-Isolierung eine lückenlose Kommunikation erfordert

Quellenangaben:

1. Die Arbeiten zur Wiederherstellung der Dienste bei der Wohltätigkeitsbank gehen weiter (Kundeninformation der CAF Bank zu den laufenden Bemühungen zur Wiederherstellung der Dienste nach einer Sicherheitslücke in der Software eines Drittanbieters, 1. August 2026.)

2. Nach einem Cybervorfall bei einem Wasserversorger wurde der staatliche Cybersicherheits-Einsatzplan aktiviert

   (Minnesota IT Services, MNIT-Pressemitteilung, 28. Juli 2026.)

3. Dutzende Wasserversorger in Minnesota Ziel koordinierter OT-Angriffe (Security Week, 29. Juli 2026.)

4. Minnesota setzt seine Maßnahmen gegen Cyberangriffe auf kommunale Wasserversorgungssysteme fort (Minnesota IT Services, MNIT-Pressemitteilung, 30. Juli 2026.)

5. Mit dem Iran verbundene Cyberakteure nutzen speicherprogrammierbare Steuerungen in kritischen Infrastrukturen der USA aus (AA26-097A) (Cybersecurity and Infrastructure Security Agency (CISA), CISA-Hinweis AA26-097A, 22. Juli 2026.)

6. Informationsblatt zu den Anforderungen an die Risiko- und Resilienzbewertung sowie an Notfallpläne (EPA, 26. Mai 2026.)

7. In vielen Wasserversorgungsunternehmen wurden „kritische“ Cybersicherheitslücken entdeckt, warnt der Generalinspekteur der EPA

   (Amt des Generalinspektors der US-Umweltschutzbehörde. Bewertung von Cybersicherheitslücken, die die Trinkwasserversorgung in den USA beeinträchtigen, zusammengefasst in „State Scoop“, 18. November 2024.)