Cyberangreifer haben seit dem 27. Juli 2026 Wasser- und Abwasserversorger in mindestens sieben US-Bundesstaaten attackiert. Nach Angaben des FBI führten mehrere der Vorfälle bereits zu Beeinträchtigungen im Betrieb. Im Mittelpunkt standen internetfähige Steuerungssysteme, mit denen Betreiber Anlagen aus der Ferne überwachen und kontrollieren.
Die Angreifer verschafften sich Fernzugriff auf speicherprogrammierbare Steuerungen (PLCs) und zugehörige Bedienoberflächen. Anschließend änderten sie unter anderem Passwörter und IP-Adressen. Dadurch verloren Betreiber teilweise den Zugriff auf ihre eigenen Systeme oder konnten bestimmte Anlagen nicht mehr wie gewohnt überwachen und steuern. Die Angriffe verursachten damit konkrete Betriebsstörungen und waren nicht nur auf die Erkundung der Infrastruktur beschränkt.
Minnesota: 30 kommunale Systeme betroffen
Besonders stark betroffen war nach bisherigen Erkenntnissen der US-Bundesstaat Minnesota. Dort meldeten mehr als 30 kommunale Wassersysteme koordinierte Angriffe. Die Attacken fanden am 26. und 27. Juli statt. Die betroffenen Betreiber konnten ihren Betrieb nach bisherigen Berichten aufrechterhalten, mussten dafür jedoch teilweise auf manuelle Abläufe ausweichen. Hinweise auf eine Verunreinigung des Trinkwassers liegen bislang nicht vor.
Laut FBI zielten die Angreifer vor allem auf Steuerungstechnik, die direkt aus dem Internet erreichbar war. In den bestätigten Fällen war offenbar kein komplexer Schadcode erforderlich. Ungeschützte Fernzugänge, schwache oder wiederverwendete Zugangsdaten und fehlende Netzwerksegmentierung reichten aus, um in die Systeme einzudringen und deren Konfiguration zu verändern.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenDas FBI und die US-Umweltbehörde EPA untersuchen die Vorfälle gemeinsam mit den betroffenen Betreibern. Eine konkrete Tätergruppe haben die Behörden bislang nicht offiziell benannt. US-Vertreter und Ermittler halten jedoch einen Zusammenhang mit iranisch unterstützten Akteuren für möglich. Auch frühere Angriffe auf internetexponierte industrielle Steuerungen wurden mit der Gruppe CyberAv3ngers in Verbindung gebracht. Eine abschließende Zuordnung steht weiterhin aus.
Bis jetzt lediglich der Iran im Verdacht
Die Vorfälle zeigen, dass die Betriebstechnik kleiner und mittlerer Versorger ein attraktives Ziel für politisch motivierte Angreifer darstellt. Wasserwerke und Kläranlagen verfügen häufig über historisch gewachsene Fernwartungszugänge, während für die Absicherung der Systeme nur begrenzte Ressourcen zur Verfügung stehen. Ein kompromittierter Zugang kann deshalb unmittelbar Auswirkungen auf Pumpen, Druckregelung, Überwachung und weitere Betriebsprozesse haben.
Die US-Behörden fordern Betreiber auf, internetexponierte PLCs und andere industrielle Steuerungssysteme vom öffentlichen Netz zu trennen. Fernzugriffe sollten ausschließlich über abgesicherte VPN-Verbindungen oder zentrale Zugangssysteme mit Mehrfaktor-Authentifizierung erfolgen. Zusätzlich müssen Betreiber individuelle Zugangsdaten vergeben, nicht benötigte Konten deaktivieren und Netzwerkbereiche für IT und Betriebstechnik konsequent voneinander trennen.
Der Angriff auf die US-Wasserversorgung macht deutlich, dass kritische Infrastrukturen nicht erst durch eine komplexe Schwachstelle gefährdet werden. Auch europäische und deutsche Systeme sind in Gefahr und sollten auf den Prüfstand, wie es etwa mit NIS2 gefordert ist.
Mehr bei FBI.gov