Auf den Punkt: Die Advisories zu den Minnesota-Wasserwerksangriffen liefern konkrete, sofort umsetzbare Härtungsschritte für OT-Controller, deren Umsetzung wichtiger ist als die noch offene Attributionsfrage.
Bei koordinierten OT-Angriffen auf mehr als 30 kommunale Wasserversorger in Minnesota am 26. und 27. Juli verloren mehrere Betreiber die Fernsteuerung ihrer Anlagen oder kappten sie bewusst zur Schadensbegrenzung. Für CISOs zählt weniger die offene Attributionsfrage als die Tatsache, dass die seit dem 30. Juli veröffentlichten Advisories konkrete Handlungsanweisungen enthalten, die bislang kaum umgesetzt wurden.
Die Vorfälle betrafen kleine kommunale Wassersysteme, die ihre Rockwell-Automation-Controller vom Typ MicroLogix 1400 überwiegend über Mobilfunk statt über öffentlich erreichbare IP-Adressen ansteuern. Diese Architektur erklärt, warum Internet-Scans wie Shodan kaum betroffene Infrastruktur zeigten – die Angriffsfläche blieb für externe wie interne Beobachter weitgehend unsichtbar. CISAs Advisory AA26-097A verfolgt die zugrunde liegende Kampagne bereits seit März und wurde am 22. Juli erweitert: Neben Rockwell-Geräten sind nun auch Schneider-Electric- und Siemens-Steuerungen im Zielspektrum erfasst, erstmals dokumentiert die Behörde die Exfiltration von PLC-Projektdateien sowie manipulierte, wiederverwendbare Codemodule innerhalb von PLC-Programmen. Rockwells eigene Recovery-Anleitung SD1790 vom 30. Juli ist dabei kein Vulnerability-Advisory mit CVE-Nummer – die Angreifer nutzten keine Schwachstelle, sondern reguläre Gerätefunktionen wie IP-Konfiguration und Passwortschutz. Die beschriebene Wiederherstellung für gesperrte MicroLogix-1400-Controller erfordert das Trennen der Batterie, einen Power-Cycle in einen Fehlerzustand und anschließend das erneute Aufspielen der Projektdatei – vorausgesetzt, eine aktuelle, offline gespeicherte Version existiert überhaupt.
Für CISOs ergibt sich daraus eine doppelte Asymmetrie: Erstens kann eine Sperrung nur dann folgenlos behoben werden, wenn eine aktuelle Offline-Kopie der Steuerungslogik vorliegt – nach Jahren wechselnder Techniker und Integratoren ist das in vielen kleinen Betrieben nicht gegeben. Fehlt diese Kopie, besitzen im Zweifel die Angreifer die einzige aktuelle Version der Anlagenlogik. Zweitens lässt sich die Mobilfunk-Exposition nicht über klassische Netzwerk-Scans erfassen; sie muss über Carrier-Rechnungen und die Inventarisierung SIM-gestützter OT-Geräte ermittelt werden. Wo ein gemeinsamer Systemintegrator oder eine geteilte Fernzugriffs-Architektur mehrere betroffene Betreiber verbindet, ist nicht der einzelne Versorger die Kompromittierungseinheit, sondern der gesamte Kundenstamm des Integrators.
Konkret berichten die betroffenen Anlagen von unterschiedlichen Wiederanlaufzeiten: Braham war nach rund zwei Stunden wieder betriebsbereit, Plymouth arbeitete manuell weiter, während die Mobilfunkverbindungen neu aufgebaut wurden. Diese Time-to-Manual ist eine testbare Kennzahl und keine Annahme, die sich unbeprüft in Notfallplänen halten sollte. Als sofort umsetzbare Härtungsmaßnahmen empfehlen die Advisories: RUN-Modus über das Tastenfeld erzwingen, den stärksten vom Firmware unterstützten Passwortschutz aktivieren, den HTTP-Server deaktivieren und keine öffentliche IP-Adresse vergeben. Eine öffentliche Bestätigung, dass bei den Minnesota-Versorgern tatsächlich Projektdateien exfiltriert wurden, liegt bislang nicht vor – was laut Advisory kein Grund ist, diese Möglichkeit aus der eigenen Planungsannahme zu streichen.
Quelle: www.csoonline.com · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.