Cyberangriff auf Wasserwerke: 30 US-Systeme lahmgelegt

Ein Wasserwerk geht offline. Zwei Wassertürme verlieren den Funkkontakt zu ihrer Leitwarte. Eine Kleinstadt ruft den Notstand aus – wegen Wasser, nicht wegen Wetter. Was sich am 26. und 27. Juli 2026 in Minnesota abspielte, liest sich wie ein Drehbuch für einen Katastrophenfilm. Nur dass niemand Regie geführt hat, außer vielleicht ein Angreifer, den bislang niemand offiziell benennen will.

Mehr als 30 kommunale Wasserversorger im US-Bundesstaat waren laut den zuständigen Behörden Ziel eines koordinierten Cyberangriffs auf ihre Betriebstechnik. Das Wasserwerk der Kleinstadt Braham ging vollständig offline, die Stadt bat ihre Bewohnerinnen und Bewohner, den Wasserverbrauch bis zur Wiederaufnahme des Betriebs zu drosseln. In Plymouth fielen die Mobilfunkverbindungen zu zwei Wassertürmen und mehreren Abwasser-Pumpstationen aus – betrieben wurde händisch weiter. South St. Paul und Maple Plain mussten ihre automatisierten Steuerungen abschalten; Maple Plain rief sogar den lokalen Notstand aus, um genug Ressourcen für die Reaktion zu bündeln.

Klingt nach Ausnahmezustand. Ist es auch – zumindest für die betroffenen Kommunen, die genau diese Woche wieder einmal beweisen, wie fragil die Steuerungstechnik hinter Ihrem Wasserhahn eigentlich ist. Was diesen Vorfall besonders macht: Er betrifft nicht ein Unternehmen mit einer Schwachstelle, sondern gleich mehr als 30 Betreiber – zeitgleich, mit ähnlichen Mustern beim Zugang. Genau diese Gleichzeitigkeit ist der Grund, warum Minnesota IT Services (MNIT) von einem koordinierten Angriff spricht und nicht von 30 Zufällen.

Für Sicherheitsverantwortliche ist das kein exotisches Einzelphänomen. Es reiht sich ein in eine Serie von Angriffen auf Betriebstechnik, die wir bei digital-magazin.de seit Monaten beobachten – etwa das Zero-Day-Risiko in SCADA-Systemen bei Fertigungslinien, das wir bereits ausführlich eingeordnet haben. Der Unterschied: Diesmal traf es nicht eine einzelne Fabrik, sondern gleich ein ganzes Bundesland voller kommunaler Betreiber.

Cybersecurity bei kritischer Infrastruktur: Was in Minnesota wirklich passierte

MNIT bestätigte gegenüber The Hacker News: „At this point, we can confirm that more than 30 water systems throughout the state were impacted. The nature and extent of the impact varied by system, and the investigation is still determining how many experienced operational disruptions.“ Übersetzt heißt das: Man weiß, dass es viele getroffen hat – man weiß noch nicht genau, wie schlimm es bei jedem einzelnen wirklich war. Diese Art von Unsicherheit mitten in einer laufenden Untersuchung ist unangenehm, aber ehrlich. Und ehrlich gesagt: Bei Cybersecurity-Vorfällen dieser Größenordnung ist das die Regel, nicht die Ausnahme.

Die Behörde beschreibt gemeinsame Merkmale zwischen den Vorfällen: ähnliches Timing, ähnliche Zugriffsmethoden, ähnliche Art der betroffenen Infrastruktur. Genau diese Ähnlichkeiten stützen die Einschätzung „koordiniert“ – eine endgültige Zuordnung zu einem einzelnen Akteur gibt es aber noch nicht. Technische Details zum Zugangsweg hält MNIT bewusst zurück, solange die Ermittlungen laufen. Nachvollziehbar: Wer öffentlich verrät, wie die Tür aufging, lädt zur Wiederholung ein.

Involviert sind inzwischen die Cybersecurity and Infrastructure Security Agency (CISA), die Umweltbehörde EPA und das FBI. John Israel, stellvertretender MNIT-Commissioner und Chief Information Security Officer des Bundesstaats, bringt es auf den Punkt: Angriffe auf kritische Infrastruktur brauchen eine koordinierte Antwort der gesamten Regierung – nicht nur eines IT-Teams im Rathaus. Wer glaubt, Cybersecurity sei ein IT-Thema, das man mit einer Firewall erledigt, bekommt hier eine schmerzhafte Lektion in Realpolitik. Wie solche Vorgaben in Deutschland aussehen, zeigt die Übersicht des BSI zu kritischen Infrastrukturen, die ähnliche Meldepflichten und Mindeststandards für Betreiber vorsieht.

Die Spur zu CyberAv3ngers: Warum Fachleute an den Iran denken

Vier Tage vor den Vorfällen in Minnesota hatten US-Behörden eine bereits bestehende Warnung erweitert: Iran-affiliierte Akteure hätten es gezielt auf internetseitig erreichbare speicherprogrammierbare Steuerungen (SPS) von Rockwell Automation, Schneider Electric, Siemens und potenziell weiteren Herstellern abgesehen. In dieser Kampagne beobachteten Ermittelnde, dass Angreifende Projektdateien exfiltrierten und veränderten, Anzeigen in Mensch-Maschine-Schnittstellen und SCADA-Systemen manipulierten und Abschalt- sowie Alarmlogiken deaktivierten. Das ist kein Skript-Kiddie-Niveau. Das ist gezielte Sabotage an der Steuerungsebene.

Offiziell haben Minnesota und der Bund die Vorfälle noch nicht mit dieser Kampagne verknüpft. Tenable allerdings ordnet Timing und operatives Muster als konsistent mit dem breiteren CyberAv3ngers-Ökosystem ein, ohne eine offizielle Attribution vorzunehmen. Scott Caveza, Senior Staff Research Engineer bei Tenable, sagte gegenüber The Hacker News: Auch ohne offizielle Zuordnung durch MNIT bleibe die Tradecraft konsistent mit dem, was CyberAv3ngers und andere dem iranischen Revolutionsgardenkorps zugeordnete Gruppen seit mindestens 2023 gegen Wasser- und Abwassersysteme einsetzen – über SPS und Mensch-Maschine-Schnittstellen, teils mit operativen Unterbrechungen als Folge.

Was lernen wir daraus? Dass die Grenze zwischen geopolitischem Konflikt und der Wasserversorgung einer Kleinstadt in Minnesota erstaunlich dünn geworden ist. Man muss kein Geheimdienstanalyst sein, um zu erkennen: Wenn ein Staat oder staatsnahe Gruppen Zugriff auf westliche Wasserinfrastruktur testen wollen, ist ein dezentrales System mit Hunderten kleiner, unterschiedlich abgesicherter Betreiber ein dankbares Übungsfeld.

Warum ausgerechnet Wasserwerke? Ein Blick auf die Verwundbarkeit kommunaler Betreiber

Ein Wasserwerk in einer 2.000-Einwohner-Gemeinde hat selten ein eigenes Security Operations Center. Meistens kümmert sich ein Techniker um Pumpen, Ventile und – notgedrungen – auch um die IT. Genau das macht solche Betreiber zu einem bevorzugten Ziel: nicht, weil ihr Wasser wertvoller wäre als das eines Großkonzerns, sondern weil die Tür seltener abgeschlossen ist. Hand aufs Herz: Wer würde ernsthaft erwarten, dass eine Kleinstadtverwaltung dieselben Abwehrmechanismen betreibt wie ein DAX-Konzern?

Genau dieses Ungleichgewicht zwischen Angriffsfläche und Verteidigungsbudget erklärt, warum sich CISA in den vergangenen Jahren wiederholt mit dringlichen Warnungen an den Wassersektor gewandt hat. Erst im Frühjahr erweiterte die Behörde ihren Katalog bekannter, aktiv ausgenutzter Schwachstellen um mehrere Einträge, die genau solche Steuerungssysteme betreffen. Wer diesen Katalog nicht regelmäßig abgleicht, spielt im wahrsten Sinne mit dem Wasser seiner Kundschaft.

Was CISA jetzt konkret empfiehlt – und was Verantwortliche in Deutschland daraus mitnehmen sollten

Die aktuelle CISA-Beratung liefert sektorweite Verteidigungsempfehlungen, ohne eine konkrete SPS-Familie, einen Zugangsweg oder eine Schwachstelle aus dem Minnesota-Fall zu benennen. Konkret rät die Behörde unter anderem, Verbindungen von Mobilfunkmodems zu protokollieren, den Zugriff auf Steuerungen strikt auf autorisierte Systeme zu beschränken und laufende Projektdateien regelmäßig auf unautorisierte Änderungen zu prüfen. Wer eine Steuerung mit physischem Modus-Schalter betreibt, soll den Run-Modus erst aktivieren, nachdem die zugehörigen Projektdateien validiert wurden. Backups sollen vor der Wiederherstellung geprüft werden – ein Punkt, den viel zu viele Betreiber erst nach dem Vorfall ernst nehmen.

Für deutsche und europäische Betreiber kritischer Infrastruktur ist das kein fernes US-Problem. Auch hier laufen viele Wasserwerke, Klärwerke und kommunale Versorger mit historisch gewachsener Leittechnik, die nie für einen dauerhaften Internetzugang konzipiert war. Wer im Zuge der Nachrüstung von VPN-Zugängen oder Fernwartungslösungen Steuerungstechnik ans Netz bringt, sollte sich fragen: Ist dieser Zugang wirklich nötig, oder ist er nur praktisch für die eigene IT-Abteilung? Der Unterschied zwischen „praktisch“ und „notwendig“ entscheidet im Ernstfall darüber, ob ein Wasserwerk offline geht oder nicht.

Wir bei digital-magazin.de haben uns die Warnungen zu SPS-Angriffen der vergangenen Monate genauer angeschaut: Auffällig ist, dass fast immer dieselben drei Faktoren zusammenkommen – veraltete oder ungepatchte Steuerungstechnik, unnötig offene Fernzugänge und fehlende Segmentierung zwischen IT- und OT-Netzwerken. Keiner dieser Faktoren ist exotisch. Alle drei sind seit Jahren bekannt. Und trotzdem tauchen sie in praktisch jedem größeren Vorfall wieder auf.

Zwischen Panik und Achselzucken: Wie ernst ist die Lage wirklich?

Stand 29. Juli 2026 läuft die Untersuchung weiter, teilte MNIT mit. Verantwortliche prüfen fortlaufend, welche Systeme wie stark betroffen waren. Öffentlich bekannt ist bislang nicht, ob Daten gestohlen wurden, welche konkreten Produkte betroffen sind oder welche Schwachstelle ausgenutzt wurde. Das ist frustrierend für alle, die schnelle Antworten wollen – aber es ist auch der ehrliche Zustand einer laufenden forensischen Aufarbeitung.

Trinkwasser selbst war nach aktuellem Stand nicht gefährdet; MNIT erklärte, es gebe keine aktiven Aufforderungen an die Bevölkerung, den Wasserverbrauch aus Sicherheitsgründen zu ändern – abgesehen von der lokalen Bitte in Braham während der Störung. Das ist die gute Nachricht in einer ansonsten unbequemen Geschichte. Die schlechte Nachricht: Die Angreifenden mussten offenbar keine besonders raffinierten Methoden einsetzen, um dutzende Systeme gleichzeitig zu stören. Das sagt mehr über den Zustand der Absicherung als über die Genialität der Angreifer.

Parallel dazu zeigt sich ein größeres Muster in der aktuellen Bedrohungslage: Angriffe auf Betriebstechnik nehmen zu, während viele Betreiber noch immer klassische IT-Sicherheitskonzepte auf Systeme anwenden, die eigentlich eine komplett andere Denkweise brauchen. Ein SCADA-System tickt nicht wie ein Firmenlaptop. Wer das ignoriert, baut Sicherheitskonzepte auf einem falschen Fundament.

Was Unternehmen und Kommunen jetzt tun sollten

Die Vorfälle in Minnesota sind kein Grund für hektischen Aktionismus, aber ein guter Anlass für eine ehrliche Bestandsaufnahme. Vier Fragen, die sich Verantwortliche für Wasserwerke, Energieversorger und andere Betreiber kritischer Infrastruktur jetzt konkret stellen sollten:

• Welche Steuerungskomponenten sind über Mobilfunk, VPN oder direkte Internetverbindung erreichbar – und ist das wirklich nötig?
• Werden Verbindungen von Fernwartungszugängen und Mobilfunkmodems protokolliert und regelmäßig ausgewertet?
• Existiert ein Prozess, um Projektdateien von Steuerungen auf unautorisierte Änderungen zu prüfen, bevor sie wieder in Betrieb gehen?
• Gibt es eine funktionierende Trennung zwischen IT- und OT-Netzwerken, oder hängt am Ende doch alles am selben Kabel?

Keine dieser Fragen lässt sich an einem Nachmittag beantworten. Aber wer sie sich gar nicht stellt, wartet im Grunde nur auf seine eigene Version von Braham, Minnesota – nur vielleicht ohne die Aufmerksamkeit von CISA, FBI und EPA, die den Vorfall wenigstens ernst nehmen.

Ein Punkt wird in der öffentlichen Debatte oft übersehen: Segmentierung zwischen IT- und OT-Netzwerken ist kein Nice-to-have, sondern die letzte Verteidigungslinie, wenn ein Angreifer bereits im Unternehmensnetz sitzt. Ohne diese Trennung reicht ein einziges kompromittiertes Konto in der Verwaltungs-IT, um bis zur Pumpe oder Steuerung durchzureichen. Genau dieses Muster – schwache oder fehlende Segmentierung – taucht in den allermeisten OT-Sicherheitsvorfällen der vergangenen zwei Jahre auf, nicht nur in Minnesota.

Auch die Frage der Verantwortung verdient einen ehrlichen Blick. Wenn ein Hersteller wie Rockwell Automation oder Siemens Steuerungen liefert, die werkseitig fernwartbar sind, trägt er einen Teil der Mitverantwortung, wenn Betreiber diese Fernwartungsfunktion nie deaktivieren oder absichern. Und wenn ein Bundesland wie Minnesota Hunderte kleiner Betreiber ohne zentrale Sicherheitsvorgaben agieren lässt, trägt auch die Aufsicht ihren Anteil. Es ist bequem, nach einem Vorfall nur auf die eine Schwachstelle zu zeigen. Ehrlicher wäre es, das gesamte Ökosystem aus Herstellern, Betreibern und Regulierung in die Pflicht zu nehmen – bevor der nächste Wasserturm den Kontakt zur Leitwarte verliert.

Das Team von digital-magazin.de wird die Entwicklung in Minnesota weiterverfolgen, sobald belastbare Details zur Angriffsmethode veröffentlicht werden. Bis dahin bleibt die unbequeme Wahrheit: Kritische Infrastruktur ist nur so sicher wie ihr unsicherster Fernzugang. Und in diesem Fall reichte es offenbar, gleich dreißig davon gleichzeitig zu finden.