CISA meldete am 30. Juli 2026 einen deutlichen Anstieg von Angriffen auf speicherprogrammierbare Steuerungen im Wasser- und Abwassersektor. Angreifer veränderten laut Behörde Passwörter und IP-Adressen öffentlich erreichbarer PLCs, sperrten Betreiber aus und trennten Steuerungen vom Netz. Die beobachteten Folgen reichten bis zu Abkochhinweisen und längerem manuellem Betrieb. CISA fordert Betreiber und Integratoren deshalb auf, exponierte PLCs und andere OT-Systeme so schnell wie möglich vom Internet zu entfernen. Für Unternehmen und Versorger ist das eine Betriebsaufgabe: Schutzmaßnahmen dürfen Versorgung und Sicherheit nicht unkoordiniert gefährden.
Warum das normale IT-Inventar nicht ausreicht
OT-Verbindungen entstehen häufig über Jahre: Wartungszugänge, Mobilfunkmodems, temporäre Router, Fernzugriffe von Integratoren oder alte Netzwerkregeln. CISA weist ausdrücklich darauf hin, dass selbst Organisationen mit reifen Sicherheitsprozessen ihre externen Verbindungen validieren sollen, weil Mobilfunkmodems von Betreibern, Herstellern oder Integratoren möglicherweise nicht dokumentiert sind und in normalen Angriffssurface-Scans fehlen. Die erste Aufgabe ist daher nicht blindes Abschalten, sondern ein gemeinsames Lagebild von Betrieb, IT, OT und Dienstleistern.
Priorität erhalten Steuerungen mit direkter öffentlicher Erreichbarkeit, Standardkennwörtern, unbekanntem Owner oder Verbindung zu kritischen Prozessen. Danach folgen Systeme, die zwar über Zwischenkomponenten erreichbar sind, deren Zugriff aber zu breit oder nicht protokolliert ist. Eine isolierte PLC ist nicht automatisch sicher, doch die Entfernung des direkten Internetzugangs beseitigt einen vermeidbaren Angriffsweg. Jede Entscheidung sollte mit Anlagenzustand, Prozessauswirkung und Rückfalloption dokumentiert werden.
Fünf Sofortmaßnahmen mit Betriebsbezug
- Alle PLCs, Modems, Gateways, Fernwartungswege, Betreiber und Integratoren inventarisieren; unbekannte externe Verbindungen priorisiert untersuchen.
- Direkt erreichbare PLCs kontrolliert vom Internet trennen und erforderlichen Fernzugriff über einen verwalteten VPN- oder Gateway-Pfad führen.
- Passwortschutz aktivieren, Standardkennwörter ersetzen und administrative Zugänge eindeutig verantwortlichen Personen zuordnen.
- Remote-Zugriff per IP-Allowlist auf bekannte Engineering-Laptops oder notwendige OT-Systeme begrenzen und Ausnahmen befristen.
- Nach der Trennung ein bekannt sauberes PLC-Abbild sichern und dessen Wiederherstellbarkeit in einem abgestimmten Verfahren prüfen.
Die Reihenfolge ist wichtig. Vor Veränderungen werden Konfiguration, aktueller Zustand, Kommunikationspfade und relevante Protokolle gesichert. Dann wird der direkte Internetpfad entfernt beziehungsweise kontrolliert ersetzt. Anschließend folgen Zugangsschutz, Allowlisting und die Verifikation des sauberen Abbilds. Wer zuerst ein vermeintliches Backup erstellt, ohne eine mögliche Manipulation zu prüfen, riskiert, einen unsicheren Zustand als Wiederherstellungsbasis zu konservieren. Wer dagegen abrupt abschaltet, ohne Prozessfolgen zu kennen, kann unnötig in manuellen Betrieb geraten.
Sicheren Fernzugriff als Prozess gestalten
CISA empfiehlt für betriebliche Fernzugriffe VPN oder Gateway statt direkter Verbindung zur PLC. Ein Gateway allein löst das Problem jedoch nicht. Der Zugang braucht starke Identität, minimale Rechte, eine festgelegte Dauer, nachvollziehbare Protokolle und einen Owner auf Betreiberseite. Zugriffe von Herstellern und Integratoren sollten nur für konkrete Wartungsfenster aktiviert werden. Gemeinsame Konten erschweren die Zuordnung und gehören ersetzt. Für besonders kritische Eingriffe kann eine zweite Freigabe durch den Anlagenverantwortlichen sinnvoll sein.
- Wer darf welchen Anlagenteil aus welchem Netz erreichen?
- Welche Geräte und IP-Adressen sind zugelassen, und wie werden Änderungen genehmigt?
- Wann wird ein Zugang automatisch deaktiviert?
- Welche Sitzungs- und Änderungsdaten werden protokolliert und regelmäßig geprüft?
- Wie wird bei Ausfall des Gateways oder Verlust von Zugangsdaten sicher weitergearbeitet?
Backup und Wiederanlauf müssen praktisch funktionieren
CISA empfiehlt nach der Internettrennung ein bekannt sauberes PLC-Abbild, falls Betreiber durch geänderte Passwörter ausgesperrt werden. Ein Backup ist nur dann belastbar, wenn Version, Herkunft, Integrität und passende Hardware dokumentiert sind. Zusätzlich gehören Engineering-Projektdateien, Kommunikationsparameter und eine verständliche Wiederanlaufanweisung in den Wiederherstellungsplan. Der Test darf nicht unkontrolliert an einer produktionskritischen Anlage stattfinden; geeignete Testumgebungen oder abgestimmte Wartungsfenster sind erforderlich.
Der manuelle Betrieb ist ebenfalls ein Sicherheitsmechanismus, aber kein grenzenloser Ersatz. Rollen, Schichtübergaben, Grenzwerte, Kommunikationswege und maximale Dauer müssen vor dem Vorfall feststehen. Die von CISA beobachteten längeren manuellen Betriebsphasen zeigen, dass Cyberresilienz auch Personal, Verfahren und Ersatzteile umfasst. Geschäftsführung und Betriebsleitung sollten deshalb technische Trennung und organisatorische Kontinuität gemeinsam finanzieren und testen.
Ein 48-Stunden-Plan für die erste Kontrolle
In den ersten Stunden werden externe Zugänge identifiziert, kritische Betreiber informiert und ungeklärte Expositionen begrenzt. Danach prüfen IT und OT gemeinsam Passwörter, Gateway-Regeln, Allowlisting und vorhandene PLC-Abbilder. Innerhalb von 48 Stunden sollte für jede relevante Steuerung ein dokumentierter Status vorliegen: Exposition, Owner, Zugriffspfad, Schutzmaßnahmen, Backupzustand und offene Untersuchungspunkte. Hinweise auf unerklärbare Passwort-, IP- oder Konfigurationsänderungen gehören in den Incident-Response-Prozess; sie werden nicht als gewöhnliche Wartungsabweichung abgetan.
Der nachhaltige Erfolg zeigt sich nicht nur an weniger offenen Ports. Messbar sind der Anteil vollständig inventarisierter PLCs, die Zahl direkter Internetzugänge, Zeit bis zur Deaktivierung unautorisierter Verbindungen, Abdeckung durch individuelle Identitäten, Alter und Teststatus sauberer Abbilder sowie die Fähigkeit zum kontrollierten manuellen Betrieb. So wird die Warnung zu einem überprüfbaren Programm für OT-Resilienz.