Eine gemeinsame Warnung von CISA, NSA, FBI, DOE und EPA beschreibt eine aktive Cyberbedrohung gegen Siemens-S7-Steuerungen. Nach Angaben der Behörden suchen die Akteure per Internet-Scanning nach öffentlich erreichbaren oder unzureichend geschützten PLCs und verwenden KI-generierte Python-Skripte, die wie legitime Monitoring-Werkzeuge wirken sollen. Das ist keine allgemeine Prognose über KI-Risiken, sondern eine konkrete Warnung mit klaren Schutzmaßnahmen. Für DACH-Unternehmen ist die Übertragbarkeit auf den eigenen Betrieb eine fachliche Risikoeinschätzung: Wer vergleichbare Steuerungen oder externe Fernzugriffe betreibt, sollte die eigene Exposition jetzt nachvollziehbar prüfen.
Was belegt ist – und was Unternehmen daraus ableiten sollten
Belegt ist laut Behördenwarnung, dass die Zielaktivität über Siemens-Systeme hinausgeht, die Warnung aber ausdrücklich Siemens S7 umfasst. Die Akteure suchen nach exponierten oder schlecht geschützten Geräten mit veralteter Software. KI-Unterstützung senkt dabei nach Einschätzung der Behörden den Aufwand, bekannte Informationen in verwendbare Angriffsskripte zu überführen. Ebenfalls belegt sind mögliche Folgen: Störungen industrieller Prozesse, Sicherheitsvorfälle, Ausfallzeiten, Geräteschäden und Auswirkungen auf verbundene Systeme. Nicht belegt ist dagegen, dass ein konkretes DACH-Unternehmen bereits kompromittiert wurde. Genau diese Trennung verhindert Alarmismus und begründet trotzdem sofortiges Handeln.
Der 24-Stunden-Sofortplan für Siemens-S7-Umgebungen
Der erste GNS-Mehrwertbaustein ist eine Nachweisliste statt einer bloßen Empfehlungssammlung. Ziel ist, nach 24 Stunden für jede relevante Steuerung vier Fragen beantworten zu können: Wo steht sie, welche Software- beziehungsweise Firmwarebasis wird geführt, über welche Pfade ist sie erreichbar und wer darf Änderungen ausführen? Diese Liste ist zugleich Arbeitsgrundlage und Managementnachweis. Sie sollte aus vorhandenen OT-Dokumentationen, Netzsegmenten, Firewall-Regeln und den freigegebenen Engineering-Zugängen gespeist werden. Unbekannt bleibt als eigener Status sichtbar; fehlende Daten dürfen nicht als unauffällig gelten.
- Bestand erfassen: alle Siemens-S7-Steuerungen, Engineering-Arbeitsplätze und verantwortlichen Systemintegratoren eindeutig zuordnen.
- Erreichbarkeit prüfen: direkte Internetzugriffe ausschließen und indirekte Pfade über Fernwartung, Übergangsnetze oder Dienstleister dokumentieren.
- Patchstand bewerten: verfügbare sicherheitsrelevante Aktualisierungen gegen den freigegebenen Anlagenstand prüfen und Änderungen zuerst kontrolliert testen.
- Zugriffe härten: nur autorisierte Engineering-Systeme zulassen, unnötige Konten oder Standardzugänge beseitigen und Fernzugriffe stärker absichern.
- Überwachung schärfen: ungewöhnliche S7comm-Verbindungen, Schreibzugriffe außerhalb genehmigter Änderungsfenster und nicht freigegebene Snap7- oder Python-Werkzeuge untersuchen.
- Abweichungen übergeben: Befund, Eigentümer, Sofortmaßnahme, Restrisiko und nächsten Prüftermin in einem gemeinsamen Maßnahmenprotokoll festhalten.
Für die Priorisierung eignet sich eine einfache Ampellogik als interne GNS-Arbeitshilfe. Rot bedeutet: Internet-Erreichbarkeit, ein nicht zuordenbarer Schreibzugriff oder ein unbekannter administrativer Zugang. Gelb bedeutet: der technische Pfad ist kontrolliert, aber Patchstand, Protokollierung oder Verantwortlichkeit sind noch nicht belegt. Grün bedeutet nicht risikofrei, sondern vollständig dokumentiert, angemessen segmentiert und überwacht. Die Einstufung ist eine betriebliche Empfehlung, keine Vorgabe aus der Behördenquelle. Sie schafft jedoch eine gemeinsame Sprache, damit Sicherheits- und Produktionsverantwortliche die Reihenfolge von Prüfungen und Änderungen nachvollziehbar festlegen können.
Isolation bedeutet nicht, eine laufende Produktionsanlage ohne Folgenabschätzung vom Netz zu trennen. Die Behörden empfehlen, PLCs nicht aus dem Internet erreichbar zu machen und OT durch Segmentierung zu schützen. Wie dies in einer konkreten Anlage umgesetzt wird, ist eine betriebliche Designentscheidung. Verantwortliche sollten deshalb zuerst unerwünschte externe Pfade schließen, erforderliche Verbindungen eindeutig begründen und jede Änderung mit den für Betriebssicherheit zuständigen Personen abstimmen. Bei einem Verdacht auf Kompromittierung ersetzt der Sofortplan außerdem keine qualifizierte Incident Response.
Monitoring: Welche Abweichungen jetzt besonders zählen
Die Warnung nennt mehrere Ansatzpunkte für die Suche nach Anomalien: S7comm-Verbindungen von nicht vorgesehenen Arbeitsplätzen, ungewöhnliche Zugriffe auf Datenblöcke, Schreiboperationen außerhalb von Änderungsfenstern, Scans auf TCP-Port 102 sowie Snap7-Bibliotheken oder Python-Skripte auf nicht freigegebenen Systemen. Diese Hinweise sind keine automatische Kompromittierungsbestätigung. Sie sind Startpunkte für eine Untersuchung. Entscheidend ist der Vergleich mit dem dokumentierten Normalbetrieb: Wer keine freigegebenen Quellen, Zeitfenster und Werkzeuge definiert hat, kann Abweichungen später nur schwer belastbar bewerten.
Der zweite GNS-Mehrwertbaustein ist deshalb ein Übergaberaster mit vier Rollen: OT benennt Sollzustand und Anlagenfolgen, IT-Security prüft Exposition und Telemetrie, Produktion genehmigt sichere Änderungsfenster, externe Integratoren belegen ihre Zugriffswege und eingesetzten Werkzeuge. Zu jedem Befund gehören ein Verantwortlicher und eine Frist. Bei unbekannter Internet-Erreichbarkeit oder unautorisierten Schreibzugriffen wird eskaliert; bei sauber dokumentierter Segmentierung bleibt die Prüfung trotzdem als Nachweis erhalten. So entsteht aus einer Warnmeldung ein steuerbarer Arbeitsprozess.
Was die Geschäftsleitung heute entscheiden muss
Die Geschäftsleitung muss keine PLC-Konfiguration selbst beurteilen. Sie sollte aber drei Entscheidungen einfordern: Erstens einen namentlichen Verantwortlichen für die Bestands- und Expositionsprüfung. Zweitens ein priorisiertes Änderungsfenster für bestätigte Lücken. Drittens einen Abschlussnachweis, der offene Punkte und Restrisiken ausdrücklich nennt. Das schützt vor zwei Fehlreaktionen: hektischen Eingriffen ohne Produktionsabstimmung und folgenlosen Rundmails ohne überprüfbares Ergebnis. Die Behördenwarnung liefert die Dringlichkeit; das Unternehmen muss daraus klare Zuständigkeit, belastbare Evidenz und kontrollierte Umsetzung machen.
Ein sinnvoller Abschlussnachweis beantwortet nicht nur, ob Maßnahmen begonnen wurden. Er hält pro Anlage fest, welche Exposition geprüft, welche Abweichung gefunden, welche Entscheidung getroffen und welche Restaufgabe terminiert wurde. Damit kann die Leitung erkennen, wo kurzfristige Risikoreduktion gelungen ist und wo Betriebsabhängigkeiten weitere Arbeit verlangen. Diese Dokumentation ist auch die Basis für die nächste Überprüfung: Neue Fernzugänge, Dienstleisterwechsel oder Anlagenänderungen können den zuvor bestätigten Zustand verändern.