Cyberangriffe auf Wasserwerke nehmen nach Einschätzung US-amerikanischer Sicherheitsbehörden zu. Das Federal Bureau of Investigation (FBI) und die US-Umweltbehörde EPA warnen gemeinsam mit weiteren Behörden vor Angriffen auf internetseitig erreichbare Steuerungen in Wasser- und Abwasseranlagen. Die Angriffe hätten in mehreren Fällen bereits zu betrieblichen Beeinträchtigungen geführt.
FBI und EPA warnen vor Angriffen auf SPS-Systeme
Das FBI schreibt in einer aktuellen Sicherheitswarnung, dass Angreifer gezielt internetseitig erreichbare speicherprogrammierbare Steuerungen (Programmable Logic Controllers, PLC) in kritischen Infrastrukturen angreifen. Betroffen seien insbesondere Wasser- und Abwasseranlagen, deren Automatisierungssysteme direkt aus dem Internet erreichbar sind. Nach Angaben der Behörden wurden dabei unter anderem Passwörter verändert und Betriebsabläufe gestört.
Die US-Umweltbehörde EPA unterstützt die Warnung und verweist darauf, dass bereits einfache organisatorische und technische Maßnahmen die Widerstandsfähigkeit vieler Anlagen deutlich erhöhen können. Betreiber sollten insbesondere die direkte Internetanbindung von OT-Komponenten vermeiden und bestehende Fernzugänge absichern.
Angriffe in mindestens sieben US-Bundesstaaten
NBC News berichtet unter Berufung auf das FBI, dass innerhalb einer Woche Wasser- und Abwasseranlagen in mindestens sieben US-Bundesstaaten Ziel koordinierter Cyberangriffe wurden. Nach Behördenangaben wurden allein in Minnesota mehr als 30 Wasserversorgungssysteme attackiert. Die Vorfälle führten unter anderem zu kurzfristigen Betriebsstörungen, Kommunikationsausfällen sowie Veränderungen an Steuerungssystemen. Die Trinkwasserqualität sei nach bisherigem Kenntnisstand jedoch nicht beeinträchtigt worden.
Wie Heise Online berichtet, sehen FBI und EPA eine zunehmende Bedrohung für Betreiber kritischer Wasserinfrastrukturen. Im Mittelpunkt stehen dabei Operational-Technology-Systeme (OT), deren Komponenten häufig über Jahre im Einsatz bleiben und ursprünglich nicht für eine direkte Anbindung an öffentliche Netzwerke entwickelt wurden.
Behörden empfehlen grundlegende Schutzmaßnahmen
Das FBI empfiehlt Betreibern unter anderem, SPS-Systeme grundsätzlich nicht direkt über das Internet erreichbar zu machen, werkseitige Standardpasswörter konsequent zu ersetzen und Fernzugriffe ausschließlich über abgesicherte Verbindungen bereitzustellen. Darüber hinaus sollten Netzwerke segmentiert, Sicherheitsupdates zeitnah eingespielt sowie Protokollierungen und Überwachungsmaßnahmen eingerichtet werden.
Die Behörden weisen darauf hin, dass insbesondere kleinere Versorgungsunternehmen häufig nur über begrenzte personelle und finanzielle Ressourcen für die Cybersicherheit verfügen. Deshalb stellen EPA und CISA zusätzliche technische Hilfen, Leitfäden und Unterstützungsangebote für Betreiber der Wasserwirtschaft bereit.
Wie es um die Cybersicherheit der deutschen Wasserwirtschaft steht, lesen Sie im Interview mit Ronald Derler, Geschäftsführer Kompetenzzentrum Digitale Wasserwirtschaft.
Quellen:
- FBI: Warnmeldung: Malicious Cyber Actors Targeting Water and Wastewater Sector Internet-Facing Programmable Logic Controllers Causing Operational Disruptions
- EPA: Gemeinsame Cybersecurity Advisory von EPA, FBI, CISA und NSA
- NBC News: Hackers targeted municipal water systems in 7 states this week, FBI says
- Heise Online: FBI und US-Umweltbehörde warnen: Cyberangriffe auf US-Wasserwerke häufen sich
