Zuerst die direkte Antwort: Eine speicherprogrammierbare Steuerung (SPS, englisch PLC) ist der kleine Kasten, der in Ihrem Werk oder Ihrer Anlage tatsächlich die Pumpe startet, das Ventil schließt und den Alarm auslöst. Seit Ende Juli 2026 haben Angreifer genau diese Art von Gerät, direkt aus dem öffentlichen Internet erreichbar, bei Wasserversorgern in mindestens 12 US-Bundesstaaten ausgenutzt. Sie veränderten die darin laufende Betriebslogik, schalteten Alarme und Routinen für das sichere Abschalten ab und änderten Passwörter und Netzwerkadressen, bis die Betreiber keinen Zugriff mehr auf ihre eigenen Anlagen hatten. Die Folge waren keine abgeflossenen Dateien, sondern verlorener Wasserdruck, Überschwemmungen und Anlagen, die in den Handbetrieb wechseln mussten. Wenn Sie eine Produktionslinie oder ein Gebäude mit Steuerungssystemen betreiben, ist die Frage, die Sie heute beantworten müssen, einfach und konkret: Ist auch nur eine einzige Ihrer Steuerungen aus dem öffentlichen Internet erreichbar?

Was tatsächlich passiert ist

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA), das FBI und weitere Bundesbehörden gaben eine gemeinsame Warnung mit der Nummer AA26-097A heraus, ursprünglich veröffentlicht am 7. April 2026 und aktualisiert am 22. Juli 2026. Die Aktualisierung war nicht kosmetisch: Sie ergänzte Hinweise, wie sich bösartige Änderungen in wiederverwendbaren Codebausteinen von SPS-Programmen für Rockwell Automation erkennen lassen, und erweiterte den Kreis der betroffenen Hardware um Geräte von Schneider Electric, Siemens und anderen Herstellern. Am 30. Juli 2026 veröffentlichte die CISA eine separate Warnung, in der sie den Wasser- und Abwassersektor aufforderte, seine Operational Technology gegen Aktivitäten zu schützen, die gezielt auf SPS abzielen.

Die Methode verdient Aufmerksamkeit gerade deshalb, weil sie nicht genial ist und keinen teuren Zero-Day erfordert. Der Angreifer findet eine im Internet erreichbare Steuerung und nutzt dann die offizielle Engineering-Software – dieselbe Software, die Ihr eigener Ingenieur verwendet –, um die Projektdatei herunterzuladen und die darin enthaltene Kontaktplanlogik zu bearbeiten. Anschließend manipuliert er Add-On Instructions, um sichere Abschaltungen und Alarme zu deaktivieren, und fälscht, was die HMI- und SCADA-Bildschirme anzeigen, sodass der Bediener einen völlig normalen Messwert sieht, während der Tank oder die Linie etwas ganz anderes tut. Zum Schluss ändert er Passwörter und IP-Adressen auf den Geräten und installiert einen schlanken SSH-Dienst auf dem Modem vor Ort, damit der Zugang auch nach einem Neustart bestehen bleibt. Die Reihenfolge ist entscheidend: Die Fälschung der Anzeige kommt vor dem Schaden, und deshalb bemerkten mehrere Betreiber es erst spät.

Das Ausmaß erzählt den Rest. Allein in Minnesota wurden mehr als 30 kommunale Wassersysteme als Ziel gemeldet, und die Aktivität erstreckte sich auf weitere Bundesstaaten, darunter Michigan, New Jersey, Georgia und South Dakota. Aufschlussreicher als die Zahl war die Aussage des kommissarischen Direktors der CISA im August 2026: Das Team finde immer noch Steuerungen, die offen im Internet hängen, ganz ohne Passwort oder mit dem noch gültigen Werkspasswort. Seine Botschaft an die Branche bestand aus zwei Sätzen: Nehmen Sie Ihre Operational Technology vom Internet, und setzen Sie ein Passwort.

Warum das wichtig ist, wenn Sie eine Anlage in Saudi-Arabien betreiben

Weil es dieselbe Hardware ist, dieselben Hersteller und dieselbe Gewohnheit. Steuerungen von Rockwell, Siemens und Schneider betreiben im Königreich Produktionslinien, Aufbereitungsanlagen, Gebäudepumpen, Kältemaschinen und Gebäudeleittechnik (BMS), genau wie überall sonst. Und die Gewohnheit, die bei diesen Vorfällen die Tür geöffnet hat, gibt es überall: Der Errichter bittet um Fernzugriff, damit er Sie schnell betreuen kann, auf dem Router vor Ort wird ein Port geöffnet oder ein separates Mobilfunkmodem eingebaut, und danach wird die vorübergehende Lösung vergessen und bleibt jahrelang bestehen. Niemand dokumentiert sie, niemand überprüft sie, und sie taucht in keinem IT-Inventar auf – weil sie schlicht nicht zur IT gehört.

Genau deshalb hat die Nationale Cybersicherheitsbehörde Saudi-Arabiens (NCA) die Cybersicherheitskontrollen für Operational Technology (OTCC-1:2022) herausgegeben. Sie richten sich an sensible Industrieanlagen staatlicher und privater Einrichtungen und schreiben für industrielle Steuerungssysteme ein Mindestschutzniveau vor. Zum Dokument gehören ein Werkzeug zur Bewertung der Konformität und ein Werkzeug zur Klassifizierung von Anlagen, mit dem sich bestimmen lässt, wie sensibel ein bestimmter Standort ist. Wenn Sie in den Bereichen Wasser, Energie, Fertigung oder Facility-Management tätig sind, sind diese Kontrollen keine freiwillige Lektüre, und die Welle dieses Sommers liefert Ihnen einen betrieblichen Grund, Ihren Umsetzungsplan vorzuziehen, statt ihn zu verschieben.

Die eigentliche Lücke: IT ist eine Welt, OT eine andere

Die meisten Organisationen gehen die Sicherheit ihrer Operational Technology mit der Denkweise der Büro-IT an, und genau das ist das Kernproblem. In der IT-Welt hat die Vertraulichkeit der Daten oberste Priorität, Sie spielen monatlich Patches ein und starten einen Server nachts ohne echte Schmerzen neu. In der OT-Welt haben Kontinuität und Sicherheit oberste Priorität; eine Steuerung läuft unter Umständen zehn Jahre ohne Update, weil ihr Anhalten den Stillstand der Produktion bedeutet, ihr Betriebssystem ist konstruktionsbedingt alt, und die Protokolle, die sie spricht, stammen aus einer Zeit, in der man davon ausging, dass das Netzwerk tatsächlich isoliert ist – deshalb enthalten sie überhaupt keine Authentifizierung oder Verschlüsselung.

Die Folge ist, dass gewöhnliche Werkzeuge hier nicht helfen: Ein Virenscanner auf einer HMI-Station kann die Produktion anhalten, und ein herkömmlicher Schwachstellenscan kann eine empfindliche Steuerung zum Absturz bringen. Was dagegen funktioniert, ist Architektur: die Netze trennen, den einzigen Übergangspunkt zwischen ihnen kontrollieren und alles, was die Betriebswelt in Richtung Geschäftswelt verlässt, nur lesend bereitstellen.

Sieben Maßnahmen für diese Woche

  • Erfassen Sie, was tatsächlich offenliegt. Verlangen Sie eine Liste aller öffentlichen IP-Adressen Ihrer Standorte und aller in einer Leitwarte installierten Mobilfunkmodems. Diese Liste ist meist länger, als Sie erwarten, und enthält Geräte, von denen niemand im IT-Team weiß.
  • Schließen Sie den direkten Zugang. Keine Steuerung und kein HMI darf aus dem öffentlichen Internet erreichbar sein. Fernzugriff läuft über ein VPN oder ein Broker-Gateway, mit Multi-Faktor-Authentifizierung und zeitlich begrenzter Berechtigung, die bei Bedarf geöffnet und danach wieder geschlossen wird.
  • Ändern Sie jedes Standardpasswort. Ja, der Rat ist alt und langweilig – und genau das finden Ermittler heute noch sperrangelweit offen in realen Anlagen.
  • Segmentieren Sie die Netze. Büronetz und Produktionsnetz dürfen kein einziges flaches Netz sein. Der Verkehr zwischen ihnen läuft über einen einzigen geregelten und überwachten Punkt.
  • Stellen Sie den Betriebsartenschalter auf Run. Der physische Schlüsselschalter an der Steuerung blockiert das Herunterladen von Logik aus der Ferne. Eine einfache, wirksame Einstellung, die nichts kostet.
  • Bewahren Sie eine Offline-Kopie der Steuerungslogik und -konfiguration auf. Wird die Logik verändert oder ein Passwort geändert, entscheidet eine vertrauenswürdige Kopie darüber, ob die Wiederherstellung Stunden oder Tage dauert.
  • Überwachen Sie Änderungen, nicht nur Eindringversuche. Die Warnung, auf die es hier ankommt, lautet nicht "Es gibt einen Virus", sondern "Die Logik auf Steuerung 7 hat sich um 2:40 Uhr nachts geändert, und es wurde kein Wartungsauftrag eröffnet". Vergleichen Sie die laufende Logik planmäßig mit der freigegebenen Referenz und protokollieren Sie die Abweichungen.

Wo das in Ihren laufenden Digitalisierungsprojekten ansetzt

Jedes Digitalisierungsprojekt für eine Fabrik, ein Lager oder eine Anlage bringt dieselbe Anforderung mit: Wir wollen ein Dashboard, das die Leistung der Linie live zeigt, und eine Benachrichtigung aufs Telefon, wenn eine Pumpe stehen bleibt. Die Anforderung ist völlig berechtigt; das Risiko entsteht bei der Umsetzung. Der schnelle Weg besteht darin, das Cloud-System direkt an das Steuerungsnetz anzubinden oder einen Port zu öffnen, damit es von dort lesen kann – und genau das macht aus einer Kette von Vorfällen wie dieser statt einer Meldung aus dem Ausland einen Vorfall an Ihrem eigenen Standort.

Der richtige Weg kostet nur ein paar Tage mehr: ein Daten-Gateway in der Mitte, das aus der Betriebswelt liest und nie in sie schreibt, eine einzige Richtung des Datenflusses von der Produktion hinauf zu den Geschäfts-Dashboards, eine eigene Identität für jede Integration mit den geringsten Rechten, mit denen sie arbeiten kann, und ein manipulationssicheres Protokoll jedes Befehls, der vom Geschäftssystem hinunter in die Fertigung geht. Wenn wir bei Origami Betriebs-, Lager- und Instandhaltungssysteme entwerfen, ist diese Trennung kein Sicherheitsbaustein, der am Ende angeschraubt wird – sie ist eine Architekturentscheidung vom ersten Tag an, denn sie später nachzurüsten bedeutet, die Integration von Grund auf neu zu bauen.

Die praktische Lehre aus der Welle dieses Sommers ist nicht, dass Operational Technology gefährlich ist. Sie lautet, dass ihre am häufigsten geöffneten Türen zugleich die einfachsten sind: ein vergessenes Gerät im Internet, ein Standardpasswort und der vorübergehende Zugang eines Dienstleisters, der stillschweigend dauerhaft wurde. Diese drei schließt man mit einer Entscheidung der Geschäftsführung und einer Woche Arbeit, nicht mit einem außergewöhnlichen Budget.

Quellen