Cyberangriffe auf Wasserwerke trafen Ende Juli mehr als 30 Kommunen in Minnesota, ohne dass die Angreifer eine einzige Sicherheitslücke brauchten. Die Steuerungen hingen offen im Internet, ein geändertes Passwort genügte zum Aussperren. Das BSI warnte schon Anfang Juni vor genau diesem Muster in deutschen Anlagen.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Cyberangriffe auf Wasserwerke trafen in Minnesota unter anderem Braham, Plymouth und South St. Paul. Mitarbeiter steuerten die Anlagen Ende Juli wieder von Hand, mehrere Versorger sprachen Abkochgebote aus, weil die Regelung von Druck und Durchfluss ausfiel.
Das Wichtigste in Kürze
- Mehr als 30 kommunale Wasserwerke in Minnesota wurden am 26. und 27. Juli angegriffen, dem FBI meldeten Versorger aus mindestens sieben Bundesstaaten Vorfälle.
- Die Angreifer nutzten keine Sicherheitslücke, sondern direkt aus dem Internet erreichbare Steuerungen, änderten Administratorpasswörter und verstellten IP-Adressen.
- CISA nennt nachträglich verbaute Mobilfunk-Modems als blinden Fleck reifer Sicherheitsprogramme.
- In Deutschland greift die KRITIS-Pflicht erst ab 500.000 versorgten Personen, die meisten Wasserversorger liegen darunter.
Wie kamen die Angreifer in die Wasserwerke?
Die Steuerungen standen offen im Internet. Angreifer erreichten die speicherprogrammierbaren Steuerungen direkt, änderten die Administratorpasswörter und verstellten die IP-Adressen, sodass die Leitwarte den eigenen Prozess weder sehen noch regeln konnte. Genau dieses Vorgehen beschreibt CISA in der Warnung vom 30. Juli.[1] Ein Exploit war dafür nicht nötig, ein erreichbarer Port genügte.
Der eigentliche blinde Fleck sitzt tiefer. CISA nennt ausdrücklich Mobilfunk-Modems, die Lieferanten nachträglich einbauen und die in keiner Bestandsliste auftauchen. Solche Zugänge führen an jeder Firewall vorbei. Wie schnell ein einziger Fernzugang eine Produktion stoppt, zeigte der Angriff auf Foxconns Serverfertigung.
Wer steckt hinter den Angriffen auf Wasserwerke?
Eine offizielle Zuschreibung fehlt bislang. CISA, FBI und EPA hatten ihre gemeinsame Warnung AA26-097A am 22. Juli aktualisiert, vier Tage vor den Vorfällen in Minnesota. Darin benannten die Behörden iranisch-affiliierte Akteure. Sicherheitsfirmen führen die Gruppe als CyberAv3ngers; dieselben Akteure kaperten 2023 die Steuerung eines Wasserwerks in Pennsylvania. Für die aktuellen Angriffe steht die Urheberschaft nicht fest.
Das Muster ist älter als der Vorfall. Censys zählte 5.219 weltweit erreichbare Industriesteuerungen eines einzigen Herstellers, knapp drei Viertel davon in den USA. Die Angriffsfläche entsteht aus der Anschlusspraxis: Fernwartung ohne VPN und Werkspasswörter, die nie geändert wurden. Wie die geordnete Variante aussieht, zeigt der erste zertifizierte Fernzugriff auf Brandmeldeanlagen.
Was in Minnesota geschah und wie die Ausgangslage in Deutschland aussieht. Stand: 3. August 2026.
Der Angriff in den USA
Die Ausgangslage in Deutschland
Das BSI und der Verfassungsschutz warnten am 3. Juni 2026 vor russischen Akteuren, die ungeschützt mit dem Internet verbundene Photovoltaikanlagen in Deutschland aufklären. Beide Behörden ordnen die Aktivität als mögliches Prepositioning ein.
Die Angreifer in Minnesota kamen über eine Steuerung mit öffentlicher IP-Adresse herein, ganz ohne Sicherheitslücke. Deutsche Versorger sollten deshalb zuerst die eigene Angriffsfläche scannen, bevor das nächste Sicherheitsprodukt in die Ausschreibung geht.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeuten Cyberangriffe auf Wasserwerke für Deutschland?
Die Schwelle schützt die falsche Größenklasse. Als kritische Infrastruktur gilt ein deutscher Wasserversorger erst ab 500.000 versorgten Personen. Der Großteil der rund 6.000 Versorger bleibt darunter. Angegriffen wurden in Minnesota aber genau die kleinen Betriebe: Braham zählt keine 2.000 Einwohner. Das seit Dezember 2025 geltende NIS2-Umsetzungsgesetz senkt die Hürde über Beschäftigten- und Umsatzgrenzen, kleine Stadtwerke fallen trotzdem häufig heraus.
Das BSI hat das Risiko hierzulande längst notiert. Gemeinsam mit dem Verfassungsschutz warnte die Behörde am 3. Juni 2026 vor russischen Akteuren, die ungeschützt mit dem Internet verbundene Photovoltaikanlagen aufklären, und stufte die Aktivität als mögliches Prepositioning ein.[2] Die Empfehlung des BSI gilt ausdrücklich nicht nur für Energieanlagen: Erreichbarkeit aus dem Internet ist wirksam zu unterbinden, und ein nötiger Fernzugriff läuft mindestens über ein VPN.
Für deutsche Stadtwerke heißt das konkret: die eigenen öffentlichen IP-Adressen gegen Shodan und Censys prüfen, danach jedes verbaute Mobilfunk-Modem dokumentieren. Von jeder Steuerung gehört zusätzlich ein sauberes Abbild ins Backup, denn nach einem fremd gesetzten Passwort bleibt sonst nur der Werksreset. Den Rahmen liefern die Cybersecurity-Grundlagen für den Mittelstand.
Quellen
[1] CISA: „CISA Urges Water and Wastewater Systems Sector to Protect OT Against Activity Targeting PLCs“
[2] BSI und Bundesamt für Verfassungsschutz: „Auskundschaftung schlecht geschützter PV-Anlagen durch staatliche Cyberakteure“
Mehr Newshunger?
- NIS2: Die Produktionshalle wird zur Haftungsfalle
- 36 Tage bis zur Meldung: Analog Devices bestätigt den Datenabfluss erst nach Wochen
- Sicherer Fernzugriff auf Brandmeldeanlagen: Siemens erhält als erster das VdS-Siegel
- Qilin-Ransomware nutzt Palo-Alto-VPN-Lücke: Wenn ein Cookie die Firewall öffnet
- NIS-2: Das BSI fragt, wo der Mittelstand klemmt
- Cybersecurity-Glossar 2026: 99 Begriffe von BSI bis Zero Trust
