Fünf Baureihen der Siemens-S7-Steuerungen stehen im Zentrum einer gemeinsamen Warnung von NSA, CISA und FBI. Die US-Behörden melden keine neue Lücke, sondern eine neue Methode: Angreifer lassen sich die Exploit-Skripte von einer KI schreiben und tarnen sie als harmlose Überwachungssoftware. Für Betreiber vernetzter Fabriken und Wasserwerke im DACH-Raum verschiebt diese Entwicklung die Bedrohungslage spürbar.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- Am 19. August 2026 warnten NSA, CISA und FBI in der gemeinsamen Sicherheitswarnung AA26-231A vor aktiven Angriffen auf Siemens-S7-Steuerungen.
- Betroffen sind die Baureihen S7-200, S7-300, S7-400, S7-1200 und S7-1500, sobald sie ungeschützt am Internet hängen.
- Neu ist die Methode: KI-generierte Python-Skripte sprechen über die Bibliothek snap7 direkt mit der Steuerung und geben sich als OT-Überwachung aus.
- Über 30 Wasserwerke in Minnesota gerieten Ende Juli bereits ins Visier, ein Werk steuerte die Aufbereitung danach von Hand.
Wie schreibt eine KI den Angriff auf die S7-Reihe?
Die KI erfindet keine neue Lücke, sondern beschleunigt das Ausnutzen längst bekannter Schwächen. Angreifer lassen sich aus öffentlich dokumentierten S7-Schwachstellen Python-Skripte generieren und sparen so die Spezialkenntnis, die früher nötig war.
Diese Skripte greifen über die quelloffene Bibliothek snap7 und das S7comm-Protokoll direkt auf Speicher, Konfiguration und Ladder-Logik der Steuerung zu.[1] Als Einfallstor genügen offen erreichbare Geräte mit Standardpasswort, aufgespürt über Suchdienste wie Censys und ZoomEye. Getarnt sind die Werkzeuge als harmlose OT-Überwachung, damit sie im laufenden Betrieb nicht auffallen.
Ist der Angriff auf die Wasserwerke ein Einzelfall?
Ein Einzelfall ist der Angriff nicht. Die Warnung nennt sechs kritische Sektoren, von der Fertigung über die Energie- und Chemiebranche bis zu Wasser, Lebensmitteln und öffentlichen Einrichtungen.
Neu ist allein das Tempo. Wo ein Angreifer früher Wochen an einem ICS-Exploit saß, liefert die KI ihn in Minuten, sauber in das ICS-Framework von MITRE ATT&CK eingehängt. Genau das macht aus einem Einzelvorfall eine Angriffsklasse.
Die eigentliche Nachricht ist nicht die Lücke in einer S7, sondern der Werkzeugkasten davor: Sobald eine KI den Exploit in Minuten schreibt, wird jede offen erreichbare Steuerung zum lohnenden Ziel. Betreiber, die ihre Anlagen für zu unscheinbar halten, rechnen mit dem Angreifer von gestern.
— Michael Dobler, Herausgeber Dr. Web
Der Fall reiht sich in eine Serie ein. Schon Ende Juli trafen dieselben ferngesteuerten Zugriffe über 30 Wasserwerke in Minnesota. In der Industrie läuft die Debatte um offene Fabriksteuerungen ohnehin längst.
Was die gemeinsame Warnung AA26-231A vom 19. August 2026 über die Angriffe auf Siemens-S7-Steuerungen zusammenträgt
Siemens meldet keine neue Lücke. Angreifer koppeln KI-Skripte an längst bekannte Schwachstellen und an die Standardpasswörter offen erreichbarer Steuerungen.
Was bedeutet das für Betreiber im DACH-Raum?
Für deutsche Stadtwerke und Mittelständler ändert die Warnung die Lage unmittelbar, denn dieselben S7-Steuerungen stehen in Klärwerken, Kraftwerken und Fertigungshallen zwischen Flensburg und Villach. Das BSI warnte schon im Juni vor russischer Ausspähung vernetzter Anlagen, ein klassisches Prepositioning vor dem Ernstfall.
Unter NIS2 und der Anlagensicherheit nach IEC 62443 haften Betreiber für genau diese Angriffsfläche. Anders als bei einer CISA-Frist für einen Software-Patch lässt sich eine Steuerung nicht über Nacht neu aufspielen, die Absicherung bleibt Handarbeit.
- Jede S7-Steuerung inventarisieren und konsequent vom offenen Internet trennen oder segmentieren.
- Standard- und Werkspasswörter ersetzen, den Fernzugriff von Dienstleistern gesondert prüfen.
- Den S7comm-Verkehr auf ungewöhnliche Schreibzugriffe und Verbindungen außerhalb der Schicht überwachen.
Quelle
[1] NSA, CISA, FBI, DOE, EPA: „Defending Against an Active Threat to Siemens S7 Series PLCs“ (AA26-231A)
Mehr Newshunger?
- Cyberangriffe auf Wasserwerke: 30 Anlagen in Minnesota liefen nur noch von Hand
- Defender-Lücke ShieldBreak: CISAs 14-Tage-Frist läuft ohne Patch
- FortiWeb-Lücke: Ein beliebiges Passwort genügt für den Admin-Zugang
- Container statt Firmware: Festo öffnet die Fabriksteuerung für fremde KI- und Roboter-Software
- Cloudflare Workers: Ein Spectre-Angriff las das JWT eines fremden Kunden
