Über 4.400 exponierte Rockwell-PLCs gefährden US-Wassersysteme

Tausende Steuerungen für Wassersysteme offen im Internet

Eine neue Untersuchung internetverbundener Industrieanlagen hat über 4.400 exponierte speicherprogrammierbare Steuerungen (PLCs) von Rockwell Automation zutage gefördert – jene kleinen Computer, die physische Prozesse wie Wasseraufbereitung, Pumpen und Chemikaliendosierung steuern. Die Sicherheitsforscher von Forescout identifizierten rund 4.407 dieser Geräte, die direkt aus dem öffentlichen Internet erreichbar sind; 22 davon befanden sich in Städten, die bereits Cyberangriffe auf ihre Wassersysteme erlebt haben. Bemerkenswert: 19 dieser 22 exponierten Steuerungen liefen mit derselben zugrunde liegenden Konfiguration – das deutet auf ein gemeinsames Schwachstellenmuster hin, nicht auf isolierte Fehlkonfigurationen.

Diese Entdeckung fällt in eine Zeit dokumentiert zunehmender Angriffe auf US-amerikanische Wasser- und Abwasserbetriebe. Bundesbehörden, darunter FBI und CISA, haben Warnungen herausgegeben, dass Bedrohungsakteure aktiv auf internetseitig erreichbare PLCs abzielen, um Geräteeinstellungen aus der Ferne zu manipulieren – in manchen Fällen, ohne überhaupt eine Software-Schwachstelle ausnutzen zu müssen. Da die Steuerungen direkt exponiert sind, können Angreifer sich möglicherweise einfach einloggen und Betriebsparameter ändern, indem sie das Gerät finden und Zugangsdaten erraten oder per Brute-Force knacken.

Warum die direkte Erreichbarkeit das eigentliche Problem ist

Anders als bei einer typischen Datenschutzverletzung mit gestohlenen Datensätzen geht es hier um physische Infrastruktur, die genauso erreichbar ist wie eine Website. Rockwell-PLCs sind dafür ausgelegt, in isolierten Industrienetzen betrieben zu werden, und nicht dafür, offen im Internet zu stehen. Wenn sie exponiert sind, braucht ein Angreifer nicht unbedingt einen ausgeklügelten Exploit oder eine Zero-Day-Schwachstelle. Schwache oder voreingestellte Passwörter, ungepatchte Fernzugriffssoftware oder einfache Fehlkonfigurationen können genügen, um jemandem Zugriff zu verschaffen und Einstellungen zu verändern, die reale Prozesse wie Chlordosierung oder Pumpenbetrieb steuern.

Dieser Unterschied ist wichtig, denn er verschiebt den Sicherheitsfokus weg von „Wurde dieses System gehackt?“ hin zu „Warum ist dieses System überhaupt erreichbar?“. Berichten zufolge haben mindestens neun Bundesstaaten Cyberangriffe gemeldet, die mit diesem Muster exponierter Wasseranlagen in Verbindung stehen – ein Beleg dafür, dass es sich nicht um ein hypothetisches Risiko handelt, das auf ein einzelnes Versorgungsunternehmen oder eine Region beschränkt ist. Es ist ein strukturelles Problem der gesamten Branche: Ältere Industrieausrüstung wurde nie mit Blick auf eine Internet-Exposition gebaut, und als die Versorgungsbetriebe Fernüberwachung und -management modernisierten, wurden viele Steuerungen direkt erreichbar – ohne adäquate Netzsegmentierung oder Authentifizierungsschichten dazwischen.

Die Überschneidung von Privatsphäre und Sicherheit

Obwohl es hier um Betriebstechnologie und nicht um personenbezogene Daten geht, verdeutlicht dieser Fall ein Prinzip, das sich durch die gesamte Cybersicherheit zieht: Die Ursache ist oft die Exposition, nicht die Raffinesse der Angriffe. Dasselbe Prinzip steckt auch hinter den Q2 2026 Ransomware-Daten, die steigende Opferzahlen und Erpressungsaktivitäten zeigen – Angreifer verschaffen sich häufig über exponierte Fernzugänge Zugang, nicht über hochentwickelte Exploits. Ob das Ziel nun ein Krankenhaus, ein Versicherer oder eine Wasseraufbereitungsanlage ist – das Muster wiederholt sich: Systeme, die vom öffentlichen Internet abgeschottet sein sollten, werden erreichbar, und Angreifer nutzen das aus.

Für Organisationen, die Fernzugriff auf sensible Systeme verwalten, sind korrekte Netzsegmentierung und verschlüsselte Tunnelverbindungen grundlegende Verteidigungsmaßnahmen. Technologien wie VPNs sind bei richtiger Konfiguration dazu gedacht, zwischen entfernten Administratoren und der verwalteten Ausrüstung zu sitzen, anstatt diese Ausrüstung direkt zu exponieren. Ressourcen wie eine Übersicht über VPN-Protokolle oder eine Erklärung, wie VPN-Verschlüsselung den Datenverkehr tatsächlich schützt, sind nützliche Ausgangspunkte für IT-Teams, die prüfen wollen, ob ihre Fernzugriffslösung ihren Zweck erfüllt. Ältere, aber immer noch relevante Optionen wie L2TP/IPSec zeigen, wie Tunnelung in Kombination mit Verschlüsselung seit langem ein Grundbaustein für die Absicherung von Fernverbindungen zu kritischen Systemen ist – ob industrieller oder anderer Art.

Was das für Sie bedeutet

Wenn Sie kein Betreiber eines Wasserwerks sind, mag diese Geschichte weit weg erscheinen, aber sie spiegelt eine grundlegende Wahrheit darüber wider, wie moderne Infrastruktur versagt. Exponierte Rockwell-PLCs wurden nicht durch einen Datenabfluss oder geleakte Zugangsdaten zum Risiko – sie mussten einfach nur erreichbar sein. Dieselbe Logik gilt für Heimnetzwerke, Systeme kleiner Unternehmen und jede Geräteverwaltungsoberfläche, die ohne ausreichende Authentifizierung offen gelassen wird. Die Lehre ist nicht, dass Industriesysteme besonders verwundbar sind, sondern dass jedes System, das ohne Segmentierung, starke Authentifizierung oder verschlüsselten Zugang exponiert wird, früher oder später ins Visier gerät.

Für Verbraucher bedeutet das weniger, sich um Wasserversorger zu sorgen, als vielmehr den Wert des Verständnisses dafür zu erkennen, wie Fernzugriff eigentlich funktionieren sollte. Wenn Ihr Heimrouter, Ihre Smart-Geräte oder Ihr Homeoffice-Setup auf direkte Internet-Exposition setzen statt auf verschlüsselte, authentifizierte Verbindungen, folgen Sie demselben riskanten Muster, das zu diesen exponierten PLCs geführt hat.

Kernaussagen

• Mehr als 4.400 Rockwell-PLCs wurden direkt offen im Internet gefunden, darunter mindestens 22 in Städten, die bereits Angriffe auf ihre Wassersysteme erlebt haben.
• Bundesbehörden haben gewarnt, dass Angreifer diese Exposition direkt ausnutzen, teilweise ohne eine Software-Schwachstelle zu benötigen.
• Das Kernproblem ist die Exposition und schwache Segmentierung, nicht allein ausgefeilte Hacking-Techniken.
• Wer Fernzugriff auf sensible Systeme verwaltet – ob industriell oder privat – sollte verschlüsselte, authentifizierte Verbindungen gegenüber direkter Internet-Exposition priorisieren.
• Das Verständnis grundlegender Werkzeuge wie VPN-Protokolle und Verschlüsselungsstandards hilft zu verstehen, wie angemessene Fernzugriffssicherheit tatsächlich aussehen sollte.