FBI untersucht Micro-Comm Ransomware-Vorfall im Wassersektor

Was bei Micro-Comm passiert ist und warum es wichtig ist

Bundesstrafverfolgungs- und Cybersicherheitsbehörden untersuchen einen Ransomware-Angriff und einen Datendiebstahl-Vorfall bei Micro-Comm, einem Hersteller von speicherprogrammierbaren Steuerungen (SPS) und industrieller Automatisierungstechnologie mit Sitz in Olathe, Kansas, die in Wasser- und Abwasseranlagen eingesetzt wird. Das FBI hat eine Untersuchung des Vorfalls eingeleitet, bei dem Angreifer nicht nur Systeme verschlüsselten, sondern auch Daten aus dem Netzwerk des Unternehmens stahlen.

Die Beteiligung von Bundesermittlern zeigt, wie ernst Beamte jeden Vorfall nehmen, der die Lieferkette des Wassersektors berührt. Micro-Comm betreibt selbst keine Kläranlagen oder Verteilungssysteme, aber seine SPS und Automatisierungsprodukte sind in der Betriebstechnologie (OT) eingebettet, auf die Wasserversorger zur Steuerung von Pumpen, Ventilen und Aufbereitungsprozessen angewiesen sind. Ein Ransomware-Angriff auf einen solchen Anbieter wirft die Frage auf, ob gestohlene Daten, Zugangsdaten oder Produktinformationen genutzt werden könnten, um die Versorgungsunternehmen anzugreifen, die auf diese Ausrüstung angewiesen sind.

Genau deshalb kann ein Ransomware-Angriff auf einen Lieferanten im Wassersektor genauso wichtig sein – oder wichtiger – als ein Angriff auf ein Versorgungsunternehmen selbst. Ein kompromittierter Anbieter steht vorgelagert vor potenziell Dutzenden oder Hunderten nachgelagerter Kunden.

Wie Drittanbieter von ICS/SCADA-Systemen zu Angriffsvektoren für kritische Infrastruktur werden

Anbieter von industriellen Steuerungssystemen (ICS) und SCADA-Systemen nehmen eine besonders sensible Position im Ökosystem der kritischen Infrastruktur ein. Diese Unternehmen unterhalten häufig Fernzugriffswerkzeuge, Konfigurationsdateien, Netzwerkdiagramme und Support-Zugangsdaten, die mit den Betriebssystemen ihrer Kunden verbunden sind. Wenn die eigene IT-Umgebung eines Anbieters kompromittiert wird, kann dieser Datenschatz für Angreifer zu einer Landkarte werden, um lateral in Kundennetzwerke vorzudringen.

Der Fall Micro-Comm passt in ein umfassenderes Muster, das Sicherheitsforscher und Behörden wie die CISA wiederholt hervorgehoben haben: Wasser- und Abwassersysteme sind häufig kleinere, ressourcenbeschränkte Versorgungsunternehmen, die stark auf Drittanbieter für Konstruktion, Wartung und Fernsupport angewiesen sind. Diese Abhängigkeit ist praktisch und oft notwendig, bedeutet aber auch, dass die Sicherheitslage des Versorgungsunternehmens nur so stark ist wie der schwächste Anbieter in seiner Lieferkette. Eine Ransomware-Gruppe muss nicht direkt ein Wasseraufbereitungswerk angreifen, wenn sie stattdessen das Unternehmen kompromittieren kann, das die Steuerungen des Werks gebaut oder wartet.

Das Ransomware-Lieferkettenmuster: Von Kanzleien zu Wasserversorgern

Micro-Comm ist kein isoliertes Beispiel für Angreifer, die die unterstützende Infrastruktur eines Sektors statt seiner sichtbarsten Akteure ins Visier nehmen. Ransomware- und Erpressungsgruppen haben sich zunehmend auf Organisationen konzentriert, die sensible Daten oder privilegierten Zugriff im Auftrag anderer halten – gerade weil die Kompromittierung einer solchen Einheit gleichzeitig Druck auf viele nachgelagerte Opfer ausüben kann. In der Rechtsbranche beispielsweise trafen 2025 und Anfang 2026 mehr als 200 stille Erpressungsangriffe Anwaltskanzleien, ein Trend, der dadurch angetrieben wird, dass Kanzleien häufig vertrauliche Mandantendaten besitzen, die wertvoll zu stehlen und durch Erpressung leicht zu Geld zu machen sind.

Dieselbe zugrundeliegende Logik gilt für Industrieanbieter, die kritische Infrastruktur bedienen. Ob das Ziel nun eine Kanzlei ist, die Mandantenakten besitzt, oder ein SPS-Hersteller, der Netzwerkkonfigurationen für Wasserversorger besitzt – die Kalkulation des Angreifers ist dieselbe: Finde die Organisation, deren Kompromittierung den größtmöglichen Schadensradius erzeugt. Betrachtet man den Vorfall bei Micro-Comm durch diese Linse, wird deutlich, dass er Teil eines systemischen Musters von Lieferkettenangriffen ist, kein Einzelfall, der auf den Wassersektor beschränkt ist.

Sicherheitslektionen: Fernzugriff, VPNs und Netzwerksegmentierung für industrielle Systeme

Für Wasserversorger und andere Betreiber kritischer Infrastruktur unterstreichen Vorfälle wie dieser einige grundlegende Sicherheitspraktiken. Der Fernzugriff auf OT-Umgebungen sollte streng kontrolliert werden, idealerweise über dedizierte, überwachte Verbindungen statt über gemeinsame oder generische Fernzugriffswerkzeuge, die ein Anbieter möglicherweise auch bei anderen Kunden einsetzt. Die Netzwerksegmentierung zwischen IT- und OT-Systemen bleibt eine der effektivsten Methoden, um einen Vorfall einzudämmen und sicherzustellen, dass eine Ransomware-Infektion im Geschäftsnetzwerk nicht leicht die Steuerungen erreichen kann, die physische Prozesse betreiben.

Versorgungsunternehmen sollten das Lieferantenrisikomanagement auch als fortlaufende Aufgabe betrachten und nicht als einmalige Überprüfung. Das bedeutet zu verstehen, welche Daten ein Anbieter über Ihre Systeme besitzt, wie dieser Anbieter sein eigenes Netzwerk schützt und welche Meldepflichten bei Vorfällen in Ihren Verträgen festgelegt sind. VPNs und verschlüsselte Fernzugriffskanäle sind in diesem Zusammenhang nützliche Werkzeuge, aber sie sind nur so stark wie die Zugangsdatenhygiene und Netzwerksegmentierung, die sie umgeben.

Was das für Sie bedeutet

Wenn Ihre Organisation auf Micro-Comm-Produkte angewiesen ist oder mit Anbietern in der Wasser- und Abwasser-Lieferkette zusammenarbeitet, besteht die unmittelbare Priorität darin, festzustellen, ob möglicherweise Ihre Zugangsdaten, Netzdaten oder Konfigurationsdaten offengelegt wurden. Kontaktieren Sie den Anbieter direkt für Einzelheiten zum Umfang des Vorfalls und befolgen Sie die Anweisungen der Bundes-Cybersicherheitsbehörden, während sich die Untersuchung entwickelt. Für Betreiber von Versorgungsunternehmen ist dies generell ein guter Zeitpunkt, um zu prüfen, welche Drittanbieter Fernzugriff auf OT-Systeme haben, und zu bestätigen, dass Segmentierungs- und Überwachungskontrollen tatsächlich durchgesetzt werden – nicht nur auf dem Papier dokumentiert sind.

Auch für Leser außerhalb des Wassersektors ist der Micro-Comm-Vorfall eine Erinnerung daran, dass ein Ransomware-Angriff im Wassersektor selten auf ein einzelnes Unternehmen beschränkt bleibt. Lieferketten verbinden Anbieter, Versorgungsunternehmen und letztlich die Öffentlichkeit, die auf zuverlässige Wasserversorgung angewiesen ist – weshalb die Sicherheit von Anbietern dieselbe Aufmerksamkeit verdient wie die Infrastruktur, die sie unterstützt.

Bleiben Sie informiert, während sich diese Untersuchung entwickelt, überprüfen Sie die Drittanbieter-Zugriffsrichtlinien Ihrer Organisation und behandeln Sie Anbieter-Vorfälle als Signal, Ihre eigene Netzwerksegmentierung neu zu bewerten, statt sie als Problem anderer abzutun.