Iranischer Cyberangriff trifft 30 Wassersysteme in Minnesota

Iranischer Cyberangriff auf Wassersysteme in Minnesota signalisiert einen Motivwechsel

Ein koordinierter Cyberangriff auf die Betriebstechnologie (OT) von mehr als 30 kommunalen Wasser- und Abwassersystemen in ganz Minnesota wird nun einem vom iranischen Staat gesponserten Akteur zugeschrieben. Anders als die Ransomware-Vorfälle, die die Schlagzeilen beherrschen, hinterließ diese Kampagne weder eine Lösegeldforderung noch eine Zahlungsaufforderung. Laut Meldungen über Sicherheitsverletzungen ist genau dieses Fehlen das Detail, auf das sich die Ermittler am meisten konzentrieren: Es deutet weg von finanzieller Erpressung und hin zu einem politisch motivierten Störungsauftrag.

Der Angriff, der sich innerhalb eines kurzen Zeitfensters Ende Juli ereignete, zielte auf die industriellen Steuerungssysteme ab, die die Wasseraufbereitung und -verteilung in Dutzenden von Gemeinden in Minnesota am Laufen halten. Wenn Sie den vollständigen Zeitplan darüber wünschen, wie sich der Vorfall innerhalb von nur zwei Tagen auf mehr als 30 Systeme ausbreitete, finden Sie in unserer früheren Berichterstattung über den Cyberangriff auf Wassersysteme in Minnesota eine Aufschlüsselung der ersten Erkennung und Reaktion.

Warum das Fehlen der Lösegeldforderung die Lage verändert

Die meisten Cyberkriminellen-Gruppen, die in Versorgungsnetze eindringen, sind auf Geld aus. Sie verschlüsseln Daten, sperren Bediener aus Systemen aus und hinterlassen Anweisungen für eine Zahlung in Kryptowährung. Dieses Vorgehen ist so bekannt, dass Incident Responder die Lösegeldforderung selbst oft wie einen Fingerabdruck behandeln, der ihnen hilft, die Gruppe hinter einem Angriff zu identifizieren und ihren nächsten Schritt vorherzusagen.

Diese Kampagne durchbrach dieses Muster vollständig. Ohne Erpressungsforderung und ohne Versuch, den Eindringling zu Geld zu machen, gehen die Ermittler davon aus, dass das Ziel die Störung um ihrer selbst willen oder die Demonstration von Fähigkeiten war. Dieser Unterschied ist wichtig, denn er verändert, wie Versorgungsunternehmen, Regulierungsbehörden und Anwohner über das Risiko denken sollten. Ein finanziell motivierter Angreifer möchte die Systeme nach der Zahlung schnell wieder online bringen. Ein staatlich unterstützter Akteur, der einen Störungsauftrag verfolgt, hat keinen solchen Anreiz, was die Wiederherstellungszeiten weniger vorhersehbar macht und die zugrunde liegende Absicht schwerer verhandelbar.

Teil eines breiteren Musters staatlich gesponserter Angriffe auf Betriebstechnologie

Wasser- und Abwasserversorger sind in den letzten zwei Jahren zu einem immer sichtbareren Ziel für ausländische, mit staatlichen Stellen verbundene Hacking-Gruppen geworden, vor allem weil sie eine kritische öffentliche Funktion mit oft personell und finanziell schlecht ausgestatteten Cybersicherheitsteams kombinieren. Kleine und mittlere kommunale Systeme betreiben häufig veraltete speicherprogrammierbare Steuerungen (SPS) und OT-Geräte, die nie für die heutige Bedrohungslandschaft konzipiert wurden, was sie zu attraktiven Einstiegspunkten für Akteure macht, die beweisen wollen, dass sie physische Infrastruktur erreichen können.

Dabei handelt es sich nicht um ein isoliertes Phänomen, das auf einen Nationalstaat oder einen Sektor beschränkt ist. Unsere Berichterstattung über einen neu enttarnten chinesischen Cyber-Auftragnehmer zeigt, wie mehrere Staaten Auftragnehmer-Ökosysteme gezielt aufbauen, um Eindringungskampagnen gegen ausländische Infrastrukturen und Netzwerke zu unterstützen. Ob der Akteur iranisch, chinesisch oder anderer Herkunft ist – der gemeinsame Nenner ist ein wachsender Appetit auf Zugang zu Systemen, die historisch als zu obskur oder zu lokal galten, um sie ins Visier zu nehmen.

Was das für Sie bedeutet

Wenn Sie in einer der betroffenen Gemeinden in Minnesota leben, ist die unmittelbare Sorge klar: Ist das Wasser sicher und die Versorgung zuverlässig? Die mit der Untersuchung des Vorfalls befassten Behörden haben nicht auf eine unmittelbar mit dem Eindringen verbundene Notlage für die öffentliche Gesundheit hingewiesen, aber jede Störung von OT-Systemen in einem Wasserwerk erfordert eine genaue Überwachung durch die örtlichen Behörden und anhaltende Transparenz gegenüber den Anwohnern.

Über den unmittelbaren Vorfall hinaus gibt es eine wichtige Datenschutz- und Sicherheitsdimension. Angriffe auf Betriebstechnologie unterscheiden sich von den Datenschutzverletzungen, die die meisten Menschen mit „Cyberangriffen“ verbinden. In der Regel werden weder Kundendatenbanken gestohlen noch persönliche Informationen zum Verkauf offengelegt. Stattdessen besteht das Risiko für die Zuverlässigkeit und Integrität der physischen Dienstleistungen, auf die die Menschen täglich angewiesen sind. Das macht dies weniger zu einer persönlichen Datenschutzgeschichte, sondern vielmehr zu einer Geschichte über öffentliche Sicherheit und die Widerstandsfähigkeit der Infrastruktur, auch wenn beides zunehmend miteinander verflochten ist, da immer mehr kommunale Systeme ihre Betriebsabläufe digitalisieren und den Fernzugriff für Wartung und Überwachung ausweiten.

Für kommunale IT- und OT-Administratoren liegt die Lehre weniger in einem einzelnen Bedrohungsakteur, sondern vielmehr in der wachsenden Aufmerksamkeit, die Wassersysteme generell erhalten. Grundlegende Härtungsmaßnahmen, Netzwerksegmentierung zwischen IT- und OT-Umgebungen sowie schnelles Patchen von internetzugewandten Steuerungssystemen bleiben unabhängig davon, wer hinter dem nächsten Versuch steckt, die effektivsten Abwehrmethoden.

Umsetzbare Erkenntnisse

Anwohner in den betroffenen Gemeinden sollten auf offizielle Aktualisierungen ihres örtlichen Wasserversorgers achten, anstatt sich auf Berichte aus zweiter Hand zu verlassen, da die Versorgungsunternehmen normalerweise als Erste über Auswirkungen auf die Versorgung informiert sind. Kommunalbeamte, die Wasser- und Abwassersysteme beaufsichtigen, sollten diesen Vorfall als Anlass nehmen, Fernzugriffspunkte in OT-Netzwerke zu überprüfen und sicherzustellen, dass Steuerungssysteme nicht direkt dem öffentlichen Internet ausgesetzt sind. Und alle, die den breiteren Trend staatlich gesponserter Angriffe auf die US-Infrastruktur verfolgen, sollten erkennen, dass der Vorfall in Minnesota Teil eines Musters ist und nicht allein steht: Betreiber kritischer Infrastrukturen jeder Größe stehen nun fest im Visier ausländischer, mit staatlichen Stellen verbundener Akteure, und das Fehlen einer Lösegeldforderung bedeutet nicht, dass kein Risiko besteht.