Tausende Wasseranlagen-Controller weiterhin online sichtbar
Neue Forschung hat mehr als 4.000 industrielle Steuerungen von Rockwell Automation identifiziert, die direkt mit dem Internet verbunden sind – viele davon im Zusammenhang mit US-amerikanischen Wasserwerken. Unter den exponierten Geräten wurden 22 Städten zugeordnet, die bereits Cyberangriffe auf ihre Wasserinfrastruktur erlebt haben. Die Ergebnisse werfen eine unbequeme Frage für den Wassersektor auf: Warum sind nach jahrelangen bundesstaatlichen Warnungen immer noch so viele kritische Systeme für jeden sichtbar, der das Internet durchsucht?
Zu den exponierten Geräten gehören speicherprogrammierbare Steuerungen (SPS) – kleine Industriecomputer, die physikalische Prozesse wie Wasserdruck, Chemikaliendosierung und Pumpenbetrieb steuern. Das sind keine Verbrauchergeräte, die hinter einem Heimrouter stehen. Sie sollen in geschützten internen Netzwerken isoliert sein und nur autorisierten Bedienern zugänglich sein. Wenn eine SPS aus dem offenen Internet erreichbar ist, wird sie zu einem potenziellen Einstiegspunkt für jeden mit den richtigen Werkzeugen und der entsprechenden Motivation – von opportunistischen Scannern bis hin zu staatlich verbundenen Bedrohungsakteuren.
Warum exponierte Industrie-Controller ein Datenschutz- und Sicherheitsproblem sind
Es mag verlockend sein, dies unter „Industrie-Cybersicherheit“ abzuhaken und weiterzugehen, aber exponierte Industrie-Controller haben Konsequenzen, die weit über die IT-Abteilungen hinausreichen. Wasserwerke speichern Betriebsdaten, Kundenkontoinformationen und Infrastrukturdetails, die – wenn sie offengelegt oder manipuliert werden – ganze Gemeinden betreffen. Eine kompromittierte Steuerung ist nicht nur ein Datenschutzrisiko; sie ist ein Risiko für die öffentliche Sicherheit, da Angreifer, die Zugriff auf eine SPS erlangen, theoretisch Aufbereitungsprozesse verändern oder die Versorgung stören können.
Im weiteren Sinne ist dies auch eine grundlegende Datenschutzgeschichte. Verbraucher von Wasserwerken haben keinerlei Einblick, ob die Infrastruktur, die ihr Wasser liefert, sicher ist, und keine sinnvolle Möglichkeit, dem zu widersprechen, wenn sie es nicht ist. Anders als bei einem gehackten Händler oder einer Social-Media-Plattform kann man den Anbieter nicht wechseln, wenn das kommunale Wassersystem die exponierte Ausrüstung betreibt. Die Last für Datenschutz und Sicherheit liegt vollständig bei den Betreibern, die dieser Forschung zufolge die Bundesrichtlinien, diese Systeme offline zu nehmen oder ordnungsgemäß vom öffentlichen Internet zu segmentieren, nicht konsequent befolgt haben.
Ein Muster von Warnungen, das die Lücke nicht geschlossen hat
Bundesbehörden haben Wasserwerke und andere kritische Infrastrukturbetreiber wiederholt aufgefordert, internetseitige industrielle Steuerungssysteme zu entfernen, starke Authentifizierung durchzusetzen und Operational-Technology-Netzwerke von der Unternehmens-IT zu segmentieren. Trotz dieser Leitlinien zeigt der Scan, der dieser Forschung zugrunde liegt, dass das Problem in großem Umfang fortbesteht – Tausende von Steuerungen sind weiterhin mit einfachen Internet-Scanning-Tools auffindbar, die weder besonderen Zugang noch hohes Fachwissen erfordern.
Die Tatsache, dass sich 22 der exponierten Geräte in Städten befinden, die bereits Ziel von Angriffen auf Wassersysteme waren, ist besonders bemerkenswert. Sie legt nahe, dass selbst nach einem Vorfall, der die Aufmerksamkeit auf ein bestimmtes Wasserwerk oder eine Region lenkt, die zugrunde liegende Sicherheitslücke nicht unbedingt behoben wird. Das Bewusstsein allein führt nicht zu Maßnahmen – sei es aufgrund von Budgetengpässen, Personalmangel oder der schieren Komplexität, Sicherheitsmaßnahmen in eine Infrastruktur nachzurüsten, die nie für eine Internetanbindung konzipiert wurde.
Dies spiegelt ein breiteres Muster wider, das in verschiedenen Sektoren unter dem Druck von Cyberbedrohungen zu beobachten ist. Im Gesundheitswesen etwa mussten Behörden Organisationen aktiv dazu drängen, Daten zu Ransomware-Bedrohungen zu teilen, weil Betreiber historisch zurückhaltend bei der Meldung von Vorfällen waren – was die kollektive Verteidigung verlangsamt. Wasserwerke scheinen mit einer ähnlichen Kluft zwischen erlassenen und befolgten Leitlinien konfrontiert zu sein, und in beiden Fällen ist die Folge, dass Schwachstellen länger als nötig bestehen bleiben.
Was das für Sie bedeutet
Die meisten Leser sind keine Betreiber von Wasserwerken, aber diese Forschung ist dennoch für jeden relevant, der auf kommunale Infrastruktur angewiesen ist – also für fast jeden. Exponierte Industrie-Controller stellen ein systemisches Risiko dar, das einzelne Verbraucher nicht direkt durch persönliche Sicherheitsgewohnheiten wie die Nutzung eines VPNs oder starker Passwörter beheben können. Dennoch hat Bewusstsein einen Wert. Zu verstehen, dass es Sicherheitslücken in der kritischen Infrastruktur gibt, kann beeinflussen, wie Sie mit lokalen Amtsträgern, Wasserwirtschaftsverbänden und öffentlichen Anhörungen umgehen, in denen Entscheidungen über Infrastrukturinvestitionen getroffen werden.
Wenn Sie in oder im Umfeld von kommunalen Wasserwerken, Wasseraufbereitung oder einer Betriebstechnologie-Umgebung arbeiten, ist diese Forschung ein direkter Handlungsaufruf. Die bundesstaatlichen Warnungen vor exponierten SPS und Steuerungssystemen sind nicht hypothetisch; sie beschreiben eine dokumentierte, anhaltende Gefährdung, die Angreifer ausnutzen können und auch ausnutzen.
Handlungsempfehlungen für Leser und Betreiber
Für Betreiber von Wasserwerken und OT-Teams sind die unmittelbaren Prioritäten klar: Prüfen Sie, welche Geräte aus dem öffentlichen Internet erreichbar sind, beseitigen Sie unnötige Exposition und implementieren Sie Netzwerksegmentierung zwischen Steuerungssystemen und allem anderen. Für den Alltagsbürger sind die besten Schritte bürgerschaftlicher Natur: Fragen Sie lokale Wasserbehörden nach ihrer Cybersicherheitslage, unterstützen Sie die Finanzierung von Sicherheits-Upgrades für die Infrastruktur und bleiben Sie informiert, wenn weitere Forschung wie diese ans Licht kommt. Die Exposition Tausender Industrie-Controller wird sich nicht von selbst schließen, und um sie zu schließen, ist anhaltender Druck sowohl von Regulierungsbehörden als auch von den Gemeinden, die diese Systeme versorgen, erforderlich.
