Vor wenigen Tagen behauptete die dem Iran nahestehende Bedrohungsgruppe Handala (auch bekannt als Void Manticore, Storm-0842 oder Banished Kitten), sie habe California Water Service (Cal Water), eines der gru00f6u00dfen in privater Hand befindlichen Wasserversorgungsunternehmen in den USA, kompromittiert. Handala exfiltrierte und veru00f6ffentlichte rund 5 Gigabyte an Daten und stellte den Vorgang als erfolgreichen Cyberangriff auf eine Kritische Infrastruktur dar, der implizite, wenn auch nicht genutzte Fu00e4higkeiten zur Stu00f6rung des operativen Betriebs aufweise.

Erste Analysen der Bedrohungslage durch Shieldworkz weisen darauf hin, dass Handala zwar erfolgreich Datenbanken auf Unternehmensebene sowie eine exponierte interne Anwendung kompromittieren konnte, ku00f6nnen jedoch bestu00e4tigen, dass bei dem Sicherheitsvorfall keine Systemkomponenten der Betriebstechnologie (OT) oder der Prozessleittechnik (SCADA/PLC) verletzt wurden. Stattdessen nutzte der Angreifer einen internetseitig erreichbaren GNSS-Korrekturdienst (Global Navigation Satellite System) auf Basis der RTKBase-Plattform aus und bewegte sich lateral weiter, um Zugriff auf eine Kundendatenbank fu00fcr die Abrechnung zu erlangen.

Dieser Sicherheitsvorfall verdeutlicht einen gefährlichen Trend bei modernen staatlich gelenkten Cyber-Operationen: die Durchführung einer opportunistischen IT-Kompromittierung, die nachträglich als operative OT-Krise inszeniert wird. Durch die Ausnutzung von nischenhaften, unzureichend segmentierten Geschäftsanwendungen mit Schnittstellen zu geografischen Daten können Bedrohungsakteure folgenschwere psychologische Operationen (PsyOps) inszenieren, um die Verunsicherung in der Bevölkerung zu schüren u2013 selbst wenn die eigentlichen Prozesse der Wasseraufbereitung und -verteilung vollkommen unangetastet bleiben. Dies ist ein Standard-Szenario, das mittlerweile von fast jedem staatlich unterstützten Angreifer angewendet wird.

Handala ging jedoch noch einen Schritt weiter und behauptete, mit dem erlangten Zugriffsgrad weitaus größeren Schaden hu00e4tte anrichten zu können, darauf jedoch verzichtet zu haben. Diese Behauptung ließ sich nicht unabhängig verifizieren, doch die Tatsache, dass Handala dieser Einbruch gelingen konnte, stellt einen besorgniserregenden Faktor dar.

Bevor wir fortfahren, lesen Sie gerne auch unseren vorherigen Blogbeitrag über 12 gängige Bedrohungen, die durch moderne Medienscansysteme erkannt werden, und zwar hier.  

Der Sicherheitsvorfall

Um das tatsächliche Ausmaß dieses Angriffs zu bewerten, müssen wir das öffentliche Narrativ des Angreifers strikt von den verifizierten Telemetriedaten trennen.

Chronologie des Sicherheitsvorfalls (Juni 2026)

• Die Behauptung des Angreifers: Handala veröffentlichte im Darknet-Blog der Gruppe sowie im zugehörigen Telegram-Kanal eine Erfolgsmeldung bezüglich des Eindringens bei Cal Water. Wie bereits bei früheren Aktionen stellte die Gruppe den Angriff als politisch motivierte Vergeltung für US-Aktionen im Iran dar. Handala brüstete sich zudem explizit damit, die Infrastruktur zur Wasserversorgung im gesamten Einzugsgebiet des Versorgers abschalten oder stören zu können, jedoch u201ebewusst darauf verzichtet zu haben, die destruktive Payload auszuführenu201c.

• Die Datenveröffentlichung: Die Gruppe stellte ein komprimiertes Datenpaket mit einem Umfang von 5 GB zum Download bereit. Eine forensische Analyse des Datenabzugs offenbart den Massenexport einer Datenbank mit folgenden Inhalten:

  • Personenbezogene Daten (PII) von Kunden: Namen, Serviceadressen, Telefonnummern, Kontonummern sowie historische Zahlungsbelege.

  • Anwendungsspezifische Anmeldedaten: Klartext-Administratoren-Credentials für eine interne Instanz der RTKBase-Plattform.

  • Netzwerk-Mapping-Daten: Ein Mountpoint-Passwort für die RTCM-Übertragung über das Internetprotokoll (NTRIP) sowie eine detaillierte Liste interner IP-Adressen, die dem NTRIP-Netzwerk des Versorgungsunternehmens in bis zu sieben geografischen Bezirken zugeordnet sind.

• Betroffene Systeme: Telemetriedaten bestätigen, dass die kompromittierte Infrastruktur spezifisch dem Cal-Water-Bezirk Chico zuzuordnen war. Dem Angreifer gelang der Zugriff auf eine Datenbank für Kundenabrechnungen sowie auf einen separaten Anwendungsserver mit RTKBase, der zum Zeitpunkt des Vorfalls bereits seit fast 783 Stunden ununterbrochen in Betrieb war.

• Reaktion von Versorger und Behörden: Cal Water verzichtete unmittelbar auf eine formelle öffentliche Stellungnahme zum Vorfall, was den gängigen Incident-Response-Protokollen zur Schadenseindämmung während der ersten Triage entspricht. Staatliche Stellen wie die CISA und die EPA überwachten den Datenabzug kontinuierlich, um Anzeichen für ein nachgelagertes Targeting von SCADA-Systemen zu identifizieren.

Handelte es sich tatsächlich um einen OT-Angriff?

Die Antwort lautet u201eNeinu201c, da im Zuge des ursprünglichen Einbruchs keine SCADA-Systeme beeinträchtigt wurden. Der Sicherheitsvorfall bei Cal Water war im Wesentlichen eine Kompromittierung der administrativen IT auf Unternehmensebene sowie einer lokal begrenzten Geschäftsanwendung. Es handelte sich nicht um einen operativen Cyberangriff auf industrielle Steuerungssysteme (ICS). Es gibt jedoch eine Einschränkung: Sollten die Behauptungen von Handala zutreffen, ist es denkbar, dass SCADA-Systeme für ein erweitertes, zukünftiges Targeting im Fokus standen.

Eine kritische Schwachstelle in der Berichterstattung der Publikumsmedien über Cybervorfälle bei Versorgungsunternehmen ist die häufige Gleichsetzung jeder infrastrukturnahen Kompromittierung mit einem operativen Systemeinbruch. Zur Klarstellung muss die strukturelle Trennung zwischen Abrechnungsumgebungen, unterstützenden Mapping-Anwendungen und der tatsächlichen physischen Prozesssteuerung berücksichtigt werden.

Differenzierung zwischen Kundendaten und SCADA

Der Zugriff auf Abrechnungsnetzwerke oder georäumliche Kartierungsanwendungen der Geschäftsleitung ermöglicht es einem Angreifer nicht automatisch, speicherprogrammierbare Steuerungen (SPS/PLC) zu manipulieren, chemische Dosierpumpen anzupassen oder Verteilungsventile zu steuern. Abrechnungsdatenbanken befinden sich vollständig innerhalb der IT-Unternehmensarchitektur in Corporate Clouds oder kommerziellen Rechenzentren. Im Gegensatz dazu steuern SCADA-Umgebungen physische Echtzeitprozesse unter Verwendung industrieller Protokolle (wie Modbus/TCP, DNP3, EtherNet/IP), die nativ keine Schnittstellen zu geschäftlichen Webanwendungen aufweisen.

Die architektonische Trennung und die Position von Handala

Die folgende Abbildung vergleicht die Standardarchitektur eines Versorgungsunternehmens mit den verifizierten operativen Grenzen von Handala während dieser Kampagne:

Handala agierte ausschließlich innerhalb der Ebenen 3 und 4 (Levels 3 und 4) dieser Architektur. Die Akteure nutzten eine über das Internet erreichbare Instanz von RTKBase an der Grenze zwischen Unternehmens-IT und Feldbetrieb aus, griffen die zugehörigen Anmeldedaten ab und drangen in die lokale Abrechnungsinfrastruktur ein. Da restriktive Netzwerkgrenzen bzw. Firewalls die OT-Umgebungen der Ebenen 2 und 1 isolierten, war es den Angreifern nicht möglich, die Grenze zwischen Unternehmens-IT und OT zu überwinden.

Wahrscheinliche Ursachenanalyse (Root Cause Analysis)

Basierend auf den vorliegenden Indikatoren und historischen Einbruchsvektoren bei Versorgern haben wir die wahrscheinlichsten Ursachen für das Eindringen und die laterale Bewegung von Handala bewertet.

Bewertung der Einbruchsvektoren

Technische Detailanalyse zu RTKBase

Das markanteste technische Merkmal dieses Vorfalls war die Kompromittierung eines RTKBase-Servers. Das Verständnis dieser Plattform verdeutlicht, warum der Akteur sie ins Visier nahm und welche realen betrieblichen Konsequenzen sich daraus ergeben.

Was ist RTKBase und NTRIP?

RTKBase ist eine Open-Source-Plattform zur Verwaltung einer Real-Time Kinematic (RTK) Basisstation für globale Navigationssatellitensysteme (GNSS).

Versorgungsunternehmen sind bei der hochpräzisen Erfassung ihrer Anlagen stark auf RTK-Systeme angewiesen. Mitarbeiter im Außendienst nutzen mobile GPS-Empfänger (Rovers), die über das Protokoll NTRIP (Networked Transport of RTCM via Internet Protocol) verbunden sind, um Korrekturdaten von der RTKBase-Station zu empfangen. Dies ermöglicht es den Teams vor Ort, im Erdreich verlegte Ventile, Wasserleitungen, Hausanschlüsse und Stromkabel mit Zentimeterpräzision statt mit den üblichen Abweichungen von mehreren Metern zu lokalisieren.

Warum das Expositionsmanagement versagte

Der Vorfall zeigt eine wiederkehrende Herausforderung bei Betreibern Kritischer Infrastrukturen: Unterstützende Betriebssysteme fallen häufig durch das Raster der traditionellen Programme für Schwachstellenmanagement und Asset-Inventarisierung.

Viele Organisationen verfügen über ausgereifte Sicherheitskontrollen für:

• Active Directory

• E-Mail-Systeme

• VPN-Infrastruktur

Sie haben jedoch oft nur unzureichende Sichtbarkeit bezüglich der Sicherheit von:

• RTKBase-Installationen

• GIS-Anwendungen

• Engineering-Support-Servern

• Feldtelemetrie-Plattformen

• Durch externe Dienstleister verwalteten Betriebsanwendungen

Operative Risiken einer RTKBase-Kompromittierung

Die administrativen Anmeldedaten und NTRIP-Passwörter für sieben Bezirke wurden offengelegt. Die mit diesem Zugriff verbundenen Risiken sind spezifisch, beeinträchtigen jedoch nicht direkt die Wasserqualität:

• Verzögerungen bei der Kartierung und Unklarheiten im Feld: Wenn ein Angreifer die RTKBase-Datenströme manipuliert oder abschaltet, verlieren die Teams im Außendienst die hochpräzise Positionsbestimmung. Neue Anlagen können nicht exakt erfasst werden, und das schnelle Auffinden von vergrabener Infrastruktur im Notfall (z. B. bei einem Rohrbruch) wird erheblich erschwert.

• GPS-Spoofing / Manipulation der Korrekturdaten: Ein hochentwickelter Angreifer könnte theoretisch die über NTRIP übertragenen Korrekturkoeffizienten manipulieren. Dies würde unauffällige Positionsfehler in den Feldgeräten verursachen, wodurch Außendienstmitarbeiter fehlerhafte Koordinaten für kritische physische Anlagen in der GIS-Datenbank hinterlegen würden.

• Betriebsstörungen: Könnte dies die Wasserabgabe direkt stoppen oder die Wasseraufbereitung manipulieren? Nein. RTKBase ist ein rein informatives Hilfswerkzeug für Feldtelemetrie und Vermessung. Es verfügt über keinerlei Regelschleifen, hat keine Verbindung zur Logik der Wasseraufbereitung und bietet keinen Zugriffspfad auf physische Aktoren.

Hintergrund zu Handala

Handala ist ein hochentwickelter, staatlich gelenkter Bedrohungsakteur, der dem iranischen Ministerium für Geheimdienste und Sicherheit (MOIS) zugeordnet wird. Weitere Shieldworkz-Analysen zu Handala finden Sie hier, hier und hier.

Profil des Bedrohungsakteurs

• Strategische Ziele: Handala agiert primär als Plattform für Cyber-Kriegsführung und psychologische Operationen. Ziel ist es, das Vertrauen der Öffentlichkeit in Kritische Infrastrukturen zu schwächen, Vergeltung für geopolitische Aktionen des Westens oder Israels zu üben und eine mediale Resonanz bezüglich vermeintlicher struktureller Schwachstellen zu erzeugen.

• Historische Kampagnen und Zielgruppen:

  • Stryker Corporation (März 2026): Handala führte einen folgenschweren Angriff auf diesen US-amerikanischen Medizintechnikhersteller durch. Durch den kombinierten Einsatz von Windows-basierten Loadern und Ransomware wurden die Auftragsabwicklung und die Produktionslinien beeinträchtigt, was zu vorübergehenden Betriebsunterbrechungen führte.

  • Kritische Infrastruktur in Israel (2024u20132026): Handala visierte israelische Stromnetze, kommunale Dienste (wie die Stadtverwaltung von El'ad), Rüstungsunternehmen und interne Sicherheitsorgane (Schin Bet) an.

  • Strategische Leaks: Die Gruppe hat systematisch E-Mail-Konten hochrangiger Persönlichkeiten aus Politik und Verteidigung kompromittiert und deren Inhalte verflogen, um den öffentlichen Diskurs zu manipulieren.

Wesentliche Taktiken, Techniken und Verfahren (TTPs)

Obwohl Handala die Operation bei Cal Water als reinen Hack-and-Leak-Vorfall darstellte, verfügt das Arsenal der Gruppe über hochgradig destruktive Werkzeuge.

Die Gruppe nutzt proprietäre Wiper-Programme zum Datenlöschen, darunter win.handala, Handala Wiper und Hamsa Wiper, sowie Schadcode zum Überschreiben des Master Boot Records (MBR). Ihr operatives Vorgehen folgt regelmäßig einem festen Muster: Sie verschaffen sich einen ersten Zugang, stehlen Daten für öffentliche Leaks und gehen u2013 sofern es ihren strategischen Vorgaben entspricht u2013 noch in derselben Netzwerksitzung direkt zur Ausführung der Wiper über.

Muster, die Betreiber von Versorgungsstrukturen beachten sollten

Der Vorfall bei Cal Water liefert eine entscheidende Lektion für die Verteidigung: Angreifer müssen keine SPS (PLC) manipulieren, um einen psychologischen Erfolg zu erzielen.

Diese Strategie stützt sich auf eine Reihe spezifischer Verhaltensweisen:

1. Ausnutzung der Markenbekanntheit: Wasserversorger sind lokal verankerte, hochkritische Ziele. Jede Behauptung über eine kompromittierte Wasserversorgung löst in der Öffentlichkeit sofortige Besorgnis aus.

2. Übertreibung der eigenen Fähigkeiten: Handala betonte explizit, man habe sich aktiv dagegen entschieden, die Wasserversorgung zu unterbrechen. Hierbei wird ein Datenabfluss genutzt, um das Narrativ einer operativen Kontrolle zu inszenieren und den Versorger in eine defensive Krisenkommunikation zu drängen.

3. Vom Datenabfluss zur Betriebsstörung: Selbst wenn die OT-Umgebungen unbeeinträchtigt bleiben, liefern kompromittierte IT-Anmeldedaten die Grundlage für zukünftige, gezielte Spear-Phishing-Angriffe oder laterale Angriffe auf die Systemlandschaft. Ein Abfluss von Kundendaten (PII) oder Mapping-Netzwerkdaten muss stets als Vorstufe zu einer physischen Sabotageoperation eingestuft werden.

MITRE ATT&CK Mapping

Für OT*

* Diese Techniken wurden nicht beobachtet, entsprechen jedoch den historischen Fähigkeiten von Handala

Was wäre passiert, wenn Handala in die OT eingedrungen wäre?

Hätte der Bedrohungsakteur die Netzwerksicherheitsgrenzen überwunden und seine maßgeschneiderten Wiper-Programme in die OT-Umgebungen der Ebenen 2 und 1 von Cal Water eingeschleust, hätten sich die operativen Auswirkungen von einem reinen Informationsleck zu einer potenziell schwerwiegenden physischen Bedrohung verschoben.

Szenarienanalyse: Wiper-Einsatz in der Wasser-SCADA

• Zerstörung von SCADA-HMIs: Der Einsatz von Wipern gegen Windows-basierte Benutzerschnittstellen (HMIs) würde die Anlagenbediener handlungsunfähig machen. Engineering-Workstations mit Steuerungssoftware (z. B. Rockwell Automation FactoryTalk, Siemens TIA Portal) stünden vor zerstörten Betriebssystempartitionen, was jegliche Fernüberwachung des Systems verhindern würde.

• Beeinträchtigung der chemischen Dosierung: Die automatisierte Wasseraufbereitung basiert auf der präzisen Zugabe von Chemikalien (Chlor, Natriumhypochlorit, Fluorokieselsäure), die von speicherprogrammierbaren Steuerungen (SPS/PLC) geregelt wird. Werden die Engineering-Workstations zur Steuerung dieser Sollwerte gelöscht oder die Netzwerkkommunikation durch einen Linux-basierten Wiper auf den Feldservern unterbrochen, können die Bediener die Dosierung nicht mehr dynamisch an die Rohwasserqualität anpassen.

• Ausfall von Verteilung und Pumpen: Der Verlust von Fernwirkeinheiten (RTUs) an dezentralen Pumpstationen und Speicherbecken würde die automatische Befüllung der Speicher verhindern. Die Werke müssten vollständig auf den manuellen Betrieb vor Ort umstellen. Dies erfordert den physischen Einsatz von Teams an den Stationen, um Ventile manuell zu steuern und Tankfüllstände vor Ort zu überwachen, um Überläufe oder einen Druckabfall im System zu verhindern.

Handlungsempfehlungen für Wasserversorger

Um zu verhindern, dass opportunistische IT-Einbrüche interne Betriebsabläufe offenlegen oder Desinformationskampagnen von Angreifern nähren, müssen Betreiber von Wasser- und Abwassersystemen 15 wesentliche Sicherheitsvorgaben umsetzen:

Asset-Management und Absicherung der Angriffsfläche

• Konsequente Netztrennung vom Internet für Hilfssysteme erzwingen: Werkzeuge wie RTKBase, GIS-Mapping-Systeme oder Wetter-Telemetriesysteme dürfen niemals ohne ein vorgeschaltetes, authentifiziertes Gateway direkt über das öffentliche Internet erreichbar sein.

• Regelmäßiges External Attack Surface Management (EASM) etablieren: Automatisierte Scans implementieren, um unbefugt betriebene Systeme, Schatten-IT oder von Dienstleistern installierte Webanwendungen im IP-Bereich des Versorgungsunternehmens zu identifizieren.

• Strikte IT-OT-Netzwerksegmentierung umsetzen: Unidirektionale Sicherheitsgateways (Datendioden) oder restriktive Firewall-Zugriffsregeln (ACLs) einsetzen, um sicherzustellen, dass keine direkten Verbindungen zwischen Abrechnungs-/Mapping-Netzwerken und den SCADA-Steuerungs-Subnetzen existieren.

Identitäts- und Zugriffssteuerung (Access Control)

• Phishing-resistente Multi-Faktor-Authentifizierung (MFA) flächendeckend einführen: Passwörter als einzigen Point of Failure für alle Unternehmensportale, Fernzugriffspfade und internen Feldanwendungen eliminieren.

• Regelmäßigen Wechsel aller Infrastruktur- und NTRIP-Passwörter erzwingen: Sämtliche Konfigurationen auf Bezirksebene, Quellpasswörter und API-Token als hochkritische Daten behandeln, die einem routinemäßigen und automatisierten Wechsel unterliegen.

• Gemeinsam genutzte Administratorenkonten eliminieren: Jeder Servicetechniker, Ingenieur und externe Dienstleister muss sich mit einer eindeutigen, auditierbaren Identität authentifizieren, statt generische Rollen wie u201eadminu201c zu nutzen.

• Zugriffsrechte von Drittanbietern auditieren und einschränken: Dauerhafte Verbindungen von Dienstleistern in die internen Netze des Versorgers trennen; stattdessen bedarfsorientierte, zeitlich begrenzte und lückenlos überwachte Zugriffskonzepte fordern.

Überwachung und Detektion (Defensive Engineering)

• Dedizierte OT-Netzwerküberwachung implementieren: Deep-Packet-Inspection-Werkzeuge einsetzen, die in der Lage sind, anomale industrielle Steuerbefehle oder Versuche der lateralen Bewegung innerhalb der Steuerungsnetzwerke zu identifizieren.

• Maßgeschneiderte Erkennungsregeln entwickeln: Alarme konfigurieren, die auf untypische Datenbankexporte in Abrechnungssystemen oder unautorisierte Konfigurationsänderungen auf Hilfsservicen anspringen.

• Lokale, manipulationssichere Log-Archivierung etablieren: Sicherstellen, dass Anwendungs-, System- und Firewall-Protokolle kontinuierlich in ein Write-Once-Read-Many-Repository (WORM) repliziert werden, das vor dem Zugriff lokaler Wiper-Schadsoftware geschützt ist.

Notfallvorsorge und Resilienzsteigerung

• Out-of-Band-Notfallübungen durchführen: Incident-Response-Abläufe unter der Annahme testen, dass primäre Kommunikationswege, E-Mails und Mobilfunknetze des Unternehmens vollständig kompromittiert oder ausgefallen sind.

• Validierte, unveränderliche Backups vorhalten: Offline-gespeicherte, physisch vom Netz getrennte Backups (Air-Gapped) aller SCADA-Logiken, HMI-Konfigurationen, sauberen System-Images (Gold Images) und Abrechnungsdatenbanken sichern.

• Kommunikationsstrategie für Desinformationen (PsyOps) vorbereiten: Kommunikationsvorlagen erstellen, um übertriebenen oder unwahren Behauptungen von Hackern bezüglich der öffentlichen Sicherheit und Trinkwasserqualität umgehend faktenbasiert zu begegnen.

• Manuelle Prozesssteuerung im Betrieb erproben: Monatliche Betriebsübungen ansetzen, bei denen das SCADA-System vollständig isoliert wird, um die Wasseraufbereitung rein über lokale manuelle Steuerungen aufrechtzuerhalten.

• Eskalationsprotokolle für die Lieferkette definieren: Klare Isolationsmaßnahmen festlegen, um IT-Verbindungen zu externen Dienstleistern sofort zu trennen, sobald ein Partner oder ein Open-Source-Software-Hersteller eine eigene Kompromittierung meldet.

Erkennung und Abwehr

Die Verteidigung gegen einen Akteur wie Handala erfordert ein mehrschichtiges Sicherheitsmodell (Defense-in-Depth), das präventive, detektive und reaktive Maßnahmen kombiniert und direkt an internationalen Sicherheitsstandards ausgerichtet ist.

Zuordnung der Sicherheitskontrollen (Control-Mapping-Matrix)

Strategische Implikationen für Betreiber Kritischer Infrastrukturen

Der Sicherheitsvorfall bei Cal Water untermauert vier strategische Kernaspekte:

1. Hilfssysteme rücken zunehmend als primäre Angriffsziele in den Fokus

In der Vergangenheit konzentrierten Organisationen ihre Sicherheitsinvestitionen vor allem auf SCADA- und Prozessleitsysteme. Bedrohungsakteure nehmen jedoch zunehmend unterstützende betriebliche Dienste ins Visier, darunter:

• GIS-Plattformen

• GNSS-Korrektursysteme

• Portale zur Fernüberwachung

• Asset-Management-Anwendungen

• Infrastruktur für intelligentes Messwesen (Smart Metering)

2. Informationsoperationen verschmelzen mit Cyberangriffen

Das Primärziel von Angriffen beschränkt sich oft nicht mehr auf die direkte physische Störung.

Gegner versuchen gezielt:

• Verunsicherung in der Bevölkerung zu stiften

• Das Vertrauen in die Betreiber von Versorgungsleitungen zu untergraben

• Ermittlungen durch Aufsichtsbehörden zu provozieren

• Eine hohe mediale Aufmerksamkeit zu erzeugen

3. Die Reputation der Betreiber wird zur direkten Angriffsfläche

Für Wasserversorger ist das Vertrauen der Öffentlichkeit eine essenzielle operative Abhängigkeit.

4. IT-Sicherheitsvorfälle können sich zu OT-Krisen entwickeln

Dies gilt selbst dann, wenn die eigentliche Betriebstechnologie (OT) unangetastet bleibt.

Analystenbewertung von Shieldworkz

Wahrscheinlichster Angriffspfad

Der Angreifer identifizierte eine internetexponierte, ungepatchte oder unzureichend geschützte Instanz der Open-Source-Plattform RTKBase, die im Bezirk Chico von Cal Water betrieben wurde. Durch das Ausnutzen bekannter Schwachstellen oder unsicherer Administrations-Credentials erlangte Handala den Erstzugang zum Anwendungsserver. Nach dem Eindringen erbeutete der Akteur administrative Zugangsdaten, spionierte lokale Netzwerkkonfigurationen aus und bewegte sich lateral weiter in eine geschäftliche Kundendatenbank, die personenbezogene Daten enthielt.

Wahrscheinlichste Motivation des Angreifers

Hauptziel dieser Operation war eine geopolitisch motivierte Informationskampagne mit hoher psychologischer Wirkung. Handala beabsichtigte, umfangreiche Unternehmensdaten abzugreifen und zu veröffentlichen, um ein breites Medienecho zu erzeugen, das auf eine tiefe Kompromittierung eines kritischen US-Wasserversorgers hindeutet. Auf zerstörerische Sabotageakte verzichtete die Gruppe, weil ihr die technischen Netzwerkzugänge zur isolierten SCADA-Architektur fehlten u2013 die bewusste Übertreibung der eigenen Fähigkeiten war somit die effektivste Handlungsalternative.

Konfidenzniveau (Confidence Level)

• Hohe Konfidenz: Der Vorfall resultierte in einem Abfluss von Unternehmensdaten und der Kompromittierung einer Hilfsanwendung, nicht jedoch in einem physischen Einbruch in OT-/SCADA-Systeme.

• Hohe Konfidenz: Der Bedrohungsakteur wird auch künftig gezielt nach opportunistischen IT-Sicherheitslücken in kommunalen Netzwerken suchen, um diese öffentlich als folgenschweren Erfolg gegen Kritische Infrastrukturen darzustellen.

Warum dieser Angriff von Bedeutung ist

Dieser Vorfall beweist, dass ein Angreifer einen Sicherheitsalarm im Bereich Kritischer Infrastrukturen auslösen und globale Medienaufmerksamkeit erlangen kann, ohne jemals eine physische Regelschleife zu berühren oder SPS-Parameter zu verändern. Bei staatlich gelenkten Cyber-Operationen ist die Wahrnehmung eines operativen Zugriffs oft ebenso wertvoll wie die tatsächliche physische Auswirkung.

Dringliche Sofortmaßnahmen für Versorger

   [ 1 ] ──> Externen IP-Bereich überprüfen; alle RTKBase- oder Mapping-Systeme umgehend offline nehmen.

   [ 2 ] ──> Kennwortänderungen für alle NTRIP-Anbindungen, Abrechnungs- und IT-Systeme vorschreiben.

   [ 3 ] ──> Firewall-Regeln zur Trennung von IT-Unternehmensnetzen und SCADA-Subnetzen evaluieren.

• Sofortiges Audit: Alle IP-Adressbereiche des Unternehmens und der Bezirke überprüfen, um offene RTKBase-Installationen oder unterstützende operative Werkzeuge zu identifizieren und umgehend vom Netz zu trennen.

• Passwort-Reset: Einen sofortigen Passwortwechsel für alle NTRIP-Anwendungen, Konfigurationsdateien, Abrechnungssoftware und administrativen Zugriffssysteme verlangen.

• Netzwerkgrenzen verifizieren: Firewall-Logs analysieren, um die vollständige und lückenlose Netztrennung zwischen den IT-Unternehmensnetzwerken und den aktiven SCADA-Routingzonen sicherzustellen.

Dieser Lagebericht wird durch die Abteilungen für Forschung und Incident Response von Shieldworkz gepflegt.  

Weiterführende Literatur

Handala Dossier
Shieldworkz 2026 OT-Sicherheitsbericht