Grundlegender Kontext und Bedrohungslage

Dieses Assessment-Framework bietet Betreibern von Wasser- und Abwasseraufbereitungsanlagen, SCADA-Ingenieuren sowie IT/OT-Cybersecurity-Teams eine evidenzbasierte Methode zur Bewertung, Einstufung und Behebung von Risiken im Zusammenhang mit iranischen Bedrohungspfaden. Dies ist als Ausgangspunkt für das Verständnis Ihrer Risikoexposition zu betrachten, ersetzt jedoch keinesfalls eine umfassende Cybersicherheits-Risikoanalyse auf Basis der IEC 62443.

Dem Iran zugerechnete Bedrohungsakteure, darunter Advanced-Persistent-Threat-Gruppen (APT) wie CyberAv3ngers, MuddyWater (TEMP.Zagros), Cotton Sandstorm (MARINHO) und Charming Kitten (APT35), weisen im Bereich kritischer Infrastrukturen (KRITIS) eindeutige operative Muster auf. Historisch nutzen diese Akteure die opportunistische Ausnutzung von direkt mit dem Internet verbundenen OT-Assets, Standard- oder schwache Anmeldedaten, ungepatchte Schwachstellen an Netzwerkgrenzen (Edge), Kompromittierungen der Software-Lieferkette sowie Spear-Phishing-Kampagnen gegen Unternehmens-IT-Netzwerke, um sich ersten Zugang zu verschaffen.

Matrix zur Zuordnung von Akteuren und Techniken

Dokumentierter Bedrohungskontext mit Iran-Bezug:

• Opportunistische OT-Angriffe: Ende 2023 veröffentlichten CISA, FBI, NSA, EPA und das israelische INCD die gemeinsame Sicherheitswarnung AA23-335A. Diese bestätigte, dass mit den iranischen Revolutionsgarden (IRGC) verbundene Cyber-Akteure (die häufig unter dem Pseudonym „CyberAv3ngers“ agieren) aktiv Unitronics Vision-Serie PLCs im Sektor für Wasser- und Abwasserschutz (WWS) angegriffen und kompromittiert haben.

• Dokumentierte TTPs im WWS-Sektor: Die Akteure zielten auf PLCs ab, die direkt über TCP-Port 20256 im Internet erreichbar waren, und nutzten Standard-Anmeldedaten (1111) aus. Nach dem Zugriff veränderten sie die HMI-Anzeige und sorgten dafür, dass die PLC nicht mehr auf legitime Befehle reagierte.

• Potenzial für IT-to-OT-Pivoting: Andere staatlich geförderte iranische Akteure (wie MuddyWater, APT33 oder Pioneer Kitten) konzentrieren sich historisch auf IT-Umgebungen und nutzen ungepatchte VPNs, Firewalls und Remote-Access-Gateways für den Erstzugang, gefolgt von Credential Dumping und „Living-off-the-Land“-Techniken (unter Verwendung nativer Tools wie PowerShell und WMI). Obwohl der Fokus historisch auf der IT liegt, bietet eine unzureichende IT/OT-Segmentierung diesen Akteuren einen plausiblen Pfad, um auch den OT-Betrieb zu beeinträchtigen.

Dieses Assessment bewertet Abwehrmechanismen sowohl gegen die opportunistische Ausnutzung von internetseitigen OT-Assets (direkte Auswirkung) als auch gegen die gezielte Ausnutzung von IT-Perimetern, die zu lateralen Bewegungen führt (indirekte Auswirkung), in Übereinstimmung mit den Prinzipien der IEC 62443 und NIST SP 800-82.

Zuordnung zur IEC 62443

Assessment-Framework und Fragebogen

Anweisungen

Bewerten Sie jede Sicherheitsmaßnahme. Geben Sie eine Rückmeldung, notieren Sie die zur Validierung erforderlichen Nachweise und dokumentieren Sie die Bewertung anhand der Methodik in Abschnitt 4.

Bewertungsmethodik

Berechnen Sie die Punktzahl auf Basis der validierten Nachweise. Eine Selbsterklärung ohne Nachweise entspricht 1 Punkt (Unbekannt / Nicht nachweisbar). Die Angabe „Nicht anwendbar (N/A)“ ist für Kerninfrastruktur-Fragen (z. B. Backups, Asset Visibility) unzulässig, es sei denn, die Betriebsstätte besitzt den entsprechenden Asset-Typ physisch nicht.

• 3 Punkte: Ja / Vollständig umgesetzt (Nachweise vorhanden und regelmäßig überprüft).

• 2 Punkte: Teilweise umgesetzt (Richtlinie existiert, die Durchsetzung ist jedoch lückenhaft; lückenhafte Nachweise).

• 1 Punkt: Unbekannt / Nicht nachweisbar (Als „Ja“ angegeben, aber es liegen keine Nachweise vor; bloße Annahmen).

• 0 Punkte: Nein / Nicht umgesetzt (Sicherheitsmaßnahme ist nicht vorhanden).

• Ausgeschlossen: Nicht anwendbar (Erfordert eine strikte und plausible Begründung).

Kumulierte Punktzahl und Gesamtbewertung

Gesamtpunktzahl: ____ / 60 (Ausgehend von 20 Fragen x 3 Punkten. Passen Sie den Nenner an, falls „Nicht anwendbar“ zulässig verwendet wurde).

Prozentwert: ____ %

Hinweis: Diese Bewertung spiegelt die Cyber-Resilienz gegenüber bekannten Angriffspfaden wider. Sie stellt keine mathematische Wahrscheinlichkeit dar, dass ein iranischer Akteur genau diese Betriebsstätte ins Visier nehmen wird.

Kritische Befunde mit Auswirkung auf das Gesamtergebnis (K.-o.-Kriterien)

Unabhängig von der kumulierten Punktzahl gilt: Sollte eine der folgenden Bedingungen zutreffen, arbeitet die Betriebsstätte mit einem inakzeptablen Risikoniveau. Die Gesamtbewertung wird in diesem Fall automatisch auf ein F herabgestuft.

1. Direkt aus dem Internet erreichbare PLCs/HMIs (Keine Segmentierung)

   • Relevanz: Dies ist der exakte, dokumentierte Angriffsvektor, der von IRGC-nahen Akteuren in WWS-Anlagen ausgenutzt wurde (CISA AA23-335A).

   • Nachweis: Shodan-/Censys-Scans, Firewall-Regelwerk am Perimeter.

   • Sofortmaßnahme: Trennen Sie das Asset unverzüglich vom Internet. Platzieren Sie es hinter einer Firewall/VPN.

2. Standard-Anmeldedaten auf internetseitigen oder Perimeter-Assets

   • Relevanz: Angreifer nutzen Standardpasswörter (z. B. 1111, admin/admin), um sich Erstzugang zu verschaffen und Prozesse zu manipulieren.

   • Nachweis: Asset-Konfigurationen, manuelle Überprüfung der Logins.

   • Sofortmaßnahme: Ändern Sie Passwörter unverzüglich in komplexe, individuelle Zugangsdaten.

3. Keine Fähigkeit zum manuellen Prozessbetrieb

   • Relevanz: Wenn ein Cyberangriff das SCADA-System unbrauchbar macht und kein manueller Betrieb der Anlage möglich ist, droht der vollständige Ausfall der Wasserversorgung.

   • Nachweis: Fehlen von manuellen SOPs oder entsprechenden Schulungen des Betriebspersonals.

   • Sofortmaßnahme: Erstellen Sie unverzüglich Notfallpläne für den manuellen Betrieb und schulen Sie das Betriebspersonal.

4. Keine Offline-Backups von PLC-Logiken und SCADA-Konfigurationen

   • Relevanz: Wenn Angreifer die PLC-Logik löschen oder verändern, erfordert eine Wiederherstellung ohne Offline-Backups eine vollständige Neuentwicklung der Anlagensteuerung, was zu wochenlangen Ausfallzeiten führen kann.

   • Nachweis: Unfähigkeit, verifizierte Soll-Konfigurationsdateien aus einem isolierten Speichermedium vorzulegen.

   • Sofortmaßnahme: Sichern Sie unverzüglich alle Steuerungsdaten auf physisch isolierten Offline-Medien.

Empfehlungen nach Bewertungsergebnis

A — Hohe Resilienz

• Fokus: Kontinuierliche Verbesserung und aktive Verteidigung.

• Maßnahmen: Implementieren Sie regelmäßige Angriffs-Emulationen (Purple Teaming) unter der Annahme einer ersten IT-Kompromittierung. Erweitern Sie das Monitoring des Ost-West-OT-Verkehrs (z. B. Abweichungen vom Normalverhalten in Modbus oder DNP3). Beteiligen Sie sich aktiv am Informationsaustausch zu Cyber-Bedrohungslagen im Sektor.

B — Gute Resilienz

• Fokus: Schließung spezifischer Zugriffs- und Wiederherstellungslücken.

• Maßnahmen: Härten Sie Engineering Workstations gegen unbefugte Logik-Downloads. Stellen Sie den gesamten Fernzugriff von Drittanbietern auf ein „Just-in-Time“ Privileged Access Management (PAM) um. Führen Sie eine Tabletop-Notfallübung durch, die den Ausfall des primären SCADA-Historians simuliert.

C — Mittlere Gefährdung

• Fokus: Architektur-Grundlagen und Transparenz.

• Maßnahmen: Setzen Sie eine strikte IT/OT-DMZ (Purdue Level 3.5) durch; eliminieren Sie Dual-Homed-Systeme, die IT und OT brücken. Überprüfen Sie alle VPN-Konfigurationen auf eine lückenlose Durchsetzung von MFA. Verifizieren Sie das Vorhandensein eines präzisen Asset-Inventars für die Purdue Levels 0-2.

D — Hohe Gefährdung

• Fokus: Perimeterschutz und Reaktionsbereitschaft im Ernstfall.

• Maßnahmen: Erfassen Sie unverzüglich alle externen Verbindungen; eliminieren Sie unbefugte Internetpfade. Identifizieren und entfernen Sie Standard-Anmeldedaten auf der gesamten Netzwerkinfrastruktur und auf PLCs. Entwerfen und verabschieden Sie einen formellen, OT-spezifischen Cyber-Notfallplan.

F — Kritische Gefährdung (Sofortiger Sanierungsplan)

• Fokus: Aufrechterhaltung des sicheren Anlagenbetriebs und Schadensbegrenzung.

• Sofort (0-72 Stunden): Entfernen Sie alle direkten OT-Internetverbindungen. Sperren Sie unbefugte Fernwartungszugänge von Drittanbietern. Überprüfen Sie die Funktionsfähigkeit mechanischer Schutzeinrichtungen.

• Kurzfristig (3-14 Tage): Sichern Sie alle PLC-Logiken und HMI-Konfigurationen auf Offline-Medien. Ändern Sie alle Standardpasswörter auf PLCs, Switches und Firewalls. Implementieren Sie MFA für alle IT-/VPN-Fernzugriffe.

• Mittelfristig (15-60 Tage): Segmentieren Sie das Netzwerk durch eine Firewall zwischen der Unternehmens-IT und dem Anlagennetzwerk. Erstellen Sie eine strukturierte Asset-Bestandsaufnahme.

8. Bedrohungsorientierte Interpretation

Was dieses Assessment tatsächlich über das Risiko iranischer Cyberbedrohungen aussagt:

Dieses Assessment misst nicht die Wahrscheinlichkeit eines gezielten iranischen Angriffs auf Ihre spezifische Betriebsstätte. Es bewertet stattdessen Ihr Schwachstellenprofil und die sich bietenden Angriffsgelegenheiten.

• Opportunistische Angriffe: Dokumentierte Angriffe mit IRGC-Bezug auf den Wassersektor waren größtenteils opportunistischer Natur. Dabei wurde das globale Internet nach spezifischen, verwundbaren Systemen (z. B. Unitronics PLCs auf Port 20256) gescannt, um Standardpasswörter auszunutzen. Wenn Sie bei der Perimeter-Segmentierung und Identitätskontrollen gut abschneiden, eliminieren Sie die Angriffsfläche für diese automatisierten, opportunistischen Kampagnen nahezu vollständig.

• Gezielte Angriffe (Pivot): Fortgeschrittenere staatlich geförderte Akteure, die auf kritische Infrastrukturen abzielen, kompromittieren häufig zuerst die Unternehmens-IT (über Phishing oder Perimeter-Schwachstellen) und versuchen dann, sich weiterzubewegen. Bei unzureichender IT/OT-Segmentierung (z. B. in einem flachen Netzwerk) kann ein gewöhnlicher IT-Ransomware-Angriff oder eine Spionagekampagne leicht auf die OT-Umgebung übergreifen und den Betrieb stören, selbst wenn die OT nicht das primäre Ziel war.

• Cyber-physische Auswirkungen: Durch die Vorhaltung von Offline-Backups und das regelmäßige Erproben des manuellen Notbetriebs entkoppeln Sie die Cyber-Schwachstelle von der physischen Auswirkung. Selbst wenn ein Angreifer erfolgreich das HMI kompromittiert, stellen robuste mechanische Schutzeinrichtungen und geschulte Bediener sicher, dass die Wasserversorgung der Bevölkerung sicher und kontinuierlich aufrechterhalten bleibt.

Zusammenfassung

Cyber-Resilienz-Assessment: Bereitschaftsgrad der WWS-Betriebsstätte

Gesamtpunktzahl: ____ / 60 ( ___ % ) | Gesamtnote: [ A / B / C / D / F ]

Kontext des Assessments

Dieses Assessment bewertete die Fähigkeit der Betriebsstätte, Cyberangriffe abzuwehren, zu erkennen und zu bewältigen. Dabei wurden Taktiken berücksichtigt, die häufig staatlichen Akteuren und opportunistischen Bedrohungen im Bereich ICS zugeschrieben werden (wie in CISA AA23-335A beschrieben). Die Bewertung basiert auf den Prinzipien der IEC 62443 und priorisiert die unterbrechungsfreie, sichere Wasserversorgung vor der Verfügbarkeit von IT-Systemen.

Identifizierte Hauptstärken:

1. [Platzhalter: z. B. Mechanische Sicherheitsrelais arbeiten vollständig unabhängig von den PLCs.]

2. [Platzhalter]

3. [Platzhalter]

4. [Platzhalter]

5. [Platzhalter]

Identifizierte Hauptschwachstellen:

1. [Platzhalter: z. B. Fehlende Multi-Faktor-Authentisierung beim Fernzugriff externer Engineering-Dienstleister.]

2. [Platzhalter]

3. [Platzhalter]

4. [Platzhalter]

5. [Platzhalter]

Kritische Befunde (K.-o.-Kriterien):

• [Falls keine, „Keine festgestellt“ eintragen. Falls kritische Befunde vorliegen, hier auflisten, z. B.: „Direktes Internet-Routing zur RTU an Standort B festgestellt.“]

Priorisierter Sanierungsfahrplan:

• Sofortmaßnahmen (0–30 Tage):

  • Verifizieren Sie Offline-Backups aller kritischen PLC-Programmierlogiken.

  • Überprüfen Sie den externen Perimeter auf direkt erreichbare OT-Protokolle und blockieren Sie diese an der Firewall.

  • Stellen Sie sicher, dass keine Standard-Anmeldedaten auf internetseitigen VPNs oder Gateways existieren.

• Kurzfristige Maßnahmen (31–90 Tage):

  • Überprüfen und testen Sie den OT-Notfallplan, insbesondere die Befugnisse zur Trennung der IT-OT-Verbindung.

  • Erzwingen Sie eine Multi-Faktor-Authentisierung (MFA) für jeglichen Fernzugriff auf die Betriebsstätte.

  • Erstellen Sie ein formelles Asset-Inventar für alle Systeme der Purdue-Ebenen 1 und 2.

• Mittelfristige Maßnahmen (3–12 Monate):

  • Implementieren Sie eine IEC 62443-konforme OT-DMZ zur strikten Kontrolle des Datenverkehrs zwischen IT und OT.

  • Setzen Sie OT-spezifisches Netzwerk-Monitoring ein, um unbefugte Logikänderungen oder anomalen Protokollverkehr zu detektieren.

Empfohlene Investitionsprioritäten:

Konzentrieren Sie Investitionen (CAPEX und OPEX) auf die Netzwerkarchitektur (Segmentierungs-Firewalls), das Identitätsmanagement (Privileged Access Management für OT) sowie die Resilienz (OT-spezifische Backup-Lösungen und Schulungen des Betriebspersonals für den manuellen Notbetrieb).

Empfohlene Lektüre

Multistate cyber campaign targeting US water and wastewater sector Operational Technology

Incident response plan for municipal and wastewater utilities

Sprechen Sie mit Shieldworkz für eine kostenlose Beratung zur Cyber-Risikominderung in Wasserversorgungsanlagen.