Letzte Woche haben die Cybersecurity and Infrastructure Security Agency (CISA), das Federal Bureau of Investigation (FBI), die National Security Agency (NSA), die Environmental Protection Agency (EPA), das Department of Energy (DOE), das U.S. Cyber Command und das Department of the Treasury eine aktualisierte gemeinsame Sicherheitswarnung (Joint Cybersecurity Advisory) herausgegeben. Diese detailliert laufende, aggressive Cyber-Operationen von Akteuren mit Verbindungen zum Iran gegen kritische Infrastrukturen (KRITIS) in den USA.

Die im April 2026 erstmals gemeldete gemeinsame Sicherheitswarnung verdeutlicht eine Ausweitung der Angriffe auf Operational Technology (OT) und industrielle Steuerungssysteme (ICS) in den Sektoren Wasser- und Abwassersysteme (WWS), Energie, staatliche Einrichtungen, Gesundheitswesen und verarbeitende Industrie. Dem Iran zugerechnete Bedrohungsakteure – darunter Gruppen, die mit dem Cyber-Electronic Command der Islamischen Revolutionsgarde (IRGC-CEC) und dem iranischen Geheimdienst in Verbindung stehen – nutzen aktiv über das Internet erreichbare speicherprogrammierbare Steuerungen (SPS/PLC), Human-Machine-Interfaces (HMIs), Supervisory Control and Data Acquisition (SCADA)-Systeme und Fernwirkanbindungen aus.

Während frühere Phasen dieser Kampagne stark auf ältere oder mit dem Internet verbundene Systeme von Rockwell Automation und SPS-Geräte des israelischen Herstellers Unitronics abzielten, bestätigen neuere Erkenntnisse, dass die Angreifer ihre Fähigkeiten ausgebaut haben und nun auch Steuerungssysteme von Schneider Electric und Siemens ins Visier nehmen. Die Angriffe führten zu Betriebsstörungen, Manipulationen der HMI/SCADA-Datenanzeigen, veränderten Projektdateien in den Steuerungen und direkten finanziellen Verlusten für die betroffenen Anlagen.

Übersicht

Die Kampagne konzentriert sich auf die opportunistische und gezielte Ausnutzung von über das Internet erreichbaren industriellen Steuerungsgeräten in Nordamerika, mit weitreichenden strategischen Auswirkungen für verbündete Nationen. Die Angreifer nutzen Open-Source-Intelligence (OSINT), massenhaftes Port-Scanning, Standard- oder kompromittierte Zugangsdaten sowie spezifische Schwachstellen zur Umgehung der Authentifizierung, um direkten Netzwerkzugriff auf die SPS-Steuerungen und Mobilfunkmodems zu erlangen, die Feldgeräte mit externen Netzwerken verbinden.

Nach dem Eindringen interagieren die Angreifer direkt mit den Projektdateien der Steuerung, modifizieren die Betriebslogik, ändern Sollwerte und manipulieren Datenströme, die den Bedienern auf den SCADA-Bildschirmen angezeigt werden.

[Internet / Externe Bedrohung]

       │

       ├── Ports 44818, 502, 102, 2222, 22

       ▼

[Mobilfunkmodem / Perimeter-Router]  ── (Dropbear SSH-Tunnel)

       │

       ▼

[Feldnetzwerk / Unsicheres Gateway]

       │

       ├── Modifizierte Projektdateien / Erzwungene Logik-Downloads

       ▼

[Speicherprogrammierbare Steuerungen (SPS/PLC)]

  ├── Rockwell Automation Logix (CVE-2021-22681)

  ├── Schneider Electric Modicon M340 / BMX P34

  └── Siemens S7-1200 Serie

       │

       ▼

[HMI / SCADA-Anzeigen] (Gefälschte Messwerte & manipulierte Daten)

Zeitachse

• Veröffentlichung von CVE-2021-22681 (2021): Eine Schwachstelle wurde in der Software Studio 5000 Logix Designer von Rockwell Automation entdeckt. Sie ermöglicht es Drittanbieter-Anwendungen, geheime kryptografische Schlüssel auszulesen und mit Logix-Steuerungen zu kommunizieren.

• Ende 2023 – Anfang 2024: CyberAv3ngers (mit Verbindungen zur IRGC) nutzen nach dem Ausbruch des Israel-Hamas-Konflikts über das Internet erreichbare SPS-Steuerungen der Unitronics Vision-Serie in US-Wasserwerken aus, deaktivieren Systeme und verändern HMIs.

• März 2026: Rockwell Automation aktualisiert seine Sicherheitsempfehlung zu CVE-2021-22681 und fordert Betreiber dringend auf, Steuerungen aus dem öffentlichen Internet zu entfernen, strikte Schutzmaßnahmen über den physischen Betriebsartenschalter umzusetzen und die Software-Härtung anzuwenden.

• 7.–8. April 2026: CISA, FBI, NSA, EPA, DOE und das U.S. Cyber Command veröffentlichen eine erste gemeinsame Sicherheitswarnung. Sie warnt davor, dass iranische Bedrohungsakteure über das Internet erreichbare Rockwell Automation SPS-Steuerungen in Wasser-, Energie- und kommunalen Einrichtungen ausnutzen, was zu Datenmanipulationen und finanziellen Verlusten führt. Censys identifiziert Tausende exponierte Rockwell-Steuerungen an öffentlichen IP-Adressen.

• Juni 2026: Der pro-iranische Bedrohungsakteur "Handala" reklamiert einen Einbruch beim kalifornischen Wasserversorger California Water Service (Cal Water) für sich. Untersuchungen bestätigen, dass sich die Aktivität auf Konten innerhalb von Plattformen von Drittanbietern beschränkte.

• 22. Juli 2026: Bundesbehörden veröffentlichen die aktualisierte gemeinsame Sicherheitswarnung AA26-097A. Diese erweitert das Bedrohungsspektrum um aktive Angriffe auf SPS-Steuerungen von Schneider Electric und Siemens, beschreibt die gezielte Kompromittierung von Mobilfunkmodems via SSH/Dropbear und empfiehlt die sofortige physische Verriegelung der Geräte über den Schlüsselschalter.

Analyse der Bedrohungsakteure

Attribuierung

Regierungswarnungen führen die laufenden Aktivitäten auf staatlich unterstützte Advanced Persistent Threat (APT)-Gruppen aus dem Iran und staatlich nahestehende Proxys zurück. Zu den wichtigsten Akteuren, die mit diesen Aktivitäten in Verbindung gebracht werden, gehören:

• CyberAv3ngers: Dem Cyber-Electronic Command der Islamischen Revolutionsgarde (IRGC-CEC) zugeordnet. Bekannt für öffentlichkeitswirksame Defacements, Massenscans sowie direkte destruktive oder störende Angriffe auf OT-Hardware.

• Handala: Eine dem iranischen Geheimdienst nahestehende pro-iranische Gruppierung. Sie ist auf psychologische Operationen im Hacktivismus-Stil, die Bereitstellung von Wiper-Malware sowie Einbrüche in Lieferketten von Drittanbietern und Dienstleistern spezialisiert.

• Auftragnehmer mit Verbindungen zum iranischen Ministerium für Geheimdienst und Sicherheit (MOIS): Breiter aufgestellte staatlich unterstützte Teams, die Informationsbeschaffung und Vorbereitungen für spätere Angriffe in Energie- und kommunalen Netzen durchführen.

Motivation

Die staatliche Cyberstrategie des Iran basiert auf einem Gleichgewicht aus asymmetrischer Abschreckung, geopolitischer Vergeltung und psychologischen Operationen. Durch Angriffe auf kritische Infrastrukturen (KRITIS) wie die kommunale Wasserversorgung und regionale Stromnetze wollen iranische Akteure Handlungsfähigkeit demonstrieren, Verunsicherung in der Bevölkerung stiften, lebenswichtige Alltagsdienste stören und wirtschaftlichen Schaden anrichten, ohne die Schwelle zu einem offenen kinetischen Konflikt zu überschreiten.

Entwicklung der OT-Angriffsmethodik

In der Vergangenheit verließen sich iranische Cyber-Akteure auf einfache Web-Defacements, Credential Stuffing und unauthentifizierten administrativen Zugriff auf einfache HMIs oder Gebäudeleitsysteme. Die aktuelle Kampagne zeigt eine deutliche Weiterentwicklung der operativen Fähigkeiten:

• Protokollkonforme Ausnutzung: Die Akteure nutzen offizielle SPS-Projektierungssoftware und native Industrieprotokolle (EtherNet/IP, Modbus TCP, Siemens S7), um Logikänderungen direkt auf die Geräte zu übertragen.

• Living-off-the-Land (LotL) im OT-Bereich: Statt maßgeschneiderte industrielle Schadsoftware (wie PIPEDREAM oder Industroyer) einzusetzen, nutzen die Akteure legitime Konfigurationstools und Protokolle der Hersteller, um mit Projektdateien zu interagieren, Sicherheitskontrollen zu umgehen und das Laufzeitverhalten zu verändern.

• Kompromittierung von Gateways auf Feldebene: Gezielte Angriffe auf Mobilfunkmodems an Außenstandorten via SSH (Dropbear), um persistente, verschlüsselte Tunnel direkt in Steuerungszonen der Ebene 1 (Level 1) aufzubauen und so Unternehmens-Firewalls zu umgehen.

Technische Analyse

Erstzugang & Wege für den Fernzugriff

• Über das Internet erreichbare Feldgeräte: Die Angreifer nutzen Shodan, Censys und maßgeschneiderte Scan-Tools, um öffentliche IP-Adressen zu lokalisieren, die industrielle Kommunikationsports oder Fernverwaltungsschnittstellen offenlegen.

• Unsichere Mobilfunkmodems: Entfernte Außenstandorte (z. B. Pumpstationen, Solarparks, Umspannwerke) verlassen sich für die Anbindung oft auf Mobilfunkmodems. Die Akteure zielen auf offene SSH- (Port 22), Telnet- (Port 23) oder HTTP-Schnittstellen ab, die mit Standard- oder schwachen Zugangsdaten konfiguriert sind. In mehreren Fällen installierten oder nutzten die Akteure schlanke Dropbear SSH-Instanzen, um persistenten Zugriff zu behalten.

• Dienstleistungen von Drittanbietern & Managed Services: Der Zugriff erfolgt über kompromittierte Zugangsdaten von externen Dienstleistern, Integratoren oder Managed-Service-Plattformen, die über direkte Standort-zu-Standort-Verbindungen in die OT-Umgebungen verfügen.

Gezielte ICS/OT-Technologien & Schwachstellen

MITRE ATT&CK Mapping

MITRE ATT&CK für ICS

• Initial Access: T0886 (Remote Services), T0865 (External Remote Services), T0883 (Internet Accessible Device).

• Execution: T0807 (Command-Line Interface), T0855 (Unauthorized Command Message).

• Persistence: T0889 (Modify Program).

• Evasion: T0820 (Exploit Public-Facing Application), Umgehung von Protokollen.

• Impair Process Control: T0831 (Manipulation of Control), T0858 (Change Operating Mode), T0833 (Modify Control Logic).

• Impact: T0826 (Loss of Availability), T0836 (Modify Parameter), T0856 (Spoof Reporting Message).

MITRE ATT&CK für Enterprise

• Reconnaissance: T1595 (Active Scanning - Port/IP Scanning), T1592 (Gather Victim Host Information).

• Initial Access: T1190 (Exploit Public-Facing Application), T1078 (Valid Accounts - Vendor/Third-Party).

• Command and Control: T1572 (Protocol Tunneling via SSH/Dropbear), T1105 (Ingress Tool Transfer).

Branchenspezifische Angriffe: Wasser und Energie

Wasser- und Abwassersysteme (WWS)

Der WWS-Sektor ist aufgrund knapper kommunaler Budgets, langer Lebenszyklen von Altsystemen (Legacy) und einer starken Abhängigkeit von automatisierter Fernverwaltung für geografisch verteilte Standorte (z. B. Druckerhöhungsstationen, Hebewerke, Tankfüllstände) nach wie vor anfällig. Vielen kleinen bis mittleren Versorgungsunternehmen fehlt dediziertes OT-Sicherheitspersonal. Dies führt zu direkt exponierten SPS-Steuerungen, die über Mobilfunkmodems ohne VPNs oder Multifaktor-Authentisierung (MFA) angebunden sind.

Energiesektor

Im Energiesektor regeln Feldgeräte wie Fernwirkgeräte (RTUs) und SPS-Steuerungen Verteilnetzstationen, Einspeisepunkte von Solar- und Windkraftanlagen sowie Pipeline-Druckstationen. Eine Exponierung in diesem Sektor birgt das Risiko lokaler Stromausfälle, Fehlauslösungen oder fehlerhafter Ventilstellungen, die physische Schäden an der Infrastruktur verursachen oder die Netzstabilität gefährden können.

Betriebliche Auswirkungsanalyse

Umfassende Handlungsempfehlungen zur Abwehr

Sofortmaßnahmen (24–72 Stunden)

1. Direkte Internet-Exponierung beseitigen [CPG 3.S]:

   • Trennen Sie alle SPS-Steuerungen, RTUs und HMIs unverzüglich von der direkten Sichtbarkeit im öffentlichen Internet.

   • Überprüfen Sie öffentliche IP-Bereiche mithilfe von Tools wie Shodan/Censys, um sicherzustellen, dass keine OT-Ports (44818, 502, 102, 2222, 20256, 22) offenstehen.

2. Physische Betriebsartenschalter an der Hardware erzwingen:

   • Bei SPS-Steuerungen, die mit physischen Schlüsselschaltern ausgestattet sind (z. B. ControlLogix/CompactLogix), stellen Sie diese manuell auf den Modus „RUN“.

   • Kritische Voraussetzung: Vor dem Umschalten auf „RUN“ müssen die aktiven Projektdateien gründlich geprüft und mit den autorisierten Offline-Backups abgeglichen werden, da das Verriegeln im RUN-Modus den aktiven Projektzustand speichert. Das Umschalten auf RUN verhindert das unbefugte Herunterladen von Programmen oder Modifizieren der zugrunde liegenden Logik über das Netzwerk.

3. Härtung von Mobilfunkmodems im Feld:

   • Überprüfen Sie Mobilfunk-Router/-Modems auf offene Managementschnittstellen. Ändern Sie alle werkseitigen Standard-Zugangsdaten unverzüglich.

   • Deaktivieren Sie Telnet, HTTP und unverschlüsselte Managementprotokolle. Beschränken Sie den SSH-Zugriff (Port 22) auf definierte Administrations-IP-Bereiche. Untersuchen Sie Modems auf unbefugte SSH-Dienste (z. B. Dropbear).

4. Verpflichtende MFA & Passwortänderungen erzwingen:

   • Fordern Sie eine Multifaktor-Authentisierung (MFA) für alle Fernzugriffswege in die OT-Domäne (VPNs, Jump-Slices, Herstellerportale).

   • Ändern Sie Standardpasswörter in sämtlicher SPS-Software, in Engineering-Tools und auf Web-Oberflächen.

Kurzfristige Verbesserungen (30–90 Tage)

• Schutzfunktionen auf Steuerungs- und Softwareebene aktivieren: Konfigurieren Sie Software-Schlüsselschalter und Programmiersperren in der Projektierungssoftware (z. B. TIA Portal Bausteinschutz, Studio 5000 Projektpasswörter), um unbefugte Logikübertragungen einzuschränken.

• Netzwerksegmentierung & Access Control Lists (ACLs): Beschränken Sie die eingehende Kommunikation zu den SPS-Steuerungen durch strenge Firewall-Regeln/ACLs und erzwingen Sie eine explizite IP-zu-IP-Kopplung zwischen bekannten HMIs, Engineering-Workstations und den Steuerungen.

• Isolierung der Mobilfunk-Architektur: Migrieren Sie entfernte Feldmodems in isolierte Netzwerkarchitekturen, wie z. B. private Access Point Names (APN), private 5G-Netze (PNI-NPN) oder Mobilfunk-SD-WANs mit Zero Trust Network Access (ZTNA).

• Zentralisierung von Protokollen & Anomalieüberwachung: Erfassen und überwachen Sie Systemprotokolle von Firewalls, Mobilfunkmodems, VPN-Gateways und SPS-Ereignisprotokollen auf ungewöhnliche Verbindungsversuche aus ausländischen IP-Bereichen oder IP-Bereichen von Hosting-Providern.

Langfristige Resilienzmaßnahmen

• Zero-Trust-Architektur für OT-Fernzugriff: Ersetzen Sie dauerhafte, direkte Standort-zu-Standort-Verbindungstunnel durch Broker-basierte, temporäre und identitätszentrierte Zugriffssteuerungsmodelle.

• Automatisierung der Integritätsprüfung: Implementieren Sie Werkzeuge zur kontinuierlichen Konfigurationsüberwachung, die Prüfsummen der aktiven Steuerungslogik mit autorisierten Referenzversionen abgleichen, um unbefugte Änderungen in Echtzeit zu erkennen.

• Lieferketten- & Drittanbieter-Governance: Setzen Sie strenge Cyber-Sicherheitsanforderungen und Audit-Rechte für externe Integratoren, Cloud-Service-Provider und Fernwartungsdienstleister durch.

Ausrichtung an relevanten Sicherheits-Frameworks

Zusätzliche Analyse und strategische Auswirkungen

Was diese Kampagne über die iranische Cyberstrategie verrät

Iranische Cyber-Operationen zeigen eine pragmatische, kostengünstige Strategie. Anstatt wertvolle Zero-Day-Schwachstellen zu verbrauchen oder komplexe, maßgeschneiderte Malware-Frameworks zu entwickeln (was lange Entwicklungszyklen erfordert), setzen iranische Bedrohungsgruppen auf Masse, Geschwindigkeit und Opportunismus. Durch das Scannen nach öffentlich erreichbaren Geräten und die Nutzung bekannter Industrieprotokolle erzielen sie mit minimalem Ressourceneinsatz eine große operative Reichweite.

Entwicklung der OT-Angriffsmethodik

Obwohl der Zugangsmechanismus weitgehend opportunistisch bleibt, haben sich die operativen Fähigkeiten weiterentwickelt. Die Bedrohungsakteure demonstrieren ein tieferes Verständnis industrieller Steuerungsplattformen. Sie beschränken sich nicht mehr auf einfachen Vandalismus an Weboberflächen, sondern interagieren direkt mit der Steuerungslogik (Ladder Logic), ändern Sollwerte und führen Befehle auf Protokollebene bei mehreren großen Herstellern (Rockwell, Schneider Electric, Siemens, Unitronics) aus.

Weitreichende Bedeutung für globale Betreiber

Diese Kampagne ist eine ernste Warnung für Betreiber weltweit, einschließlich in Europa, dem Nahen Osten und im asiatisch-pazifischen Raum. Iranische Proxys nutzen weltweit verfügbare OSINT-Suchwerkzeuge, um exponierte OT-Geräte an jedem Ort der Welt aufzuspüren. Jedes Unternehmen, das unsegmentierte industrielle Steuerungen ungeschützt mit dem Internet verbindet – unabhängig von geografischer Lage oder Unternehmensgröße –, muss mit einer automatisierten Entdeckung und potenziellen Störungen rechnen.

Systematisch ausgenutzte, häufige Schwachstellen in der Verteidigung

• Direkte Sichtbarkeit im öffentlichen Internet: Steuerungen, die ohne Perimeter-Firewalls oder private APNs direkt an Mobilfunkmodems angeschlossen sind.

• Zu großes Vertrauen in Standardkonfigurationen der Hersteller: Unveränderte Administrator-Passwörter und offene Management-Ports.

• Unzureichendes Risikomanagement bei Drittanbietern: Unsichere Fernwartungszugänge, die externen Dienstleistern zur Verfügung gestellt werden.

• Fehlende Nutzung physischer Sicherheits-Betriebsartenschalter: Versäumnis, die physischen Schlüsselschalter der SPS auf den Modus „RUN“ zu stellen, wodurch Programmierschnittstellen dauerhaft für den Fernzugriff offenbleiben.

Strategische Kernbotschaften für CISOs und OT-Sicherheitsverantwortliche

Aktionsplan für CISOs und OT-Verantwortliche:

• Gehen Sie bis zur Überprüfung von einer Exponierung aus: Führen Sie unverzüglich externe Scans über alle IP-Bereiche des Unternehmens und der Außenstandorte durch, um sicherzustellen, dass keine OT-Ports oder Management-Schnittstellen im öffentlichen Internet sichtbar sind.

• Steuerungen physisch verriegeln: Beauftragen Sie Techniker vor Ort mit der Überprüfung kritischer SPS-Steuerungen. Stellen Sie sicher, dass die Projektdateien verifiziert und die physischen Betriebsartenschalter in die Position RUN gebracht werden.

• Mobilfunkanbindungen isolieren: Migrieren Sie die gesamte Mobilfunkkommunikation im Feld auf private APNs, sichere VPNs oder Zero-Trust-Architekturen.

• Strikte Zugriffskontrollen für Drittanbieter durchsetzen: Schreiben Sie MFA und die Nutzung von Jump-Hosts für alle Fernzugriffssitzungen von Herstellern und Integratoren zwingend vor.

• Die Kluft zwischen IT und OT überbrücken: Fördern Sie die direkte Zusammenarbeit zwischen IT-Sicherheitsteams und OT-Ingenieuren vor Ort, um sicherzustellen, dass Sicherheitsrichtlinien weder die Betriebssicherheit noch die Prozesskontinuität beeinträchtigen.