Wenn die meisten Menschen an einen Cyberangriff auf kritische Infrastrukturen denken, stellen sie sich hochentwickelte staatliche Hacker vor, die Zero-Day-Exploits gegen gehärtete Regierungsnetzwerke einsetzen. Die Realität, wie sie sich im April 2025 zeigte, ist jedoch weitaus ernüchternder – und vermeidbar.

Bei einem der am intensivsten diskutierten industriellen Cybersicherheitsvorfälle des Jahres verschafften sich Angreifer Fernzugriff auf das Einlassventilsystem der Talsperre des Wasserkraftwerks Sandøy Kraft am norwegischen See Risevatnet. Sie taten dies nicht mit hochentwickelten Tools für Advanced Persistent Threats oder Ressourcen staatlicher Akteure. Sie nutzten lediglich einen einfachen Exploit für eine der ältesten und am weitesten verbreiteten Schwachstellen in Operational-Technology-Umgebungen: ein schwaches Standard-Passwort auf einem internetexponierten Human-Machine Interface (HMI).

Für OT-Sicherheitsverantwortliche, ICS-Ingenieure, Betriebsleiter und CISOs, die die Verantwortung für industrielle Umgebungen tragen, enthält dieser Vorfall eine Botschaft, die nicht eindringlich genug sein kann: Die gefährlichsten Schwachstellen in Ihrer kritischen Infrastruktur sind oft diejenigen, die offen zutage liegen.

Was am Risevatnet-See geschah: Eine detaillierte Übersicht des Vorfalls

Der Risevatnet-See ist ein Stausee in der Gemeinde Sunnfjord im Westen Norwegens. Die Anlage Sandøy Kraft nutzt diesen Stausee für die Stromerzeugung aus Wasserkraft. Wie Tausende vergleichbare Anlagen in Europa und Nordamerika setzt die Anlage auf automatisierte Steuerungssysteme, um den Wasserfluss, den Turbinenbetrieb und die Ventilpositionierung zu steuern.

Im April 2025 verschaffte sich ein unbefugter Akteur, dessen Identität zum Zeitpunkt der Berichterstattung noch Gegenstand der Ermittlungen war, Fernzugriff auf das HMI-Bedienfeld der Talsperre. Dieses Bedienfeld ist die digitale Schnittstelle, über die das Betriebspersonal physische Prozesse überwacht und steuert – einschließlich des Öffnens und Schließens der Einlassventile, die den Wasserzufluss in das Erzeugungssystem regulieren.

Der Angreifer manipulierte die Ventilsteuerung aus der Ferne. Diese Aktion führte dazu, dass der Wasserstand des Sees um etwa vier Meter über seinen normalen Betriebsbereich anstieg. Ein Anstieg von vier Metern in einem regulierten Stausee ist keine geringfügige Schwankung; er birgt die reale Gefahr von Überschwemmungen flussabwärts, potenziellen strukturellen Druck auf die Staumauer und eine erhebliche Gefährdung für die umliegenden Gemeinden und Ökosysteme.

Die norwegischen Behörden und der Anlagenbetreiber reagierten schnell genug, um katastrophale Auswirkungen zu verhindern. Der Vorfall wurde eingegrenzt, aber die Warnung, die er an die globale Gemeinschaft der Betreiber kritischer Infrastrukturen sendete, war unüberhörbar.

Der Vorfall am Risevatnet-See im Überblick

Warum jeder OT-Sicherheitsverantwortliche diesem Vorfall Aufmerksamkeit schenken sollte

Der Angriff auf die Talsperre am Risevatnet ist kein Einzelfall. Er ist ein repräsentatives Beispiel für ein Bedrohungsmuster, das Sicherheitsanalysten seit Jahren dokumentieren, das sich jedoch weltweit im Energie-, Versorgungs-, Wasser-, Fertigungs- und Transportsektor immer wieder manifestiert.

Die Annahme des „Air Gap“ ist ein gefährlicher Mythos

Jahrzehntelang glaubten Betreiber von Industrieanlagen, dass Operational-Technology-Systeme von Natur aus sicher seien, weil sie physisch von öffentlichen Netzwerken isoliert („air-gapped“) waren. Diese Annahme schwand mit der Konvergenz von IT- und OT-Netzwerken und wurde inzwischen durch eine kontinuierliche Reihe realer Vorfälle endgültig widerlegt.

Im Fall des Risevatnet-Sees war das HMI direkt über das Internet erreichbar. Dies ist kein Alleinstellungsmerkmal Norwegens. Untersuchungen zeigen konsistent, dass Zehntausende von industriellen Steuerungssystemen, SCADA-Schnittstellen und HMI-Bedienfeldern über die öffentliche Internet-Infrastruktur auffindbar und zugänglich sind – viele davon geschützt durch nichts weiter als werkseitige Standard-Anmeldedaten.

Schwache Passwörter bleiben die größte OT-Angriffsfläche

Die weltweite Cybersicherheits-Community hat enorme Ressourcen in die Entwicklung moderner Plattformen zur Bedrohungserkennung, Zero-Trust-Architekturen und KI-gestützter Anomalieerkennung investiert. Dennoch bleiben identitätsbasierte Angriffe, die schwache, standardmäßig genutzte, wiederverwendete oder unmanaged Passwörter ausnutzen, der am häufigsten beobachtete Vektor für den Erstzugang bei dokumentierten OT-Vorfällen.

Der Grund dafür ist einfach: Angreifer handeln rational. Wenn ein hochentwickelter Angriff wochenlange Aufklärung und spezialisiertes Fachwissen erfordert, ein einfacher Exploit von Anmeldedaten jedoch in wenigen Minuten und ohne Fachkenntnisse gelingt, wird Letzterer immer bevorzugt, sofern er verfügbar ist. Der Angreifer am Risevatnet-See wählte die am leichtesten zugängliche Tür.

Physische Konsequenzen sind das entscheidende Unterscheidungsmerkmal der OT-Sicherheit

Was die OT-Sicherheit grundlegend von der IT-Sicherheit in Unternehmen unterscheidet, ist die physische Dimension. Wenn ein geschäftlicher E-Mail-Server kompromittiert wird, sind die primären Folgen Datenverlust, Betriebsunterbrechungen und Reputationsschäden – allesamt schwerwiegend, aber selten lebensbedrohlich.

Wenn ein industrielles Steuerungssystem kompromittiert wird, können die Folgen strukturelle Schäden an physischen Infrastrukturen, die Freisetzung von Gefahrstoffen, Überschwemmungen, Explosionen, Stromausfälle in Krankenhäusern und Rettungsdiensten sowie eine direkte Bedrohung von Menschenleben sein. Der Anstieg des Wassers um vier Meter am Risevatnet-See war eine unmissverständliche physische Demonstration dieser Realität.

Die Landschaft der OT-Angriffsvektoren im Jahr 2025

Der Vorfall am Risevatnet dient als treffendes Beispiel, um die umfassende Bedrohungslandschaft zu analysieren, mit der Betreiber kritischer Infrastrukturen (KRITIS) heute konfrontiert sind. Während der spezifische Exploit hier ein schwaches Passwort auf einem exponierten HMI war, steht dieser Schwachstellentyp in einem größeren Ökosystem von Risiken, die Industrieunternehmen verstehen und adressieren müssen.

Häufige OT-Angriffsvektoren und deren Kritikalität

Das Verständnis darüber, welche Vektoren in Ihrer eigenen Umgebung vorhanden sind und welche in der Praxis aktiv ausgenutzt werden, ist der erste Schritt zur zielgerichteten Priorisierung von Sicherheitsinvestitionen.

Fünf grundlegende Sicherheitslücken, die den Risevatnet-Angriff ermöglichten

Die Untersuchung von Vorfällen wie dem Angriff auf die Talsperre am Risevatnet offenbart ein wiederkehrendes Muster grundlegender Sicherheitslücken. Diese Lücken zu verstehen und in der eigenen Umgebung zu identifizieren, ist für die Prävention unerlässlich.

1. Über das Internet erreichbare OT-Assets

Die vielleicht kritischste Erkenntnis des Risevatnet-Vorfalls ist, dass das HMI über das öffentliche Internet erreichbar war. In einer ordnungsgemäß abgesicherten Industrieumgebung darf keine Schnittstelle der Operational Technology direkt über das Internet zugänglich sein, ohne dass robuste Zugriffskontrollen, Authentisierungsverfahren und eine aktive Überwachung implementiert sind. Die Platzierung von OT-Assets hinter korrekt konfigurierten Firewalls, bei denen der Zugriff über sichere Fernzugriffswege auf personalisierte Benutzer beschränkt ist, stellt eine unverzichtbare Basismaßnahme dar.

2. Fehlen einer Multi-Faktor-Authentisierung

Ein einzelnes Passwort – unabhängig von seiner Komplexität – ist keine ausreichende Barriere für Systeme kritischer Infrastrukturen. Die Multi-Faktor-Authentisierung (MFA) fügt eine zweite Verifizierungsebene hinzu, die die Hürde für einen unbefugten Zugriff drastisch erhöht. Für Systeme, die physische Prozesse mit Auswirkungen auf die öffentliche Sicherheit steuern, sollte MFA als zwingend erforderlich und nicht als optional eingestuft werden.

3. Standard- und schwache Passwörter

Industrieanlagen, PLCs, RTUs, HMIs und SCADA-Server werden ab Werk mit Standard-Benutzernamen und -Passwörtern ausgeliefert, die öffentlich dokumentiert sind. In einer erschreckend großen Zahl von Implementierungen werden diese Anmeldedaten jedoch nie geändert. Ein strukturiertes Audit- und Managementprogramm für Anmeldedaten in Verbindung mit einem Privileged Access Management (PAM) eliminiert diese gesamte Angriffskategorie direkt.

4. Unzureichende OT-Netzwerksegmentierung

Flache Netzwerke, in denen jedes Gerät uneingeschränkt mit jedem anderen kommunizieren kann, sind in älteren Industrieumgebungen zwar weit verbreitet, stellen jedoch ein fundamentales Sicherheitsrisiko dar. Erlangen Angreifer Zugriff auf ein System in einem flachen Netzwerk, ist die laterale Bewegung zu anderen Systemen trivial. Eine angemessene Netzwerksegmentierung, orientiert an Modellen wie dem Purdue-Modell oder der Zonen- und Sicherheitszellen-Architektur nach ISA/IEC 62443, grenzt Sicherheitsvorfälle ein und minimiert die betrieblichen Auswirkungen.

5. Unzureichendes oder fehlendes OT-spezifisches Monitoring

In vielen Industrieumgebungen fehlen kontinuierliche Monitoring-Kapazitäten, um ungewöhnliche Befehle, unbefugte Anmeldeversuche oder unzulässige Konfigurationsänderungen in Echtzeit zu erkennen. Ohne dieses Monitoring können Angreifer über Minuten, Stunden oder Tage hinweg unentdeckt agieren. Passive OT-Monitoring-Lösungen, die den industriellen Protokollverkehr analysieren, ohne den Betrieb zu beeinträchtigen, bieten die notwendige Transparenz, um Angriffe wie den am Risevatnet-See zu erkennen, bevor physische Schäden entstehen.

Regulatorischer und Compliance-Kontext: Was Standards über grundlegende OT-Hygiene vorschreiben

Der Angriff auf das System am Risevatnet-See geschah nicht in einem regulatorischen Vakuum. Die verletzten oder zumindest offengelegten Anforderungen sind in etablierten Standards und Frameworks zur industriellen Cybersicherheit fest verankert.

• IEC 62443 (ISA 62443): Der international anerkannte Standard für die IT-Sicherheit in der industriellen Automatisierung und Steuerungstechnik. Er adressiert explizit Netzwerksegmentierung, Zugriffskontrolle, Authentisierungsanforderungen und Sicherheitsmonitoring für OT-Umgebungen. Die am Risevatnet ausgenutzten Lücken werden durch diesen Standard direkt adressiert.

• NIST Cybersecurity Framework (CSF): Die Kernfunktionen Identify, Protect, Detect, Respond und Recover des NIST CSF bilden genau die Versäumnisse ab, die im Fall Risevatnet beobachtet wurden, insbesondere in den Kategorien Protect (Zugriffskontrolle, Asset-Management) und Detect (kontinuierliches Monitoring).

• EU-Richtlinie NIS-2: Seit Oktober 2024 erweitert die NIS-2-Richtlinie den Kreis der Betreiber kritischer Anlagen, die in der Europäischen Union strenge Cybersicherheitsvorgaben erfüllen müssen, erheblich. Norwegische Energieanlagen unterliegen ähnlichen nationalen Vorgaben. Vorfälle wie am Risevatnet verdeutlichen genau die Art von Mängeln bei grundlegenden Sicherheitsmaßnahmen, die von den Aufsichtsbehörden zunehmend sanktioniert werden.

• NERC CIP Standards: Für Elektrizitätsversorgungsunternehmen in Nordamerika definiert NERC CIP detaillierte Anforderungen an elektronische Sicherheitsperimeter, physische Sicherheit, Systemsicherheitsmanagement und die Meldung von Vorfällen. Die Zugriffskontrollanforderungen gemäß CIP-005 und CIP-007 sind direkt auf die am Risevatnet festgestellte Exposition anwendbar.

Die Einhaltung dieser Rahmenwerke ist nicht nur eine regulatorische Pflicht, sondern ein praktischer Leitfaden, um genau solche Vorfälle wie am Risevatnet-See wirksam zu verhindern.

Praktische Handlungsempfehlungen für Betreiber kritischer Infrastrukturen

Wenn der Vorfall am Risevatnet Sie dazu veranlasst hat, Ihre eigene OT-Sicherheitsarchitektur zu überprüfen, bieten die folgenden Empfehlungen einen pragmatischen Ausgangspunkt. Dabei handelt es sich nicht um theoretische Konzepte, sondern um sofort umsetzbare Maßnahmen, die direkt an den beim Angriff genutzten Schwachstellen ansetzen.

• Führen Sie eine vollständige OT-Inventory- und Expositionsanalyse durch: Sie können nur schützen, was Ihnen bekannt ist. Erfassen Sie jedes HMI, jede SPS (PLC), RTU und SCADA-Komponente in Ihrer Umgebung, prüfen Sie die Erreichbarkeit über das Internet und beheben Sie unbefugte Freigaben unverzüglich.

• Implementieren Sie ein Audit- und Bereinigungsprogramm für Passwörter: Identifizieren Sie alle Systeme, die Standard-Passwörter, gemeinsam genutzte oder schwache Anmeldedaten verwenden. Etablieren Sie einen formalen Privileged Access Management (PAM)-Prozess mit regelmäßiger Passwortrotation und klarer Verantwortlichkeit.

• Erzwingen Sie die Multi-Faktor-Authentisierung für alle Fernzugriffswege: Für den Zugriff auf OT-Systeme, insbesondere solche mit Steuerungsfunktion für physische Prozesse, darf keine einfache Ein-Faktor-Authentisierung zugelassen werden.

• Etablieren Sie eine OT-gerechte Netzwerksegmentierung: Strukturieren Sie Ihre industrielle Netzwerkarchitektur gemäß dem Zonen- und Sicherheitszellen-Modell. Implementieren Sie Firewalls und Datendioden an den Netzwerkgrenzen, um potenzielle Sicherheitsvorfälle einzugrenzen.

• Setzen Sie auf passives OT-Monitoring und Anomalieerkennung: Implementieren Sie Lösungen, die den industriellen Protokollverkehr analysieren, unbefugte Steuerungsbefehle erkennen und Betriebsteams in Echtzeit alarmieren, ohne den laufenden Betrieb zu stören.

• Entwickeln und testen Sie regelmäßig einen spezifischen OT-Notfallplan: Tabletop-Übungen und Live-Simulationen cyber-physischer Szenarien, wie die Fernsteuerung von Ventilen, sind für eine effektive Vorbereitung unerlässlich.

• Überprüfen und beschränken Sie den Fernzugriff von Drittanbietern und Wartungspartnern: Stellen Sie sicher, dass Zugriffe von externen Dienstleistern zeitlich begrenzt, überwacht und durch klar definierte Richtlinien geregelt sind.

Wie Shieldworkz Industrieunternehmen bei der Absicherung von OT-Umgebungen unterstützt

Bei Shieldworkz sind wir exklusiv im Bereich der Operational Technology und der industriellen Cybersicherheit tätig. Wir verstehen die spezifischen Anforderungen von OT-Umgebungen – von der Notwendigkeit unterbrechungsfreier Sicherheitsbewertungen über die Absicherung veralteter Legacy-Systeme, die sich nicht einfach patchen lassen, bis hin zur operativen Realität, in der Sicherheit und Verfügbarkeit stets an erster Stelle stehen müssen.

Der Angriff am Risevatnet bestätigt, was unsere Experten täglich in der Praxis beobachten: Die effektivsten Sicherheitsverbesserungen sind selten die teuersten oder komplexesten. Es sind diejenigen, die grundlegende Lücken schließen – ungeschützte Bedienfelder, unveränderte Passwörter und unüberwachte Netzwerke, nach denen Angreifer gezielt suchen.

Die OT/ICS-Sicherheitsdienstleistungen von Shieldworkz im Überblick

Warum sich Industrieunternehmen für Shieldworkz entscheiden

Spezifische OT/ICS-Expertise: Unser Team besteht aus erfahrenen Klärungeingenieuren, Steuerungs- und OT-Sicherheitsspezialisten mit langjähriger Praxiserfahrung in den Sektoren Energie, Versorgung, Fertigung und Transport.

• Rückwirkungsfreie Analysemethoden: Sämtliche Sicherheitsprüfungen werden mittels passiver Read-Only-Verfahren durchgeführt, um die laufende Produktion und Betriebskontinuität nicht zu gefährden.

• Pragmatische und prioritätenbasierte Empfehlungen: Wir bereiten unsere Ergebnisse verständlich auf, versehen sie mit einer klaren Risikobewertung und erstellen strukturierte Fahrpläne zur Behebung – statt unverständlicher, rein technischer Berichte.

• Standardkonforme Programmgestaltung: Alle Projekte von Shieldworkz orientieren sich an der IEC 62443, dem NIST CSF sowie den relevanten nationalen KRITIS-Anforderungen.

• Langfristiges Partnerschaftsmodell: Wir verstehen uns als Partner und verlängerter Arm Ihrer internen Teams, nicht als reiner, einmaliger Prüfer.

Fazit: Die unbequeme Lektion vom Risevatnet-See

Der Angriff auf die Talsperre am Risevatnet im April 2025 wird in Ausbildungsprogrammen zur industriellen Cybersicherheit noch lange analysiert werden – nicht wegen seiner technischen Komplexität, sondern wegen seiner fundamentalen Einfachheit.

Ein Angreifer benötigte keinen Zero-Day-Exploit, keine staatlichen Ressourcen und keine hochentwickelten Tools. Nötig waren lediglich ein öffentlich erreichbarer Bildschirm, ein leicht zu erratendes Passwort und die Entschlossenheit zu handeln. Der Wasserspiegel stieg um vier Meter. Gemeinden flussabwärts waren einer realen Gefahr ausgesetzt. Und das Sicherheitsniveau der Infrastruktur eines ganzen Landes wurde auf internationaler Bühne offengelegt.

Für OT-Sicherheitsbeauftragte, CISOs, Werkleiter und Ingenieure lautet die Lehre nicht, dass in ihrer eigenen Umgebung exakt das gleiche Szenario droht. Die Lehre ist, dass dieselbe Klasse von Schwachstellen – exponierte Systeme, schwache Passwörter, fehlendes Monitoring, unzureichende Segmentierung – mit hoher Wahrscheinlichkeit auch in Ihrer Umgebung existiert. Die Frage ist nicht, ob Angreifer danach suchen. Die Frage ist, wer sie zuerst findet.

Shieldworkz unterstützt Sie genau dabei – systematisch, gründlich und ohne Beeinträchtigung der Prozesse, auf die Ihr Unternehmen und die Gesellschaft vertrauen.

Ist Ihre OT-Umgebung wirklich sicher?

Der Angriff am Risevatnet-See hat eine unbequeme Wahrheit offenbart: Komplexe Bedrohungen sind oft gar nicht nötig, wenn es an grundlegenden Sicherheitsmaßnahmen mangelt. Ein schwaches Passwort und ein ungeschütztes Bedienfeld genügten, um eine Talsperre, eine Region und die Reputation kritischer Infrastrukturen aufs Spiel zu setzen.

Shieldworkz hilft Industrieunternehmen, diese Lücken zu schließen, bevor Angreifer sie ausnutzen können. Unsere OT/ICS-Sicherheitsspezialisten verfügen über praxiserprobtes Know-how in den Bereichen Energie, Versorgung, Fertigung und kritische Infrastrukturen.

BUCHEN SIE JETZT IHRE KOSTENFREIE ERSTBERATUNG MIT DEN EXPERTEN VON SHIELDWORKZ 

Unverbindlich. Vertraulich. Abgestimmt auf Ihre spezifische Industrieumgebung.

Zusätzliche Ressourcen:

Erfahren Sie hier mehr über den Stryker-Cyberangriff und den blinden Fleck, über den kaum jemand spricht: hier.

Warum der Cyberangriff auf Polens Nuklearforschungszentrum eine False-Flag-Operation sein könnte: hier.

Der verhinderte Vorfall: Lehren aus dem Beinahe-Sicherheitsvorfall in Schwedens OT-Infrastruktur: hier.