Leitfaden zur Behebung
Fragebogen zur Bewertung der Cyber-Resilienz für
Anlagen der Wasser- und Abwasserwirtschaft zum Schutz gegen mit dem Iran in Verbindung stehende Cyber-Bedrohungen
Bewertung der Cybersicherheits-Bereitschaft Ihres Wasserversorgungsunternehmens gegenüber Iran-assoziierten OT-Bedrohungen
Im November 2023 begannen dem IRGC nahestehende Akteure, die unter dem Pseudonym „CyberAv3ngers“ agierten, mit der Kompromittierung von mit dem Internet verbundenen speicherprogrammierbaren Steuerungen (SPS) der Unitronics Vision-Serie in US-amerikanischen und internationalen Wasserversorgungsunternehmen. Sie benötigten dafür keinen Zero-Day-Exploit. Die Authentifizierung erfolgte über Standardkennwörter oder gänzlich ohne Passwörter, wodurch sie vollständigen Zugriff auf die Steuerungsebene (Engineering Access) von mindestens 75 Geräten erhielten. Eine nachfolgende gemeinsame Sicherheitswarnung (Joint Advisory), die zuletzt im Juli 2026 aktualisiert wurde, dokumentiert eine zweite, weitaus fortgeschrittenere Kampagne: Dem Iran nahestehende Akteure nutzten über das Internet erreichbare SPS von Rockwell Automation, Siemens und Schneider Electric aus. Dabei setzten sie die legitime Engineering-Software der jeweiligen Hersteller ein, um die Steuerungslogik zu verändern und die Anzeigen der Bediener auf den HMI-Bildschirmen zu fälschen.
Dies ist keine spekulatitve Bedrohungsmodellierung. Es handelt sich um zwei gemeinsame Sicherheitswarnungen von CISA, FBI, NSA, EPA und internationalen Partnern, die Wasser- und Abwassersysteme (KRITIS) explizit als bestätigte Opfer nennen. Dies wirft eine Frage auf, die die meisten Versorgungsunternehmen nicht mit Sicherheit beantworten können: Wenn dieselbe Methode auf Ihre Anlage angewendet würde, wäre sie erfolgreich?
Shieldworkz hat den Cyber Resilience Assessment Questionnaire for Water and Wastewater Facilities Against Iran-Linked Cyber Threats entwickelt, um genau diese Frage mit der notwendigen methodischen Präzision zu beantworten. Dieser Selbstbewertungs-Fragenkatalog umfasst 112 Fragen in 13 Domänen. Jede einzelne Frage lässt sich direkt auf einen dokumentierten Angriffspfad zurückführen – anstelle von generischen Best Practices, die lediglich als Bedrohungsanalyse getarnt sind. Das Assessment zeigt Ihnen präzise auf, an welchen Stellen diese Kampagnen in Ihrer Infrastruktur eine Schwachstelle gefunden hätten.
Warum diese Sicherheitsüberprüfung von entscheidender Bedeutung ist
Die meisten Fragebögen zur OT-Sicherheit basieren auf generischen Reifegradfragen, die aus IT-Frameworks übernommen wurden. Dieser Fragebogen hingegen wurde rückwärts aus zwei realen Kampagnen entwickelt. Jedes Segment und jede kritische Sicherheitsmaßnahme (Security Control) lässt sich somit direkt auf eine spezifische, zitierte Methode zurückführen – anstatt auf bloße Best-Practice-Annahmen.
Internet-Exposition als bestätigter Einfallsweg: Aus dem Internet erreichbare PLCs und HMIs dienten in beiden Kampagnen als dokumentierter Vektor für den Erstzugang (Initial Access).
Standardzugangsdaten als exakter Mechanismus im Jahr 2023: Nicht geänderte werkseitige Standardpasswörter ermöglichten Angreifern ohne jegliche technische Raffinesse vollen Zugriff auf die Engineering-Ebene.
Legitime Software als Angriffswerkzeug 2026: Die Steuerungslogik wurde über die herstellereigene Engineering-Software manipuliert, nicht durch maßgeschneiderte Schadsoftware. Dies verdeutlicht, warum die Integritätsprüfung (Change-Detection) eine weitaus größere Bedeutung einnimmt als herkömmlicher Virenschutz.
Gefälschte Anzeigen als dokumentierte Methode: HMI- und SCADA-Bildschirme zeigten Werte an, die nicht mit dem tatsächlichen Prozesszustand übereinstimmten, wodurch die Kompromittierung vor dem Bedienpersonal verschleiert wurde.
Die Sicherheitsüberprüfung ist zudem darauf ausgelegt, die Aussagekraft der vorliegenden Beweise stets präzise und ohne Übertreibungen darzustellen. Es wird explizit unterschieden zwischen dokumentierten Aktivitäten, die Akteuren mit Verbindungen zum Iran zugeschrieben werden, allgemein beobachteten Mustern in OT/ICS-Umgebungen und grundlegenden Best Practices der OT-Sicherheit. Auf diese Weise wird sichergestellt, dass sämtliche Erkenntnisse sowohl vor dem Vorstand als auch gegenüber den Regulierungsbehörden – gemäß den KRITIS-Anforderungen und BSI-Standards – absolut belastbar und vertretbar sind.
Wesentliche Erkenntnisse der Sicherheitsüberprüfung
Dreizehn Domänen, direkt auf etablierte Standards abgebildet. Von Governance und Asset-Sichtbarkeit über die Sicherheit von Engineering-Workstations, Detektion, Incident Response, Backup und Wiederherstellung bis hin zu physischen Auswirkungen – jede Domäne ist präzise auf NIST CSF, NIST SP 800-82 oder IEC 62443 abgebildet. So basieren alle Ergebnisse nachweisbar auf anerkannten Standards der Informationssicherheit und nicht auf der subjektiven Meinung eines Prüfers.
Ein Scoring-Modell, das sich nicht durch bloße Dokumentenlage manipulieren lässt. Die Methodik verhindert bewusst, dass eine Anlage mit guten Governance-Werten eine einzige katastrophale Sicherheitslücke rechnerisch kompensiert. Wenn eine kritische Sicherheitsmaßnahme (Critical Control) – wie eine über das Internet erreichbare SPS (PLC) oder ein ungetesteter Notfallplan – mit null oder eins bewertet wird, wird die Gesamtnote unabhängig vom prozentualen Gesamtergebnis auf ein „D“ gedeckelt.
Acht kritische Erkenntnisse, die alles andere überlagern. Direkt aus dem Internet erreichbare OT-Systeme, Standard-Anmeldedaten, fehlende IT/OT-Segmentierung, unkontrollierter Fernzugriff, keinerlei Transparenz über unbefugte Logikänderungen (z. B. SPS/PLC-Manipulationsversuche), ein ungetesteter Incident-Response-Plan (Notfallplan), unzuverlässige Wiederherstellungsprozesse und das Fehlen einer manuellen Rückfallebene – jeder dieser Punkte steht in direktem Zusammenhang mit einem dokumentierten Angriffspfad und stellt kein theoretisches Risiko dar.
Verhaltensbasierte Detektion vor Indikator-Abgleich. Die CISA hat die ursprünglichen Indicators of Compromise (IoC) von 2023 bereits als veraltet zurückgezogen, und die Kampagne von 2026 hat sich über mehrere Hersteller hinweg weiterentwickelt. Die Bewertung überprüft, ob Sie unerwartete Schreibbefehle, neue Geräte und anomale Engineering-Aktivitäten detektieren können, da statische IoCs zukünftige Aktivitäten nicht erfassen.
Manuelle Abläufe als letzte Verteidigungslinie. Domäne L stellt die entscheidende Frage bei einem tatsächlichen Vorfall: Kann die Anlage weiterhin sicher Wasser aufbereiten, wenn das SCADA-System kompromittiert oder nicht verfügbar ist oder dem Bediener falsche Werte anzeigt? Jede andere Sicherheitsmaßnahme verringert die Wahrscheinlichkeit einer Kompromittierung; diese eine begrenzt die Auswirkungen, wenn alle anderen Vorkehrungen versagen.
Wie Shieldworkz Ihre Compliance-Bereitschaft gemäß CISA- und EPA-Vorgaben unterstützt
Die Durchführung der Sicherheitsbewertung zeigt Ihnen auf, wo Sie stehen. Die Behebung der identifizierten Schwachstellen ist der Bereich, in dem Shieldworkz ansetzt. Die CISA, das FBI, die NSA und die EPA haben in weniger als drei Jahren zwei gemeinsame Lageberichte zu diesem Bedrohungsspektrum herausgegeben. Dies verdeutlicht die wachsenden regulatorischen Anforderungen, dass Betreiber kritischer Infrastrukturen ihre Abwehrbereitschaft gegen bekannte Angriffspfade nachweisbar belegen – und nicht nur behaupten – müssen.
OThello Assess: validiert die durch diesen Fragebogen aufgedeckten Schwachstellen und bildet Ihre tatsächlich im Internet sichtbaren PLCs, RTUs und HMIs in Bewertungszyklen von unter 24 Stunden ab.
OT-Netzwerk-Detection and Response: Liefert die Verhaltensüberwachung, anhand derer diese Bewertung erfolgt, und erkennt unbefugte Schreibbefehle, neue Geräte sowie anomale Engineering-Aktivitäten.
Incident-Response-Tabletop-Übungen: ausgerichtet auf dieselben Szenarien, die dieser Fragebogen prüft – Manipulation der PLC-Logik, HMI-Fälschung und Kompromittierung des Fernzugriffs –, damit ein geprüfter Notfallplan eine gelebte Tatsache ist und kein bloßes Kontrollkästchen.
Unterstützung bei der regulatorischen Compliance: Wir übersetzen CISA-Sicherheitshinweise, EPA-Sektorerwartungen und IEC 62443-Anforderungen in konkrete Behebungsmaßnahmen, die Ihr Team tatsächlich umsetzen kann – priorisiert nach Schadensausmaß, nicht nach Bequemlichkeit.
Versorgungsunternehmen, die diese Sicherheitsüberprüfung mit der Shieldworkz-Validierung kombinieren, erhalten weit mehr als nur eine bloße Bewertung. Sie erhalten eine evidenzbasierte Antwort auf die Frage, die sich jeder Aufsichtsrat früher oder später stellt: Sind wir einer Bedrohung ausgesetzt, die bereits vergleichbare KRITIS-Anlagen kompromittiert hat?
Laden Sie das Assessment herunter
Zwei dokumentierte Kampagnen haben bereits OT-Infrastrukturen im Wassersektor mit diesen Techniken angegriffen. Die nächste Kampagne wird sich nicht im Voraus ankündigen.
Füllen Sie das Formular aus, um Ihr kostenfreies Exemplar des Fragebogens zur Bewertung der Cyber-Resilienz für Wasser- und Abwasseranlagen gegen Cyber-Bedrohungen mit Bezug zum Iran zu erhalten. Sie haben zudem die Möglichkeit, ein unverbindliches Beratungsgespräch mit einem Shieldworkz-Experten für OT-Sicherheit zu vereinbaren. Dieser unterstützt Sie dabei, Ihre Ergebnisse zu interpretieren, kritische Erkenntnisse zu validieren und Abhilfemaßnahmen nach potenziellen Auswirkungen zu priorisieren.
Vereinbaren Sie eine Demo mit den Shieldworkz-Experten für OT-Sicherheit
Laden Sie noch heute Ihre Kopie herunter!
Bewerten Sie die Resilienz Ihrer Versorgungsunternehmen gegenüber dokumentierten OT-Cyberbedrohungen mit Bezug zum Iran. Laden Sie noch heute den kostenlosen Fragebogen zur Cyber-Resilienz-Bewertung herunter.
