Die US-amerikanische National Security Agency (NSA), die Cybersecurity and Infrastructure Security Agency (CISA), das Federal Bureau of Investigation (FBI), das Energieministerium und die Environmental Protection Agency warnten vor anhaltenden Angriffen auf speicherprogrammierbare Steuerungen der Siemens-S7-Reihe in der kritischen Infrastruktur der USA. In einer gemeinsamen Warnung vom 19. August 2026 erklärten die Behörden, dass Bedrohungsakteure mithilfe künstlicher Intelligenz entwickelte Skripte einsetzen, um diese Industrieanlagen auszunutzen.
PLC-Steuerungen sind Industriecomputer, die zur Automatisierung von Maschinen und zur Kontrolle physischer Prozesse in Fabriken und kritischen Einrichtungen eingesetzt werden. Zu den am stärksten betroffenen Sektoren gehören die Fertigungsindustrie, der Energiesektor, Wasser- und Abwassersysteme, die Chemieindustrie, Lebensmittel und Landwirtschaft sowie kommerzielle Einrichtungen. Die Behörden wiesen außerdem auf den Einsatz von Siemens-S7-Steuerungen in der Basis der Rüstungsindustrie hin, wodurch auch dieser Bereich potenziell zum Ziel werden könnte.
Wie werden die Angriffe durchgeführt?
Die Angreifer suchen mithilfe von Internet-Scan-Diensten, darunter Censys und ZoomEye, nach exponierten Siemens-Steuerungen. Anschließend versuchen sie, kritische und hochriskante Schwachstellen, veraltete Software oder schwache Authentifizierungsmechanismen auszunutzen. Laut der Warnung entwickelten die Angreifer in Python geschriebene Exploit-Tools, die die Bibliotheken snap7.dll und python-snap7 zur Kommunikation mit Siemens-S7-Geräten verwenden.
Diese Tools geben sich als legitime Programme zur Überwachung von Betriebstechnologien (OT) aus, können jedoch über das S7comm-Protokoll Lese- und Schreibzugriff auf den Speicher der Steuerung, Konfigurationsdaten und Programme der Kontaktplanlogik (Ladder Logic) ermöglichen. Die gemeldeten Aktivitäten zielen auf die Modelle S7-200, S7-300, S7-400, S7-1200 und S7-1500.
Warum ist diese Warnung wichtig?
Die Aktivitäten scheinen sich derzeit auf fortlaufende Aufklärung und Informationsbeschaffung zu konzentrieren, könnten jedoch den Weg für spätere Störungsoperationen bereiten. Nach Angaben der Behörden gehören zu den möglichen Folgen der Diebstahl sensibler Daten, die Beschädigung von Ausrüstung, längere Betriebsunterbrechungen oder sicherheitsrelevante Zwischenfälle. Da der Zugriff auf den Speicher und die Programme von Steuerungen unmittelbare Auswirkungen auf physische Prozesse haben kann, beschränkt sich der Schutz dieser Geräte nicht auf die Sicherheit von Büronetzwerken.
Die Warnung folgt auf eine Zunahme von Angriffen auf über das Internet exponierte PLC-Steuerungen. Im Juli griffen Hacker mehr als 30 Wasseranlagen im Bundesstaat Minnesota an, was zu Gerätestörungen führte und einige Einrichtungen dazu zwang, vorübergehend auf manuellen Betrieb umzustellen. CISA warnte außerdem vor einer Zunahme von Angriffen auf PLC-Steuerungen, die bei Wasser- und Abwasseranlagen eingesetzt werden. Im April warnten US-Behörden vor Angriffen iranisch verbundener Hacker auf über das Internet exponierte Steuerungen von Rockwell Automation/Allen-Bradley. Dabei wurden Störungen und finanzielle Verluste in mehreren Sektoren kritischer Infrastruktur verzeichnet.
Was sollten Betreiber tun?
- Die in industriellen Umgebungen vorhandenen Siemens-S7-Steuerungen erfassen und exponierte Geräte identifizieren.
- Die verfügbaren neuesten Sicherheitsupdates installieren.
- Den direkten Zugriff auf die Steuerungen über das Internet blockieren.
- Zugriffs- und Authentifizierungskontrollen verstärken.
- Ungewöhnliche Aktivitäten gegen diese Geräte oder ihre Protokolle überwachen.
Die Behörden beschränkten die Warnung nicht auf Siemens-Produkte allein, sondern empfahlen allen Eigentümern und Betreibern von PLC-Steuerungen, geeignete Schutzmaßnahmen umzusetzen, um die Risiken für industrielle Geräte und Systeme zu verringern.