Kritische Infrastruktur ist ein beliebtes Ziel für Cyberangriffe – und Wasserversorger stehen dabei offenbar besonders im Fokus.
Nach von Nachrichtenagenturen zitierten FBI-Angaben meldeten seit dem 27. Juli Wasser- und Abwasserversorgungsunternehmen in mindestens sieben US-Bundesstaaten Vorfälle an das FBI.
In Minnesota wurde am 26. und 27. Juli ein Angriff auf mehr als 30 kommunale Wassersysteme registriert. Die Berichte werfen ein Schlaglicht auf ein Problem, das Sicherheitsforscher seit Jahren beschreiben: Steuerungssysteme in der Wasserversorgung hängen erschreckend oft direkt am Internet.
Ich ordne für euch ein, was berichtet wird, warum das auch für Europa relevant ist – und was ihr aus dem Fall über OT-Sicherheit und vernetzte Systeme lernen könnt.
Der Cyberangriff auf US-Wasserwerke: Was ist passiert?
Laut Berichten der FAZ und weiterer Medien sollen Angreifer sich Fernzugriff auf internetverbundene Steuerungssysteme kleinerer US-Wasserversorger verschafft haben. Behörden haben bereits einige Detailangaben veröffentlicht: Minnesota IT Services meldete einen koordinierten Angriff auf mehr als 30 kommunale Wassersysteme und nannte unter anderem eine etwa zweistündige Unterbrechung der Wasserversorgung in der Stadt Braham. FBI- und EPA-Mitteilungen, zitiert in Medien, sprechen von Beeinträchtigungen des Wasserbetriebs und teils manuell gefahrenen Anlagen.
Als möglicher Urheber wird in mehreren Berichten eine Gruppe genannt, die dem iranischen Umfeld zugerechnet werde. Eine offizielle Attribution durch US-Behörden steht Stand jetzt aus. Behördenangaben beschreiben bislang vor allem unbefugten Fernzugriff auf internetfähige Steuergeräte sowie das Ändern von IP-Adressen und Passwörtern.
Bemerkenswert ist das Muster: Nicht die grossen Metropolen-Versorger stehen im Fokus, sondern kleinere, oft kommunale Betreiber. Diese haben in der Regel weder eigene IT-Sicherheitsabteilungen noch das Budget für spezialisierte OT-Security. Ihre Steuerungssysteme – sogenannte PLCs oder SCADA-Komponenten – hängen mitunter mit Standardpasswörtern oder ohne mehrstufige Authentifizierung im Netz.
Wichtig: Behördlich bestätigt sind bereits zentrale Eckdaten des Vorfalls, darunter der koordinierte Angriff auf mehr als 30 kommunale Wassersysteme in Minnesota sowie die Meldung von Vorfällen in mindestens sieben Bundesstaaten an das FBI. Nicht abschließend behördlich geklärt ist insbesondere die Täterschaft und politische Einordnung.
Warum deutsche Wasserwerke ebenfalls gefährdet sind
Wasserversorgung gilt in Deutschland als kritische Infrastruktur (KRITIS). Die Struktur ist ähnlich wie in den USA: Viele Stadtwerke und Zweckverbände betreiben Anlagen, die historisch nie fürs Internet gedacht waren. Erst nach und nach wurden Fernwartung, Sensorik und Steuerung digitalisiert – oft schneller, als die Sicherheitskonzepte hinterherkamen.
Der eigentliche Weckruf des aktuellen Falls ist deshalb nicht die Frage, wer angegriffen hat. Sondern: Wie einfach der Zugriff offenbar möglich war. Wenn Angreifer über simple Fernzugänge in Steuerungssysteme kommen, ist das kein Hightech-Angriff – das ist ein Konfigurationsproblem.
Für Betreiber heisst das: OT-Sicherheit ist längst kein Nischenthema mehr. Und für Bürger heisst es: Man sollte wissen, wie robust die eigene Versorgung eigentlich aufgestellt ist – und welche politischen Weichen jetzt gestellt werden müssen.
OT-Cybersecurity erklärt: Schutz für kritische Infrastruktur
OT steht für Operational Technology – also die Technik, die physische Prozesse steuert: Pumpen, Ventile, Chlordosierung, Filteranlagen. Im Unterschied zur klassischen IT (Mails, Server, Datenbanken) hat OT harte physische Konsequenzen. Ein falscher Steuerbefehl kann Trinkwasser ungeniessbar machen oder Anlagen beschädigen.
Die typischen Schwachstellen, die auch im aktuellen Fall eine Rolle spielen dürften, sind seit Jahren bekannt:
- Direkt aus dem Internet erreichbare Steuerungen ohne VPN-Vorschaltung
- Standardpasswörter, die nie geändert wurden
- Fehlende Zwei-Faktor-Authentifizierung für Fernwartungszugänge
- Veraltete Firmware, für die es teils gar keine Updates mehr gibt
- Keine Trennung zwischen Büro-IT und Anlagensteuerung
Diese Punkte klingen banal – und genau das ist das Problem. Angreifer brauchen keine ausgeklügelten Zero-Days, wenn sie über Suchmaschinen wie Shodan innerhalb von Minuten exponierte Steuerungen finden können.
Fernzugriff Sicherheit: 5 Maßnahmen zum Schutz
Als Privatperson habt ihr keinen direkten Einfluss auf euer Wasserwerk – aber die gleichen Prinzipien gelten für euer Zuhause. Immer mehr Menschen betreiben vernetzte Geräte, die Ähnlichkeiten mit OT-Systemen haben: Smart-Home-Zentralen, IP-Kameras, smarte Heizungssteuerungen, sogar Poolpumpen mit App-Anbindung.
Konkrete Empfehlungen für den Alltag:
- Keine Geräte direkt aus dem Internet erreichbar machen. Portweiterleitungen im Router sind fast immer eine schlechte Idee. Nutzt VPN, wenn ihr von unterwegs zugreifen wollt.
- Standardpasswörter sofort ändern – bei Router, Kameras, Smart-Home-Hubs und allem, was ans Netz geht.
- Zwei-Faktor-Authentifizierung überall aktivieren, wo es geht.
- Firmware-Updates zeitnah einspielen. Auch für Geräte, die „einfach laufen“.
- Netzwerk segmentieren: Ein Gäste-WLAN für IoT-Geräte trennt sie vom Rechner mit euren sensiblen Daten.
Für Verantwortliche in Kommunen und Versorgern gilt: Ein Inventar aller vernetzten Steuerungskomponenten, konsequente Netzsegmentierung und regelmässige Penetrationstests sind kein Luxus, sondern Pflichtprogramm. Das BSI bietet dazu spezifische Handreichungen für KRITIS-Betreiber.
Cyberangriffe verhindern: Was wir jetzt tun müssen
Die berichteten Angriffe auf US-Wasserversorger passen in ein Muster, das Sicherheitsforscher seit Jahren beschreiben. Kritische Infrastruktur ist digital verwundbar – nicht wegen genialer Hacker, sondern wegen jahrzehntelang gewachsener Nachlässigkeit im Umgang mit vernetzten Steuerungen.
Für uns in Deutschland ist das ein Anlass, genauer hinzuschauen. Wie gut sind unsere Versorger aufgestellt? Wo wird investiert, wo gespart? Und wie ernst nehmen wir eigentlich die Grundlagen der Cybersicherheit im eigenen Zuhause?
Der bequeme Fernzugriff auf alles Mögliche hat einen Preis – und den sollten wir kennen, bevor jemand anderes ihn eintreibt.
Quellen und Prüfstand
- Bericht: Water systems in 7 states hit by cyberattacks: FBI (yahoo.com)
- Bericht: Cyberattacken auf US-Wassersysteme: Steckt Iran dahinter? | FAZ (faz.net)
- Bericht: Cyberangriff auf Wassersysteme: Iran-Gruppe attackiert 7 US-Bundesstaaten (boerse-express.com)
Hinweis: Zu diesem Thema lag zum Redaktionsschluss keine offizielle Bestätigung der beteiligten Unternehmen vor. Die Angaben stützen sich auf Medienberichte.
Faktenprüfung: Alle überprüfbaren Aussagen wurden am 04.08.2026 automatisiert gegen die offiziellen Primärquellen abgeglichen. Stand des Artikels: 04.08.2026.
