Fünf Behörden, eine Warnung, kein neues Loch.

Am 19. August haben NSA, CISA, FBI, Energieministerium und Umweltbehörde eine gemeinsame Warnung herausgegeben, Kennung AA26-231A. Der Titel lässt wenig Spielraum: „Defending Against an Active Threat to Siemens S7 Series PLCs”. Im Text steht wörtlich: „This is not a theoretical risk - it is an active threat.”

Betroffen sind Speicherprogrammierbare Steuerungen der S7-Reihe, die Kästen, die in Fabriken, Kläranlagen und Wasserwerken Pumpen und Ventile schalten. Die Angreifer suchen sie mit Diensten wie Censys und ZoomEye im offenen Internet und greifen sie dann mit Skripten an, die eine KI für sie geschrieben hat - getarnt als harmlose Überwachungswerkzeuge. Genannte Sektoren: Fertigung, Energie, Wasser und Abwasser, Chemie, Lebensmittel und Landwirtschaft.

Der Haken, den die Behörden selbst benennen: Es geht um Aufklärung und Vorbereitung, nicht um bereits angerichteten Schaden. In der Warnung steht kein einziger Vorfall. Und Siemens sagt dazu in seinem eigenen Bulletin, es gebe keine neue Schwachstelle; ein Sprecher ergänzte, man habe „keine erhöhten Angriffszahlen oder unbekannte Schwachstellen” in den eigenen Produkten festgestellt. Angegriffen wird also nicht ein Fehler in der Technik, sondern der Umstand, dass sie am Internet hängt.

Die Bilder von ausgesperrten Wasserwerken, die gerade herumgehen, gehören zu einer anderen Meldung. Sie stammen aus einer FBI-Warnung vom 30. Juli: Seit dem 27. Juli meldeten Wasserbetriebe in mindestens sieben Bundesstaaten Vorfälle, Angreifer änderten IP-Adressen und Passwörter, es kam zu Druckverlust und Überflutungen. Betroffen waren dort Steuerungen von Rockwell, nicht von Siemens. In Minnesota traf es nach Angaben der Landes-IT mehr als 30 Wassersysteme.

BefundDie Lücke ist nicht neu. Neu ist, dass Angreifer sich das Werkzeug dafür schreiben lassen.