Mahnung des BSI „Dieser Angriff kann auch jetzt jederzeit Nachahmer finden“

Anbieter zum Thema

Bundesamt für Sicherheit i.d.Informationstechnik

cidaas by Widas ID GmbH

secunet Security Networks AG

SEPPmail - Deutschland GmbH

Nach den Vorfällen in Frankreich ruft das BSI Betreiber kleiner Anlagen auf, Steuerungen vom Internet zu trennen. Die Empfehlung nennt vier Maßnahmen, die sich leicht umsetzen lassen, und verweist auf Angriffe in Polen und den USA.

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt, aus dem Internet erreichbare Steuerungsanlagen nach dem Stand der Technik abzusichern. Dazu hat es die Cybersicherheitsempfehlung „Gefährdung durch internetverbundene OT-Systeme“ veröffentlicht. Die Maßnahmen sind laut BSI leicht umsetzbar und senken das Risiko erfolgreicher Angriffe erheblich. Die Empfehlung richtet sich vor allem an Betreiber kleiner und kleinster industrieller Anlagen. Dazu zählen Anlagen der Energieerzeugung wie Wasserkraft-, Wind-, Solar- und Biogasanlagen, Müllverbrennung und Kraft-Wärme-Kopplung sowie Anlagen der Trinkwasserversorgung und Abwasserbehandlung. Das Bundesamt nennt auch Anwendungen wie die Kühlung von Lebensmitteln.

Ausfallsicherheit ist Prio eins

Warum Unternehmen dedizierte OT-Sicherheitslösungen brauchen

Dringende Forderung

Mit Blick auf Vorfälle in Frankreich kommentierte BSI-Präsidentin Claudia Plattner die Veröffentlichung der Empfehlungen: „Die Vorfälle in Frankreich zeigen deutlich, wie Cyberangriffe unseren Alltag beeinflussen und stören können. Dieser Angriff hätte jedes Land treffen können und kann auch jetzt jederzeit Nachahmer finden. Derartige Einfallstore laden regelrecht zu Sabotage ein. Wir fordern die Betreiber solcher Anlagen eindringlich auf, ihre Systeme sicher zu betreiben! Die Sicherheitsmaßnahmen liegen auf der Hand und sind unkompliziert umzusetzen.“

Cyberangreifer legten in der Nacht zum 12. Oktober die vernetzten Kühlsysteme von rund 700 französischen Supermärkten lahm. Sie sollen lang anhaltende Abtauzyklen ausgelöst haben, sodass sich Kühl- und Gefriergeräte teils auf bis zu 50 Grad erhitzten und Lebensmittel verdarben.

Cyberangriff in Frankreich

Angreifer manipulieren Kühlung in Hunderten Supermärkten

Warum offene Steuerungen gefährdet sind

Wer Informationen über den Zustand einer Anlage schnell abrufen will, richtet dafür oft eine Portweiterleitung im Router ein. Damit lassen sich Daten per Webbrowser über ein Mobiltelefon abrufen, laut BSI „schlimmstenfalls von jedem“. Das Amt beschreibt, dass automatisierte Dienste das Internet permanent nach exponierten industriellen Steuerungssystemen durchsuchen. Angreifer nutzen die Ergebnisse immer schneller und teilautomatisiert. Dabei setzen sie unter anderem Skripte ein, die Künstliche Intelligenz erzeugt hat und die bekannte, nicht gepatchte Schwachstellen oder Fehlkonfigurationen ausnutzen. Fehlender Basisschutz und die Möglichkeit, OT-Geräte direkt anzugreifen, senken den Aufwand für Angreifer erheblich. Durch KI ist laut BSI zudem weniger oder kein Expertenwissen mehr nötig. Das erhöht den Kreis potenzieller Angreifer und die Skalierbarkeit.

Als Beispiele nennt das BSI in seiner Empfehlung zwei Fälle. Im August 2026 haben Angreifer auf Wasserversorger in den USA zugegriffen. Sie manipulierten dabei Prozesswerte und sperrten den Zugriff auf die Geräte, um eine Wiederherstellung zu erschweren. Betroffen waren mehr als 30 kommunale Betreiber. Und im Dezember 2025 richteten sich koordinierte Angriffe in Polen gegen zahlreiche Windparks, zwei Kraft-Wärme-Kopplungs-Kraftwerke und ein Unternehmen aus dem produzierenden Gewerbe. Bei einem kleineren Kraftwerk schalteten sie Turbine und Wasseraufbereitung ab, was dank schnellen Eingreifens nur einen kurzen Ausfall ohne Versorgungsunterbrechung zur Folge hatte.

Die Grundlage der Angriffe waren laut BSI triviale Schwächen: unveränderte Standard-Zugangsdaten, wiederverwendete Passwörter über mehrere Anlagen hinweg und eine Mobilfunkanbindung, die Kommunikation zwischen beliebigen Geräten im privaten Netz erlaubte. In der Empfehlung heißt es, es handle sich dabei um „rein destruktive Sabotageakte“, die nur begrenzte Auswirkungen auf die Versorgung hatten und einfach vermeidbar gewesen wären.

Nach Cyberangriff auf FBI-Chef

USA melden iranischen Hackerangriff auf Infrastruktur

Das BSI bewertet die Lage deutlich. Anlagen könnten in der „hochvolatilen geopolitischen Lage“ jederzeit verstärkt in den Fokus geraten, auch in Deutschland. Betreiber, die OT-Systeme ohne ausreichende Schutzmaßnahmen offen aus dem Internet zugänglich machen, handelten „grundsätzlich pflichtwidrig“ und nähmen die Gefahr eines unbefugten Zugriffs oder einer Störung zumindest billigend in Kauf. Kompromittierte Systeme könnten außerdem als Proxys dienen, um die Infrastruktur von Angreifern zu verschleiern.

Empfohlene Maßnahmen des BSI

Das BSI nennt vier Maßnahmen, die in dieser Reihenfolge umgesetzt werden sollten:

• 1. Direkten Zugriff aus dem Internet unterbinden: Betreiber sollen prüfen, ob ihre Anlagen aus dem Internet erreichbar sind, und Portweiterleitungen im Router auf Endgeräte deaktivieren. Auch Protokolle wie Modbus-TCP, S7Com und Profinet dürfen nicht über Portweiterleitungen exponiert werden. Verwaltungsoberflächen von Routern und Firewalls dürfen keinesfalls aus dem Internet erreichbar sein, die Verwaltung darf nur aus dem lokalen Netz erfolgen.

• 2. Zugriffe absichern: Benötigte Fernzugriffe sind durch ein VPN zu schützen. Betreiber sollen Passwörter und idealerweise Multifaktor-Authentifizierung einrichten, Standardzugänge deaktivieren und sichere Passwörter setzen. Ein reiner Passwortschutz reicht laut BSI nicht, weil Schwachstellen auch ohne Authentifizierung ausgenutzt werden können. Bei Anlagen mit Herstellerzugang in die Cloud sollen Betreiber prüfen, ob diese Verbindung dauerhaft nötig ist, und möglichst auf lokalen Betrieb umstellen.

• 3. Systeme aktuell halten: Software und Firmware sollen regelmäßig, idealerweise automatisiert, auf neue Versionen geprüft werden. Updates, die Sicherheitslücken beheben, sollen schnellstmöglich installiert werden. Das gilt besonders für exponierte Systeme wie Router und Fernzugänge.

• 4. Maßnahmen zur Routine machen: Angriffsflächen-Prüfung, Update- und Patch-Management sowie die Pflege von Inventar, Fernzugriffs-Dokumentation, Benutzern und Passwörtern sollen regelmäßig wiederholt werden.

Security-Insider Podcast – Folge 121

Warum NIS 2 die Produktion verändert

So prüfen Betreiber, ob ihre Anlage erreichbar ist

Die Prüfung auf direkte Erreichbarkeit lässt sich laut BSI mit geringem bis mittlerem Aufwand selbst durchführen. Von innen kontrollieren Betreiber die Router-Konfiguration auf aktive Portweiterleitungen (Port Forwarding), NAT-Regeln (Network Address Translation) und UPnP-Einträge (Universal Plug and Play). Hat der Betreiber keinen administrativen Zugriff auf den Router, etwa weil ihn ein Systemintegrator verwaltet, geht das nicht direkt. Von außen lässt sich mit Webangeboten wie Ivre, Shodan und Censys prüfen, ob die öffentliche IP-Adresse bereits gelistet ist. Da nicht jedes System dort erscheint, empfiehlt das BSI zusätzlich einen Portscan der eigenen öffentlichen IP-Adresse, etwa mit dem Tool Nmap. Ein Portscan ist nur am eigenen Anschluss oder nach ausdrücklicher Freigabe des Anschluss- oder Netzbetreibers zulässig.

Das BSI nennt weitere Prüfpunkte. Dazu gehören ausgehende Verbindungen, die Geräte ins Internet oder in Dienstleisternetze aufbauen, und nicht dokumentierte Fernwartungszugänge über WLAN-Gateways oder LTE-Modems. Solche Zugänge sind dem Betreiber teils gar nicht bekannt. Bei privaten APNs (Access Point Names) warnt das Amt, dass die vermeintliche Abschottung trügerisch sein kann. Die Daten werden häufig unverschlüsselt übertragen, und ohne weitere Maßnahmen sind Querbewegungen zwischen getrennten Anlagen möglich. Firewall-Regeln sollen nur benötigte Verbindungen erlauben (Allow-Listing), und Netzbereiche wie Büro-IT, OT, Fernwartung und IIoT sollen klar voneinander getrennt sein.

Cybersecurity für Industrie 4.0

OT & NIS – eco Verband gibt 9 Tipps

(ID:50989102)