Hacktivisten im Fadenkreuz Wenn Wasserwerke zur digitalen Kriegszone werden

Anbieter zum Thema

Fsas Technologies GmbH

Die Grenzen zwischen Hacktivismus und staatlich gelenkten Cyberangriffen verschwimmen. Ein vermeintlicher Angriff auf eine Wasserauf­be­rei­tungs­anlage zeigt, wie pro-russische Gruppen gezielt kritische Infrastrukturen ins Visier nehmen und dabei sowohl technische Schwachstellen als auch psy­cho­logische Kriegsführung einsetzen.

September 2025, 08:22 Uhr: Ein unscheinbarer Login-Versuch markiert den Beginn eines Cyber­angriffs, der exemplarisch für eine neue Welle hacktivistischer Aktivitäten steht. Die Angreifer, die sich später als Mitglieder der pro-russischen Gruppe „TwoNet“ zu erkennen geben, ver­schaf­fen sich Zugang zu einer vermeintlichen Wasseraufbereitungsanlage. Was folgt, ist ein minutiös dokumentierter Einbruch in industrielle Steuerungssysteme, der die Verwundbarkeit kritischer Infrastrukturen schonungslos offenlegt.

Die Tätergruppe nutzte eine IP-Adresse eines deutschen Hosting-Providers, die zuvor nicht durch verdächtige Aktivitäten aufgefallen war. Ein Detail, das die Spurensuche erheblich er­schwert und auf eine bewusste Verschleierungstaktik hindeutet. Der verwendete User-Agent – Mozilla/5.0 auf Linux-Basis – mag banal erscheinen, doch genau diese scheinbare Normalität ist Teil der Tarnung.

Solarstrom, Router und staatlich gelenkte Hacktivisten

Cyberangriffe auf vernetzte Infrastruk­turen nehmen 2025 rasant zu

Die Anatomie eines OT-Angriffs – Zwischen Defacement und Sabotage

Nach dem initialen Eindringen hielten sich die Angreifer an ein präzises Drehbuch. Zunächst erfolgte eine systematische Erkundung der Human Machine Interface (HMI), jener kritischen Schnittstelle, über die Operateure industrielle Prozesse steuern und überwachen. Die Täter manipulierten gezielt die Visualisierung der Anlage – ein Vorgehen, das in der OT-Security-Community als „Manipulation of View“ bekannt ist und verheerende Folgen haben kann.

Besonders beunruhigend: Die Angreifer beschränkten sich nicht auf oberflächliche Verän­der­ungen. Sie griffen tief in die Prozesssteuerung ein, modifizierten Alarmschwellwerte und un­ter­drückten kritische Warnmeldungen. Ein Ventil mit der Bezeichnung MV-P-01 wurde mani­pu­liert – scheinbar eine harmlose Aktion, die jedoch bei einem realen Wasserwerk katastrophale Folgen hätte haben können. Die Täter demonstrierten dabei profunde Kenntnisse industrieller Protokolle und Steuerungslogiken.

Die technische Raffinesse des Angriffs zeigt sich in der gezielten Ausnutzung des Modbus-Protokolls, einem in der Industrie weit verbreiteten, aber inhärent unsicheren Kommuni­kations­standard. Über nicht authentifizierte Modbus-Verbindungen konnten die Angreifer direkt mit programmierbaren Steuerungen kommunizieren und Prozessparameter mani­pu­lieren. Ein Schwachpunkt, der in unzähligen Industrieanlagen weltweit existiert.

Cisco „State of Industrial Networking Report“

OT-Sicherheit hat bisher keine Priorität in Deutschland

TwoNet und das Ökosystem des digitalen Krieges

Die Gruppe TwoNet, erst im August 2025 auf Telegram aufgetaucht, verkörpert einen neuen Typus des Hacktivismus. Ihre Selbstinszenierung als „Cyber-Partisanen“ und die explizite Un­ter­stützung russischer Interessen folgen einem bekannten Muster. Die Verbindungen zu etab­lier­ten Akteuren wie „NoName057(16)“ und der „GhostSec“-Allianz deuten auf ein verzweigtes Netzwerk hin, in dem Ressourcen, Werkzeuge und Ziele geteilt werden.

Bemerkenswert ist die psychologische Komponente ihrer Operationen. TwoNet beanspruchte öffentlich die Verantwortung für den Angriff und schmückte ihn mit fiktiven Details aus – eine klassische Desinformationskampagne. Die Gruppe behauptete, ein echtes Wasserwerk in einer europäischen Stadt lahmgelegt zu haben, obwohl es sich tatsächlich um einen Honeypot han­del­te. Diese Vermischung von Realität und Fiktion ist charakteristisch für moderne Infor­ma­tions­kriegsführung.

Die geografische Streuung der verwendeten IP-Adressen – von Deutschland über Frankreich bis Italien – sowie die Nutzung verschiedener Hosting-Provider erschweren die Zuschreibung der Taten erheblich. Doch gerade diese Verschleierung ist aufschlussreich: Sie deutet auf eine koordinierte Operation hin, die über die Möglichkeiten einzelner Hacktivisten hinausgeht.

Pro-russische Hackergruppe

Wer ist NoName057(16)?

Die unterschätzte Bedrohung

Die Fokussierung auf OT/ICS-Systeme markiert eine gefährliche Eskalation im Cyberkrieg. Während IT-Angriffe primär wirtschaftliche Schäden verursachen, können kompromittierte Industrieanlagen unmittelbare Konsequenzen für Leib und Leben nach sich ziehen. Ein manipuliertes Wasserwerk gefährdet die Gesundheit tausender Menschen, ein sabotiertes Stromnetz kann ganze Regionen lahmlegen.

Die technischen Schwachstellen, die solche Angriffe ermöglichen, sind seit Jahren bekannt, werden aber häufig aus Kostengründen oder operativen Zwängen nicht behoben. Standard­passwörter, fehlende Netzwerksegmentierung und direkte Internetanbindungen von Steu­er­ungssystemen sind keine Ausnahme, sondern die Regel. Die im Angriff ausgenutzte Schwach­stelle – nicht authentifizierte Modbus-Verbindungen – findet sich in zahllosen Industrieanlagen weltweit.

Erschwerend kommt hinzu, dass viele OT-Systeme auf Langlebigkeit ausgelegt sind. Anlagen, die vor 20 Jahren installiert wurden und noch weitere 20 Jahre laufen sollen, wurden nie für eine vernetzte Welt konzipiert. Die nachträgliche Absicherung solcher Legacy-Systeme gleicht einer Herkulesaufgabe. Gleichzeitig erhöht die zunehmende Konvergenz von IT, OT und IoT die Angriffsfläche exponentiell.

OT-Netzwerksicherheit

5 Maßnahmen gegen OT-Bedrohungen

Verteidigungsstrategien für kritische Infrastrukturen

Die Abwehr solcher Angriffe erfordert einen mehrschichtigen Ansatz. Elementare Sicher­heitsmaßnahmen wie die Eliminierung von Standardpasswörtern und die Implementierung starker Authentifizierungsmechanismen bilden die Basis. Doch das allein reicht nicht aus. Kritische Systeme dürfen niemals direkt aus dem Internet erreichbar sein. Remote-Zugriffe müssen über gesicherte VPN-Verbindungen mit Multi-Faktor-Authentifizierung erfolgen, idealerweise über dedizierte Jump-Server.

Netzwerksegmentierung ist keine Kür, sie ist heutzutage Pflicht. IT-, IoT- und OT-Netzwerke müssen strikt getrennt werden. Verbindungen zwischen den Segmenten sollten nur über definierte Übergangspunkte mit Deep Packet Inspection erfolgen. Moderne OT-Firewalls können industrielle Protokolle wie Modbus oder S7 verstehen und anomale Kommunika­tions­muster erkennen – eine Fähigkeit, die traditionelle IT-Sicherheitslösungen nicht besitzen.

Besondere Aufmerksamkeit verdienen administrative Schnittstellen. Web-UIs und Engineering-Ports müssen durch IP-basierte Zugriffskontrolllisten geschützt und auf Management-VLANs beschränkt werden. Die kontinuierliche Überwachung mit pro­to­koll­spezifischen Erkennungssystemen kann verdächtige Aktivitäten wie Password-Guessing, unautorisierte Schreibvorgänge oder Änderungen an HMI-Systemen frühzeitig aufdecken.

Ein oft übersehener Aspekt ist die Überwachung ausgehenden Datenverkehrs. Kompromittierte OT-Geräte werden zunehmend für DDoS-Angriffe missbraucht oder als Brückenköpfe für wei­te­re Infiltrationen genutzt. Ungewöhnliche Verbindungen aus OT-Segmenten heraus kön­nen ein Frühwarnsignal für eine Kompromittierung sein.

Systeme zur Angriffserkennung

KRITIS-Betreiber haben Nachholbedarf

Die neue Normalität erfordert neue Ansätze

Die Bedrohung durch hacktivistische Gruppen wie TwoNet ist real und wächst. Die Ver­schmel­zung von kriminellen, hacktivistischen und staatlich gelenkten Akteuren schafft ein komplexes Bedrohungsökosystem, in dem die Zuschreibung von Angriffen zunehmend schwieriger wird. Gleichzeitig sinkt die technische Einstiegshürde für Angriffe auf industrielle Systeme durch die Verfügbarkeit von Exploits und Anleitungen im Darknet.

Für Betreiber kritischer Infrastrukturen bedeutet dies: Die Zeit des Abwartens ist vorbei. Die Absicherung von OT/ICS-Systemen darf nicht länger aufgeschoben werden. Die technischen Lösungen existieren, die regulatorischen Anforderungen wie NIS2 schaffen den rechtlichen Rahmen. Was fehlt, ist oft der Wille zur konsequenten Umsetzung.

Die Verteidigung kritischer Infrastrukturen gegen hacktivistische und staatlich gelenkte Angriffe ist eine gesamtgesellschaftliche Aufgabe. Sie erfordert nicht nur technische Maß­nahmen, sondern auch eine neue Sicherheitskultur, in der OT-Security den gleichen Stellen­wert erhält wie IT-Security. Nur so lässt sich verhindern, dass aus digitalen Angriffen reale Katastrophen werden. Die jüngsten Vorfälle zeigen, dass Angreifer bereit sind, unver­siegelte Schwachstellen zu nutzen. Die Frage ist nur, ob die Verteidiger schneller sind.

Neue Dimension der DDoS-Bedrohung

225 Prozent mehr DDoS-Angriffe

Über den Autor: Daniel dos Santos ist Senior Director und Leiter der Forschungsabteilung der Forescout Research – Vedere Labs.

(ID:50620862)