Aktive Bedrohung für Siemens-SPS: Was die US-Warnung für Ihre Produktion bedeutet

Was tatsächlich passiert ist

Die Warnung stammt von der National Security Agency, dem FBI, dem US-Energieministerium, der Umweltbehörde EPA und der Cybersicherheitsbehörde CISA. Sie beschreibt laut Reuters eine „aktive Bedrohung“ für alle speicherprogrammierbaren Steuerungen der Siemens-S7-Reihe in mehreren Sektoren kritischer Infrastruktur: Fertigung, Energie, Wasser- und Abwasserwirtschaft, Chemie sowie Lebensmittel und Landwirtschaft. Je nach Situation könne eine Kompromittierung dieser Geräte kritische Prozesse stören, zu Sicherheitsvorfällen, Stillständen oder Geräteschäden führen, sensible Daten gefährden, Compliance-Verstöße verursachen und sich über verbundene Systeme ausbreiten (Reuters, 19. August 2026).

Nach Angaben der Behörden nutzen die Angreifer KI, um den technischen Aufwand und die Zeit für die Entwicklung funktionsfähiger Exploits drastisch zu reduzieren. Die Warnung steht in einer Reihe: CISA hatte am 30. Juli auf einen deutlichen Anstieg von Angriffen auf speicherprogrammierbare Steuerungen hingewiesen, nachdem bereits ein Advisory vom 22. Juli iranisch zugeordnete Akteure bei der Ausnutzung solcher Geräte von Siemens, Rockwell Automation und Schneider Electric beschrieben hatte. Hintergrund ist eine Serie von Vorfällen gegen lokale Wassersysteme in mehreren US-Bundesstaaten; allein in Minnesota wurden am 26. und 27. Juli mindestens 30 wasserbezogene Vorfälle gemeldet. US-Bundesbeamte haben bislang darauf verzichtet, den aktuellen Angriff formell mit dem Iran zu verbinden. Siemens reagierte zunächst nicht auf eine Anfrage von Reuters.

Wichtig für die Einordnung: Die Warnung formuliert mögliche Folgen im Konjunktiv. Eine Kompromittierung „könnte“ zu Stillständen und Schäden führen. Es ist damit in erster Linie eine Risikobeschreibung und keine bestätigte Sabotagewelle. Wer daraus ableitet, es sei halb so wild, liest die falsche Hälfte.

Meine Einordnung

In meiner Zeit als CISO einer Münchner Behörde mit rund 1500 Beschäftigten habe ich viele Sicherheitsmeldungen gelesen. Diese hätte ich nicht an die Technikabteilung weitergeleitet, sondern an die Betriebsleitung. Der Grund ist einfach: Eine kompromittierte Steuerung ist kein IT-Vorfall mit IT-Folgen, sondern ein Ausfall in der Anlage. Wer eine Abfülllinie, ein Kälteaggregat oder eine Kläranlage betreibt, verliert nicht Daten, sondern Ausstoß. Deshalb muss diese Meldung dort landen, wo Downtime weh tut.

Der Satz, der mir in fast jedem OT-Projekt begegnet, lautet: „Unser Produktionsnetz ist intern.“ Er ist fast immer wahr und fast immer irrelevant, weil „intern“ nicht „nicht erreichbar“ bedeutet. Bei Werkaufbau und OT-Onboarding finde ich regelmäßig Router, Fernwartungszugänge und Mobilfunkmodems, die in keiner Netzplanung eingetragen sind. Die Segmentierung existiert dann auf der Zeichnung, nicht im Datenverkehr. Genau darauf zielt die Warnung: Die Exposition ist das eigentliche Problem, nicht allein das Gerät.

Was mich an der Meldung am stärksten beschäftigt, ist deshalb das Werkzeug. KI senkt die Einstiegshürde. Ein Angreifer muss keine SPS-Kenntnisse mehr mitbringen, er muss ein erreichbares Gerät finden. Damit greift der Reflex „Wir sind keine kritische Infrastruktur“ zu kurz, denn die Liste der gefährdeten Sektoren umfasst Fertigung, Chemie, Lebensmittel und Landwirtschaft. Ein Industriebetrieb im Raum Augsburg mit einer Abfüllanlage steht auf dieser Liste, ohne sich selbst als kritische Infrastruktur verstehen zu müssen. Der zweite falsche Reflex heißt „Wir patchen einfach“. Bei Steuerungen ist der Patch oft nicht der Hebel, weil die Anlage läuft und das Wartungsfenster rar ist. Der wirksame Hebel ist die Reduktion der Angriffsfläche: keine Steuerung direkt am Internet, Fernzugriff nur über ein kontrolliertes Gateway, und ein belastbarer Blick darauf, was zwischen Büro-IT und Produktion tatsächlich offen ist.

Was Sie jetzt konkret tun können

1. Erfassen Sie Ihre Steuerungen. Nicht die Liste aus dem Ordner, sondern jeder Controller, jedes HMI und jedes Gerät, das in die Produktion hineinreicht – inklusive Fernwartungsrouter und Mobilfunkmodem.

2. Entfernen Sie direkte Internet-Exposition. Keine SPS, kein HMI und kein Leitsystem direkt aus dem Internet erreichbar. Fernzugriff läuft über ein Gateway mit eigenen Zugangsdaten je Gerät.

3. Prüfen Sie die Segmentierung, statt sie anzunehmen. Entscheidend ist, welche Wege zwischen Büro-IT und Produktionsnetz real offen sind. Zeichnungen sind eine Absichtserklärung, Verbindungsprotokolle sind ein Befund.

4. Protokollieren Sie am OT-/IT-Übergang. Wer verbindet sich wann mit welcher Steuerung? Ohne Protokoll lässt sich ein Vorfall hinterher nicht rekonstruieren – ein Problem, das ich aus mehreren Aufarbeitungen kenne.

5. Planen Sie den Wiederanlauf. Was passiert, wenn eine Anlage steht? Ersatzteile, Notbetrieb, manuelle Fahrt. Eine Firewall hilft beim Anlaufen nicht mehr.

Unterstützung sollten Sie holen, wenn Steuerungen oder Leitsysteme aus dem Internet erreichbar sind oder wenn schlicht unklar ist, was offen steht. Genau dort setze ich bei OT-Projekten an – Übersicht unter IT-Security, die dahinterliegende Netz- und Segmentierungsarbeit unter IT-Infrastruktur.

Quellen

• Reuters, „US warns Siemens devices can be hacked amid fears Iran is breaching water plants“, 19.08.2026 — https://www.reuters.com/world/us-warns-siemens-devices-can-be-hacked-amid-fears-iran-is-breaching-water-plants-2026-08-19/
• NSA, CISA, FBI, DOE und EPA, Joint Cybersecurity Advisory „Defending Against an Active Threat to Siemens S7 Series PLCs“ (AA26-231A), 19.08.2026 — https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-231a