CISA mahnt kritische Infrastrukturen zu mehr Schutz, da Bedrohungen aus dem Umfeld des Iran und durch KI wachsen
Betreiber kritischer Infrastrukturen sehen sich laut einem Tenable-Blogbeitrag zum Cybersecurity Awareness Month 2026 einem erhöhten Cyberrisiko durch staatliche Gruppen und KI-gestützte Angriffe ausgesetzt. Der Beitrag fasst Empfehlungen der CISA und von Partnerbehörden zusammen, wie Organisationen aus den Bereichen Wasser, Energie, Verkehr und Gesundheitswesen ihre Angriffsfläche verringern können.
- Mit dem Iran verbundene APT-Gruppen greifen laut einer Warnung der US-Regierung seit dem Beginn der Operation Epic Fury im Februar Wasser-, Energie- und Regierungseinrichtungen in den USA an.
- Die Angriffe zielten auf mit dem Internet verbundene PLCs und führten in einigen Fällen zu Betriebsstörungen und finanziellen Verlusten.
- Laut Tenable nutzen Angreifer KI, um zusammengewachsene IT-/OT-Netze in Maschinengeschwindigkeit zu kartieren und nicht inventarisierte Altsysteme auszunutzen.
- Die drei R der CISA: Schwachstellen reduzieren, nicht mehr unterstützte Geräte ersetzen, sich schnell erholen.
- Ein gemeinsamer Leitfaden der CISA und von Behörden aus sechs weiteren Ländern nennt acht Prinzipien für die sichere OT-Anbindung.
Gruppen mit Iran-Bezug nehmen Betriebstechnik ins Visier
Einer gemeinsamen Warnung von US-Regierungsbehörden zufolge, die im April veröffentlicht und im Juli aktualisiert wurde, greifen Advanced-Persistent-Threat-Gruppen (APT) mit Verbindungen zur iranischen Regierung seit dem Beginn der Operation Epic Fury der USA gegen den Iran im Februar Wasser-, Energie- und Regierungseinrichtungen in den USA an. Laut der Warnung nehmen die Gruppen mit dem Internet verbundene Geräte der Betriebstechnik (OT) wie speicherprogrammierbare Steuerungen (SPS bzw. PLCs) ins Visier.
Die Aktivitäten hatten reale Folgen. In der Warnung heißt es, Organisationen aus mehreren Sektoren der kritischen Infrastruktur in den USA hätten "Störungen durch bösartige Interaktionen mit PLC-Projektdateien und die Manipulation von Daten erlebt, die auf Bedienoberflächen (HMI) und SCADA-Anzeigen (Supervisory Control and Data Acquisition) dargestellt werden". In einigen Fällen habe dies zu Betriebsstörungen und finanziellen Verlusten geführt.
Die Taktiken, Techniken und Verfahren entsprechen denen von CyberAv3ngers, einer Gruppe, die die US-Regierung zuvor dem Cyber-Electronic Command (IRGC-CEC) der iranischen Revolutionsgarden zugeordnet hat. Von Tenable zitierte Experten beobachten, dass viele staatliche Gruppen von verdeckter Spionage zu zerstörerischen Angriffen übergegangen sind, die den Betrieb der Opfer stören sollen.
Die Warnung empfiehlt Sicherheitsteams, PLCs nach den Vorgaben der Hersteller zu installieren, sie mithilfe sicherer Gateways und Firewalls aus der direkten Internet-Exposition zu nehmen und Systemprotokolle auf Kompromittierungsindikatoren sowie verdächtigen Datenverkehr auf den von OT-Geräten genutzten Ports zu prüfen.
KI erhöht den Druck auf zusammengewachsene IT- und OT-Netze
Organisationen, die Umgebungen absichern, in denen IT und OT zusammenwachsen, müssen sich laut Tenable inzwischen auch gegen KI-gestützte Angriffe wappnen. Dem Unternehmen zufolge nutzen Angreifer KI, um zusammengewachsene Netze in Maschinengeschwindigkeit zu kartieren und Altsysteme auszunutzen, die nicht inventarisiert sind. Zudem setzen sie KI ein, um sich das Spezialwissen anzueignen, das für das Eindringen in komplexe industrielle Steuerungssysteme nötig ist.
Als zentrale Schwäche nennt Tenable Lücken bei der Transparenz über die eigenen Assets. Viele ältere OT-Systeme lassen sich nur schwer inventarisieren, bleiben dadurch unüberwacht und ungepatcht und schaffen verdeckte Angriffswege.
Die Empfehlungen der CISA: Hygiene-Grundlagen und die drei R
Die diesjährige Botschaft der CISA zum Cybersecurity Awareness Month trägt den Titel "Securing the Next 250" und konzentriert sich auf den Schutz der kritischen Infrastruktur der USA. Sie knüpft an den 250. Jahrestag der Staatsgründung an. Tenable weist darauf hin, dass die Kampagne bereits im 22. Jahr stattfindet.
Die CISA betont, dass Angreifer in der Regel den einfachsten Weg hinein suchen, weshalb eine solide Basis an Cyberhygiene in jedem Sektor wichtig ist. Zu ihren Empfehlungen gehören:
- Beschäftigte darin schulen, Phishing zu erkennen, und das Melden verdächtiger Aktivitäten einfach machen.
- Starke Passwörter vorschreiben und phishingresistente Multi-Faktor-Authentifizierung einführen.
- Software zügig aktualisieren, Fehlkonfigurationen beheben und die Schwachstellen mit dem höchsten Risiko patchen.
- Systemaktivitäten überwachen und protokollieren, um Angriffsversuche zu erkennen.
- Daten sichern und verschlüsseln.
- Einen Incident-Response-Plan erstellen, regelmäßig aktualisieren und üben.
- Sich auf die Wiederherstellung nach Störungen vorbereiten, einschließlich Behelfslösungen, die wesentliche Funktionen am Laufen halten.
Damit sich das leichter merken lässt, propagiert die CISA die drei R: Schwachstellen reduzieren (reduce), Geräte ersetzen, die Hersteller nicht mehr unterstützen (replace), und sich schnell erholen, um den Betrieb aufrechtzuerhalten (recover). Sicherheitsteams verweist sie auf die im Juni veröffentlichte Binding Operational Directive BOD 26-04 "Prioritizing Security Updates Based on Risk", auf die im Februar veröffentlichte BOD 26-02 "Mitigating Risk From End-of-Support Edge Devices" sowie auf ihre Initiative CI Fortify.
Gemeinsame Prinzipien für die sichere OT-Anbindung
Anfang des Jahres veröffentlichten die CISA sowie die Cybersicherheitsbehörden aus Australien, Kanada, Deutschland, den Niederlanden, Neuseeland und dem Vereinigten Königreich gemeinsam einen Leitfaden mit dem Titel "Secure connectivity principles for operational technology". Darin heißt es, dass ungeschützte und unsichere OT-Anbindungen sowohl von opportunistischen als auch von hochfähigen Akteuren ins Visier genommen werden, darunter staatlich unterstützte Akteure, die es auf die Netze kritischer nationaler Infrastrukturen abgesehen haben.
Der Leitfaden nennt acht Prinzipien: Risiken und Chancen abwägen, die Exposition der Anbindung begrenzen, Netzwerkverbindungen zentralisieren und standardisieren, standardisierte und sichere Protokolle verwenden, die OT-Grenze härten, die Auswirkungen einer Kompromittierung begrenzen, sicherstellen, dass sämtliche Verbindungen protokolliert und überwacht werden, und einen Isolationsplan festlegen. Laut dem Dokument kann eine Stärkung der Sicherheit, einschließlich der OT-Verbindungen, "die Schwelle erhöhen, die nötig ist, um physische Schäden, Umweltauswirkungen und Störungen zu verursachen".
Was das für Betreiber bedeutet
Die Empfehlungen führen Betreiber zu den Grundlagen: wissen, welche Assets sie besitzen, OT-Geräte von der direkten Internet-Exposition nehmen, nach Risiko patchen, nicht mehr unterstützte Geräte ausmustern und die Wiederherstellung üben. Tenable weist zudem darauf hin, dass Organisationen Unterstützung von Behörden und Gruppen wie dem Center for Internet Security und dem SANS Institute erhalten können. Da Akteure mit Iran-Bezug laut der gemeinsamen Warnung bei einigen US-Organisationen bereits Störungen und finanzielle Verluste verursacht haben, lautet die Botschaft der Behörden: Grundlegende Schutzmaßnahmen bleiben die erste Verteidigungslinie.
