Ende Juli 2026 haben das FBI und die US-Umweltbehörde EPA eine öffentliche Warnung herausgegeben (PSA I-073026). Seit dem 27. Juli melden Wasser- und Abwasserversorger in mindestens sieben US-Bundesstaaten Angriffe, in einigen Fällen mit Auswirkungen auf den Betrieb. Angegriffen wurden Steuerungen des Typs Rockwell/Allen-Bradley MicroLogix 1100 und 1400, die offen aus dem Internet erreichbar waren. Parallel dazu wurden in Minnesota über 30 kommunale Wassersysteme angegriffen.
Wie die Angreifer vorgingen
Die Angreifer konnten sich Zugang zu den Steuerungen verschaffen, weil diese offen im Internet standen und nicht ausreichend geschützt waren. Beim MicroLogix 1400 kommt hinzu, dass der eingebaute Webserver ab Werk feste Standardzugangsdaten (administrator/ml1400, guest/guest) hat, die oft nie geändert werden.
Die Angreifer änderten die Konfiguration der Steuerung, indem sie die IP-Adresse umstellten und ein Passwort setzten. Dadurch verlor das Leitsystem die Verbindung und die Sicht auf den Prozess und die Betreiber waren aus ihren eigenen Geräten ausgesperrt.
In mindestens einem Fall veränderten die Angreifer die Projektdatei der SPS selbst (Ladder Logic, also das Steuerungsprogramm, nach dem die SPS Pumpen und Ventile schaltet). Das ist der besonders riskante Teil, denn eine solche Manipulation kann die Sicherheit (Safety) beeinträchtigen.
MITRE ATT&CK ICS
Das ist unsere eigene Ableitung aus dem geschilderten Verhalten, kein Behördenbefund. Das FBI nennt für die MicroLogix-Welle keine MITRE ATT&CK Techniken.
| Taktik | Technik | Bedeutung |
|---|---|---|
| Initial Access | T0883 Internet Accessible Device | Steuerung offen im Internet |
| Initial Access | T0822 External Remote Services | Fernzugriff über Webserver oder Modem |
| Execution | T0821 Modify Controller Tasking | verändertes Steuerungsprogramm |
| Lateral Movement | T0843 Program Download | Aufspielen des veränderten Programms |
| Impact | T0829 Loss of View | IP-Änderung, Leitsystem sieht den Prozess nicht mehr |
| Impact | T0827 Loss of Control | Betreiber ausgesperrt |
| Impact | T0826 Loss of Availability | Betriebsstörung, Rückfall auf Handbetrieb |
| Impact | T0880 Loss of Safety | Druckverlust und Rücksaug-Risiko für unbehandeltes Grundwasser |
Steuerungen weltweit
Insgesamt konnten via Shodan weltweit rund 2.536 MicroLogix-Geräte identifiziert werden, etwa 2.215 vom Typ 1400 und 321 vom Typ 1100. Die meisten davon befinden sich in den USA.
Steuerungen in Europa
Wie sieht es in Europa und der DACH-Region aus? Wir konnten europaweit rund 582 offen erreichbare Rockwell-Geräte identifizieren. Die konkret betroffenen MicroLogix 1100 und 1400 machen davon etwa 330 aus, ungefähr 200 vom Typ 1400 und 130 vom Typ 1100, konzentriert in Spanien, Italien, Portugal und Polen. Im DACH-Raum ist es fast keins, in Deutschland ein einziger 1400.
Diese Zahlen muss man vorsichtig lesen. Shodan zeigt nur, dass ein Gerät erreichbar ist, nicht dass es kompromittiert wurde. Ob das Standardpasswort noch aktiv ist, sieht man von außen nicht. Ein Teil der Treffer kann ein Honeypot oder ein Testsystem sein.
Verwandte Vorfälle
In der Vergangenheit gab es weitere Angriffe auf Rockwell-Steuerungen, die sich von dieser Welle aber unterscheiden. Anfang 2026 beschrieb CISA in der Advisory AA26-097A Angriffe auf die größeren Rockwell-Logix-Steuerungen über die Software Studio 5000, dem Iran zugeschrieben und mit der Schwachstelle CVE-2021-22681. Die MicroLogix laufen mit einer anderen Software (RSLogix 500), diese CVE trifft sie nicht. Es ist also eine eigene Kampagne mit anderen Geräten und anderem Zugangsweg. Für die Abwehr ist die Täterfrage ohnehin zweitrangig, denn eine offene Steuerung mit schwachem Passwort ist für jeden erreichbar.
IoCs
Für die MicroLogix-Warnung selbst gibt es keine Indikatoren. Nur die verwandte Kampagne AA26-097A beinhaltet Angreifer-IP-Adressen als IoC. Sie sind für die rückblickende Suche in den eigenen Logs geeignet, um zu prüfen, ob eine der Adressen jemals aufgetaucht ist, nicht als dauerhafte Sperrliste, da sie schnell veralten. Die maschinenlesbare Liste liegt als STIX in der Advisory AA26-097A.
Aus den Angriffen lernen
Wie verwundbar sind deutsche und europäische Versorger und was nehmen wir mit? Die betroffenen Baureihen stehen bei uns kaum, aber die Schwachstelle ist überall dieselbe.
Initialer Zugang: Zu viele Steuerungen, Panels und Fernwartungszugänge stehen offen im Internet. Der wirksamste Schritt ist, den Überblick über die eigenen Assets zu haben und Fernzugriff nur über ein abgesichertes Gateway mit MFA zuzulassen. Ein Selbst-Scan über Shodan oder Censys auf den eigenen Netzbereich zeigt schnell, was sichtbar ist.
Zugangsdaten: Standardpasswörter sind in der OT weiterhin ein Problem, auch bei uns. Oft nutzt ein Dienstleister dasselbe Passwort für viele Kunden und MFA ist nicht durchgängig implementiert. Das fällt normalerweise in der Hardening-Phase oder bei einem OT-Pentest auf.
Manipulation der Logik: Nach so einem Vorfall sollte man prüfen, ob die Steuerung manipuliert wurde. Dabei helfen Logs der OT-Sensorik und PCAPs. Zu klären ist auch, ob nur die Projektdatei oder zusätzlich die Firmware verändert wurde. Das laufende Programm sollte mit den Prüfwerkzeugen des Herstellers gegen eine als sauber bekannte Version verglichen werden. Und man sollte sich nicht allein auf die HMI-Anzeige verlassen, denn die lässt sich mitfälschen.
Wiederherstellung: Angriffe können passieren. Man sollte Notfallbetriebsszenarien üben und einen klaren Wiederherstellungsprozess haben. Dazu gehören getestete Offline-Backups von Logik und Konfiguration.
Quellen:
https://www.ic3.gov/PSA/2026/PSA260730.pdf
https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a
Ali Recai Yekta
Ali Recai Yekta ist CTO & Head of Cybersecurity bei Yekta IT. Seine Schwerpunkte sind u.a. Pentesting sowie Cyber Defense für die Branchen Energie, Automotive & Rail. Er hat ein Master in IT-Sicherheit und ist OSCP, OSEP, OSWE, CRTO zertifiziert.