Koordinierter Cyberangriff legt Betriebssteuerungen von 30+ Wasserversorgungsunternehmen in Minnesota lahm.

Mehr als 30 kommunale Wasserversorgungssysteme in Minnesota wurden am 26. und 27. Juli von einem koordinierten Cyberangriff getroffen, der die Betriebstechnologie (OT) von Pumpen, Ventilen und Aufbereitungsprozessen angriff und eine landesweite Cybersicherheitsreaktion von Minnesota IT Services (MNIT) auslöste. Der Angriff legte mindestens eine Aufbereitungsanlage lahm und zwang mehrere Versorgungsunternehmen, von automatisierter auf manuellen Betrieb umzustellen, während Ermittler daran arbeiteten, den Eindringling einzudämmen.

Was vor Ort geschah

Die Wasseraufbereitungsanlage der Stadt Braham fiel vollständig aus. Zunächst gaben die Behörden einen „unbekannten Grund“ an, bevor sie Stunden später bestätigten, dass Mitarbeiter einen bösartigen Cyberangriff auf die computergesteuerten Betriebssysteme der Anlage identifiziert hatten. Braham forderte die Bewohner auf, den Wasserverbrauch zu reduzieren, bis die Aufbereitung wieder aufgenommen wurde; die Anlage war innerhalb von etwa drei Stunden wieder online und filterte Wasser „wie erwartet“.

Plymouth meldete Ausfälle der Mobilfunkkommunikation an zwei Wassertürmen und mehreren Abwasserpumpstationen, hielt die Dienste jedoch manuell am Laufen. South St. Paul und Maple Plain meldeten Beeinträchtigungen der automatisierten Versorgungssteuerung; Maple Plain rief den lokalen Notstand aus, um die Reaktion zu unterstützen, obwohl die Wasserversorgung in beiden Städten ohne Unterbrechung fortgesetzt wurde. MNIT erklärte, es sei keinem Versorgungsunternehmen bekannt, dass es Bewohner aufgefordert habe, ihren Trinkwasserverbrauch aufgrund des Vorfalls zu ändern, und Beamte haben erklärt, dass der Angriff die Wasserqualität nicht beeinträchtigt habe.

Warum „koordiniert“ hier das entscheidende Wort ist

Nur vier der rund 30 betroffenen Systeme – Braham, Plymouth, South St. Paul und Maple Plain – wurden öffentlich genannt; die übrigen bleiben während der laufenden Ermittlungen als nicht-öffentlich eingestuft. MNIT teilte Reportern mit, dass die Vorfälle gemeinsame Merkmale in Bezug auf Zeitpunkt, Zugriffsmethode und die Art der angegriffenen Infrastruktur aufwiesen, was den Staat dazu veranlasste, die Aktivität als koordiniert und nicht als eine Reihe unzusammenhängender Vorfälle zu beschreiben. Ermittler haben Ähnlichkeiten bei der Art und Weise festgestellt, wie auf die Systeme zugegriffen wurde, haben jedoch keine technischen Details öffentlich gemacht, und die Zuordnung ist noch nicht abgeschlossen – MNIT erklärte, das Muster stimme mit Aktivitäten überein, die Bundespartner in anderen Bundesstaaten und Sektoren beobachtet haben, es sei jedoch noch nicht bestätigt, ob ein einzelner Akteur für jeden Vorfall verantwortlich ist.

Eine Reaktion, die für kritische Infrastruktur ausgelegt ist, nicht für ein einzelnes Versorgungsunternehmen

MNIT koordiniert Eindämmung, Ermittlungen und Wiederherstellung mit der Cybersecurity and Infrastructure Security Agency (CISA), der Environmental Protection Agency, dem FBI und den betroffenen Versorgungsunternehmen selbst. „Cyberangriffe auf kritische Infrastruktur erfordern eine koordinierte, ressortübergreifende Reaktion“, sagte John Israel, stellvertretender Kommissar von MNIT und Chief Information Security Officer von Minnesota.

Der Zeitpunkt passt zu umfassenderen Bundesrichtlinien: CISA, das australische Cyber Security Centre, das FBI und internationale Partner veröffentlichten in derselben Woche gemeinsame Ratschläge zur Isolierung wichtiger betriebstechnischer Systeme während Cyberangriffen, die speziell darauf abzielen, Betreiber kritischer Infrastruktur dabei zu unterstützen, die Kontinuität der Dienste aufrechtzuerhalten, wenn ihre Kontrollsysteme kompromittiert sind.

Das Muster hinter dem Vorfall

Wasserversorgungsunternehmen sind zu einem immer häufigeren Ziel dieser Kategorie von Angriffen geworden, gerade weil viele von ihnen auf alternder OT-Infrastruktur mit begrenzten Sicherheitsbudgets und kleinen IT-Abteilungen im Verhältnis zu ihrer Verantwortung laufen. Ein einzelnes kommunales Wasserwerk verfügt selten über die Ressourcen eines Unternehmenssicherheitsteams, kontrolliert aber eine Infrastruktur, die bei ausreichend breiter Störung direkte Auswirkungen auf die öffentliche Gesundheit hat. Diese Diskrepanz – hohe Konsequenzen, geringe Verteidigungsfähigkeit – macht einen koordinierten, mehrere Versorgungsunternehmen umfassenden Angriff wie diesen zu einer grundlegend anderen Bedrohung als einen Einbruch bei einem einzelnen Unternehmen: Dieselbe Zugriffsmethode oder Schwachstelle, repliziert über Dutzende unabhängig betriebener, aber ähnlich konfigurierter Systeme, kann gleichzeitige Störungen in einem Ausmaß verursachen, das kein einzelnes Versorgungsunternehmen allein hätte vorhersehen oder bewältigen können. Im Zuge der weiteren Ermittlungen wird dies wahrscheinlich die zentrale Lehre sein, die Staats- und Bundesbeamte aus Minnesotas Reaktion ziehen, wie von The Hacker News und BleepingComputer berichtet.