CISA, das FBI und weitere Partner haben im Juli 2026 die Warnung AA26-097A überarbeitet. Darin warnen die US-Behörden vor gezielten Angriffen Iran-naher Hacker auf industrielle Steuerungssysteme (Industrial Control Systems, ICS) von Siemens, Schneider Electric und Rockwell Automation.
Nach der aktualisierten Warnung betrifft das vor allem PLCs, also speicherprogrammierbare Steuerungen, die über das Internet erreichbar sind und in kritischer Infrastruktur eingesetzt werden. Brisant ist der Hinweis aus einem einfachen Grund: Laut Warnung bleibt es nicht bei klassischen IT-Vorfällen. Die Angreifer sollen bereits Betriebsstörungen und finanzielle Schäden verursacht haben. In einzelnen Fällen wurden demnach sogar Abschalt- und Alarmfunktionen deaktiviert.
Betroffene Sektoren und Systeme
Die aktualisierte Warnung richtet sich nach Angaben von CISA und FBI an Betreiber aus der Energieversorgung, aus Wasser- und Abwasserbetrieben sowie aus staatlichen Einrichtungen. Im Mittelpunkt stehen PLCs, die direkt oder indirekt über das öffentliche Internet erreichbar sind.
Dass die Behörden die Warnung jetzt ausweiten, sagt einiges über die Tragweite aus. Systeme von Siemens, Schneider Electric und Rockwell Automation sind in Industrieanlagen sehr weit verbreitet. Entsprechend groß kann der Schaden werden, wenn Angreifer Konfigurationen verändern oder Bedienoberflächen manipulieren.
Legitime Engineering-Tools im Fokus
Auffällig an der aktualisierten Warnung ist der Wechsel bei den Methoden. Die Akteure setzen nicht mehr nur auf schwache oder voreingestellte Passwörter, sondern greifen zunehmend zu legitimen Werkzeugen der Hersteller.
CISA, das FBI und ihre Partner nennen dabei unter anderem Rockwell Studio 5000 Logix Designer, Schneider EcoStruxure Control Expert und Siemens TIA Portal. Mit diesen Tools verschaffen sich Angreifer laut Warnung Zugriff auf PLCs, spielen manipulierte Projektdateien ein, ändern HMI-Oberflächen und verfälschen SCADA-Daten. Genau das macht solche Angriffe schwerer zu erkennen, weil die Änderungen anfangs wie normale Wartungs- oder Engineering-Arbeiten aussehen können.
Folgen für den sicheren Anlagenbetrieb
Wenn Alarm- oder Shutdown-Logik abgeschaltet wird, geht es nicht mehr nur um Daten oder um Verfügbarkeit. Dann steht die Sicherheit der Prozesse selbst auf dem Spiel. Schon kleine Eingriffe an Steuerungen können Ausfälle auslösen, Anlagen beschädigen oder unsichere Betriebszustände nach sich ziehen.
Die Warnung fügt sich außerdem in ein größeres Muster iranisch zugeschriebener Cyberaktivitäten gegen strategische Ziele ein. Dazu zählt die 2023 bekannt gewordene CyberAv3ngers-Kampagne gegen Unitronics-PLCs in US-Wasserwerken. Dazu gehört auch der öffentlich bekannt gewordene Angriff auf Stryker im März 2026, der Produktion und Auslieferung störte.
Empfehlungen der Behörden
Die aktualisierte Mitteilung enthält laut CISA eine erweiterte Liste von Kompromittierungsindikatoren und schärfere Handlungsempfehlungen. Betreiber sollten prüfen, ob ihre ICS-Geräte unnötig direkt an das öffentliche Internet angebunden sind.
Außerdem empfehlen Behörden und Hersteller, Fernzugänge besser abzusichern, Netzwerke zu segmentieren, Protokollierung zu aktivieren, Engineering-Workstations zu schützen und Konfigurationsänderungen engmaschig zu überwachen. Noch ist unklar, wie viele Systeme von Siemens, Schneider Electric und Rockwell Automation tatsächlich kompromittiert wurden. Für Betreiber kritischer Infrastruktur ist die aktualisierte Warnung trotzdem besonders relevant. Die Warnung AA26-097A steht bei CISA zum Download bereit.
