US-Behörden warnen vor KI-gestützten Cyberangriffen auf Siemens-SPSen

Siemens-Industriecontroller vor KI-gestützten Cyberbedrohungen schützen

Die Cybersicherheitsrisiken in der modernen industriellen Automatisierung entwickeln sich rasant weiter, da Angreifer künstliche Intelligenz einsetzen. US-Bundesbehörden warnten kürzlich, dass Hacker KI-Skripte verwenden, um Siemens S7-Speicherprogrammierbare Steuerungen (SPS) zu kompromittieren. Diese kritischen Steuerungssysteme betreiben Maschinen, Ventile und Pumpen in kommunalen Wasserwerken, Energieanlagen und Fabrikautomatisierungsbetrieben.

Die Bedrohungslandschaft moderner Steuerungssysteme verstehen

Hacker nutzen generative KI, um die Codeentwicklung für industrielle Exploits zu automatisieren und dadurch die technischen Einstiegshürden zu senken. Sie kombinieren Open-Source-Bibliotheken wie python-snap7 mit automatisierten Skripten, um legitime Überwachungssoftware nachzuahmen. Dadurch erhalten unbefugte Akteure über standardmäßige S7comm-Protokolle vollständigen Lese- und Schreibzugriff auf den Siemens-S7-Speicher und die Ablaufplanlogik. Aus meiner Erfahrung in der Anlagenwartung gehört unbeobachteter Protokollverkehr weiterhin zu den größten Schwachstellen in veralteten Umgebungen der Betriebstechnologie (OT).

Verwundbare Siemens-Controller in der Fabrikautomatisierung identifizieren

Die gemeinsame Warnung der Bundesbehörden weist auf eine weitreichende Verwundbarkeit im gesamten Siemens-S7-Ökosystem hin, einschließlich älterer und moderner Geräte. Angreifer scannen das Internet aktiv mit Suchdiensten wie Censys und ZoomEye, um Geräte aufzuspüren, die direkt aus dem Internet erreichbar sind. Konkret nehmen Bedrohungsakteure die Baureihen Siemens S7-200, S7-300, S7-400, S7-1200 und S7-1500 sowie Sicherheitssteuerungen der F-Serie ins Visier. Schwache oder standardmäßige Gerätezugangsdaten verschaffen Angreifern unmittelbare Einstiegspunkte in die betriebliche Infrastruktur.

Die Vorbereitungsphase KI-gestützter Angriffe analysieren

Eindringlinge führen derzeit Aufklärungsmaßnahmen durch, um künftige Betriebsunterbrechungen vorzubereiten. Sie nutzen anfängliche Leseberechtigungen, um die Struktur der Zielsysteme und interne Variablen zu erfassen. Anschließend bringen sich die Angreifer in Stellung, um schädliche Logik zu schreiben, mit dem Ziel, die Produktion anzuhalten oder Anlagen zu beschädigen. Meiner Ansicht nach werden Anlagen ohne Echtzeittransparenz über das Netzwerk diese anfängliche Erfassungsphase erst bemerken, wenn es bereits zu tatsächlichen physischen Ausfallzeiten kommt.

Zunehmende geopolitische Risiken für kritische Infrastruktur

Diese Zunahme gezielter Angriffe entspricht einem wachsenden Trend staatlich unterstützter Aktivitäten gegen industrielle Infrastrukturen weltweit. Aktuelle Erkenntnisse deuten darauf hin, dass ausländische Bedrohungsgruppen über das Internet erreichbare Steuerungen großer Hersteller wie Schneider Electric, Rockwell Automation und Siemens ausnutzen. Jüngste Cyberangriffe auf öffentliche Wasserversorger zeigen, wie schnell exponierte Edge-Controller zu leicht angreifbaren Zielen für störende geopolitische Operationen werden.

Wichtige Sicherheitsmaßnahmen für industrielle Steuerungsnetzwerke

Industriebetreiber müssen jeden verbundenen Controller überprüfen, um kritische Steuerungssysteme wirksam zu schützen. Anlagenbetreiber sollten SPS unverzüglich vom öffentlichen Internet trennen und eine strikte Netzwerksegmentierung durchsetzen. Darüber hinaus müssen Engineering-Teams starke Passwörter vorschreiben, Firmware-Updates einspielen und den Zugriff von Anbietern beschränken. Eine enge Zusammenarbeit mit externen Systemintegratoren stellt sicher, dass auch verborgene Fernzugriffsverbindungen vollständig behoben werden.

Praktische Szenarien für Sicherheitsmaßnahmen

• Szenario zur Isolierung einer älteren SPS: Eine veraltete S7-300-Steuerung verfügt nicht über moderne Verschlüsselungsfunktionen. Ingenieure platzieren das Gerät hinter einer industriellen Firewall, schreiben den VPN-Zugriff mit Multi-Faktor-Authentifizierung vor und blockieren direkten eingehenden Datenverkehr aus externen Netzwerken.
• Szenario für ein Sicherheits-Audit durch einen Integrator: Ein Produktionsbetrieb ist bei der Fernwartung auf externe Auftragnehmer angewiesen. Der Anlagenbetreiber führt eine vollständige Netzwerkerkennung durch, identifiziert von Auftragnehmern ungeschützt gelassene, aus dem Internet erreichbare S7-1200-Geräte und entzieht unbefugte Fernzugriffswege.
• Szenario zur Erkennung anomalen Datenverkehrs: Anlagenbetreiber setzen eine umfassende Paketinspektion im OT-Netzwerk ein. Das System markiert unbefugte S7comm-Leseversuche auf Speicherbereiche, die von Nicht-Engineering-Arbeitsplätzen ausgehen, und verhindert so potenzielle Änderungen an der Steuerungslogik, bevor es zu Ausfallzeiten kommt.