Die US-Wasserversorgung gerät zunehmend ins Visier von Cyberangreifern. Nach einer Serie von Attacken auf kommunale Wasser- und Abwassersysteme sind inzwischen mindestens zwölf US-Bundesstaaten betroffen. Besonders schwer trifft es Minnesota, wo nach Angaben mit dem Vorgang vertrauter Behörden mindestens 30 Wassersysteme kompromittiert wurden. US-Geheimdienste vermuten hinter der Kampagne Akteure aus dem Umfeld der iranischen Revolutionsgarden. Eine offizielle staatliche Zuschreibung gibt es bislang jedoch nicht.
Trinkwasserversorgung wird zum Ziel
Die jüngsten Angriffe machen deutlich, wie verwundbar Teile der amerikanischen kritischen Infrastruktur sind. Angegriffen wurden digitale Steuerungs- und Überwachungssysteme kommunaler Wasserversorger. In einzelnen Fällen verloren Betreiber zeitweise die Möglichkeit, Anlagen aus der Ferne zu kontrollieren oder mussten auf manuelle Betriebsabläufe zurückgreifen. Nach bisherigen Erkenntnissen führte die Kampagne unter anderem zu Problemen beim Wasserdruck und in einzelnen Fällen zu Überflutungen. Hinweise darauf, dass Trinkwasser gezielt vergiftet oder verunreinigt wurde, gibt es bislang nicht. Teilweise wurden vorsorglich Warnungen zum Abkochen des Wassers ausgesprochen.
Iran als mutmaßlicher Urheber
Die Spur führt nach Einschätzung amerikanischer Nachrichtendienste in Richtung Iran. Demnach sollen Hacker des iranischen Regimes hinter der aktuellen Angriffswelle stehen. Die US-Geheimdienste sehen insbesondere die Islamischen Revolutionsgarden als möglichen Akteur. Eine formelle öffentliche Zuschreibung ist allerdings bislang nicht erfolgt. Nach Angaben von mit den Ermittlungen vertrauten Personen gibt es noch offene Fragen darüber, welche konkrete Gruppierung innerhalb der Revolutionsgarden für die Angriffe verantwortlich sein könnte. Auch US-Präsident Donald Trump äußerte Zweifel an einer iranischen Urheberschaft und machte stattdessen die Bundesstaaten für Sicherheitsdefizite verantwortlich.
Mindestens 30 Wassersysteme allein in Minnesota betroffen
Das Ausmaß der Kampagne hat sich innerhalb weniger Tage deutlich vergrößert. Zunächst war von Angriffen auf Wasserversorger in einzelnen Bundesstaaten die Rede. Inzwischen gehen mit dem Vorgang vertraute US-Beamte von mindestens zwölf betroffenen Bundesstaaten aus. Minnesota bildet dabei einen Schwerpunkt. Dort wurden mindestens 30 kommunale Wassersysteme Ziel der Angriffe. Auch in Arkansas wurde Ende Juli ein Wasserversorger attackiert. In New Jersey waren ebenfalls mindestens zwei kommunale Wassersysteme betroffen.
Schwachstellen liegen teilweise offen im Internet
Das Problem ist nach Einschätzung von Cybersicherheitsexperten nicht allein die technische Leistungsfähigkeit der Angreifer. Ein erheblicher Teil der Gefahr entsteht durch veraltete Anlagen, unzureichende Schutzmaßnahmen und Steuerungssysteme, die aus dem Internet erreichbar sind. Experten verweisen insbesondere auf sogenannte speicherprogrammierbare Steuerungen (PLC), die in Wasserwerken unter anderem Pumpen, Ventile und Drucksysteme kontrollieren. Einige dieser Geräte wurden offenbar mit unzureichenden Zugangssicherungen betrieben oder waren direkt über das Internet erreichbar. Dadurch konnten Angreifer in die Betriebstechnik eindringen und Betreiber teilweise von der Fernsteuerung aussperren.
Warnungen gab es bereits seit Jahren
Die aktuelle Angriffswelle kommt nicht völlig überraschend. Bereits Ende 2022 wurde ein Angriff auf ein Wassersystem in Guam entdeckt. US-Geheimdienste kamen später zu dem Schluss, dass China hinter diesem Eindringen stand. Auch iranische Hacker waren den US-Behörden bereits zuvor als Bedrohung für Wasserinfrastrukturen bekannt. Die jüngsten Angriffe zeigen nun, dass die Warnungen nicht nur theoretischer Natur waren. Wasserversorgung und Abwasserentsorgung entwickeln sich zunehmend zu einem Feld der digitalen Auseinandersetzung zwischen Staaten.
Gescheiterter Versuch der US-Regierung
Besonders brisant ist die politische Vorgeschichte. Die US-Umweltbehörde Environmental Protection Agency (EPA) hatte bereits 2023 versucht, die Cybersicherheit von Wasserversorgern verbindlicher zu regeln. Die geplante Regelung sah vor, dass Bundesstaaten gemeinsam mit lokalen Wasserversorgern digitale Schwachstellen identifizieren und Maßnahmen zu deren Beseitigung entwickeln. Für die Finanzierung sollten unter anderem Bundeszuschüsse zur Verfügung stehen. Doch Arkansas, Iowa und Missouri klagten gegen den Vorstoß. Die Bundesstaaten argumentierten unter anderem, die EPA überschreite ihre Zuständigkeiten und die Vorgaben würden kleinere Kommunen finanziell überfordern. Ein Bundesberufungsgericht stoppte die Regelung. Die EPA zog sie anschließend zurück.
Cybersecurity wird zum politischen Streitpunkt
Die jüngsten Angriffe verschärfen deshalb auch die politische Debatte in Washington. Kritiker der bisherigen Politik sehen in den Attacken einen Beleg dafür, dass freiwillige Sicherheitsstandards nicht ausreichen. Der demokratische Senator Adam Schiff brachte einen Gesetzentwurf ein, mit dem die EPA ausdrücklich die Befugnis erhalten soll, verbindliche Cybersicherheitsvorgaben für den Wassersektor festzulegen. Wasserversorger sollen demnach Sicherheitsrisiken bewerten und bei gravierenden Schwachstellen Gegenmaßnahmen umsetzen müssen. Auch Vertreter der Wasserwirtschaft fordern inzwischen strengere Mindeststandards. Die American Water Works Association drängt unter anderem auf bessere Schulungen, zusätzliche Finanzmittel und verbindliche Sicherheitsanforderungen.
Große Unterschiede zwischen den Wasserversorgern
Wie groß die Sicherheitslücken sind, unterscheidet sich von Kommune zu Kommune erheblich. In den USA existieren mehr als 150.000 Wassersysteme. Viele kleinere Betreiber verfügen nur über begrenzte finanzielle und personelle Ressourcen für IT- und Cybersicherheit. Ein Gegenbeispiel ist Cedar Rapids im Bundesstaat Iowa. Dort sind zentrale Systeme vom Internet getrennt. Diese sogenannte Air-Gap-Architektur erschwert externe Cyberangriffe erheblich. Die Verantwortlichen hatten sich bewusst gegen eine stärkere Vernetzung ihrer Steuerungssysteme entschieden. Mindestens Indiana, Maryland und New York verfügen inzwischen über Regelungen, die Cyberrisikobewertungen für Wassersysteme vorschreiben. Nach Behördenangaben sind aus diesen Bundesstaaten keine Angriffe im Zusammenhang mit der aktuellen Kampagne bekannt.
Angriff mit begrenztem Schaden – aber großer Signalwirkung
Noch sind die unmittelbaren Folgen der Attacken vergleichsweise begrenzt. Es gibt keine Hinweise auf eine flächendeckende Unterbrechung der Trinkwasserversorgung oder eine gezielte Verunreinigung des Wassers. Die eigentliche Bedeutung der Angriffe liegt deshalb in ihrer Signalwirkung. Cyberkriminelle und staatlich unterstützte Hacker haben offenbar vergleichsweise einfache Schwachstellen gefunden, um in die digitale Infrastruktur kommunaler Versorger einzudringen. Damit wird aus einem IT-Problem eine Frage der nationalen Sicherheit. Fällt die Steuerung eines Wasserwerks aus, kann dies Pumpen, Druckregelung, Abwasseranlagen und andere zentrale Prozesse beeinträchtigen.
Wasserinfrastruktur als Teil der kritischen Infrastruktur
Die USA stehen damit vor einer grundsätzlichen Herausforderung: Viele Wasseranlagen stammen aus einer Zeit, in der digitale Vernetzung noch keine Rolle spielte. Im Zuge der Modernisierung wurden zahlreiche Anlagen digitalisiert und aus der Ferne steuerbar gemacht. Gleichzeitig wurden Sicherheitsstandards nicht überall im gleichen Tempo weiterentwickelt. Der Fall erinnert an die Folgen des Cyberangriffs auf die Colonial Pipeline im Jahr 2021. Damals führte ein Angriff auf einen großen Treibstoffpipeline-Betreiber zu erheblichen Versorgungsproblemen und Panikkäufen an der US-Ostküste. Seitdem betrachtet Washington Cyberangriffe auf kritische Infrastruktur zunehmend als sicherheitspolitische Bedrohung.
Neue Debatte über verbindliche Sicherheitsstandards
Die aktuelle Angriffswelle könnte nun zum Wendepunkt für die amerikanische Wasserwirtschaft werden. Selbst Branchenvertreter, die sich in der Vergangenheit gegen zentrale Vorgaben gewehrt hatten, erkennen inzwischen den Handlungsdruck. Gefordert werden verbindliche Mindeststandards, regelmäßige Sicherheitsprüfungen, bessere technische Ausstattung und zusätzliche Unterstützung für kleinere Kommunen. Gerade dort fehlen häufig Fachpersonal und finanzielle Mittel, um komplexe industrielle Steuerungssysteme angemessen gegen moderne Cyberangriffe abzusichern. Der entscheidende Streit dürfte deshalb nicht mehr darin liegen, ob Wasserversorger geschützt werden müssen, sondern wie verbindlich und mit welchen finanziellen Mitteln die USA diesen Schutz organisieren.
Cyberkrieg erreicht den Alltag
Die Angriffe auf die US-Wasserversorgung zeigen eine neue Dimension moderner Konflikte. Nicht nur Militäranlagen oder Regierungsnetzwerke sind potenzielle Ziele. Auch unscheinbare kommunale Einrichtungen können zum Angriffspunkt werden.
Noch haben die jüngsten Attacken keine flächendeckende Versorgungskrise ausgelöst. Doch der Vorgang offenbart, wie schnell digitale Schwachstellen in einer grundlegenden Infrastruktur ausgenutzt werden können. Für die USA wird der Schutz von Wasserwerken damit zunehmend zu einer Frage der inneren Sicherheit – und zu einem Test dafür, ob politische Entscheidungen mit der wachsenden Bedrohung durch staatlich unterstützte Cyberangriffe Schritt halten.
