30 Wasserversorgungssysteme in 7 Bundesstaaten angegriffen – USA vermuten Iran

Minnesota IT Services erklärte, der Bundesstaat habe nach Entdeckung der Angriffswelle „sofort die Reaktion des Bundesstaates auf Cybersicherheitsvorfälle aktiviert“.⁠8 Was folgte, machte aus einem Notfall in Minnesota eine landesweite Warnung: Nachdem Angriffe aus mindestens sieben Bundesstaaten gemeldet worden waren, warnten FBI und EPA Versorgungsunternehmen im ganzen Land.⁠3⁠8⁠10 Michigan schloss sich bald den Meldungen Minnesotas über Angriffe auf Wasserversorgungssysteme an und bestätigte damit, dass der Mittlere Westen kein Einzelfall war.⁠11

Das Ausmaß unterscheidet diese Vorfälle von den üblichen vereinzelten Ransomware-Angriffen und Eindringversuchen. Sieben Bundesstaaten bedeuten sieben unterschiedliche Gruppen von Betreibern, Anbietern und Notfallmanagern, die sich plötzlich dieselbe Frage stellen: Wie konnten Eindringlinge in Systeme gelangen, die eigentlich physisch vom Netz getrennt, überwacht und bewusst unspektakulär sein sollten?⁠3 Die Bundesermittler haben noch immer weder eine vollständige Liste der Betroffenen noch eine Schadensbilanz veröffentlicht. Das vorläufige Bild zeigt jedoch eine breit angelegte, opportunistische Attacke auf einen der verwundbarsten Bereiche der amerikanischen kritischen Infrastruktur.⁠10

Die Zuschreibung erfolgte schnell und wies über den Atlantik. US-Geheimdienste kamen zu der Einschätzung, dass Teheran wahrscheinlich hinter dem koordinierten Angriff auf die mehr als 30 Systeme in Minnesota steckte.⁠4 Die USA untersuchen, ob Iran hinter Cyberangriffen auf Wasserversorgungssysteme in sieben Bundesstaaten, darunter Minnesota und Michigan, stand.⁠2 Bundesbeamte „glauben Berichten zufolge inzwischen, dass Iran wahrscheinlich für die umfassendere Angriffswelle verantwortlich ist“.⁠10 Sollte sich diese Einschätzung bestätigen, würde das bedeuten, dass eine ausländische Macht zivile Infrastruktur der USA in großem Umfang sondiert oder angegriffen hat – nicht mit Raketen, sondern mit Code.

Doch die Geheimdienstlage ist weniger eindeutig, als die Schlagzeile vermuten lässt, und es ist wichtig, das offen zu sagen. In einem CISA-Memorandum an die Wasserwirtschaft wurde Iran erwähnt, doch es „legt keine direkten Belege dafür vor, dass das Land für den jüngsten Vorfall in Minnesota verantwortlich war“.⁠5 Diese Lücke zwischen dem Verdacht der Geheimdienste und den öffentlich verfügbaren Belegen ist bei Cyberermittlungen normal, da Protokolle, Schadsoftwareproben und Infrastrukturen erst entwirrt werden müssen. Sie ist aber auch gefährlich, weil Betreiber, Gouverneure und Öffentlichkeit aufgefordert werden, sich gegen einen namentlich genannten Gegner zu verteidigen, ohne zu erfahren, warum gerade dieser Name genannt wird.⁠5

Klarer ist, wie die Hacker eindrangen. CBS berichtete über Sicherheitslücken und darüber, dass Hacker einen verwundbaren Industriecomputer ausnutzten.⁠9 Reuters berichtete, CISA habe vor einer verstärkten Zielauswahl von Wasserversorgern durch Hacker gewarnt.⁠6 CISA forderte Wasserversorger nach den Hacks in Minnesota auf, exponierte Systeme vom Netz zu nehmen.⁠5 Anders gesagt: Zu viele Steuerungssysteme, die Druck, Chemikalien und Durchfluss regeln, sind noch immer über das Internet erreichbar – oft über Fernzugriffswerkzeuge, die aus praktischen Gründen installiert und nie abgesichert wurden. Für eine Kleinstadt mit einer einzigen Teilzeitkraft am Steuerstand ist es keine technische Lösung, ein System vom Netz zu nehmen. Das bedeutet, zur Anlage zu fahren und sie von Hand zu betreiben.

Das ist die wenig glamouröse Wahrheit hinter dem Begriff kritische Infrastruktur. Der amerikanische Wassersektor besteht nicht aus einer Handvoll großer, gut geschützter Versorgungsunternehmen. Er umfasst rund 150,000 öffentliche Systeme, von denen viele nur einige tausend Menschen versorgen und mit knappen Budgets sowie veralteten Industriesteuerungen arbeiten. CBS brachte die Tragweite der Sicherheitslücken mit einem Satz aus seiner Berichterstattung auf den Punkt: „Niemand bewacht diese Systeme.“⁠9 Sind diese Systeme exponiert, braucht ein Angreifer keine Zero-Day-Schwachstelle, um Angst auszulösen. Schon der Zugriff, ein manipuliertes Bildschirmbild oder das Ein- und Ausschalten einer Pumpe kann genügen, um eine Abschaltung zu erzwingen und Vertrauen zu untergraben.

CISA, die Behörde, die diesen Städten nun rät, ihre Systeme vom Netz zu nehmen, steht selbst unter Druck. CISA kürzt die Bezahlung ihrer Fachkräfte. Interimsdirektor Nick Andersen schrieb den Beschäftigten, „Uns ist bewusst, dass diese Änderungen für einige zu finanziellen Schwierigkeiten führen können“ – Wochen nachdem das Heimatschutzministerium dem Kongress mitgeteilt hatte, dass der Behörde 600 weitere Beschäftigte fehlen.⁠7 Dieser Gegensatz – weniger Entlohnung für die Verteidiger, aber mehr Arbeit – ist in den Quellen dokumentiert und widerspricht jeder Behauptung, die Cyberabwehr werde angesichts der Lage verstärkt.⁠7 Was die Quellen nicht vollständig stützen, ist die weitergehende Behauptung gesetzlich beschlossener Haushaltskürzungen beim Heimatschutzministerium und bei CISA. Sie belegen Gehaltskürzungen und einen dem Kongress dargelegten Personalmangel.⁠7

Die politische Reaktion war bislang Ablenkung statt eines Plans. Als Präsident Trump bei einer im Fernsehen übertragenen Kabinettssitzung in Camp David zu dem Angriff befragt wurde, „gab er einem demokratischen Gouverneur die Schuld“.⁠7 Diese Antwort ist dokumentiert und zeigt, wo die Geschichte in Washington steht: Ein mutmaßlicher ausländischer Angriff auf zivile Dienste wurde zunächst als parteipolitischer Gesprächspunkt behandelt, nicht als operative Auskunft darüber, was angegriffen wurde, was noch exponiert ist oder was die Städte am Montagmorgen tun sollten.⁠7

Wer unsere Sendung gesehen hat, wird zwei weitergehende Behauptungen gehört haben, die über diese bestätigte Faktenlage hinausgingen: Ein Mitglied des Geheimdienstausschusses des Repräsentantenhauses habe gesagt, der Ausschuss sei nicht über einen Angriff auf einen Wasserversorger informiert worden, und Russland habe kürzlich bei einem Cyberangriff auf die Privatwirtschaft im Vereinigten Königreich Schäden in Milliardenhöhe verursacht. Diese Behauptungen lassen sich anhand des für diesen Artikel bereitgestellten Recherchematerials nicht überprüfen. Keine der Webquellen in diesem Material erwähnt den Informationsstand des Geheimdienstausschusses des Repräsentantenhauses, eine Äußerung von Rep. Raja Krishnamoorthi oder einen russischen Angriff auf die britische Industrie. Das bedeutet nicht, dass diese Aussagen nicht an anderer Stelle gemacht wurden. Es bedeutet, dass die vorliegenden Belege die Angriffe auf die Wasserversorgung und die CISA-Warnung belegen, aber nichts über den Streit um die Unterrichtung oder den Vergleich mit Großbritannien aussagen.

Diese Unterscheidung ist wichtig, denn nach jeder mutmaßlichen iranischen Operation besteht die Versuchung, jede Warnung zu einer einzigen Geschichte über Krieg und Vernachlässigung zu verknüpfen. Die Fakten, die uns vorliegen, sind auch ohne Ausschmückungen ernst genug. Ein ausländischer Gegner hat wahrscheinlich die Kontrollen der amerikanischen Trinkwasserversorgung über Bundesstaatsgrenzen hinweg getestet. Die mit der Behebung beauftragten Verteidiger verlieren Gehalt, während ihnen zugleich gesagt wird, dass 600 Beschäftigte fehlen. Und die öffentliche Erklärung von höchster Stelle war ein Vorwurf gegen einen Gouverneur.⁠4⁠7⁠10 Um die Verwundbarkeit zu erkennen, braucht man weder ein Drama um eine Unterrichtung noch einen Vergleich mit dem Ausland.