Ende Juli 2026 geschah etwas Beispielloses in den Vereinigten Staaten. Innerhalb von 48 Stunden wurden mehr als 30 Wasserwerke in sieben Bundesstaaten von einem koordinierten Cyberangriff getroffen. Kein Phishing. Keine Ransomware. Die Angreifer zielten direkt auf die verwundbarste Stelle: die speicherprogrammierbaren Steuerungen (SPS), die Wasseraufbereitung und -verteilung physisch verwalten.
Es war, wie ein Sicherheitsforscher es ausdrückte, "der bedeutendste koordinierte Angriff auf die US-Wasserinfrastruktur in der Geschichte".
Was geschah
Die Chronologie ist erschütternd. Am Sonntag, dem 28. Juli, bemerkten Betreiber von Wasseraufbereitungsanlagen in Minnesota, dass etwas nicht stimmte. Ihre industriellen Steuerungssysteme — die digitalen Gehirne, die Pumpen, Chemikaliendosierung und Filtration regulieren — verhielten sich unberechenbar. Bis Montag hatten sich die Angriffe ausgebreitet. Innerhalb von 48 Stunden veröffentlichten FBI und Umweltschutzbehörde eine gemeinsame öffentliche Warnung, die bösartige Cyberaktivitäten gegen Wasser- und Abwassersysteme in sieben Bundesstaaten bestätigte.
Die Folgen waren unmittelbar und greifbar. Mehrere Gemeinden erließen Abkochanordnungen. Einige Anlagen mussten auf manuellen Betrieb umstellen — ein Notfallsystem aus den 70er Jahren in einer Welt von 2026. Die Bewohner wurden aufgefordert, Wasser zu sparen, während die Teams rund um die Uhr arbeiteten, um die Kontrolle zurückzugewinnen.
Und das Beängstigendste? Laut New York Times könnte das tatsächliche Ausmaß "weit größer" sein als die sieben bestätigten Bundesstaaten. Die Ermittler versuchten gleichzeitig, das volle Ausmaß zu bestimmen und den Schaden einzudämmen.
Der Angriffsvektor: Ungeschützte SPS
Wie also taten sie es? Die Antwort ist fast peinlich einfach: Ungeschützte industrielle Steuerungen, die direkt mit dem Internet verbunden waren.
Speicherprogrammierbare Steuerungen sind die Arbeitspferde der kritischen Infrastruktur. Sie sind die Geräte, die Ventile öffnen, Pumpen starten und Chemikalienstände überwachen. Bei ordnungsgemäßer Sicherung sitzen sie hinter mehreren Schichten von Netzwerksegmentierung und Zugangskontrollen. Aber im amerikanischen Wassersektor — einem Ökosystem von rund 50.000 unabhängigen Versorgern, von denen viele kleine Gemeinden mit begrenzten IT-Budgets bedienen — ist angemessene Sicherheit oft eher Wunschdenken als Realität.
Die CISA-Warnung war deutlich: Trennen Sie Ihre SPS vom öffentlichen Internet. Verwenden Sie sichere Gateways. Implementieren Sie Multi-Faktor-Authentifizierung. Der Rat war nicht neu. Es war dieselbe Anleitung, die die Behörde seit Jahren herausgab. Neu war das Ausmaß und die Koordination, mit der die Angreifer diese bekannte Schwachstelle endlich in großem Stil ausnutzten.
Wer steckt dahinter: Die Iran-Verbindung
Während die Ermittlungen andauern, deuten mehrere Geheimdienstquellen auf mit dem Iran verbundene APT-Gruppen (Advanced Persistent Threat) hin. Das ist nicht ihr erstes Mal. Seit mindestens März 2026 verfolgt CISA iranische Gruppen, die aktiv SPS in mehreren US-Sektoren kritischer Infrastruktur ausnutzen — Regierungseinrichtungen, Wassersysteme und Fertigung.
Der Zeitpunkt ist geopolitisch bedeutsam. Die Angriffe fallen mit erhöhten Spannungen zwischen den USA und dem Iran zusammen, nach Wochen von Stellvertreterkonflikten und erneutem Sanktionsdruck. Kritische Infrastruktur ist zum bevorzugten Schlachtfeld des 21. Jahrhunderts geworden — billiger als Raketen, schwerer zuzuordnen und in der Lage, massive Störungen zu verursachen, ohne Artikel 5 auszulösen.
Die Gruppe hinter den Wasserangriffen zeigte Fähigkeiten, die weit über einfache Sabotage hinausgehen. Sie legten Systeme nicht nur lahm — sie manipulierten sie. In mindestens einem Fall wurden Parameter für die Chemikaliendosierung geändert, bevor die Betreiber die Änderung bemerkten. Die Grenze zwischen Cyber-Störung und physischer Zerstörung ist dünner, als die meisten glauben.
Warum das jeden betrifft — nicht nur die USA
Es ist verlockend, dies als amerikanisches Problem zu betrachten. Das ist es nicht. Die Schwachstellenlandschaft ist global, und die Wasserinfrastruktur gehört überall zu den weichsten Zielen.
Die VAE und die gesamte GCC-Region stehen vor einer einzigartigen Schnittmenge von Risiken. Die Wassersicherheit am Golf hängt von der Entsalzung ab — energieintensive, ICS-abhängige Anlagen, die den Großteil des Trinkwassers der Region produzieren. Ein koordinierter Angriff auf Entsalzungs-SPS würde nicht nur Abkochanordnungen verursachen. Er könnte die Wasserversorgung in zivilisatorischem Maßstab bedrohen.
Dann gibt es die Smart-City-Dimension. Dubai, Abu Dhabi, NEOM und andere regionale Megaprojekte bauen die am dichtesten digital vernetzten urbanen Umgebungen der Erde. Jeder intelligente Wasserzähler, jedes automatisierte Bewässerungssystem, jede IoT-verbundene Pumpe stellt eine erweiterte Angriffsfläche dar. Die US-Wasserangriffe sind eine Vorschau darauf, worauf sich jeder Smart-City-Betreiber vorbereiten sollte.
Die regulatorische Antwort
Washingtons Reaktion war charakteristisch fragmentiert. Die EPA gab Notfallrichtlinien heraus. CISA aktualisierte seine Warnungen. Mehrere Senatoren forderten verbindliche Cybersicherheitsstandards für Wasserwerke — etwas, gegen das der Sektor jahrzehntelang erfolgreich lobbyiert hat und freiwillige Richtlinien bevorzugte.
Das Problem ist strukturell. Der amerikanische Wassersektor ist ein Flickenteppich aus kleinen, unterfinanzierten Versorgern. Viele haben keinen eigenen IT-Mitarbeiter, geschweige denn einen OT-Sicherheitsspezialisten. Cybersicherheitsanforderungen ohne Finanzierung und Expertise vorzuschreiben, ist performative Governance. Und die Angriffsfläche wächst nur, während die Versorger intelligente Zähler, Fernüberwachung und cloudbasierte SCADA-Systeme einführen.
Was Unternehmen jetzt tun können
Für jede Organisation, die industrielle Steuerungssysteme verwaltet — ob Wasser, Energie, Fertigung oder Gebäudemanagement — sind die Lehren aus diesem Angriff heute umsetzbar:
1. Inventarisieren Sie Ihre OT-Angriffsfläche. Sie können nicht schützen, was Sie nicht kennen. Führen Sie einen Asset-Discovery-Sweep mit Fokus auf industrielle Protokolle (Modbus, DNP3, EtherNet/IP) durch. Identifizieren Sie jede SPS, RTU und jedes HMI, das von Ihrem IT-Netzwerk oder dem öffentlichen Internet aus erreichbar ist.
2. Physische Trennung wo möglich, Segmentierung wo nicht. Echte physische Trennung ist 2026 selten, aber logische Segmentierung mit ordnungsgemäß konfigurierten Firewalls und DMZs zwischen IT- und OT-Netzwerken ist nicht verhandelbar. Wenn eine Steuerung fernzugänglich sein muss, sollte sie hinter einem VPN mit MFA und Sitzungsüberwachung sitzen — niemals direkt exponiert.
3. Überwachen Sie OT-spezifische Bedrohungen. Traditionelle IT-Sicherheitstools verstehen keine industriellen Protokolle. Sie benötigen OT-bewusste Erkennung, die anomale Modbus-Befehle, nicht autorisierte Firmware-Updates oder ungewöhnliche Parameteränderungen an SPS erkennen kann.
4. Üben Sie Ihre Incident Response. Wenn Ihre Wasseraufbereitungsanlage auf manuellen Betrieb umschaltet, kennen Ihre Betreiber das Verfahren? Wenn Ihre SCADA-Bildschirme dunkel werden, gibt es eine Papier-Checkliste? Tischübungen für OT-Vorfälle sind die günstigste Versicherung, die Sie kaufen können.
5. Fordern Sie mehr von den Herstellern. Viele SPS-Schwachstellen existieren, weil Hersteller jahrzehntelang unsichere Produkte auslieferten. Jede Beschaffungsausschreibung sollte OT-Sicherheitsanforderungen enthalten. Der Markt wird sich nicht von selbst reparieren.
Das große Ganze
Die Wasserversorger-Angriffe von 2026 sind kein Weckruf. Diese läuten seit Jahren. Sie sind der Moment, in dem der Wecker endlich vom Nachttisch fiel und auf dem Boden zerschellte.
Die Cybersicherheit kritischer Infrastruktur ist seit dem größten Teil eines Jahrzehnts eine "Top-Priorität" in Regierungsweißbüchern und Unternehmensvorlagen. Aber die Lücke zwischen erklärter Priorität und tatsächlicher Investition bleibt gewaltig. Laut dem ICS-Bericht 2026 von SecurityWeek weisen 12 % der OT-Geräte bekannte ausnutzbare Schwachstellen auf, und 7 % sind mit aktiven Ransomware-Kampagnen verknüpft.
Die Wasserangriffe zeigen, was passiert, wenn geopolitische Gegner, industrielle Unsicherheit und chronische Unterinvestition zusammenkommen. Dreißig Versorger in 48 Stunden. Sieben Bundesstaaten. Abkochanordnungen und manueller Betrieb. Und die hohe Wahrscheinlichkeit, dass wir das volle Ausmaß immer noch nicht kennen.
Die Frage für jeden Betreiber kritischer Infrastruktur lautet nicht: "Könnte uns das passieren?" Sondern: "Was tun wir, wenn es passiert?"