US-Sicherheitsbehörden warnen vor laufenden Angriffen auf industrielle Steuerungen von Siemens. Im Fokus stehen SPS-Systeme der SIMATIC-S7-Reihe, die Maschinen, Produktionsanlagen und Teile kritischer Infrastruktur steuern. Besonders auffällig: Die Angreifer nutzen offenbar künstliche Intelligenz, um eigene Angriffswerkzeuge für die Steuerungen zu entwickeln.
Die Warnung betrifft damit eine Gerätefamilie, die auch in Deutschland eine enorme Bedeutung hat. Siemens-S7-Steuerungen gehören seit Jahrzehnten zum Alltag im deutschen Maschinen- und Anlagenbau.
Angreifer suchen gezielt nach Siemens-S7-Steuerungen
Die US-Cybersicherheitsbehörde CISA hat am 19. August gemeinsam mit NSA, FBI, dem US-Energieministerium und der Umweltbehörde EPA vor einer aktiven Bedrohung gegen Siemens-S7-Steuerungen gewarnt.
Betroffen sind nach Angaben der Behörden unter anderem die Baureihen S7-200, S7-300, S7-400, S7-1200 und S7-1500.
Die Angreifer suchen über Internet-Scanning-Dienste wie Censys und ZoomEye nach erreichbaren Steuerungen. Anschließend versuchen sie, bekannte Schwachstellen, veraltete Software oder schwache Zugangskontrollen auszunutzen.
Die Behörden betonen allerdings, dass sich die Aktivitäten nicht ausschließlich gegen Siemens richten. Grundsätzlich werden derzeit auch Steuerungen anderer Hersteller ins Visier genommen.
KI hilft beim Bau der Angriffswerkzeuge
Besonders interessant ist die technische Umsetzung der Angriffe. Laut US-Behörden kommt künstliche Intelligenz bei der Entwicklung von Python-Skripten zum Einsatz, die direkt mit Siemens-S7-Steuerungen kommunizieren können.
Dafür verwenden die Angreifer unter anderem snap7.dll und die Python-Bibliothek python-snap7. Diese Software ist an sich nicht schädlich. Sie ermöglicht regulär die Kommunikation mit S7-Steuerungen.
In Kombination mit speziell entwickelten Angriffsskripten lassen sich solche Werkzeuge jedoch missbrauchen, um auf Speicherbereiche, Konfigurationsdaten und Programme einer SPS zuzugreifen.
Die beobachteten Tools sollen dabei teilweise als legitime Software zur Überwachung industrieller Anlagen getarnt werden.
Warum die Warnung auch Deutschland betrifft
Die aktuell bestätigten Angriffe richten sich gegen kritische Infrastruktur in den USA. Die technische Grundlage des Problems ist aber keineswegs auf die Vereinigten Staaten beschränkt.
SIMATIC S7 gehört zu den wichtigsten Steuerungsplattformen der industriellen Automatisierung. Besonders S7-1200 und S7-1500 werden weiterhin in zahlreichen Maschinen und Anlagen eingesetzt.
Hinzu kommen ältere S7-300- und S7-400-Steuerungen, die noch immer in bestehenden Produktionsanlagen arbeiten. Gerade in der Industrie können Maschinen und ihre Steuerungen über Jahrzehnte genutzt werden.
In Deutschland trifft die aktuelle Warnung deshalb auf eine besonders große installierte Basis. Entsprechende Steuerungen finden sich im Maschinenbau, in Produktionsbetrieben, Förderanlagen, Energieanlagen, der Lebensmittelindustrie und vielen weiteren Bereichen.
Nicht jede Siemens-SPS ist automatisch gefährdet
Dass eine Anlage eine Siemens-S7-Steuerung verwendet, bedeutet allerdings nicht automatisch, dass sie aus dem Internet angegriffen werden kann.
Entscheidend ist vor allem, ob Steuerungen oder vorgeschaltete Systeme von außen erreichbar sind und wie das Produktionsnetz abgesichert ist.
Besonders problematisch wird eine Kombination aus öffentlich erreichbaren Systemen, veralteter Firmware, bekannten Sicherheitslücken, schwachen Zugangsdaten und einer unzureichenden Trennung zwischen klassischer IT und dem Produktionsnetz.
Eine SPS innerhalb eines sauber segmentierten OT-Netzes, die nicht direkt aus dem Internet angesprochen werden kann, bietet einem externen Angreifer eine wesentlich kleinere Angriffsfläche.
Bei einer SPS geht es nicht nur um gestohlene Daten
Der entscheidende Unterschied zu vielen klassischen Cyberangriffen: Eine SPS steuert reale Prozesse.
Sie schaltet beispielsweise Pumpen, steuert Motoren, bewegt Förderanlagen, öffnet Ventile oder koordiniert komplette Produktionsabläufe.
Erhält ein Angreifer Schreibzugriff auf eine solche Steuerung, kann er deshalb potenziell nicht nur Informationen stehlen. Manipulierte Steuerbefehle können Anlagen stilllegen oder physische Prozesse verändern.
Die US-Behörden nennen als mögliche Folgen unter anderem den Diebstahl sensibler Daten, Schäden an Anlagen, längere Betriebsausfälle und Sicherheitsvorfälle.
Kritische Infrastruktur im Fokus
In den USA konzentrieren sich die beobachteten Aktivitäten unter anderem auf Fertigungsbetriebe, Energieversorgung, Wasser- und Abwassersysteme, Chemieanlagen, Lebensmittelproduktion und kommerzielle Infrastruktur.
Auch Anlagen der US-Rüstungsindustrie verwenden Siemens-S7-Steuerungen und werden von den Behörden als mögliches Ziel genannt.
Betreiber sollen deshalb vorhandene Steuerungen inventarisieren, aktuelle Sicherheitsupdates installieren, unnötige Internetzugriffe unterbinden, Zugangskontrollen überprüfen und ihre Netze auf ungewöhnliche Kommunikation mit den Steuerungen überwachen.
KI senkt die Einstiegshürde für Angreifer
Der eigentlich bemerkenswerte Teil der Warnung ist nicht unbedingt eine neue Schwachstelle in einer Siemens-Steuerung.
Es ist die Rolle künstlicher Intelligenz.
Angriffe auf industrielle Steuerungen erforderten bislang vergleichsweise spezielles Wissen über SPS-Programmierung, Kommunikationsprotokolle und die jeweilige Hardware. Dieses Fachwissen verschwindet durch KI nicht.
Generative KI kann jedoch vorhandenen Programmcode erklären, Bibliotheken kombinieren, Fehler suchen und Skripte für bestimmte Aufgaben erzeugen oder anpassen. Damit sinkt der Aufwand, aus öffentlich verfügbarem Wissen ein funktionierendes Werkzeug zu bauen.
Die aktuelle Warnung zeigt damit sehr konkret, wie KI Cyberangriffe verändert: Nicht unbedingt die Sicherheitslücke ist neu.
Neu ist, wie schnell sich vorhandene Schwachstellen und frei verfügbare Werkzeuge in ein spezialisiertes Angriffsskript verwandeln lassen.
