Angriffe auf SCADA-Software

2026-09-09 Pit

Angriffe auf SCADA-Systeme zielen darauf ab, die Software zur Steuerung von Industrieanlagen, Kraftwerken oder Wasserwerken zu manipulieren oder komplett lahmzulegen. [1, 2]

SCADA (Supervisory Control and Data Acquisition) verbindet die digitale IT-Welt mit Maschinen in Fabriken. Da viele dieser Netze früher isoliert waren, fehlt oft moderne Sicherheit. [3]

Inhaltsverzeichnis

Wie Angriffe auf SCADA-Software ablaufen

Unverschlüsselte Protokolle: Ältere Industrieprotokolle (wie Modbus) besitzen oft keine eingebaute Verschlüsselung oder Prüfung der Identität. Angreifer können Daten im Netzwerk leicht mitlesen oder verändern. [2, 3]
Zugang über das Internet: Viele Steuerungen (SPS/PLC) sind fehlerhaft an das Internet angebunden. Hacker scannen das Netz gezielt nach offenen Türen. [4]
Schadcode und USB-Sticks: Wie beim berühmten Wurm Stuxnet gelangen Angreifer oft über Umwege oder Wechselmedien in die Anlagen, um dort heimlich Befehle zu ändern. [5]
Überlastung (DoS): Durch massenhafte gefälschte Anfragen wird das System überfordert, sodass Bildschirme einfrieren oder Maschinen stoppen. [2]

Die Folgen von SCADA-Angriffen

Produktionsstopp: Fabriken stehen still, weil Steuerungscomputer abstürzen.
Physische Schäden: Überlastete Pumpen oder Ventile können kaputtgehen oder explodieren.
Ausfälle der Versorgung: Ganze Städte können den Strom oder das Wasser verlieren, wenn Kraftwerke getroffen werden. [1, 2]

Wie man sich schützt

Netzwerke trennen: Das IT-Büro-Netz muss streng vom Fabrik-Netz getrennt sein.
Zugriffe sichern: Niemals Steuerungen ungesichert ins Internet stellen. VPN und starke Passwörter nutzen.
Software aktuell halten: Alle Programme und die Firmware von Steuerungsgeräten regelmäßig aktualisieren. [1, 3, 6]

Möchten Sie mehr wissen über:

Bekannte Angriffe (wie Stuxnet oder Vorfälle in Kraftwerken)
Konkrete Schutzmaßnahmen für Unternehmen
Die Funktionsweise von Industrieprotokollen

[1] https://www.csoc.de

[2] https://de.linkedin.com

[3] https://access-granted.de

[4] https://www.saurugg.net

[5] https://shieldworkz.com

[6] https://www.ccnet.de

Bei Angriffen auf SCADA-Software unterscheidet man zwischen verschiedenen Angriffsarten, je nachdem, an welcher Stelle die Angreifer ansetzen und welches Ziel sie verfolgen.

Man teilt diese Angriffe meist in vier Hauptkategorien ein:

1. Manipulation von Steuerungsbefehlen (Command Injection)

Die Angreifer fälschen Befehle, die von der SCADA-Software an die physischen Maschinen (SPS/PLC) gesendet werden.

Falsche Stellbefehle: Ventile werden geöffnet, obwohl sie geschlossen sein müssten, oder Motoren werden auf eine kritische Drehzahl beschleunigt (wie bei Stuxnet).
Sperren von legitimen Befehlen: Die Software verliert die Kontrolle, weil die Befehle der echten Operatoren blockiert oder abgefangen werden.

2. Manipulation der Anzeige (Man-in-the-Middle & Spoofing)

Hierbei wird nicht die Maschine manipuliert, sondern das, was das Bedienpersonal auf den Bildschirmen sieht.

Gefälschte Sensorwerte: Dem Operator wird angezeigt, dass alles im grünen Bereich ist (z. B. normaler Druck), während die Anlage in der Realität kurz vor der Überhitzung steht.
Vorteil für Angreifer: Das Personal greift nicht ein, weil es den Fehler im System gar nicht bemerkt.

3. Sabotage und Lahmlegung (Denial of Service – DoS)

Das Ziel ist es, die Kommunikation innerhalb der Industrieanlage komplett zu unterbrechen.

Netzwerk-Flutung: Die SCADA-Software wird mit so vielen Datenpaketen bombardiert, dass sie abstürzt oder einfriert.
Blindflug: Die Betreiber sehen keine Live-Daten mehr und müssen die Anlage oft aus Sicherheitsgründen manuell komplett herunterfahren.

4. Spionage und Datendiebstahl (Reconnaissance)

Bevor ein Schaden angerichtet wird, nisten sich Angreifer oft monatelang unbemerkt im System ein.

Ausspähen von Blueprints: Die Hacker stehlen Schaltpläne, Konfigurationen und Prozessabläufe.
Vorbereitung: Mit diesem Wissen können sie zu einem späteren Zeitpunkt einen maßgeschneiderten, physischen Angriff starten.

Angriffsvektoren: Wie gelangt der Angriff ins System?

Vektor	Beschreibung
Schadsoftware (Malware)	Speziell entwickelte Trojaner (z.B. Industroyer oder Triton), die SCADA-Protokolle lesen und manipulieren können.
Physischer Zugang	Infizierte USB-Sticks oder Wartungs-Laptops von externen Technikern direkt vor Ort.
Lieferkette (Supply Chain)	Kompromittierte Updates der Software-Hersteller, die den Schadcode direkt mitliefern.

Hier ist die detaillierte Aufschlüsselung, wie ein Man-in-the-Middle-Angriff in der Praxis abläuft und welche bekannten Malware-Beispiele die Industrie in den letzten Jahren erschüttert haben.

🔎 Teil 1: Der Ablauf eines Man-in-the-Middle-Angriffs (MitM)

Bei einem MitM-Angriff klinkt sich der Angreifer in die Kommunikationsleitung zwischen der SCADA-Software (Leitwarte) und der SPS (Steuerung der Maschine) ein. Da viele alte Industrieprotokolle (wie Modbus/TCP) Daten unverschlüsselt übertragen, kann der Angreifer die Nachrichten nicht nur mitlesen, sondern auch verändern.

Der Angriff läuft typischerweise in drei Schritten ab:

[ SCADA / Leitstelle ]  <--->  [ ⚠️ ANGREIFER ⚠️ ]  <--->  [ SPS / Maschine ]
  (sieht: "Alles okay")          (fälscht Daten)          (überhitzt real)

Das Einschleusen (ARP-Spoofing): Der Angreifer manipuliert die Routing-Tabellen im lokalen Netzwerk. Er gaukelt der SCADA-Software vor, er sei die SPS – und der SPS gaukelt er vor, er sei die SCADA-Software. Ab diesem Moment läuft der gesamte Datenverkehr über seinen Computer.
Die Täuschung nach oben (Spoofing): Die Maschine sendet die Information: “Achtung, Druck steigt auf kritische 150 Bar!”. Der Angreifer fängt dieses Paket ab, ändert den Wert auf “Optimale 50 Bar” und leitet es an die SCADA-Software weiter. Der Operator im Kontrollraum sieht auf seinem Bildschirm ein perfektes grünes Signal und bleibt ahnungslos.
Der Sabotage-Befehl nach unten (Injection): Gleichzeitig sendet der Angreifer im Namen der SCADA-Software einen Befehl an die Maschine: “Ventil komplett schließen”. Die SPS führt diesen Befehl aus, da sie denkt, er käme direkt vom Operator. Die Anlage beschädigt sich selbst, während die Leitwarte “Blindflug” hat.

📊 Teil 2: Bekannte SCADA-Malware im direkten Vergleich

In der Geschichte der Cybersicherheit gab es einige extrem hochentwickelte Schadprogramme, die speziell für Angriffe auf industrielle Steuerungssysteme (ICS/SCADA) entwickelt wurden:

Malware	Entdeckt	Hauptziel / Opfer	Funktionsweise & Schaden
Stuxnet	2010	Iranische Atomanlagen (Natans)	Der Urvater der Cyberwaffen. Manipulierte die Frequenzumrichter von Gaszentrifugen, sodass diese sich unbemerkt zu Tode drehten, während den Operatoren normale Werte angezeigt wurden.
Industroyer (CrashOverride)	2016	Stromnetz in der Ukraine (Kiew)	Sprach direkt die Protokolle von Stromsubstationen (IEC 60870-5-104) an. Konnte Leistungsschalter automatisch öffnen und schließen, was zu massiven Stromausfällen führte.
Triton (Trisis)	2017	Petrochemische Anlage in Saudi-Arabien	Zielte direkt auf das Sicherheits-System (SIS) von Schneider Electric. Dieses System soll bei Gefahr die Anlage notabschalten. Triton manipulierte den Code, um die Notabschaltung zu verhindern (Risiko von Explosionen).
Incontroller (Pipedream)	2022	Universell einsetzbar (weltweit gesichert)	Ein extrem modulares Werkzeugset. Es wurde entdeckt, bevor es großen Schaden anrichten konnte. Es kann gezielt nach bestimmten Industrie-Controllern scannen, diese fernsteuern und Passwörter auslesen.

💡 Warum diese Angriffe so gefährlich sind

Klassische IT-Malware (wie Ransomware) verschlüsselt oft “nur” Daten, um Geld zu erpressen. SCADA-Malware hingegen wird meist von staatlichen Akteuren entwickelt (Advanced Persistent Threats / APTs). Ihr Ziel ist nicht Geld, sondern die physische Zerstörung kritischer Infrastrukturen oder geopolitische Sabotage.

Um Angriffe wie Man-in-the-Middle oder die Ausführung von spezialisierter SCADA-Malware zu blockieren, reicht eine normale Büro-Firewall nicht aus. Moderne Industrieanlagen setzen daher auf zwei Kernkonzepte: Deep Packet Inspection (DPI) und das Zero-Trust-Modell.

Hier ist die genaue Funktionsweise, wie diese Technologien die Steuerungsebene absichern:

🛡️ 1. Deep Packet Inspection (DPI) im industriellen Netzwerk

Eine normale Firewall prüft bei Datenpaketen nur die “Verpackung” (z. B. IP-Adresse und Port). Sie sieht: „Ah, dieses Paket kommt aus der Leitwarte und nutzt das Modbus-Protokoll – das ist erlaubt.“ Was sich im Paket befindet, bleibt ungelesen.

Deep Packet Inspection hingegen öffnet das Paket und liest den exakten Inhalt des industriellen Befehls:

Das Funktionsprinzip: DPI versteht die Sprache der Maschinen (z. B. Modbus, OPC UA, IEC 104). Es prüft den Befehl auf Plausibilität und Berechtigung.
Abwehr des Angriffs: Wenn der Angreifer versucht, den Befehl “Schreibe kritischen Wert in Register X” einzuschleusen, erkennt die DPI-Firewall, dass dieser spezifische Schreib-Befehl zu diesem Zeitpunkt unzulässig ist (oder die Sensorwerte unplausibel springen lassen würde). Das Paket wird sofort blockiert und ein Alarm ausgelöst.

🔒 2. Das Zero-Trust-Modell in der Produktion (OT)

Früher galt in Fabriken das “Burggraben-Prinzip”: Wer einmal im internen Netzwerk war, dem wurde blind vertraut. Beim Zero-Trust-Modell gilt das strikte Motto: „Niemals vertrauen, immer überprüfen.“

Jede einzelne Verbindung im SCADA-Netzwerk muss sich kontinuierlich ausweisen – egal ob Mensch, Software oder Steuerungsgerät.

Die wichtigsten Säulen von Zero-Trust in der Industrie:

Netzwerk-Mikrosegmentierung: Das Fabriknetzwerk wird in winzige, isolierte Sicherheitszonen (Zellen) unterteilt. Die SPS von Maschine A kann physikalisch gar nicht mit der SPS von Maschine B sprechen. Selbst wenn ein Angreifer eine Steuerung infiziert, sitzt er in einer “Sackgasse” fest und die Malware kann sich nicht im gesamten Werk ausbreiten.
Kryptografische Identitäten: Jedes Gerät erhält ein digitales Zertifikat. Die SCADA-Software akzeptiert Datenpakete von einer SPS nur dann, wenn diese digital signiert und verschlüsselt sind. Ein Angreifer, der sich via Man-in-the-Middle dazwischenschaltet, kann die Pakete nicht fälschen, da er den geheimen kryptografischen Schlüssel nicht besitzt.
Strikte Zugriffskontrolle (Least Privilege): Ein Wartungstechniker oder ein Drittanbieter-Tool erhält nur für das exakte Zeitfenster der Wartung Zugriff auf genau ein einziges Gerät. Sobald die Arbeit erledigt ist, erlischt die Berechtigung automatisch.

Direct-Vergleich: Klassischer Schutz vs. Modernes Sicherheitskonzept

Sicherheitsmerkmal	Früher (Perimeter-Schutz)	Heute (Zero-Trust & DPI)
Netzwerkaufteilung	Flaches, offenes Fabriknetzwerk	Mikrosegmentierung in isolierte Zellen
Verschlüsselung	Keine (Klartext-Protokolle)	Durchgehend verschlüsselt (z.B. OPC UA Security)
Prüfung der Daten	Nur IP-Adresse und Port-Check	Vollständige Analyse der Industrie-Befehle (DPI)
Vertrauensstufe	“Wer drin ist, darf alles”	Kontinuierliche Authentifizierung jedes Geräts

Die Implementierung von Zero-Trust und KI im laufenden Betrieb ist eine der größten Herausforderungen in der Industrie, da Fabriken nicht einfach für Sicherheits-Updates abgeschaltet werden können. Jede Minute Stillstand kostet Geld.

Unternehmen lösen dieses Problem durch ein schrittweises, störungsfreies Vorgehen in Kombination mit passiver KI-Überwachung.

🔄 Teil 1: Einführung von Zero-Trust ohne Produktionsstopp

Um den Betrieb nicht zu gefährden, wird die Sicherheitsarchitektur nach dem “Shadow-Prinzip” aufgebaut:

Der passive Modus (Passive Discovery): Im ersten Schritt werden spezielle Netzwerk-Taps (Hardware-Abzweigungen) installiert. Diese spiegeln den gesamten Netzwerkverkehr, ohne ihn zu beeinflussen. Es wird eine Software mit Deep Packet Inspection (DPI) gefüttert, die lediglich mitliest. Die Produktion läuft zu 100 % normal weiter.
Die Erstellung der “White-List”: Das System lernt über Wochen hinweg, welche Geräte (SCADA, SPS, Sensoren) miteinander sprechen und welche Befehle legitim sind. Daraus entsteht eine automatisierte Inventarliste und eine Kommunikationsmatrix.
Test-Phasen (Simulation): Bevor harte Blockier-Regeln aktiviert werden, schaltet man die Firewall in den “Alert-Only”-Modus. Wenn eine neue Sicherheitszone (Mikrosegmentierung) fälschlicherweise eine legitime Verbindung blockieren würde, sperrt die Firewall diese nicht, sondern schlägt nur Alarm. Techniker können die Regel korrigieren, bevor realer Schaden entsteht.
Scharfschaltung Zone für Zone: Erst wenn das System über Wochen hinweg fehlerfrei im Simulationsmodus lief, werden die Blockier-Regeln schrittweise – oft Maschine für Maschine – scharf geschaltet.

🤖 Teil 2: KI-basierte Anomalieerkennung in OT-Netzwerken

Industrielle Netzwerke eignen sich paradoxerweise perfekt für Künstliche Intelligenz. Im Gegensatz zu Büro-Netzwerken (wo Mitarbeiter ständig neue Websites aufrufen, YouTube streamen oder Dateien herunterladen) sind Fabrik-Netzwerke extrem deterministisch: Eine Maschine verhält sich jeden Tag exakt gleich.

Die KI nutzt dieses repetitive Verhalten für die sogenannte Anomaly Detection:

Das Baseline-Modell: Die KI lernt das “Normalverhalten” der Anlage. Sie weiß genau: SPS_A schickt alle 100 Millisekunden einen Temperaturwert an die SCADA-Software. Einmal pro Schicht wird ein Rezeptur-Update gesendet.
Erkennung von Abweichungen (Anomalien): Tritt ein plötzliches, untypisches Verhalten auf, schlägt die KI sofort Alarm. Das Besondere: Sie sucht nicht nach bekannten Viren (Signaturen), sondern nach Verhaltensabweichungen.

Typische Szenarien, die eine KI sofort aufdeckt:

Zeitliche Anomalie: Eine SPS sendet plötzlich um 03:00 Uhr nachts ein Firmware-Update, obwohl Updates sonst nur dienstags um 10:00 Uhr eingespielt werden.
Mengen-Anomalie: Ein Steuerungscomputer fragt plötzlich innerhalb von Sekunden 5.000 Datenpunkte ab (Verdacht auf Netzwerk-Scan durch einen Angreifer).
Befehls-Anomalie: Ein Wartungs-PC sendet einen “Schreibe-Befehl” an ein Register, das seit Jahren nur “gelesen” wurde.

🧩 Das Zusammenspiel: KI und Zero-Trust als Abwehr-Team

Wenn eine KI eine Anomalie entdeckt, kann sie über die bestehende Zero-Trust-Architektur automatisiert reagieren:

[ KI erkennt Angriff ] 
       │
       ▼ (Befehl zur Isolation)
[ Zero-Trust-Firewall ] ➔ Sperrt sofort das infizierte Segment
       │
       ▼
[ Rest der Fabrik ] ➔ Produziert absolut sicher und ungestört weiter

Dank der Mikrosegmentierung muss bei einem Cyberangriff nicht mehr die gesamte Fabrik heruntergefahren werden. Es wird nur noch die betroffene Zelle (z.B. eine einzelne Roboterstraße) isoliert, während die restlichen Bänder weiterlaufen.

🎬 Teil 1: Praxisbeispiel – Vorfall im Kontrollzentrum (SOC)

So läuft die Abwehr einer Cyber-Attacke im Kontrollraum einer modernen, vernetzten Fabrik im Ernstfall ab:

⌚ 03:14 Uhr – Die Anomalie

Ein Angreifer hat über ein kompromittiertes VPN-Konto eines externen Wartungstechnikers Zugriff erlangt. Er versucht, das Firmware-Update einer Siemens-SPS zu überschreiben, um Ventile zu manipulieren.

⌚ 03:15 Uhr – Die KI schlägt an

Die KI-basierte Anomalieerkennung schlägt sofort im Industrial Security Operations Center (ICS-SOC) Alarm: [1]

🚨 Rot-Warnung: “Unbekannter Schreibbefehl auf SPS_Zelle_4 (Mischertank). Protokoll: Siemens S7 Comm. Zeitliche Anomalie (Wartungfenster nicht aktiv).” [2, 3]
Gleichzeitig blockiert die Deep Packet Inspection (DPI) der Fortinet-Industriefirewall das Paket, da der Befehl nicht von der autorisierten SCADA-Leitwarte stammt. [2]

⌚ 03:17 Uhr – Die automatisierte Isolation

Das Sicherheitssystem nutzt die Zero-Trust-Architektur: Die betroffene Zelle 4 wird durch Mikrosegmentierung automatisch vom restlichen Fabriknetzwerk isoliert. [3, 4]

Der restliche Betrieb der Fabrik läuft ungestört weiter.
Dem Operator im Kontrollraum wird auf dem SCADA-Bildschirm die betroffene Zelle gelb (isoliert) markiert. [1]

⌚ 03:25 Uhr – Forensik & Entwarnung

Das Security-Team prüft das Protokoll (SIEM/SOAR). Der unbefugte VPN-Zugang wird dauerhaft gesperrt. Da die Firewall den schädlichen Befehl dank DPI abfangen konnte, kam es zu keinem physischen Schaden an den Maschinen. Zelle 4 wird nach einer Überprüfung wieder sicher in den Werksverbund integriert. [1, 2, 4, 5]

🏆 Teil 2: Marktführende Hersteller & Tools (CPS/OT-Security)

Der Markt für den Schutz von Cyber-Physical Systems (CPS) und Operational Technology (OT) hat sich stark konsolidiert. Gemäß führender Analysten wie dem Gartner Magic Quadrant für CPS Protection Platforms teilen sich spezialisierte OT-Anbieter und etablierte IT-Giganten den Markt auf: [6, 7]

🎯 Die spezialisierten OT-Pioniere (Die “Leaders”)

Nozomi Networks: Bekannt für die Plattformen Guardian und Vantage. Sie gilt laut Nozomi Networks als eine der führenden Lösungen für KI-gestützte Anomalieerkennung und Asset-Transparenz in Echtzeit. [8, 9]
Claroty: Mit der Medigate– und Continuous Threat Detection (CTD)-Plattform einer der Marktführer für die Erkennung von Schwachstellen in extrem komplexen Industrie- und Medizinumgebungen. [7, 10]
Dragos: Fokussiert sich stark auf den Schutz kritischer Infrastrukturen (Stromnetze, Wasserwerke) und bringt tiefgehende, praxiserprobte Bedrohungsanalysen (Threat Intelligence) mit. [11, 12]

🌐 Die IT/OT-Netzwerk-Schwergewichte

Cisco Systems: Integriert die OT-Sicherheit über die Plattform Cisco Cyber Vision direkt in seine industriellen Switche und Router. Dadurch ist keine zusätzliche Sensor-Hardware in den Schaltschränken nötig.
Fortinet: Bietet mit der Fortinet OT Security Platform robuste, physikalisch gehärtete Firewalls für Fabrikhallen, die Deep Packet Inspection für hunderte Industrieprotokolle nativ beherrschen.
Palo Alto Networks: Setzt stark auf das Zero-Trust-Prinzip auf Unternehmensebene und bietet über seine Next-Generation-Firewalls eine tiefe IT/OT-Konvergenz. [13, 14]

🏭 Die klassischen Industrie-Ausrüster (OEMs)

Hersteller wie Honeywell (mit Honeywell Forge), Siemens, ABB und Rockwell Automation bieten eigene, tief in ihre Maschinen integrierte Sicherheits-Frameworks an, arbeiten beim Netzwerk-Schutz jedoch oft mit den oben genannten Cyber-Security-Anbietern zusammen. [15]

[1] https://www.threatintelligence.com

[2] https://www.txone.com

[3] https://www.sans.org

[4] https://seceon.com

[5] https://www.sentinelone.com

[6] https://www.gartner.com

[7] https://reliamag.com

[8] https://www.nozominetworks.com

[9] https://www.nozominetworks.com

[10] https://www.elisity.com

[11] https://www.dragos.com

[12] https://www.linkedin.com

[13] https://www.fortinet.com

[14] https://www.netwitness.com

[15] https://securesteppartner.com

Um die Theorie zu verdeutlichen, sind hier reale, historisch dokumentierte Angriffe auf SCADA- und industrielle Steuerungssysteme. Diese Vorfälle zeigen genau, wie verheerend die Kombination aus Schadsoftware, Täuschung und mangelnder Netzwerksicherheit sein kann.

1. Stuxnet (2010) – Der erste physische Sabotage-Angriff

Ziel: Die iranische Urananreicherungsanlage in Natans. [1]
Der Ablauf: Die Anlage war komplett vom Internet getrennt (Air-Gapped). Die Angreifer schleusten die Malware daher über infizierte USB-Sticks von externen Technikern ein. Der Wurm suchte im Netzwerk gezielt nach SCADA-Software von Siemens (WinCC) und bestimmten Frequenzumrichtern (SPS). [1, 2]
Die Angriffsart (Spoofing & Command Injection): Stuxnet änderte heimlich die Drehzahlen der Zentrifugen massiv nach oben und unten, um sie mechanisch zu zerstören. Gleichzeitig wendete die Malware das klassische Anzeige-Spoofing an: Sie spielte den Systemoperatoren in der Leitwarte aufgezeichnete, völlig normale Sensorwerte vor. Die Ingenieure sahen ein perfekt funktionierendes System, während im Hintergrund die Maschinen zerrissen. [1, 3]

2. Ukraine Blackout (2015 & 2016) – Die Lahmlegung eines Stromnetzes

Ziel: Regionale Stromversorger in der Ukraine (Ivano-Frankivsk u. a.). [4]
Der Ablauf (2015): Hacker gelangten über eine Spear-Phishing-E-Mail in das IT-Büronetzwerk und stahlen die Zugangsdaten für das VPN zur SCADA-Ebene. Kurz vor Weihnachten übernahmen sie per Fernzugriff die Kontrolle über die Bedieneroberflächen. Die echten Operatoren mussten hilflos zusehen, wie sich die Mauszeiger auf ihren Bildschirmen wie von Geisterhand bewegten und systematisch 30 Substationen abschalteten. Über 230.000 Menschen saßen stundenlang im Dunkeln. [4, 5, 6]
Der Ablauf (2016 – Industroyer): Ein Jahr später griffen sie Kiew erneut an. Diesmal nutzten sie die automatisierte Malware Industroyer (CrashOverride). Diese sprach direkt die unverschlüsselten Industrieprotokolle (IEC 60870-5-104) an, um Leistungsschalter per Massenbefehl umzulegen. Zudem löschte die Malware die Firmware der Kommunikationsgeräte, um die Techniker in den “Blindflug” zu zwingen. [3, 6]

3. Oldsmar Water Treatment (2021) – Gift im Trinkwasser

Ziel: Ein Wasserwerk in der Kleinstadt Oldsmar, Florida (USA).
Der Ablauf (Command Injection): Ein Angreifer nutzte eine veraltete Fernwartungssoftware (TeamViewer), die ungesichert mit dem Internet verbunden war. Er schaltete sich auf den SCADA-Bedienrechner auf. Der Operator vor Ort bemerkte, dass sich sein Mauszeiger bewegte. Der Angreifer steuerte die Software an und erhöhte die Dosierung von Natriumhydroxid (Lauge) im Trinkwasser von normalen 100 Teilen pro Million (ppm) auf lebensgefährliche 11.100 ppm.
Ausgang: Der Operator griff sofort manuell ein und setzte den Wert zurück, bevor kontaminiertes Wasser das Netz erreichte. Dieser Fall ist das Paradebeispiel dafür, wie gefährlich fehlende Passwörter und direkte Internetanbindungen von SCADA-Systemen sind. [4, 7]

4. Die US-Wasserwerk-Kampagne (Aktuelle Vorfälle 2024–2026)

Ziel: Dutzende kleine, kommunale Wasser- und Abwasserwerke in mehreren US-Bundesstaaten.
Der Ablauf (Massen-Scan): Das FBI und die CISA gaben offizielle Warnungen vor einer andauernden Angriffswelle heraus. Mutmaßlich staatlich unterstützte Hacker (unter anderem aus dem iranischen Umfeld) scannten das Internet gezielt nach offen zugänglichen Steuerungseinheiten (PLCs) von Herstellern wie Rockwell Automation.
Der Schaden: Weil die Betreiber oft Standard-Passwörter oder veraltete Software nutzten, loggten sich die Angreifer ein, änderten IP-Adressen und sperrten die Betreiber aus ihren eigenen SCADA-Systemen aus (Loss of View/Function). In einigen Werken kam es zu Druckverlusten und Überschwemmungen an Pumpstationen, sodass die Orte temporäre Abkochgebote für das Trinkwasser erlassen mussten. [8, 9, 10, 11, 12, 13]

Diese Beispiele verdeutlichen, dass SCADA-Angriffe keine Science-Fiction sind. Sie zeigen auch, warum das vorhin beschriebene Zero-Trust-Modell (z. B. das Entfernen von Steuerungen aus dem öffentlichen Internet) und Deep Packet Inspection (um unübliche Dosierungsbefehle wie in Oldsmar sofort zu blockieren) heute überlebenswichtig für kritische Infrastrukturen sind. [4, 13]

Möchten Sie zu einem dieser spezifischen historischen Fälle – beispielsweise dem exakten Code-Verhalten von Stuxnet oder den Sicherheitslücken beim Ukraine-Blackout – noch detailliertere Details erfahren?

[1] https://hackernoon.com

[2] https://hackers-arise.com

[3] https://www.dpstele.com

[4] https://www.pteinc.com

[5] https://blog.aristacyber.io

[6] https://www.dpstele.com

[7] https://aviatnetworks.com

[8] https://shieldworkz.com

[9] https://www.fbi.gov

[10] https://www.cybersecuritydive.com

[11] https://industrialcyber.co

[12] https://www.cybersecuritydive.com

[13] https://www.smartcitiesdive.com

In den letzten zehn Jahren (2016–2026) ist die Europäische Union zunehmend ins Fadenkreuz von Cyberangriffen auf industrielle Infrastrukturen gerückt. Während Angreifer früher primär IT-Netzwerke attackierten, zielen sie heute immer häufiger direkt auf die Operational Technology (OT) und SCADA-Systeme europäischer Versorger. [1]

Reale und dokumentierte Angriffe auf SCADA- und Steuerungssysteme innerhalb der EU-Grenzen umfangen folgende Ereignisse:

1. Der koordinierte Angriff auf Polens Ökostromnetz (Dezember 2025)

Ziel: Rund 30 Wind- und Solarparks, ein großes Heizkraftwerk (das 500.000 Kunden versorgt) sowie ein Industrieunternehmen in Polen. [2]
Der Ablauf: Staatlich unterstützte Hacker verschafften sich über Monate hinweg unbemerkt Zugang zu den Systemen. Am 29. Dezember 2025 starteten sie den Hauptangriff und attackierten gezielt die Remotely-Managed-Substationen (Umspannwerke), welche die Solaranlagen mit dem Hauptnetz verbinden. [2]
Die SCADA-Manipulation: Da die Außenstationen unbemannt waren, nutzten die Angreifer dort hinterlegte Standard-Passwörter (Default Credentials). Sie drangen in die RTUs (Fernwirkeinheiten) ein, installierten manipulierte Firmware und machten die Steuerungsgeräte unbrauchbar (bricking). Auf Windows-basierten Steuerungsrechnern (HMIs) spielten sie extrem zerstörerische Linux- und Windows-Wiper-Malware auf, um alle Spuren zu verwischen. [2]
Ausgang: Ein flächendeckender Stromausfall blieb aus, da Sicherheitssoftware (EDR) im großen Heizkraftwerk die Sabotage-Skripte im letzten Moment blockieren konnte. [2]

2. Sabotage-Angriffe auf Umspannwerke in Deutschland (September 2026)

Ziel: Mehrere Strom-Substationen und Energieanlagen in Deutschland.
Der Ablauf: Die jüngste Welle zeigt die Verschmelzung von physischer Sabotage und digitalem Zugriff. Hacker und Saboteure griffen gezielt Steuerungsanlagen an, um Stromausfälle zu provozieren.
Ausgang: Die Angriffe führten in Deutschland zur schnellen Verabschiedung eines neuen, strengen Kritis-Dachgesetzes, das alle Betreiber, die mehr als 500.000 Menschen versorgen, zu permanentem digitalem Monitoring und massiven Investitionen in die Abwehr von SCADA-Angriffen verpflichtet. [3]

3. Angriff auf Windkraftanlagen von Enercon / Deutsche Nordsee (2022)

Ziel: Die Satellitenverbindung zur Fernsteuerung von tausenden Windkraftanlagen in Europa (v. a. Deutschland).
Der Ablauf: Pünktlich zum Beginn des Ukraine-Krieges im Februar 2022 attackierten Hacker das Satellitennetzwerk KA-SAT von Viasat. Der Angriff galt primär ukrainischen Militärstrukturen, traf als Kollateralschaden aber die SCADA-Fernüberwachung von ca. 5.800 Enercon-Windrädern in Mitteleuropa.
Der SCADA-Effekt: Die Betreiber verloren komplett den Blick auf die Anlagen (Loss of View). Die Windräder liefen zwar im Automatikmodus weiter, konnten aber wochenlang von der Leitwarte aus weder reguliert, abgeschaltet noch überwacht werden. Techniker mussten teils physisch zu den Anlagen fahren, um Modems händisch zurückzusetzen.

4. Ransomware-Welle auf europäische Pipelines und Häfen (2022)

Ziel: Ölgroßhändler und Logistikzentren in Deutschland, den Niederlanden und Belgien (u. a. Oiltanking und Seehäfen in Antwerpen/Rotterdam).
Der Ablauf: Eigentlich handelte es sich um klassische IT-Ransomware (Erpressungssoftware des Typs BlackCat). Die Malware verschlüsselte jedoch die IT-Systeme, die eng mit der OT-Ebene verzahnt waren.
Der SCADA-Effekt: Weil die IT-Systeme zur Abrechnung und Zuweisung der Ölmengen ausfielen, mussten die Unternehmen ihre automatisierten SCADA-gesteuerten Ladesysteme aus Sicherheitsgründen präventiv abschalten. Tankwagen konnten an den Terminals tagelang kein Benzin laden, was zu logistischem Chaos führte.

Warum Angriffe in der EU so stark zunehmen

Laut dem EU-Sicherheitsbericht der ENISA stiegen die gezielten Attacken auf OT-Umgebungen in Europa zuletzt drastisch an. Die Gründe dafür liegen in der veränderten geopolitischen Lage und der zunehmenden IT/OT-Konvergenz: Früher isolierte Maschinennetzwerke wurden in den letzten Jahren rasant mit dem Internet verbunden, um Wartung aus der Ferne zu ermöglichen. [1, 4, 5]

Als Reaktion darauf hat die EU die NIS-2-Richtlinie scharf geschaltet. Unternehmen aus den Bereichen Energie, Wasser und Transport riskieren mittlerweile drakonische Strafen, wenn sie ihre SCADA-Netze nicht über die vorhin besprochenen Methoden (wie Deep Packet Inspection oder Zero-Trust) absichern. [6, 7]

[1] https://shieldworkz.com

[2] https://www.youtube.com

[3] https://www.facebook.com

[4] https://www.enisa.europa.eu

[5] https://www.enisa.europa.eu

[6] https://ec.europa.eu

[7] https://www.enisa.europa.eu

Für die Zukunft (ab 2026 und darüber hinaus) zeichnet sich bei Angriffen auf SCADA- und Industriesysteme ein technologisches Wettrüsten ab. Die Bedrohungslage verändert sich fundamental, weil Angreifer immer automatisiertere Werkzeuge nutzen, während die Verteidiger auf staatliche Regulierung und KI-Abwehr setzen.

Die wichtigsten Trends und Entwicklungen, die uns in den kommenden Jahren erwarten:

1. KI-gestützte Angriffe (Generative KI für Schadcode)

Bisher war die Entwicklung von SCADA-Malware (wie Stuxnet oder Triton) extrem teuer und spezialisierten staatlichen Hackern (APTs) vorbehalten.

Das Risiko: Angreifer nutzen zunehmend spezialisierte KI-Modelle, um Sicherheitslücken in obskuren Industrieprotokollen oder proprietärer SCADA-Software im Sekundentakt zu finden.
Die Folge: Die Erstellung von maßgeschneiderter Industrie-Malware wird drastisch billiger und schneller. Auch kleinere Cyberkriminelle könnten dadurch in die Lage versetzt werden, gezielte Sabotage-Angriffe zu starten.

2. Fokus auf die grüne Energieinfrastruktur (Smart Grids)

Der Übergang zu erneuerbaren Energien verändert die Angriffsfläche der EU und der USA massiv.

Dezentralisierung: Früher gab es wenige große Kraftwerke, die stark gesichert waren. Heute gibt es Millionen von Solaranlagen, Windparks, Wärmepumpen und Wallboxen, die alle über das Internet mit den SCADA-Systemen der Netzbetreiber verbunden sind.
Das Risiko: Gelingt es Hackern, sich massenhaft Zugang zu den IoT-Steuerungen von privaten Solaranlagen oder E-Auto-Ladestationen zu verschaffen, könnten sie diese gleichzeitig ein- oder ausschalten. Dies würde die Frequenz des Stromnetzes so stark manipulieren, dass ein flächendeckender Blackout die Folge wäre (sogenannte Load-Shedding-Angriffe).

3. Angriffe auf die “Software Supply Chain” (Lieferkette)

Da die Netzwerke von Energieversorgern und Fabriken intern immer besser durch Zero-Trust geschützt werden, umgehen Angreifer die Firewall, indem sie die Hersteller der SCADA-Software selbst angreifen.

Das Prinzip: Hacker schleusen Schadcode direkt in die offiziellen Updates von SCADA-Herstellern (wie Siemens, Schneider Electric, ABB) ein.
Die Folge: Das Unternehmen installiert das Update im guten Glauben, das System sicherer zu machen – und holt sich den Trojaner so direkt ins Herz der Anlage (wie es in der IT bereits beim berühmten SolarWinds-Angriff geschah).

4. Die “Verbrannte-Erde”-Taktik im geopolitischen Konflikt

Experten beobachten, dass bei geopolitischen Spannungen die Hemmschwelle für physische Zerstörung sinkt.

Wiper-Malware im OT-Bereich: Es geht Angreifern immer seltener um Spionage oder Erpressung (Ransomware), sondern um die reine Zerstörung. Sogenannte Wiper löschen die Firmware von Steuerungsgeräten unumkehrbar.
Physische Schäden: Es ist zu erwarten, dass Angreifer gezielt versuchen, Sicherheits-Systeme (SIS) auszuschalten, um reale Explosionen, Brände oder Umweltkatastrophen (z. B. in Chemieparks oder Öl-Terminals) auszulösen.

Wie reagiert die Verteidigung?

Um dieser Zukunftsausblick zu begegnen, greifen in der EU und weltweit massive Gegenmaßnahmen:

Strenge Regulierung (NIS-2 & Kritis-Dachgesetz): Geschäftsführer von Industrieunternehmen haften künftig persönlich mit ihrem Privatvermögen, wenn sie SCADA-Systeme nicht nach dem aktuellen Stand der Technik (Verschlüsselung, Mikrosegmentierung) absichern.
KI-vs-KI im Netzwerk: Die Verteidigung wird komplett automatisiert. Wenn eine Angreifer-KI das Netzwerk scannt, muss die Verteidiger-KI den Angriff innerhalb von Millisekunden erkennen und die betroffene Fabrikzelle isolieren, noch bevor ein Mensch im Kontrollraum den Alarm überhaupt lesen kann.

Hier ist die konkrete Übersicht, wie sich die rechtliche Lage in der EU verschärft hat und wie kleinere Betreiber diesen enormen Druck in der Praxis bewältigen.

⚖️ Teil 1: Die NIS-2-Richtlinie und die persönliche Haftung von Geschäftsführern

Die NIS-2-Richtlinie der EU hat das Thema Cyber-Sicherheit endgültig aus der reinen IT-Abteilung in die Chefetage geholt. Seit dem Inkrafttreten der nationalen Umsetzungen greifen drastische Regeln, die besonders für SCADA-Betreiber relevant sind.

Die wichtigsten Fakten zur Chef-Haftung:

Persönliche Verantwortung: Geschäftsführer, Vorstände und Werkleiter können bei schwerwiegenden Versäumnissen in der SCADA-Sicherheit persönlich mit ihrem Privatvermögen haftbar gemacht werden. Eine Ausrede wie „Davon hatte ich keine technische Ahnung“ lassen Gerichte nicht mehr gelten 🔗.
Pflicht zu Schulungen: Führungskräfte sind gesetzlich verpflichtet, regelmäßige Schulungen im Bereich Cyber-Security und OT-Risiken zu absolvieren.
Drakonische Bußgelder: Für Unternehmen bei Verstößen drohen Strafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
Meldepflichten: Wenn ein SCADA-System kompromittiert wird, muss innerhalb von 24 Stunden eine Erstmeldung an das zuständige Bundesamt (z. B. das BSI in Deutschland) erfolgen. Nach 72 Stunden muss ein detaillierter Bericht vorliegen.

💧 Teil 2: Wie sich kleinere Betreiber (z. B. Stadtwerke) schützen können

Gerade kleinere Betreiber wie kommunale Wasserwerke oder lokale Stromnetzbetreiber stehen vor einem Dilemma: Sie müssen dieselben strengen Auflagen wie Weltkonzerne erfüllen, haben aber weder das Budget noch die Cybersicherheits-Experten.

Um sich gegen die komplexen Zukunftsszenarien aufzustellen, nutzen sie primär drei Strategien:

1. Zusammenschlüsse und Managed Services (Shared SOC)

Kleinere Stadtwerke bauen keine eigenen 24/7-Überwachungszentren (Security Operations Center). Stattdessen schließen sie sich zusammen oder lagern die Überwachung an spezialisierte Industrial Managed Security Service Providers (MSSPs) aus. Ein externes Team von Experten überwacht dann die SCADA-Netzwerke von 20 oder 30 Stadtwerken gleichzeitig aus der Ferne über verschlüsselte Datenströme.

2. Das “BSI-Grundschutz-Profil” und Kooperationen

In Deutschland nutzen kleinere Betreiber oft die Vorarbeit von Branchenverbänden (wie dem DVGW für Wasser oder dem VDE für Energie). Diese haben standardisierte Sicherheitsleitfäden entwickelt. Anstatt teure Berater zu bezahlen, arbeiten Stadtwerke diese Checklisten ab. Zudem hilft der gegenseitige Austausch im Rahmen des UP KRITIS (einer Kooperationsplattform zwischen Wirtschaft und Staat), um frühzeitig vor aktuellen Angriffswellen gewarnt zu werden.

3. Radikale Minimierung der Angriffsfläche (Quick Wins)

Da das Geld für teure KI-Systeme oft fehlt, setzen kleinere Betreiber auf pragmatische, aber hocheffektive Schutzmaßnahmen:

Harte Netztrennung: SCADA-Rechner werden physisch oder über strikte Firewalls komplett vom restlichen Büro-Netzwerk getrennt.
Abschalten von Fernwartung: Programme wie TeamViewer werden rigoros verboten. Wenn ein externer Techniker auf eine SPS zugreifen muss, wird die Leitung erst nach telefonischer Absprache für ein kurzes Zeitfenster manuell freigeschaltet.
Multifaktor-Authentisierung (MFA): Jeder Zugang zum Steuerungsnetzwerk erfordert zwingend einen zweiten Faktor (z. B. eine App auf dem Smartphone des Technikers). Dies verhindert über 90 % der automatisierten Angriffe durch kompromittierte Passwörter.

Damit haben wir die gesamte Kette von den technischen Angriffsarten über historische Beispiele bis hin zur aktuellen Rechtslage abgedeckt.

Für eine gelungene Präsentation zum Thema „Cyberangriffe auf SCADA-Systeme: Bedrohungen, Reale Fälle und Abwehrstrategien“ habe ich Ihnen eine professionelle, scannbare Folien-Struktur ausgearbeitet.

Sie können diese Struktur direkt in PowerPoint, Keynote oder ein anderes Tool Ihrer Wahl übernehmen.

📋 Folien-Struktur für Ihre Präsentation

Folie 1: Titelblatt

Titel: Sabotage per Mausklick: Cyberangriffe auf SCADA- und Industriesysteme
Untertitel: Wie moderne OT-Security kritische Infrastrukturen vor KI-Angriffen schützt
Presenter: [Ihr Name], [Datum]

Folie 2: Was ist SCADA? (Das Fundament)

Definition: Supervisory Control and Data Acquisition – Die Software-Schnittstelle zwischen der digitalen IT-Welt und physischen Maschinen.
Einsatzbereiche: Kraftwerke, Wasserwerke, Fabrikstraßen, Pipelines.
Das Problem: Viele Protokolle (z. B. Modbus) stammen aus einer Zeit vor dem Internet und sind von Natur aus unverschlüsselt und ohne Authentifizierung.

Folie 3: Die 4 Haupt-Angriffsarten

Command Injection: Einschleusen falscher Steuerungsbefehle (z. B. Ventile unzulässig öffnen).
Anzeige-Manipulation (Spoofing): Dem Operator werden “grüne Werte” vorgegaukelt, während die Maschine real überhitzt.
Man-in-the-Middle (MitM): Der Angreifer schaltet sich unbemerkt in die Kommunikationsleitung zwischen Leitwarte und SPS.
Denial of Service (DoS): Flutung des Netzwerks, was zu Systemabstürzen und akutem “Blindflug” führt.

Folie 4: Reale Angriffe aus der Praxis (Fallbeispiele)

Stuxnet (2010): Erste physische Sabotage-Malware; zerstörte iranische Atomanlagen durch Drehzahl-Manipulation bei gleichzeitigem Anzeige-Spoofing.
Ukraine Blackout (2015/2016): Gezielte Abschaltung von Umspannwerken per Fernzugriff und spezialisierter Malware (Industroyer). 230.000 Menschen ohne Strom.
Oldsmar Wasserwerk (2021): Angreifer erhöhte über eine ungesicherte Fernwartung (TeamViewer) die Chemikalien-Dosierung im Trinkwasser um das 111-Fache.

Folie 5: Moderne Abwehrkonzepte

Deep Packet Inspection (DPI): Firewalls, die nicht nur die IP-Adresse prüfen, sondern den Inhalt des industriellen Befehls auf Plausibilität analysieren.
Zero-Trust-Modell: „Niemals vertrauen, immer überprüfen.“ Strikte Mikrosegmentierung des Netzwerks in isolierte Zellen.
KI-Anomalieerkennung: Da Fabriknetze hochgradig repetitiv sind, lernt eine KI das Normalverhalten und schlägt bei der kleinsten Abweichung (z. B. Datenabruf mitten in der Nacht) sofort Alarm.

Folie 6: Ein Blick in die Zukunft

KI-generierter Schadcode: Cyberkriminelle nutzen generative KI, um Sicherheitslücken in Nischen-Industriesoftware im Sekundentakt zu finden.
Smart Grid Angriffe: Dezentrale grüne Energieanlagen (Solarparks, Wallboxen) vergrößern die Angriffsfläche drastisch.
Supply-Chain-Attacken: Kompromittierung legitimer Software-Updates direkt beim SCADA-Hersteller.

Folie 7: Rechtlicher Druck & Praxis für KMU

Die NIS-2-Richtlinie: Geschäftsführer haften bei Versäumnissen in der OT-Sicherheit nun persönlich mit ihrem Privatvermögen. Bei Verstößen drohen Millionenstrafen.
Lösung für kleinere Betreiber:
- Auslagerung der Überwachung an spezialisierte, geteilte Leitstände (Shared SOCs).
- Strikte Durchsetzung von Multifaktor-Authentisierung (MFA) und Verbot ungesicherter Fernwartungstools.

Folie 8: Fazit & Diskussion (Call to Action)

Kernbotschaft: IT-Sicherheit schützt Daten, OT-Sicherheit schützt Menschenleben und kritische Infrastrukturen.
„Vielen Dank für Ihre Aufmerksamkeit. Ich freue mich auf Ihre Fragen!“

💡 3 Praxistipps für den Vortrag

Der “Wow-Effekt” zum Einstieg: Beginnen Sie die Präsentation direkt mit dem Fall Oldsmar (Lauge im Trinkwasser) auf Folie 4, bevor Sie die technische Definition von SCADA erklären. Das fesselt die Aufmerksamkeit des Publikums sofort.
Visualisierung: Nutzen Sie bei den Angriffsarten (Folie 3) einfache Schaubilder (wie das Text-Diagramm aus unserer vorherigen Antwort zum Thema Man-in-the-Middle).
Fokus halten: Verwenden Sie auf den Folien nur die stichpunktartigen Kernbegriffe (Fettungen) und erzählen Sie die Details frei dazu.

Benötigen Sie noch Unterstützung beim Ausformulieren von Rede-Notizen für eine bestimmte Folie, oder soll ich Ihnen eine Zusammenfassung (Handout) zum Ausdrucken für die Zuhörer erstellen?

„Dieser Text wurde mit Unterstützung einer KI erstellt.“