Cyberangriffe auf Rockwell Automation SPS-Systeme 2026: Lehren für Anwender älterer Systeme
July 28, 2026Der größte Sicherheitsvorfall im Bereich der Betriebstechnologie (OT) des Jahres 2026 ereignete sich im Frühjahr dieses Jahres über sechs Wochen. Zwischen März und Mitte April attackierten iranische Hacker systematisch fast 4.000 mit dem Internet verbundene speicherprogrammierbare Steuerungen (SPS) von Rockwell Automation und Allen-Bradley in kritischen Infrastrukturen der USA. Die Angriffe veranlassten am 7. April eine gemeinsame Warnung der US-Bundesbehörden CISA, FBI, NSA, DOE, EPA und des US Cyber Command, gefolgt von einem Bericht von Censys am 10. April.
Ingenieure, die ältere Rockwell-Systeme (SLC 500, PLC-5, ältere MicroLogix-Systeme) betreiben, sollten besonders aufmerksam sein. Dieser Angriff wurde über Jahre vorbereitet.
März 2026. Die iranischen Bedrohungen der kritischen Infrastruktur der USA eskalierten deutlich. Angreifer, die zwei Hauptgruppen zugeordnet sind – den mit den Revolutionsgarden verbundenen CyberAv3ngers und der mit dem Geheimdienstministerium verbundenen Handala –, begannen mit der systematischen Aufklärung von mit dem Internet verbundenen industriellen Steuerungsgeräten. Ihr Ziel waren Rockwell Automation-SPSen, die über EtherNet/IP auf Port 44818 erreichbar waren.
Am 7. April veröffentlichten CISA, FBI, NSA, DOE, EPA und das US Cyber Command eine gemeinsame Warnung, in der sie bestätigten, dass Angreifer Projektdateien von kompromittierten Geräten extrahiert, HMI- und SCADA-Anzeigen manipuliert und Schadsoftware (Wiper Malware) eingesetzt hatten. Mindestens ein Wasserwerk musste nach dem Ausfall der SPS-Steuerung auf manuellen Betrieb umstellen.
Am 10. April veröffentlichte Censys Daten, die zeigen, dass weltweit 5.219 Hosts als Rockwell- oder Allen-Bradley-Geräte über EtherNet/IP erreichbar waren, davon etwa 3.900 in den USA. Die überwiegende Mehrheit war einfach mit dem öffentlichen Internet verbunden und verfügte über Standardeinstellungen.
Die Angreifer nutzten keine Zero-Day-Schwachstellen aus. Sie verwendeten Shodan und Censys, um SPSen der Marke Rockwell im öffentlichen Internet zu finden und versuchten dann, Standardanmeldeinformationen und direkte EtherNet/IP-Befehle auszunutzen.
Alle SPSen von Rockwell Automation oder Allen-Bradley mit Ethernet-Anschluss und Zugang zum öffentlichen Internet stellten ein potenzielles Ziel dar. Betroffen waren unter anderem die Modelle ControlLogix (Serie 1756, das Flaggschiff, weit verbreitet in kritischen Infrastrukturen), CompactLogix (Serien 1769, 5370 und 5380, häufig in mittelständischen Produktionsbetrieben und Energieversorgungsunternehmen eingesetzt), MicroLogix (Serien 1100 und 1400, älter und weit verbreitet in kleineren Anlagen und an abgelegenen Standorten), SLC 500 mit Ethernet (in den 1990er-Jahren ohne nennenswerte Sicherheitsfunktionen entwickelt) und PLC-5 mit Ethernet (ein Modell aus den 1980er-Jahren, das noch immer in der Öl- und Gasindustrie, der Wasserwirtschaft und der Schwerindustrie im Einsatz ist).
Die Angreifer benötigten keine fortgeschrittenen Fähigkeiten. EtherNet/IP implementiert standardmäßig eine minimale Authentifizierung, und viele Standorte hatten weder Standardpasswörter geändert, noch ungenutzte CIP-Dienste deaktiviert oder eine Firewall zwischen ihren SPSen und dem Netzbetreiber eingerichtet.
Die Rockwell-Kampagne von 2026 deckt eine strukturelle Schwachstelle auf, die zwei Jahrzehnte lang ignoriert wurde. Hunderte, möglicherweise Tausende von SLC-500- und MicroLogix-Systemen sind weiterhin in amerikanischen Wasserwerken, Energieanlagen und Fabriken im Einsatz. Diese Steuerungen wurden entwickelt, bevor internetfähige SPS überhaupt denkbar waren. Sie verfügen weder über kryptografische Authentifizierung noch über Secure Boot, keine rollenbasierte Zugriffskontrolle und oft auch nicht über einen Mechanismus zur Firmware-Aktualisierung.
Eine PLC-5 lässt sich nicht patchen. Es gibt kein Update, das die Verschlüsselung nachträglich auf die serielle Ethernet-Brücke einer SLC 500 aufrüstet. Die Geräte sind, wie sie sind.
Dies setzt eine strikte Frist. Die EU-Richtlinie NIS2 schreibt die Einhaltung bis Oktober 2026 vor und sieht bei Verstößen erhebliche Geldstrafen vor. Sie bezieht sich explizit auf OT-Systeme. Zwar gibt es in den USA keine vergleichbare Regelung, doch zielen branchenspezifische Vorgaben der TSA, des DOE und der EPA in dieselbe Richtung. Unternehmen, die ältere, mit dem Internet verbundene SPS-Systeme betreiben, verstoßen zunehmend gegen die Vorschriften – und das bereits vor den ersten APT-Angriffen iranischer Gruppen, die begannen, die Controller der Systeme zu identifizieren.
In der gemeinsamen Empfehlung vom 7. April wird deutlich, dass die Bundesbehörden diese Geräte nun als aktives nationales Sicherheitsrisiko betrachten.
Schritt 1: Überprüfen Sie alle SPS in Ihrem Netzwerk. Verwenden Sie Shodan, Censys oder OT-Asset-Discovery-Tools (Dragos, Nozomi, Claroty), um alle Rockwell-Geräte in Ihren öffentlichen IP-Adressbereichen zu identifizieren. Beim Censys-Scan stellte sich heraus, dass die meisten betroffenen Geräte nicht absichtlich offengelegt wurden. Sie befanden sich hinter falsch konfigurierten Firewalls oder waren für die Ferndiagnose verbunden und wurden nie getrennt.
Schritt 2: Trennen Sie die SPSen vom öffentlichen Internet. Platzieren Sie alle über Port 44818 erreichbaren Rockwell-SPSen hinter einer korrekt konfigurierten Firewall. Verwenden Sie für den Fernzugriff ein Mobilfunkmodem mit VPN, keine direkte Ethernet-Verbindung. Trennen Sie kritische Steuerungen nach Möglichkeit vom Internet.
Schritt 3: Führen Sie nach Möglichkeit ein Upgrade durch. Neuere Controller der Serien CompactLogix 5380 und 5480 bieten Trusted-Slot-Authentifizierung, CIP-Sicherheitserweiterungen und Firmware-Integritätsprüfung.
Schritt 4: Bei älteren Plattformen wie SLC 500 und PLC-5 müssen Sie akzeptieren, dass Patches nicht möglich sind. Sie haben drei Optionen: Netzwerksegmentierung mit unidirektionalen Gateways mittels Datendioden oder unidirektionalen Gateway-Appliances, um ausgehenden Datenverkehr zu überwachen und gleichzeitig zu verhindern, dass eingehende Befehle die Steuerung erreichen. Die Migration auf eine aktuelle Plattform erfolgt mit den Migrationsprogrammen von Rockwell für SLC 500 zu CompactLogix und PLC-5 zu ControlLogix. Diese Programme sind ausgereift, erfordern jedoch eine geplante Ausfallzeit. Falls die Migration nicht sofort erfolgt, ist eine Härtung vor Ort möglich: Ändern Sie alle Standardpasswörter, deaktivieren Sie nicht benötigte EtherNet/IP-Dienste, beschränken Sie den Zugriff über ACLs und überwachen Sie den EtherNet/IP-Datenverkehr auf ungewöhnliche Befehle.
Keine dieser Lösungen ist perfekt. Aber jede ist besser, als wenn eine iranische APT-Gruppe Ihre Projektdateien extrahiert und die Controller-Firmware um 2 Uhr nachts an einem Samstag überschreibt.
Da Unternehmen sich beeilen, veraltete Rockwell-Systeme zu sichern oder zu migrieren, steigt die Nachfrage nach Ersatzmodulen der Serien ControlLogix und CompactLogix (1756, 1769) für den Austausch potenziell kompromittierter Einheiten, nach Ethernet-Sicherheitsgeräten (Bump-in-the-Wire-Geräte, die Authentifizierung und Datenverkehrsprüfung ohne Änderungen an der Controller-Firmware ermöglichen), nach Migrationskits für die Umstellung von Legacy- auf aktuelle Systeme (Adapter, Gehäuse und Netzteile für den Austausch von SLC 500 gegen CompactLogix) sowie nach schwer erhältlichen Allen-Bradley-Modulen für Unternehmen, die während mehrjähriger Migrationen Legacy-Ersatzteile vorhalten.
Das Sortiment von TZTechio, von aktuellen CompactLogix-Systemen der Serie 5380 bis hin zu älteren I/O-Systemen der Serien 1746 und 1771, deckt diesen Bereich ab. Wenn ein Wasserwerk bis Mittwoch ein 1756-L73 benötigt, ist die Verfügbarkeit entscheidend.
Die Rockwell-Kampagne von 2026 war kein Einzelfall. Sie ist der jüngste Vorfall in einer Reihe von Überstunden, die sich seit 2023 verschärft haben.
Die Unitronics-Angriffe (2023–2024) waren iranisch-gestützte Angriffe auf israelische Unitronics-SPSen in US-amerikanischen Wasserversorgungsunternehmen. Dabei wurde dieselbe Vorgehensweise angewendet: Shodan-Scans, Standardanmeldeinformationen und die Übernahme der Kontrolle. Die Datenlöschung von 80.000 Stryker-Geräten (März 2026) erfolgte Wochen vor der Rockwell-Kampagne und löschte 80.000 Endpunkte der Infrastruktur medizinischer Geräte. Es handelte sich zwar nicht um einen OT-Vorfall, aber er verdeutlichte, dass sicherheitskritische Anlagen im Visier von Angriffen stehen. Die NIS2-Frist (Oktober 2026) zwingt die EU-Mitgliedstaaten zu verstärkten Bemühungen, die Anforderungen an die Meldepflicht von Vorfällen, die Sicherheit der Lieferkette und das OT-Risikomanagement zu erfüllen. Die US-Regulierungsbehörden werden 2027 nachziehen.
Angreifer haben erkannt, dass industrielle Steuerungssysteme die Schwachstelle kritischer Infrastrukturen darstellen. Die Rockwell-Kampagne von 2026 beweist, dass man keine staatlichen Ressourcen benötigt, um die meisten SPSen zu kompromittieren. Man braucht lediglich eine Shodan-Abfrage und die Bereitschaft, Standardpasswörter auszuprobieren.
Für alle Verantwortlichen älterer Rockwell-Systeme ist die Planungsphase beendet. Überprüfen Sie Ihre Steuerungen. Trennen Sie sie vom Internet. Falls Sie sie nicht selbst schützen können, migrieren Sie sie, bevor es jemand anderes für Sie tut.
---
*Quellen: Gemeinsame Empfehlung von CISA, FBI, NSA, DOE, EPA und dem US Cyber Command vom 7. April 2026; Forschungsbericht von Censys vom 10. April 2026; BleepingComputer; CNN; Defense One. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Beratung zu Cybersicherheit oder Compliance dar. Konsultieren Sie qualifizierte Fachleute für Ihre spezifische Umgebung.*
Bitte lesen Sie weiter, bleiben Sie auf dem Laufenden, abonnieren Sie uns und wir heißen Sie herzlich willkommen, uns Ihre Meinung mitzuteilen.
Darüber hinaus möchten wir mit Ihrer Erlaubnis Cookies platzieren, um Ihren Besuch und die Interaktion mit slOC persönlicher zu gestalten. Hierzu verwenden wir Analyse- und Werbecookies. Mit diesen Cookies können wir und Dritte Ihr Internetverhalten innerhalb und außerhalb von super-instrument.com verfolgen und erfassen. Dabei passen wir und Dritte super-instrument.com und Werbung an Ihre Interessen an. Indem Sie auf „Akzeptieren“ klicken, stimmen Sie dem zu. Wenn Sie dies ablehnen, verwenden wir nur die notwendigen Cookies und Sie erhalten leider keine personalisierten Inhalte. Bitte besuchen Sie unsere Cookie-Richtlinie für weitere Informationen oder um Ihre Einwilligung in Zukunft zu ändern.
Accept and continue Decline cookies
