OT: KI senkt die Hürden für Angriffe auf SPS-Systeme

Siemens-Steuerungen im Fokus KI-gestützter Angriffe

Die Verschmelzung von Künstlicher Intelligenz (KI) und Cyberkriminalität erreicht eine neue Stufe. US-Sicherheitsbehörden warnen vor einer aktiven Bedrohungskampagne, bei der Angreifer KI-generierte Exploit-Skripte einsetzen, um Siemens-SPS-Systeme in kritischen Infrastrukturen auszukundschaften und anzugreifen. Steuerungen der Siemens-S7-Familie werden weltweit in Produktionsanlagen, der Energieversorgung, in Wasserwerken und anderen industriellen Umgebungen eingesetzt und sind daher besonders attraktiv für Angreifer.

Mehrere Behörden – NSA, CISA, FBI, DOE und EPA – beobachten eine aktive Bedrohungslage für industrielle Steuerungssysteme. Die Angreifer nutzen KI-generierte, als legitime Monitoring-Werkzeuge getarnte Python-Skripte. Mithilfe öffentlich verfügbarer Informationen über Siemens-S7-Steuerungen entwickeln sie Werkzeuge zur Aufklärung sowie für Credential Access, Denial-of-Service- und weitere Angriffe.

Die Täter verwenden dabei offene Bibliotheken wie „python-snap7“ beziehungsweise „snap7.dll“, die eigentlich für legitime Automatisierungs- und Engineering-Aufgaben gedacht sind. Die generierten Werkzeuge können auf Speicherbereiche, Konfigurationsdaten oder SPS-Programme zugreifen und kommunizieren über das industrielle S7comm-Protokoll. Aus Sicht eines Verteidigers entsteht dadurch ein besonderes Problem: Die Aktivitäten ähneln teilweise legitimen Engineering- oder Wartungsvorgängen und sind daher schwieriger zu erkennen.

Laut den Behörden durchsuchen die Angreifer das Internet systematisch mit Plattformen wie Censys oder ZoomEye, um exponierte oder unzureichend segmentierte SPS-Systeme zu identifizieren. Besonders gefährdet sind Anlagen mit veralteter Firmware, Standardkonfigurationen oder direkter Internet-Erreichbarkeit.

Betroffen sind insbesondere die Siemens-Serien S7-200, S7-300, S7-400, S7-1200 und S7-1500. Die beobachteten Aktivitäten richten sich vor allem gegen Betreiber kritischer Infrastrukturen in den Bereichen Energie, Wasser, Chemie, Lebensmittelproduktion, Fertigungsindustrie und kommerzielle Einrichtungen.

Warum die Entwicklung so bedeutsam ist

Die eigentliche Bedeutung liegt in der Rolle der KI. Bislang erforderte die Entwicklung industrieller Exploits tiefgehendes Wissen über OT-Protokolle, SPS-Architekturen und proprietäre Steuerungssysteme. KI-Modelle können heute große Mengen öffentlich verfügbarer Dokumentation analysieren, Beispielcode verarbeiten und daraus funktionsfähige Angriffsskripte generieren.

Die Behörden sprechen deshalb von einer Evolution der Angreiferfähigkeiten. KI reduziert den Zeitaufwand und die technische Hürde für die Entwicklung von ICS-spezifischen Werkzeugen erheblich. Gleichzeitig können Angreifer ihre Werkzeuge schneller an neue Umgebungen und Abwehrmaßnahmen anpassen.

Bereits in anderen Bereichen der Cybersecurity wurde beobachtet, dass KI zunehmend für Reconnaissance, Malware-Entwicklung, Phishing und Schwachstellenanalysen genutzt wird. Sicherheitsforscher berichten zudem von Fällen, in denen KI bei der Entwicklung von Exploits oder der Automatisierung von Angriffsprozessen eine zentrale Rolle gespielt hat.

Für industrielle Betreiber entsteht daraus eine neue Bedrohungslage: Angriffe, die früher nur spezialisierten OT-Akteuren vorbehalten waren, könnten künftig von deutlich breiteren Tätergruppen umgesetzt werden.

„Unsecure by Design“

Die aktuelle Warnung wirft erneut die Frage auf, warum industrielle Steuerungen überhaupt direkt aus dem Internet erreichbar sind. Viele OT-Sicherheitsexperten verweisen seit Jahren darauf, dass zahlreiche Automatisierungssysteme ursprünglich für isolierte Produktionsnetze entwickelt wurden und nie für die heutige Bedrohungslandschaft konzipiert waren.

In diesem Zusammenhang wird häufig von „Unsecure by Design“ gesprochen. Gemeint ist nicht, dass Hersteller bewusst unsichere Produkte entwickeln. Vielmehr stammen viele Architekturentscheidungen aus einer Zeit, in der Verfügbarkeit, Interoperabilität und Wartbarkeit deutlich wichtiger waren als Cybersicherheit. Authentifizierung, Verschlüsselung oder granulare Zugriffskontrollen spielten in vielen älteren OT-Umgebungen – wenn überhaupt – nur eine untergeordnete Rolle.

Die nun beobachteten Angriffe verdeutlichen genau dieses Problem. Die Behörden weisen darauf hin, dass internetexponierte SPS-Systeme mit schwachen Zugangsschutzmechanismen oder mangelnder Netzwerksegmentierung besonders gefährdet sind. KI fungiert dabei als Beschleuniger: Bereits bekannte Schwachstellen und offen verfügbare Informationen reichen aus, um schnell neue Angriffswerkzeuge zu erzeugen.

Für Betreiber bedeutet das, dass traditionelle Annahmen über physische Isolation oder „Security by Obscurity“ endgültig nicht mehr tragfähig sind. Sobald industrielle Assets sichtbar und erreichbar sind, können sie mit automatisierten Scan- und KI-Verfahren in kurzer Zeit identifiziert, analysiert und angegriffen werden.

Wer sollte jetzt aufhorchen?

Die Warnung betrifft sowohl Betreiber kritischer Infrastrukturen als auch mittelständische Fertigungsunternehmen, Maschinenbauer, Chemieunternehmen, Logistikzentren oder kommunale Versorger, die Siemens-S7-Steuerungen einsetzen.

Besonders relevant ist das Thema für Organisationen, die externe Dienstleister, Systemintegratoren oder Fernwartungszugänge nutzen. Nach Einschätzung der Behörden erkennen viele Anlagenbetreiber nicht einmal, dass ihre Steuerungen indirekt oder direkt aus dem Internet erreichbar sind. Dadurch können erhebliche Risiken entstehen, ohne dass die Verantwortlichen davon wissen.

Neben Produktionsausfällen drohen Sicherheitsvorfälle mit Auswirkungen auf physische Prozesse, Betriebsabläufe, Lieferketten sowie regulatorische Konsequenzen. Die potenziellen Folgen reichen von Produktionsunterbrechungen und Anlagenschäden bis hin zu Sicherheitsrisiken für Mitarbeiter und kritische Versorgungsleistungen.

Empfohlene Schutzmaßnahmen

Die Behörden empfehlen einen mehrschichtigen Verteidigungsansatz. Oberste Priorität hat die vollständige Inventarisierung aller Siemens-S7-Steuerungen. Betreiber sollten Firmwarestände überprüfen, bekannte Schwachstellen schließen und sicherstellen, dass SPS-Systeme nicht direkt aus dem Internet erreichbar sind.

Ebenso wichtig sind eine konsequente Trennung zwischen IT- und OT-Umgebungen sowie die Netzwerksegmentierung. Der Zugriff auf Engineering-Systeme sollte auf autorisierte Arbeitsstationen beschränkt werden. Multifaktor-Authentifizierung für Fernzugriffe, Passwortschutz für Steuerungen sowie Applikations-Allowlisting gehören zu den weiteren empfohlenen Maßnahmen.

Darüber hinaus sollten industrielle Kommunikationsprotokolle kontinuierliche überwacht werden. Auffällige S7comm-Verbindungen, ungewöhnliche Schreibzugriffe auf SPS-Datenbereiche, Verbindungen außerhalb regulärer Wartungsfenster oder die Nutzung von Snap7-Bibliotheken auf nicht autorisierten Systemen müssen zeitnah untersucht werden.

Nicht zuletzt empfehlen die Behörden eine Härtung der Steuerungen selbst: nicht benötigte Dienste und Protokolle deaktivieren, integrierte Schutzfunktionen aktivieren und Änderungen an Steuerungslogiken regelmäßig überprüfen.

Fazit

KI verändert die Bedrohungslage auch im OT-Umfeld. Nicht zu unterschätzen ist die Geschwindigkeit, mit der Angreifer heute aus öffentlich verfügbaren Informationen funktionsfähige Werkzeuge erzeugen können. Für Betreiber von Produktions- und Infrastrukturanlagen werden grundlegende Sicherheitsmaßnahmen wie Inventarisierung, Segmentierung, Patch-Management und kontinuierliches Monitoring wichtiger denn je. Die aktuelle Kampagne ist nur ein Ausblick auf die Zukunft industrieller Cyberangriffe: automatisiert, KI-gestützt und zunehmend auf die Schwachstellen einer vernetzten OT-Welt ausgerichtet.

Für KRITIS-Betreiber ist dies zugleich ein Weckruf: NIS2 ist keine weitere Compliance-Checkliste. Es ist eine lebendige Sicherheitsstrategie, die Risiken kontinuierlich bewertet, technische und organisatorische Maßnahmen (TOM) regelmäßig überprüft und Cyberresilienz als dauerhafte Führungsaufgabe verankert. Gerade im OT-Umfeld, in dem Anlagen über viele Jahre betrieben werden und Sicherheitsarchitekturen historisch gewachsen sind, reicht formale Regelkonformität nicht aus.