Eine Steuerung, die von außen erreichbar ist, kann mehr preisgeben als Betriebsdaten. Sie steuert je nach Anlage Pumpen, Ventile oder Produktionsschritte. Gelangt jemand an Konfiguration oder Logik, kann daraus ein Betriebsproblem werden.
Genau deshalb ist die gemeinsame Warnung von NSA, CISA, FBI, DOE und EPA zu Siemens-S7-Steuerungen relevant. Das Advisory AA26-231A beschreibt für US-basierte Installationen eine aktive Bedrohung: Akteure suchen mit Internet-Scans nach exponierten oder unzureichend segmentierten PLCs und nutzen KI-gestützte Skripterstellung, um Werkzeuge für die Kommunikation mit den Steuerungen anzupassen.
Das ist kein Nachweis eines Angriffs auf Deutschland oder Europa. Die Behörden beschreiben Aufklärung und den Aufbau technischer Fähigkeiten, nicht die erfolgreiche Sabotage jeder gefundenen Anlage. Für Betreiber hierzulande liegt der praktische Wert der Warnung deshalb in einer nüchternen Frage: Sind dieselben Schwachstellen bei Erreichbarkeit, Fernwartung und Steuerungslogik im eigenen Betrieb wirklich ausgeschlossen?
Was die Behörden konkret beschreiben
PLCs sind programmierbare Steuerungen. In der Industrie und in kritischen Diensten messen, steuern und regeln sie physische Abläufe. Die aktuelle Warnung nennt Siemens-S7-Reihen von S7-200 bis S7-1500, darunter auch S7-1500-F-Sicherheitssteuerungen.
Laut AA26-231A geht es um eine Kette aus Internet-Scanning, unzureichender Absicherung und Werkzeugen für S7comm, das Kommunikationsprotokoll der S7-Steuerungen. Genannt werden dabei snap7.dll und python-snap7. Solche Bibliotheken können Lese- und Schreibzugriffe auf Speicher, Konfigurationsdaten und Leiterlogik ermöglichen. KI spielt in diesem Szenario nicht die Rolle eines autonom handelnden Angreifers. Sie kann Akteuren helfen, Skripte schneller zu erstellen oder an eine Zielumgebung anzupassen.
Ein Lesezugriff ist noch keine Betriebsstörung. Er kann aber Speicherstände, Konfiguration und Logik sichtbar machen und damit spätere Schreiboperationen vorbereiten. Die Behörden bewerten die beobachteten Muster als Aufklärung und Capability Development. Ob ein Zugriff Folgen hat, hängt unter anderem vom PLC-Modell, vom Prozess, von Schutzfunktionen, der Erkennung und einer manuellen Rückfallebene ab.
Warum der US-Warnruf für europäische Betreiber nützlich ist
Die Primärevidenz betrifft US-Anlagen. Eine europäische Kampagne oder ein deutscher Vorfall wird damit nicht belegt. Die technische Betriebsfrage ist trotzdem nicht fern: Das BSI beschreibt OT-Systeme in Industrie, Energie, Wasser, Ernährung und Verkehr als Umgebungen mit langen Lebenszyklen, seltenen Wartungsfenstern und hohen Anforderungen an Verfügbarkeit.
Gerade Fernwartung verdient dabei Aufmerksamkeit. Der BSI-Baustein für industrielle Fernwartung nennt unbekannte direkte Zugänge, Drittanbieterpfade und unklare Freigaben als Risiko. Er empfiehlt unter anderem ein getrenntes OT-Sicherheitssegment oder eine OT-DMZ mit Jump-Servern, vorherige Freigabe, zeitliche Begrenzung und Beobachtung der Sitzungen. Das ist keine Aussage über den Zustand einer bestimmten Anlage. Es erklärt aber, welche Nachweise Betreiber einfordern sollten.
Die Prüfkette: vom Scan bis zur Rückfallebene
Die Quellen lassen sich zu einer nachvollziehbaren Betriebskette zusammenführen. Ein Scan findet eine erreichbare oder schlecht segmentierte PLC. Ein schwach kontrollierter Zugang oder ein unklarer Fernwartungspfad kann den nächsten Schritt ermöglichen. Werkzeuge für S7comm helfen dann beim Auslesen von Speicher, Konfiguration oder Leiterlogik. Erst wenn Änderungen nicht erkannt oder nicht aufgefangen werden, kann daraus eine Störung im Prozess werden.
Für Betreiber ergibt sich daraus kein allgemeines „mehr patchen“, sondern ein konkretes Prüfraster:
- S7-Modelle, Firmwarestände und zugehörige Engineering-Workstations erfassen.
- Direkte und indirekte Internet-Erreichbarkeit, TCP-Port 102 und Routingpfade prüfen.
- OT- und IT-Segmentierung, OT-DMZ, Jump-Server sowie Drittanbieter-Fernwartung mit Konten, Zeitfenstern und Freigaben nachvollziehen.
- Firmware, TIA Portal oder STEP 7 und aktuelle Siemens-ProductCERT-Hinweise gegen die tatsächlichen Modelle abgleichen.
- S7comm-Verbindungen, PUT/GET-Operationen, Scan-Muster und auffällige snap7-Artefakte außerhalb genehmigter Wartungsfenster beobachten.
- Leiterlogik und Konfiguration mit einer geprüften Goldkopie vergleichen.
- Manuelle Isolation und sicheren Wiederanlauf dokumentieren und üben.
Dieses Raster ist eine redaktionelle Übersetzung der Behörden-, BSI- und Herstellerhinweise. Es ist kein Live-Scan, kein Penetrationstest und keine Bewertung einer konkreten europäischen Anlage.
Ein anderer PLC-Fall zeigt die mögliche Betriebswirkung
Wie weit Manipulationen reichen können, zeigt ein separater Fall aus US-Wasserunternehmen. FBI und EPA berichteten im Juli über Angriffe auf internetexponierte Rockwell-Allen-Bradley-MicroLogix-PLCs. Dort wurden unter anderem IP-Adressen und Passwörter verändert, Monitoring- und Kontrollfunktionen beeinträchtigt und mindestens eine Projektdatei manipuliert. In einzelnen Fällen kam es zu Druckverlust oder Überflutung.
Dieser Fall betrifft weder Siemens S7 noch das aktuelle Advisory AA26-231A. Er ist trotzdem ein brauchbarer Hinweis darauf, warum Leiterlogik, Projektdateien und eine manuelle Rückfallebene mehr sind als Dokumentationsfragen: Bei PLCs kann eine digitale Änderung im konkreten Prozess ankommen.
Was NIS2 und Siemens ProductCERT hier leisten – und was nicht
NIS2 schafft einen europäischen Rahmen für Risikomanagement, Meldungen und Aufsicht in kritischen Sektoren. Ob und wie die Richtlinie auf einen bestimmten Betreiber oder eine einzelne Anlage anzuwenden ist, hängt von Sektor, Größe und nationaler Umsetzung ab. Sie ersetzt keine technische Prüfung.
Für konkrete S7-Modelle und Firmwarestände ist Siemens ProductCERT die passende Herstellerquelle. Dort veröffentlicht Siemens Security Advisories und verweist auf CSAF-, RSS- und Mailinglisten-Feeds. Die Portalbeschreibung selbst bestätigt weder einen Zero-Day noch eine deutsche Betroffenheit. Sie ist aber der richtige nächste Weg, wenn Inventar und Firmware mit aktuellen Herstellerinformationen abgeglichen werden sollen.
Die entscheidende Prüfung liegt im eigenen Readback
Der Warnruf vom 19. August 2026 belegt eine aktive Bedrohung gegen US-basierte Siemens-S7-Installationen und beschreibt eine realistische technische Kette. Er belegt keinen Angriff auf Europa. Für Betreiber in Deutschland und Europa ist er dennoch ein sinnvoller Anlass, die eigene Erreichbarkeit, Fernwartung, Zugangskontrollen, Firmware, S7comm-Anomalien, Leiterlogik und Rückfallebene zusammen zu prüfen.
Der nächste belastbare Nachweis wäre ein offizielles Folge-Update von CISA, Siemens ProductCERT, dem BSI oder einem europäischen Betreiber mit konkreten Modellen, Regionen, bestätigten Zugriffen oder verifizierter Betriebswirkung. Bis dahin ist der wichtigste Befund nicht die Schlagzeile über KI, sondern der nachweisbare Zustand der eigenen Anlage.
Quellen und weiterführende Informationen
- NSA, CISA, FBI, DOE und EPA: AA26-231A – Defending Against an Active Threat to Siemens S7 Series PLCs
- The Record: Einordnung der Behördenwarnung vom 19. August 2026
- Help Net Security: Technische Zusammenfassung zu Siemens-S7-PLCs
- FBI und EPA: separater PLC-Impact-Kontext im Wasser-/Abwassersektor
- BSI: Industrielle Steuerungs- und Automatisierungssysteme
- BSI: IND.3.2 Fernwartung im industriellen Umfeld
- Internationale Leitlinie: Secure connectivity principles for Operational Technology
- Europäische Kommission: NIS2 Directive
- Siemens ProductCERT und Siemens CERT
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-23.
