Rockwell Automation PLC Cyberangriffe: Wie 4.000 industrielle Geräte in den USA im Jahr 2026 exponiert wurden

Industrielle Automatisierung steht vor beispiellosen Cyberrisiken

Fast 4.000 US-amerikanische industrielle Automatisierungsgeräte – hauptsächlich Rockwell Automation/Allen‑Bradley PLCs – waren ab März 2026 iranischen staatlich unterstützten Cyberangriffen ausgesetzt. Diese Vorfälle führten zu Betriebsstörungen, zwangen zur manuellen Steuerung und verursachten finanzielle Verluste in kritischen Sektoren. Zudem bestätigten mehrere Bundesbehörden, dass iranische APT-Gruppen internet-öffentlich zugängliche Steuerungssysteme ausnutzten, HMI/SCADA-Anzeigen manipulierten und versuchten, mit Wiper-Malware zerstörerische Aktionen durchzuführen. Infolgedessen sehen sich US-Betreiber mit erhöhter Dringlichkeit konfrontiert, ihre Fabrikautomatisierungsanlagen zu sichern.

Angreifer nutzen EtherNet/IP und exponierte PLC-Infrastruktur aus

Die Kampagne zielte auf PLCs ab, die über EtherNet/IP kommunizieren, ein weit verbreitetes Protokoll in der Fabrikautomatisierung und Prozessindustrie. Laut Censys-Daten wurden weltweit 5.219 Hosts als Rockwell Automation/Allen‑Bradley-Geräte identifiziert, davon 74,6 % in den USA. Viele PLCs arbeiteten über Mobilfunknetze, was auf einen Feldeinsatz mit begrenzter physischer Sicherheit hinweist. Darüber hinaus nutzten die Angreifer MITRE ATT&CK-Techniken wie Exploit Public‑Facing Application (T1190) und External Remote Services (T1133), um Zugang zu erlangen, Projektdateien zu extrahieren und Betriebsdaten zu manipulieren.

Manipulierte HMI/SCADA-Anzeigen stören Prozesssteuerung

Einmal im PLC-Umfeld, veränderten die Angreifer HMI- und SCADA-Anzeigen, beeinträchtigten die Prozessübersicht und zwangen die Betreiber, auf manuelle Steuerung umzuschalten. Diese Aktivitäten entsprechen den Techniken Impair Process Control (T0813) und Stored Data Manipulation (T1565.001). Betroffene Anlagen waren daher erhöhten Sicherheitsrisiken und betrieblicher Instabilität ausgesetzt. Basierend auf meiner Erfahrung mit DCS- und PLC-Inbetriebnahmen können manipulierte Prozesswerte Betreiber in die Irre führen und zu falschen manuellen Eingriffen führen, insbesondere in Wasseraufbereitungs- und Energiesystemen.

Wiper-Malware-Versuche verdeutlichen zerstörerische Absichten

Die Kampagne beinhaltete Versuche, Wiper-Malware einzusetzen, die darauf ausgelegt ist, Betriebsdaten zu löschen. Ob diese Versuche erfolgreich waren, ist unklar, jedoch gab es ähnliche Angriffe Wochen zuvor, darunter den Vorfall im März 2026 bei Stryker, bei dem etwa 80.000 Geräte gelöscht wurden. Dieses Muster zeigt, dass Bedrohungsakteure sowohl die Fähigkeit als auch die Absicht besitzen, in industriellen Umgebungen zerstörerische Folgen zu verursachen. Zudem deutet ihr Verständnis der PLC-Konfigurationen auf eine tiefe Vertrautheit mit industriellen Protokollen und Sicherheitslogik hin.

Zeitleiste zeigt schnelle Eskalation industrieller Cyberbedrohungen

Die Angriffswelle eskalierte rasch:

• März 2026: Großflächige Angriffe auf internet-exponierte Rockwell PLCs.

• 7. April 2026: Gemeinsame Bundeswarnung von CISA, FBI, NSA, DOE, EPA und U.S. Cyber Command.

• 10. April 2026: Öffentliche Berichte bestätigen weitreichende Exposition und anhaltende Bedrohungsaktivitäten.

Frühere Kampagnen richteten sich zwischen 2023 und 2024 gegen Unitronics PLCs und kompromittierten Wasser- und Abwassersysteme. Die Angriffe von 2026 stellen somit eine Fortsetzung des langjährigen iranischen Interesses an ICS-Umgebungen dar.

Bedrohungsaktivitäten zeigen tiefes ICS-Wissen

Bundesbehörden schreiben die Angriffe mit hoher Sicherheit iranischen APT-Gruppen zu. Ihre Taktiken umfassen das Scannen nach exponierten PLCs, das Ausnutzen von Fernzugriffsprotokollen, das Extrahieren von Projektdateien, die Manipulation von Prozessdaten und den Versuch, zerstörerische Malware einzusetzen. Die Kampagne ist opportunistisch und zielt auf jedes zugängliche Gerät ab, nicht auf spezifische Organisationen. Daher sind alle Betreiber mit exponierten PLCs einem erhöhten Risiko ausgesetzt. Die am stärksten betroffenen Sektoren sind Öl und Gas, Wasser und Abwasser, Energie sowie Regierungsdienste.

Maßnahmen zur Minderung für PLC- und Steuerungssystembetreiber

Kritische Schutzmaßnahmen umfassen:

• Trennen Sie PLCs vom öffentlichen Internet, um direkte Exposition zu vermeiden.

• Setzen Sie MFA durch für alle OT-Netzwerkzugriffe.

• Aktualisieren Sie die PLC-Firmware und deaktivieren Sie ungenutzte Dienste.

• Überwachen Sie Protokolle kontinuierlich auf verdächtige Fernverbindungen.

• Stärken Sie Incident-Response-Pläne für schnelle Eindämmung.

• Schulen Sie OT-Personal zu sicherer PLC-Bereitstellung und Risiken durch Internet-Exposition.

Diese Empfehlungen entsprechen den bundesweiten Richtlinien und Best Practices zur Sicherung industrieller Steuerungssysteme.

Anwendungsszenarien – Stärkung der ICS-Sicherheit in Automatisierungsumgebungen

• Sichere PLC-Bereitstellung durch Firewalls und segmentierte OT-Netzwerke.

• Kontinuierliche Überwachung des EtherNet/IP-Verkehrs auf Anomalien.

• Integritätsprüfungen von HMI/SCADA, um manipulierte Prozesswerte zu erkennen.

• Katastrophenwiederherstellungsplanung für potenzielle Wiper-Malware-Vorfälle.

• Zero-Trust-Zugangskontrolle für Fernwartung von PLC- und DCS-Anlagen.

Über den Autor 

Chen Yuhang ist ein erfahrener Spezialist für industrielle Automatisierung mit mehr als 15 Jahren praktischer Erfahrung in PLC, DCS, TSI und Stromschutzsystemen. Seine Arbeit konzentriert sich auf die technische Umsetzung, OT-Cybersicherheits-Härtung und technische Dokumentation für globale Automatisierungshersteller und Fachmedien.