Operational Technology umfasst laut den Behörden Hard- und Software zur Überwachung oder Steuerung physischer Prozesse, etwa in Wasseraufbereitung, Stromsystemen, Fertigungsanlagen, Verkehrssystemen und Telekommunikationsinfrastruktur. Gerade diese Umgebungen stünden seit Jahren im Fokus verschiedener Angreifergruppen. In dem Hinweis heißt es, Cyberkriminelle griffen Betreiber kritischer Infrastruktur weiterhin „gezielt bei Gelegenheit“ an. Die Sensibilität der dort gespeicherten Daten und die Bedeutung ihrer Dienste machten diese Organisationen zu attraktiven Zielen für Erpressung durch Datenabfluss oder Ransomware.
Als Beispiel nennen die Behörden frühere Warnungen zu chinesischen Gruppen. Im Februar 2024 hatten CISA, FBI, NSA und weitere Five-Eyes-Behörden mitgeteilt, dass die chinesische Gruppe Volt Typhoon Organisationen aus den Bereichen Kommunikation, Energie, Transport und Wasser kompromittiert habe. In mindestens einem Netzwerk kritischer Infrastruktur blieb die Gruppe demnach fünf Jahre unentdeckt. US-Vertreter warnten, die Akteure könnten sich damit für potenziell störende Angriffe in einer künftigen Krise oder einem Konflikt positionieren.
Auch die als Salt Typhoon verfolgten chinesischen staatlich unterstützten Hacker hätten seit mindestens 2021 weltweit Regierungs-, Telekommunikations-, Transport-, Beherbergungs- und Militärnetzwerke kompromittiert. Laut Quelle drangen sie bei großen US-Telekommunikationsanbietern wie AT&T, Verizon und Lumen ein und erhielten Zugriff auf sensible Kommunikation sowie auf Abhörsysteme US-amerikanischer Strafverfolgungsbehörden. Außerdem nutzten sie bekannte Schwachstellen in Edge-Netzwerkgeräten aus und bewegten sich über kompromittierte Systeme und vertrauenswürdige Verbindungen in weitere Netze.
Wasserinfrastruktur sei ebenfalls wiederholt attackiert worden. Im Oktober 2024 deaktivierte American Water nach einem Cyberangriff einige Systeme; das Unternehmen versorgt nach eigenen Angaben mehr als 14 Millionen Menschen mit Wasser- und Abwasserdiensten. Etwa zur gleichen Zeit stellte eine Wasseraufbereitungsanlage in Kansas auf manuellen Betrieb um, nachdem ihre Systeme kompromittiert worden waren. Zudem hätten Behörden davor gewarnt, dass pro-russische Hacktivisten nach ungesicherten OT-Systemen bei Wasserwerken und anderen Betreibern kritischer Infrastruktur suchen, um den Betrieb zu stören.
Der neue Leitfaden soll Organisationen helfen, Vorbereitungen vor einem solchen Vorfall zu treffen, statt erst während eines laufenden Angriffs zu klären, wie sich lebenswichtige Systeme abkoppeln lassen. Betreiber sollen zunächst die minimal erforderlichen Systeme und Netzwerke bestimmen, die zur Aufrechterhaltung eines kritischen Dienstes nötig sind. Anschließend sollen sie jede Verbindung dieser Systeme zu Unternehmensnetzen, Fernzugriffsdiensten, Cloud-Umgebungen, internetseitig erreichbarer Infrastruktur, Lieferanten, Dienstleistern und anderen Betreibern kritischer Infrastruktur dokumentieren.
Darüber hinaus empfiehlt die Handreichung, genau festzulegen, an welchen Punkten sich Verbindungen abschalten oder physisch trennen lassen. Ebenso sollen mögliche Folgen einer Isolation berücksichtigt werden, darunter manuelle Abläufe, Kommunikationsausfälle sowie der Wegfall externer Ressourcen und Abhängigkeiten. Wo physische Trennung nicht praktikabel ist, etwa wegen internetseitiger Dienste, Carrier-Netzen, Cloud-Angeboten oder geografisch verteilter Standorte, raten die Behörden zu stärkeren OT-Netzgrenzen, dedizierten oder verschlüsselten Kommunikationsverbindungen, weniger Abhängigkeiten von Unternehmenssystemen und der Fähigkeit, Systeme schnell neu aufzubauen.
Die Isolationspläne sollen außerdem festlegen, wer einzelne Schritte freigeben darf, unter welchen Bedingungen sie ausgelöst werden, welche Systeme verfügbar bleiben müssen und wie der Betrieb ohne normale Netzverbindung fortgeführt wird. Die Behörden drängen dazu, die vollständige Isolation lebenswichtiger Systeme regelmäßig zu testen statt nur einzelne Komponenten, weil Teiltests gemeinsam genutzte Infrastruktur und versteckte Abhängigkeiten übersehen könnten. Empfohlen wird auch, eine sichere Offline- oder Papierkopie des Plans vorzuhalten, falls der Zugriff auf Unternehmensnetz oder Speicherserver ausfällt. Nach einer Isolation sollten Betreiber weiter Netzwerkverkehr, Routing-Informationen und Management-Systeme überwachen, um sicherzustellen, dass nicht durch unbefugte oder versehentliche Verbindungen der Zugang zwischen kritischen und nichtkritischen Netzen wiederhergestellt wurde.
Zugleich warnen die Behörden vor den Risiken der Isolation selbst. Dazu gehörten ausbleibende Sicherheitsupdates, reduzierte Überwachung und der stärkere Einsatz entfernbarer Datenträger für den Datentransfer zwischen Systemen. Organisationen müssten sich daher nicht nur auf das Trennen lebenswichtiger Systeme vorbereiten, sondern auch darauf, diese bis zur späteren Wiederanbindung manuell zu betreiben, zu überwachen und zu aktualisieren.