Die Angaben stammen aus einer aktualisierten Handreichung der Cybersecurity and Infrastructure Security Agency (CISA), die Betreibern helfen soll, die Angriffsfläche im Internet zu verkleinern. „Im Juli 2026 beobachtete CISA bösartige Cyberaktivitäten gegen mehr als 100 internetexponierte Systeme im Wasser- und Abwassersektor, häufig über speicherprogrammierbare Steuerungen (PLCs), die direkt mit einem Mobilfunkmodem verbunden waren", heißt es darin.
Damit nennt erstmals eine US-Bundesbehörde öffentlich eine Größenordnung für die jüngste Angriffswelle gegen Wasser- und Abwasserversorger. Die Angriffe, die iranischen Bedrohungsakteuren zugeschrieben werden, richteten sich gegen betriebstechnische Systeme (OT) mit dem Ziel, deren Betrieb zu stören.
Wie viele Bundesstaaten betroffen sind, hat die Regierung offen gelassen. Den vorliegenden Angaben nach handelt es sich um mindestens zwölf. Nicht alle sind bekannt; bestätigt haben Angriffsversuche unter anderem Minnesota, Michigan, South Dakota, Georgia, New Jersey und Alabama. Erhebliche Beeinträchtigungen des Betriebs entstanden nicht.
CISA drängt Organisationen dazu, ihre im Internet erreichbare Angriffsfläche konsequent zu reduzieren, mit besonderem Gewicht auf OT-Systemen in kritischer Infrastruktur. Als ersten Schritt empfiehlt die Behörde, sämtliche aus dem Internet erreichbaren Systeme zu erfassen — sowohl über interne Inventare als auch mit externen Scan-Werkzeugen. Anschließend soll geprüft werden, welche Exponierungen für den Betrieb tatsächlich erforderlich sind; alle übrigen sollen entfernt oder eingeschränkt werden.
Für Systeme, die online bleiben müssen, nennt CISA eine Reihe von Maßnahmen: Standardpasswörter ändern, Sicherheitsupdates einspielen, Fernzugriffe über abgesicherte Gateways oder Sprungserver leiten, Mehr-Faktor-Authentifizierung erzwingen und den Datenverkehr fortlaufend überwachen. Weil Netzwerke und Anbindungen von Drittparteien sich verändern, sollten Betreiber die Lage regelmäßig neu bewerten.
Besonders hebt die Handreichung das Risiko hervor, PLCs und andere industrielle Steuerungssysteme (ICS) über Mobilfunkmodems oder direkt aus dem öffentlichen Internet erreichbar zu lassen. Genau diese Exponierung habe die jüngsten Angriffe auf Wasser- und Abwassersysteme erst ermöglicht, so die Behörde.
Die Veröffentlichung folgt kurz auf eine Warnung von CISA vor iranisch verorteten Angriffen auf industrielle Steuerungssysteme von Siemens, Schneider Electric und Rockwell Automation. Zudem hatte die Behörde den Wassersektor angesichts der Angriffe auf PLCs bereits zum Schutz seiner OT-Umgebungen aufgefordert.