KI-generierte Exploit-Skripte greifen Siemens-S7-Steuerungen an: Behörden warnen

Am 19. August 2026 veröffentlichten die National Security Agency (NSA), die Cybersecurity and Infrastructure Security Agency (CISA), das FBI, das Department of Energy (DOE) und die Environmental Protection Agency (EPA) eine gemeinsame Cybersecurity Advisory mit der Kennung AA26-231A. Der Kern der Warnung: Unbekannte Angreifer nutzen KI-generierte Exploit-Skripte, um internetexponierte oder unzureichend segmentierte Siemens-S7-Steuerungen (SPS/PLC) anzugreifen. Für Admins, die industrielle Steuerungstechnik betreiben oder betreuen, ist das ein deutliches Zeichen, dass KI-Werkzeuge die Einstiegshürde für Angriffe auf Operational-Technology-Umgebungen (OT) spürbar senken.

Worum geht es konkret?

Die Behörden beschreiben koordinierte Aufklaerungs- und Faehigkeitenaufbau-Aktivitäten gegen Siemens-S7-Steuerungen, die entweder direkt aus dem Internet erreichbar oder nur unzureichend vom übrigen Netzwerk getrennt sind. Die Angreifer kombinieren dabei öffentliche Internet-Scanning-Dienste mit KI-gestützter Skripterstellung, um maßgeschneiderte Werkzeuge zu bauen, die über das S7comm- Protokoll Speicherinhalte, Konfigurationsdaten und Ladder-Logic-Programme der Steuerungen auslesen und schreiben können. Die Werkzeuge geben sich dabei als legitime Monitoring-Software aus, um in Netzwerken nicht sofort aufzufallen. Die Behörden stufen die Aktivität als andauernde Aufklärung mit dem Ziel ein, Fähigkeiten für künftige störende Angriffe auf kritische Infrastruktur vorzubereiten und vorzupositionieren.

Betroffene Produktlinien

Betroffen sind laut Advisory vor allem die Sektoren Critical Manufacturing, Energie, Wasser/Abwasser, Chemie, Lebensmittel/Landwirtschaft und Commercial Facilities. Eine mögliche Betroffenheit wird auch für die Defense Industrial Base nicht ausgeschlossen. Wichtig für die Einordnung: Es handelt sich nicht um eine einzelne Schwachstelle mit einer CVE-Nummer, sondern um die Ausnutzung struktureller Schwächen (Internetexposition, fehlende Segmentierung, veraltete Firmware) in Kombination mit neu entwickelten, KI-unterstützten Angriffswerkzeugen.

Einordnung in die bisherige Bedrohungslage

Die aktuelle Warnung ist nicht die erste zu Angriffen auf industrielle Steuerungen im Jahr 2026. Bereits im April 2026 hatten CISA und Partnerbehörden (darunter ebenfalls NSA, FBI, EPA, DOE sowie das U.S. Cyber Command und das Treasury Department) die Advisory AA26-097A veröffentlicht, die eine Kampagne der mutmaßlich iranisch verbundenen Gruppe CyberAv3ngers beschreibt. Diese frühere Kampagne nutzte die eigene Engineering-Software der Hersteller Rockwell Automation, Schneider Electric und Siemens, um Steuerungen zu manipulieren, und wurde im Juli 2026 auf ein breiteres Zielspektrum ausgeweitet. Die neue AA26-231A-Warnung fokussiert sich enger auf Siemens S7 und hebt den KI-Einsatz als neues, eigenständiges Element hervor: Angreifer bauen ihre Werkzeuge nicht mehr manuell, sondern lassen KI-Modelle einen erheblichen Teil der Skripterstellung übernehmen, was die Entwicklungszeit für neue Angriffswerkzeuge drastisch verkürzt.

Was Betreiber jetzt tun sollten

1. Prüfen, ob eigene oder kundenbetriebene Siemens-S7-Steuerungen direkt aus dem Internet erreichbar sind, insbesondere über Port 102/TCP (S7comm).
2. Alle S7-Steuerungen konsequent aus dem direkten Internetzugriff entfernen. Fernzugriff nur über gesichertes VPN mit Multi-Faktor-Authentifizierung erlauben.
3. OT-Netzwerke strikt von IT-Netzwerken trennen (Netzwerksegmentierung, eigene VLANs, Firewall-Regeln zwischen den Zonen).
4. Firmware-Stand aller S7-Geräte prüfen und auf die von Siemens empfohlenen aktuellen Versionen aktualisieren.
5. Zugriffskontrollen auf Engineering-Software und Programmierstationen härten, da diese oft der eigentliche Ansatzpunkt für Manipulation sind.
6. Monitoring- und Log-Auswertung für OT-Netzwerke etablieren, um ungewöhnliche S7comm-Anfragen frühzeitig zu erkennen.
7. Auch als Nicht-Siemens-Betreiber gilt laut Advisory: Alle PLC-Besitzer, unabhängig vom Hersteller, sollten die genannten Maßnahmen sinngemäß anwenden.
8. Notfallpläne für OT-Sicherheitsvorfälle prüfen und regelmäßig testen, inklusive klarer Eskalationswege an Hersteller und Behörden.

Warum das auch kleinere Betriebe betrifft

Siemens-S7-Steuerungen sind nicht nur in Großkonzernen im Einsatz, sondern auch in mittelständischen Fertigungsbetrieben, in der Gebäudeautomation und in kommunalen Wasserwerken. Gerade kleinere Betriebe haben oft historisch gewachsene Netzwerke, in denen OT- und IT-Systeme nicht sauber getrennt sind, oder Fernwartungszugänge, die ursprünglich für einen externen Dienstleister eingerichtet und nie wieder überprüft wurden. Die Kombination aus KI-beschleunigter Angreiferentwicklung und historisch gewachsenen, unsegmentierten Netzwerken macht diese Warnung auch für kleinere IT-Abteilungen relevant, die OT-Technik oft nicht als primären Verantwortungsbereich betrachten, obwohl sie im gleichen Netzwerk hängt.

Passende Anleitungen auf S-EDV

1. Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi
2. CISA KEV: Warum der Known Exploited Vulnerabilities Catalog für Admins Pflichtlektüre bleibt

Quellen

1. CISA Advisory AA26-231A: Defending Against an Active Threat to Siemens S7 Series PLCs
2. The Hacker News: AI-Generated Exploit Scripts Target Siemens S7 PLCs in U.S. Critical Infrastructure
3. Tenable: Frequently asked questions about the active threat to Siemens S7 Series PLCs