Iran trifft ein Dutzend US-Staaten

Startseite Politik Cyberangriff auf Trinkwasser: Iran trifft ein Dutzend US-Bundesstaaten – Kongress unter Druck Uns auf Google folgen US-Behörden warnen vor Hackerangriffen auf Wassersysteme. Eine gestoppte EPA-Regel hätte manche Lücke womöglich geschlossen. Eine Analyse. Washington, D.C. – Ende 2022 entdeckte Microsoft den Hack eines Wassersystems in Guam, von dem US-Geheimdienste in den folgenden Monaten feststellten, dass China ihn orchestriert hatte. Die Idee war nicht neu. Die Spionagebehörden beobachteten seit Langem, wie der Iran israelische Wassersysteme ins Visier nahm. The Washington Post vier Wochen gratis lesen Ihr Qualitäts-Ticket der washingtonpost.com: Holen Sie sich exklusive Recherchen und 200+ Geschichten vier Wochen gratis. „Dass ein anderer Nationalstaat uns das antat - das war beunruhigend“, erinnerte sich ein früherer US-Beamter, der wie mehrere andere für diese Geschichte Befragte unter der Bedingung der Anonymität sprach, weil die Angelegenheit sensibel ist. Hochrangige US-Beamte waren besorgt, dass solche Eindringversuche Militärstützpunkte auf Guam beeinträchtigen könnten, aber auch die zivile Wasserversorgung, von der viele Systeme nur schlecht gegen Hacks geschützt waren. Die Biden-Regierung, alarmiert durch den Ransomware-Angriff auf Colonial Pipeline im Frühjahr 2021, hatte bereits Schritte unternommen, um Pipelines und anschließend Eisenbahnen zu regulieren. Nun wollten sie sich dem Wasser zuwenden. Gescheiterte Regulierung der Wasserversorgung Im März 2023 veröffentlichte die Environmental Protection Agency ein Memo, das vorschreiben sollte, dass Bundesstaaten mit lokalen Verantwortlichen zusammenarbeiten, um Schwachstellen in Wassersystemen aufzuspüren, die Hacker ausnutzen könnten, und anschließend Pläne zu deren Behebung zu entwickeln. Kommunen konnten Bundeszuschüsse beantragen, um die Kosten abzufedern. Doch die Generalstaatsanwälte dreier republikanisch geführter Bundesstaaten – Arkansas, Iowa und Missouri – klagten. Sie argumentierten, das Memo überschreite die Befugnisse der EPA, sehe keine öffentliche Anhörung vor und stelle eine finanzielle Belastung für Kleinstädte dar. Das Bundesberufungsgericht dieser Region, das als eines der konservativsten gilt, stoppte die Regeländerung. Die EPA zog sie zurück. Ende vergangenen Monats traf ein Cyberangriff einen Wasserversorger im Westen von Arkansas – einem der Bundesstaaten, die geklagt hatten. Er war Teil einer Serie von Eindringversuchen in kommunale Wassersysteme, die nach Einschätzung von US-Spionagebehörden auf Hacker des iranischen Regimes zurückgeht. Die Kampagne läuft, während ein von den USA begonnener Krieg mit Iran in seinen sechsten Monat geht und Teheran keinerlei Anzeichen zeigt, nachzugeben. Wäre die EPA-Regel in Kraft gewesen, sagen einige Experten, hätten der Versorger in Arkansas oder andere wie er womöglich verschont bleiben können. „Sie zu Fall zu bringen, hat uns zurückgeworfen“, sagte Gus Serino, Präsident von I&C Secure Inc., einem Cybersicherheitsberater für Kontrollsysteme, und früherer Ingenieur bei der Massachusetts Water Resources Authority. „Der Aufwand und die Kosten, um diese Systeme zu reparieren, sind nicht so groß. Es würde nicht das gesamte Risiko beseitigen, aber sicherlich den Großteil der niedrig hängenden Früchte.“ Die Zahl der betroffenen Bundesstaaten ist auf mindestens ein Dutzend gestiegen, sagen mit der Angelegenheit vertraute Beamte, wobei allein in Minnesota mindestens 30 Systeme betroffen sind. Irans Angriffe erhöhen den Druck Irans Ausrichtung auf Wassersysteme – ein Trend, vor dem Bundesbehörden erstmals vor Monaten warnten – und eine Geschichte gescheiterter Bemühungen zur Stärkung der Cybersicherheit von Wasserversorgern haben einige Mitglieder des Kongresses aufgerüttelt. Senator Adam Schiff (Demokrat, Kalifornien), der ranghöchste Demokrat im Wasserausschuss des Committee on Environment and Public Works, stellte am Montag einen Gesetzentwurf vor, der der EPA ausdrücklich die Befugnis geben würde, die Cybersicherheit des Wassersektors zu regulieren. Die Maßnahme würde gesetzlich verankern, was die Behörde vor drei Jahren per Exekutivmaßnahme zu tun versuchte: Wasserversorger zu Cybersicherheitsbewertungen zu verpflichten und Korrekturmaßnahmen vorzuschreiben, wenn erhebliche Schwachstellen festgestellt werden. Wenige Tage bevor Iran seine jüngste Hack-Kampagne gegen Wasserversorger begann, verabschiedete der EPW-Ausschuss des Senats einstimmig eine überparteiliche Maßnahme, die ländlichen Wassersystemen helfen soll, Cybersicherheitsrisiken zu mindern. Branchenvertreter sagen nun, freiwillige Bemühungen reichten nicht aus. Die größte Gruppe, die Wasserversorger vertritt, drängt auf die Verabschiedung eines Gesetzes, eingebracht vom Abgeordneten Rick Crawford (Republikaner, Arkansas), das eine unabhängige nichtstaatliche Stelle schaffen würde, um von der EPA beaufsichtigte Mindestanforderungen an die Cybersicherheit im Wassersektor zu entwickeln. „Wir brauchen Mindestanforderungen“, sagte Kevin Morley, Leiter für Bundesbeziehungen bei der American Water Works Association (AWWA). „Es ist Zeit, das Spiel auf die nächste Stufe zu heben.“ Die rege Aktivität kommt, während die Regierung Cyberspezialisten im Department of Homeland Security abgebaut hat und keine Verlängerung der Finanzierung von Cybersicherheitszuschüssen an Bundesstaaten anstrebt. Präsident Donald Trump hat die Bundesstaaten für die Hacks verantwortlich gemacht, kritisierte Minnesotas Gouverneur Tim Walz (Demokrat) wegen einer Serie von Angriffen dort und fügte hinzu, er glaube nicht, dass Iran der Täter sei. US-Geheimdienste sind überzeugt, dass die Islamischen Revolutionsgarden Irans hinter der Kampagne stehen, haben jedoch keine formelle Zuschreibung vorgenommen – teilweise weil es noch Diskussionen darüber gibt, welche Gruppe innerhalb der Revolutionsgarden die Angriffe ausführte, sagten zwei mit der Angelegenheit vertraute Personen. Eine der Personen fügte hinzu, es könne eine Zurückhaltung geben, eine Zuschreibung vorzunehmen, die den öffentlichen Äußerungen des Präsidenten widerspricht. Das FBI lehnte eine Stellungnahme ab. Unterschiedliche Schutzstandards in den Bundesstaaten Der Stand der Cybersicherheit variiert unter den mehr als 150.000 Wassersystemen des Landes. Einige Kommunen, etwa Cedar Rapids in Iowa, waren gegen die jüngsten Hacks weitgehend abgeschirmt, weil ihre Systeme air-gapped sind, also nicht mit dem Internet verbunden. „Mehrere Leute haben uns empfohlen, unser System mit der Außenwelt zu verbinden“, sagte Roy Hesemann, Versorgungsdirektor von Cedar Rapids, dessen Wassersystem etwa 135.000 Menschen versorgt und dessen Bundesstaat zu jenen gehörte, die gegen die EPA klagten. „Ich war seit 9/11 entschieden dagegen, in dem Wissen, dass Menschen gelegentlich gehackt wurden - nein, das machen wir nicht.“ Mindestens drei Bundesstaaten haben neuere Gesetze, die Cybersicherheits-Risikobewertungen für Wassersysteme vorschreiben: Indiana, Maryland und New York. Den Behörden sind keine Hacks von Wassersystemen im Zusammenhang mit der jüngsten Kampagne in diesen drei Bundesstaaten bekannt. Eine politische Tabuzone Die Aussicht auf Cybersicherheitsregulierung ist im Kongress seit mehr als einem Jahrzehnt politisch höchst heikel. Ein großer überparteilicher Vorstoß zur Einführung verpflichtender Standards für kritische Infrastruktur scheiterte 2010 und erneut 2012 am heftigen Widerstand der Industrie. Stattdessen entstanden freiwillige Rahmenwerke und sektorspezifische Initiativen, sämtlich per Exekutivmaßnahme. Dann griff im Mai 2021 eine russischsprachige Ransomware-Gruppe Colonial Pipeline an und erzwang eine mehrtägige Stilllegung einer der größten Treibstoffpipelines des Landes, was an der Ostküste zu Engpässen und Panikkäufen von Benzin führte. Ransomware-Cyberangriffe – einst als kriminelle Belästigung betrachtet – wurden zu einer Frage der nationalen Sicherheit und veranlassten den damaligen Präsidenten Joe Biden, das Thema bei einem Gipfel in Genf gegenüber dem russischen Präsidenten Wladimir Putin anzusprechen. Der Pipeline-Schreck beschleunigte Regulierungen für zentrale Sektoren kritischer Infrastruktur. In Zusammenarbeit mit der Transportation Security Administration und der Küstenwache fügte die Biden-Regierung bestehenden Befugnissen, die die physische Sicherheit von Infrastruktur vorschreiben, Cyberanforderungen hinzu. Anne Neuberger, Bidens stellvertretende nationale Sicherheitsberaterin, berief Treffen im Weißen Haus mit Branchenmanagern ein, um Erkenntnisse über Bedrohungen zu teilen und die Notwendigkeit von Cybersicherheit nicht nur bei Pipelines, sondern auch bei Flughäfen, Häfen und Eisenbahnen zu unterstreichen. „Es war eine ziemlich ernüchternde Einschätzung der böswilligen Akteure und ihres Ziels, potenziell kritische Infrastruktur zu stören“, sagte Todd Hauptli, CEO der American Association of Airport Executives, der an einem Treffen im September 2022 teilnahm. „Es bereitete den Boden für diejenigen, die instinktiv gegen verstärkte Regulierungsbemühungen reagieren würden.“ Der Ansatz, erinnerte sich der damalige TSA-Administrator David Pekoske, bestand darin, „einen Rahmen bereitzustellen und dann dem kritischen Sektor zu sagen: ‚Sie kommen mit einem Plan zu uns zurück‘“, der jährlich überprüft wurde. Die Pipeline-Betreiber wehrten sich gegen ihren ersten Regelvorschlag, den sie als zu detailliert ansahen. Doch eine überarbeitete Regel, die mit Rückmeldungen der Branche ausgearbeitet wurde, ließ mehr Flexibilität zu, um Anforderungen über mehrere Behörden hinweg zu synchronisieren. Ein Zeichen dafür, dass die Regeln funktionieren, sagen einige Experten, sei, dass Trump, der in seinem ersten Monat zurück im Amt eine Anordnung zum Abbau von Regulierungen erließ, die bestehenden Regeln seines Vorgängers beibehielt. Anzeichen für ein Einlenken Doch der US-Wassersektor blieb Bidens Regulierungsvorstoß gegenüber unempfindlich. Im März 2023 wehrten sich die drei Bundesstaaten und Branchenvertreter, als die EPA das Memo herausgab, das forderte, Cyberbewertungen in regelmäßige Untersuchungen der physischen Sicherheit von Wassersystemen aufzunehmen. „Der Ansatz von 2023 war ein bisschen Einheitslösung, top-down, ohne echte substanzielle Beteiligung der Gemeinschaft daran, was sinnvoll war“, sagte Morley von der AWWA, einer der Gruppen, die gegen die EPA klagten. Heute gibt es Anzeichen für ein Einlenken. Irans jüngste Angriffe haben trotz des relativ geringen angerichteten Schadens die Dringlichkeit erhöht. Am Mittwoch sandte die AWWA einen Brief, in dem sie Gesetzgeber aufforderte, Schulungsprogramme zu schaffen, Mittel für Cybersicherheit bereitzustellen und Crawfords Gesetzentwurf zu unterstützen. Sie will außerdem, dass die Bundesregierung ein Programm ausweitet, das Techniker kostenlos in ländliche Gemeinden entsendet, um beim Aufbau von Wassersystemen und beim Management der Cybersicherheit zu helfen. Chris Harris, CEO der gemeinnützigen Arkansas Rural Water Association, sagte, seine Gruppe versuche seit Jahren, Betreiber über bewährte Verfahren der Cybersicherheit aufzuklären. Nachdem im vergangenen Monat die Nachricht von den Sicherheitsverletzungen bekannt wurde, forderte seine Gruppe Mitglieder auf, alle mit dem Internet verbundenen Steuerungsschaltgeräte vom Netz zu nehmen. Er ist jedoch unsicher, wie viele das getan haben. „Viele Menschen nehmen es nicht ernst, bis es ihnen selbst passiert“, sagte Harris. „Die meisten denken: ‚[Wir sind] diese winzige Stadt mit 300 Einwohnern - warum sollte Iran sich für uns interessieren?‘ Sie begreifen nicht, dass sie alles angreifen, was sie können.“ Pranshu Verma, Aaron Schaffer und Jake Spring haben zu diesem Bericht beigetragen. Zu den Autoren: Amy B Wang ist nationale Politikreporterin. Sie kam 2016 zu The Washington Post, nach sieben Jahren bei der Arizona Republic. Ellen Nakashima ist Reporterin für Geheimdienste und nationale Sicherheit bei The Washington Post. Sie war Mitglied dreier Teams, die mit dem Pulitzer-Preis ausgezeichnet wurden, für Recherchen zum Angriff auf das US-Kapitol am 6. Januar, zur russischen Einmischung in die Wahl 2016 und zum verborgenen Ausmaß staatlicher Überwachung. Senden Sie ihr sichere Hinweise über Signal unter Ellen.626