Warum Unternehmen jetzt handeln müssen
Wenn Hacker nicht mehr nur Daten stehlen, sondern Maschinen und Produktionsprozesse ins Visier nehmen
Cyberangriffe auf Unternehmen werden häufig noch immer vor allem mit gestohlenen Passwörtern, verschlüsselten Servern, Phishing-Mails oder Datenabfluss verbunden.
Doch die aktuelle Warnung mehrerer US-Sicherheitsbehörden zeigt, wie sehr sich die Bedrohungslage verändert hat.
Am 19. August 2026 veröffentlichten die National Security Agency (NSA), die Cybersecurity and Infrastructure Security Agency (CISA), das FBI, das US-Energieministerium sowie die Environmental Protection Agency eine gemeinsame Cybersecurity-Warnung zu einer aktiven Bedrohung gegen speicherprogrammierbare Steuerungen der Siemens-S7-Serie.
Dabei geht es nicht um ein theoretisches Szenario. Die Behörden sprechen ausdrücklich von einer aktiven Bedrohungslage.
Die betroffenen Steuerungen können Bestandteil von Produktionsanlagen, Energieversorgung, Wasser- und Abwassersystemen, chemischen Anlagen, Lebensmittelproduktion und zahlreichen weiteren industriellen Prozessen sein.
Damit bekommt Cyberkriminalität eine vollkommen neue Dimension.
Denn wenn Angreifer industrielle Steuerungen erreichen, stehen nicht mehr nur Daten auf dem Spiel.
Es können Maschinen, Produktionsprozesse und im schlimmsten Fall sicherheitsrelevante Abläufe betroffen sein.
Was sind Siemens-S7-Steuerungen überhaupt?
Sogenannte Programmable Logic Controllers – kurz PLCs – sind industrielle Steuerungssysteme.
Sie übernehmen beispielsweise die automatisierte Steuerung von Maschinen, Pumpen, Förderanlagen, Produktionsstraßen oder technischen Prozessen.
In Deutschland spricht man häufig von speicherprogrammierbaren Steuerungen, kurz SPS.
Solche Systeme bilden in vielen Betrieben einen Teil der technischen Grundlage der Produktion.
Sie arbeiten oft über Jahre oder Jahrzehnte zuverlässig im Hintergrund.
Genau darin liegt jedoch ein Problem.
Während klassische Unternehmens-IT regelmäßig aktualisiert und überwacht wird, existieren in industriellen Umgebungen teilweise Systeme, die ursprünglich niemals dafür konzipiert wurden, unmittelbar mit dem Internet verbunden zu sein.
Die aktuelle Warnung betrifft unter anderem Systeme der Serien S7-200, S7-300, S7-400, S7-1200 und S7-1500.
Die eigentliche Warnung ist größer als Siemens
Einen Punkt halte ich bei der aktuellen Meldung für besonders wichtig.
Es wäre falsch, daraus lediglich ein „Siemens-Sicherheitsproblem“ zu machen.
Die amerikanischen Behörden weisen ausdrücklich darauf hin, dass die derzeitige Angriffstätigkeit nicht auf Siemens-Steuerungen beschränkt ist.
Die S7-Systeme sind Gegenstand der aktuellen Warnung. Gleichzeitig sollen Betreiber industrieller Steuerungen die Entwicklung als Teil einer breiteren Bedrohungslage verstehen.
Für Unternehmen bedeutet das:
Nicht das Logo auf einer Steuerung entscheidet über die Gefährdung. Entscheidend sind Architektur, Erreichbarkeit, Konfiguration, Zugriffsrechte, Aktualität und Überwachung des gesamten Systems.
Angreifer suchen gezielt nach erreichbaren Industrieanlagen
Nach Angaben der Behörden nutzen die Täter unter anderem öffentlich verfügbare Internet-Scanning-Dienste, um Steuerungen zu identifizieren, die aus dem Internet erreichbar oder unzureichend geschützt sind.
Besonders gefährdet können Systeme sein, bei denen Softwarestände veraltet sind, Zugänge nicht ausreichend abgesichert wurden oder industrielle Netzwerke nicht sauber von anderen Netzwerken getrennt wurden.
Darüber hinaus weist die Warnung auf ein häufig unterschätztes Risiko hin:
externe Dienstleister und Systemintegratoren.
Viele Industrieunternehmen benötigen Fernwartung.
Anlagenbauer, Hersteller oder externe Techniker müssen teilweise auf Systeme zugreifen können.
Das ist betrieblich nachvollziehbar.
Doch jeder externe Zugang erweitert gleichzeitig die mögliche Angriffsfläche.
Die Behörden warnen deshalb ausdrücklich davor, dass Unternehmen teilweise gar nicht wissen könnten, welche ihrer Systeme mittelbar über externe Dienstleister erreichbar sind.
KI verändert die Angriffsgeschwindigkeit
Der vielleicht bemerkenswerteste Punkt der aktuellen Warnung betrifft Künstliche Intelligenz.
Nach Einschätzung der US-Behörden setzen die beobachteten Akteure KI ein, um Angriffsskripte zu entwickeln und vorhandene Informationen über Schwachstellen schneller nutzbar zu machen.
Das verändert die Bedrohungslage erheblich.
Bisher war für gezielte Angriffe auf industrielle Steuerungen teilweise hochspezialisiertes technisches Wissen erforderlich.
KI kann diese Einstiegshürde senken.
Die Behörden sprechen davon, dass KI die benötigte technische Expertise und die Entwicklungszeit für entsprechende Werkzeuge erheblich reduzieren kann. Zudem können Angreifer Angriffsmöglichkeiten schneller anpassen und weiterentwickeln.
Das bedeutet nicht, dass eine KI selbstständig beliebige Fabriken übernimmt.
Es bedeutet jedoch:
Einzelne technische Fähigkeiten, für die früher Spezialwissen und erheblicher Zeitaufwand notwendig waren, können zunehmend automatisiert oder beschleunigt werden.
Und genau das kann die Zahl potenzieller Täter erhöhen.
Vom Datendiebstahl zum Produktionsstillstand
Bei klassischen Cyberangriffen steht häufig die sogenannte CIA-Triade im Mittelpunkt:
Confidentiality – Vertraulichkeit.
Integrity – Integrität.
Availability – Verfügbarkeit.
Bei industriellen Steuerungen kommt jedoch ein weiterer Faktor hinzu:
die reale physische Welt.
Manipulierte Steuerungen können Prozesse verändern.
Produktionsparameter können beeinflusst werden.
Maschinen können ausfallen.
Anlagen können stillstehen.
Nach Angaben der gemeinsamen US-Warnung könnten erfolgreiche Angriffe – abhängig von Anlage und Umfeld – unter anderem zu folgenden Folgen führen:
- Unterbrechung kritischer industrieller Prozesse,
- Produktionsausfällen,
- Beeinträchtigungen der Produktqualität,
- Sicherheitsvorfällen,
- Schäden an Maschinen oder Anlagen,
- Verlust sensibler Betriebsdaten,
- regulatorischen Problemen,
- sowie Folgewirkungen auf verbundene Systeme und Lieferketten.
Damit wird aus einem IT-Problem schnell ein unternehmerisches Existenzrisiko.
Industrieunternehmen werden zu attraktiven Aufklärungszielen
Aus Ermittlersicht ist jedoch noch ein anderer Punkt entscheidend.
Ein Angriff beginnt selten erst mit dem eigentlichen Eindringen in ein System.
Vor einem gezielten Angriff steht häufig zunächst die Informationsgewinnung.
Welche Anlagen nutzt das Unternehmen?
Welche Hersteller kommen zum Einsatz?
Welche Dienstleister betreuen die Systeme?
Welche Mitarbeiter besitzen technische Schlüsselpositionen?
Welche Software wird eingesetzt?
Welche Standorte existieren?
Welche Systeme sind öffentlich erreichbar?
Wer arbeitet mit welchen Lieferanten zusammen?
Welche Mitarbeiter veröffentlichen technische Details auf LinkedIn, in Foren oder auf anderen Plattformen?
Solche Informationen können aus zahlreichen offenen Quellen zusammengetragen werden.
Genau hier treffen Cybersecurity, OSINT und klassische Ermittlungsarbeit aufeinander.
OSINT kann sowohl Schutzinstrument als auch Angriffswerkzeug sein
Open Source Intelligence – kurz OSINT – bezeichnet die strukturierte Gewinnung und Auswertung öffentlich zugänglicher Informationen.
Das können beispielsweise sein:
- Unternehmenswebseiten,
- Stellenanzeigen,
- soziale Netzwerke,
- technische Dokumentationen,
- öffentliche Datenbanken,
- Foren,
- Ausschreibungen,
- Bilder,
- Metadaten,
- Lieferanteninformationen,
- Domain- und Infrastrukturinformationen.
Für Ermittler sind solche Quellen wertvoll.
Für Angreifer leider ebenfalls.
Ein Unternehmen sollte deshalb regelmäßig prüfen:
Was kann ein Außenstehender über unsere technische Infrastruktur herausfinden?
Diese Frage ist meiner Ansicht nach inzwischen genauso wichtig wie:
Welche Firewall verwenden wir?
Denn technische Sicherheit beginnt nicht erst am Router.
Sie beginnt bei dem Wissen darüber, welche Informationen über das Unternehmen von außen verfügbar und kombinierbar sind.
Der menschliche Faktor bleibt entscheidend
Bei der Diskussion über industrielle Cyberangriffe darf außerdem ein Fehler nicht gemacht werden:
Alles ausschließlich als technisches Problem zu betrachten.
Unternehmen bestehen aus Menschen.
Menschen besitzen Zugänge.
Menschen vergeben Berechtigungen.
Menschen beantworten E-Mails.
Menschen arbeiten für externe Dienstleister.
Menschen veröffentlichen Informationen.
Und Menschen können Fehler machen, manipuliert werden oder in einzelnen Fällen selbst zum Risiko werden.
Deshalb müssen moderne Sicherheitskonzepte technische und menschliche Risiken gemeinsam betrachten.
Dazu gehören beispielsweise:
Background Checks bei besonders sensiblen Funktionen.
OSINT-Analysen.
Überprüfung von Geschäftspartnern und Dienstleistern.
Interne Ermittlungen bei konkreten Verdachtsmomenten.
Protective Intelligence.
Awareness gegen Social Engineering.
Saubere Dokumentation verdächtiger Vorgänge.
Cybersecurity alleine beantwortet nicht die Frage, wer hinter einem Angriff stehen könnte, wie Informationen nach außen gelangt sind oder welche Personen Zugang zu einem System hatten.
Hier beginnt Ermittlungsarbeit.
Warum die Trennung zwischen IT und OT immer wichtiger wird
Unternehmensnetzwerke und Produktionsnetzwerke verfolgen unterschiedliche Ziele.
In der klassischen IT stehen Kommunikation, Datenverarbeitung und Verfügbarkeit von Informationen im Vordergrund.
Operational Technology – kurz OT – steuert dagegen industrielle Prozesse.
Deshalb empfehlen die US-Behörden unter anderem, industrielle Steuerungen möglichst nicht unmittelbar aus dem Internet erreichbar zu machen und IT- und OT-Netzwerke konsequent zu segmentieren.
Außerdem werden unter anderem empfohlen:
Bestandsaufnahme aller vorhandenen Steuerungen.
Einspielen sicherheitsrelevanter Updates nach vorheriger Prüfung.
Stärkere Zugangskontrollen.
Multi-Faktor-Authentifizierung für Fernzugriffe.
Kontinuierliches Monitoring industrieller Netzwerke.
Überprüfung ungewöhnlicher Aktivitäten.
Kontrolle von Änderungen an Steuerungslogiken.
Dabei ist entscheidend, Änderungen nicht unkontrolliert im laufenden Produktionsbetrieb vorzunehmen. OT-Sicherheit verlangt immer die Abstimmung zwischen IT-Security, Anlagenverantwortlichen, Engineering, Management und gegebenenfalls Hersteller oder Systemintegrator.
Was Unternehmen jetzt konkret prüfen sollten
Aus meiner Sicht sollte die aktuelle Warnung Anlass für eine strukturierte Bestandsaufnahme sein.
1. Wissen wir überhaupt, welche Systeme vorhanden sind?
Was nicht bekannt ist, kann nicht geschützt werden.
Unternehmen benötigen deshalb ein belastbares Inventar ihrer industriellen Systeme.
2. Welche Systeme sind von außen erreichbar?
Direkte und indirekte Internetzugänge sollten überprüft werden.
Besonders wichtig sind Fernwartungszugänge.
3. Welche externen Unternehmen besitzen Zugriff?
Systemintegratoren, Anlagenbauer und Wartungsunternehmen sollten Bestandteil der Sicherheitsbetrachtung sein.
4. Wie sind IT und Produktionsnetzwerk getrennt?
Ein kompromittierter Büro-PC darf nicht automatisch zum Einstiegspunkt in eine Produktionsanlage werden.
5. Werden ungewöhnliche Zugriffe erkannt?
Logging alleine genügt nicht.
Daten müssen auch ausgewertet werden.
6. Welche Informationen sind öffentlich über unsere Infrastruktur verfügbar?
Ein externer OSINT-Check kann zeigen, welches Bild ein potenzieller Angreifer vom Unternehmen erhält.
7. Gibt es einen Ermittlungsplan für den Ernstfall?
Wer entscheidet?
Wer sichert Beweise?
Wer dokumentiert?
Wer führt Interviews?
Wer prüft externe und interne Beteiligte?
Wer arbeitet mit IT-Forensikern und Behörden zusammen?
Diese Fragen sollten nicht erst beantwortet werden, wenn die Produktion bereits stillsteht.
Wirtschaftsschutz wird interdisziplinär
Die aktuelle Entwicklung zeigt sehr deutlich:
Die Trennung zwischen Cybersecurity, Unternehmenssicherheit, Wirtschaftsschutz und Ermittlungen funktioniert zunehmend nicht mehr.
Ein moderner Angriff kann gleichzeitig technische, menschliche und organisatorische Elemente enthalten.
Ein Täter kann öffentlich zugängliche Informationen auswerten.
Anschließend einen Mitarbeiter über Social Engineering kontaktieren.
Einen Zugang kompromittieren.
Über einen externen Dienstleister in ein Netzwerk gelangen.
Und schließlich versuchen, technische Systeme zu beeinflussen.
Deshalb muss auch die Verteidigung mehrere Disziplinen verbinden.
Unsere Perspektive bei Detegere
Bei Privat Investigation Service Detegere betrachten wir Wirtschaftsschutz deshalb nicht ausschließlich technisch.
Unsere Aufgabe ist nicht die Wartung industrieller Steuerungen oder das Einspielen von Siemens-Sicherheitsupdates.
Hierfür sind Hersteller, spezialisierte OT-Security-Unternehmen und die jeweiligen IT- beziehungsweise Engineering-Abteilungen zuständig.
Unsere Stärke beginnt dort, wo aus technischen Auffälligkeiten ermittlungsrelevante Fragen entstehen.
Wer hatte Zugang?
Welche Personen oder Unternehmen kommen als Ursprung einer Informationsweitergabe infrage?
Welche digitalen und offenen Spuren existieren?
Welche Verbindungen bestehen zwischen Beteiligten?
Gab es vorher auffällige Aktivitäten?
Welche Informationen waren öffentlich verfügbar?
Gibt es Hinweise auf Social Engineering, Insiderhandlungen, Industriespionage oder gezielte Vorbereitung?
Durch die Verbindung von OSINT, Background Checks, Corporate Intelligence, klassischen Ermittlungen und spezialisierten forensischen Partnern lassen sich technische Erkenntnisse in ein umfassenderes Lagebild einordnen.
Gerade für Industrieunternehmen, Mittelständler und Betreiber sensibler Infrastruktur wird diese Verbindung künftig immer wichtiger.
Fazit: Die Fabrikhalle ist längst Teil des Cyberraums
Die gemeinsame Warnung amerikanischer Sicherheitsbehörden sollte auch deutsche Unternehmen aufmerksam machen.
Nicht deshalb, weil morgen jede Produktionsanlage angegriffen wird.
Sondern weil sie eine Entwicklung sichtbar macht, die sich kaum noch ignorieren lässt:
Cyberangriffe verlassen zunehmend den Bildschirm.
Wenn digitale Systeme Maschinen, Energieversorgung, Wasser, Produktion oder Logistik steuern, kann ein digitaler Angriff reale physische Folgen haben.
Gleichzeitig verändert Künstliche Intelligenz das Tempo, mit dem Angreifer Informationen auswerten und technische Werkzeuge entwickeln können.
Unternehmen müssen deshalb heute zwei Fragen gleichzeitig beantworten:
Wie sicher sind unsere Systeme?
Und:
Wie viel weiß ein potenzieller Angreifer bereits über uns?
Wer beide Fragen zusammen betrachtet, macht aus Cybersecurity echten Wirtschaftsschutz.
FAQ – Cyberangriffe auf Industrieanlagen und Siemens-S7-Steuerungen
Gibt es aktuell tatsächlich Angriffe auf Siemens-S7-Steuerungen?
Ja. NSA, CISA, FBI, US-Energieministerium und EPA sprechen in ihrer gemeinsamen Warnung ausdrücklich von einer aktiven Bedrohung gegen Siemens-S7-Steuerungen. Die Behörden berichten unter anderem von Aufklärungs- und Fähigkeitsentwicklungsaktivitäten gegen Anlagen in den USA.
Bedeutet die Warnung, dass Siemens-S7-Steuerungen grundsätzlich unsicher sind?
Nein. Die Behörden betonen selbst, dass die Angriffstätigkeit über Siemens-Produkte hinausgeht. Entscheidend sind unter anderem Konfiguration, Softwarestand, Netzwerksegmentierung, Internet-Erreichbarkeit und Zugriffsschutz.
Welche Unternehmen können betroffen sein?
Besonders genannt werden unter anderem produzierende Unternehmen, Energieversorgung, Wasser- und Abwasserwirtschaft, Chemie sowie Lebensmittel- und Agrarwirtschaft. Siemens-S7-Systeme werden jedoch auch in weiteren Branchen eingesetzt.
Welche Rolle spielt KI bei diesen Angriffen?
Nach Angaben der US-Behörden wird KI genutzt, um Angriffsskripte schneller zu entwickeln und öffentlich verfügbare Informationen über technische Schwachstellen effizienter auszuwerten. Dadurch können die notwendige Entwicklungszeit und teilweise auch die technische Einstiegshürde sinken.
Was hat OSINT mit der Sicherheit einer Produktionsanlage zu tun?
Angreifer können öffentlich zugängliche Informationen nutzen, um Unternehmen, Mitarbeiter, Technologien, Dienstleister und mögliche Schwachstellen zu identifizieren. Ein professioneller OSINT-Ansatz kann umgekehrt zeigen, welche Informationen über ein Unternehmen öffentlich auffindbar sind und welches Lagebild sich daraus erstellen lässt.
Wann können private Ermittler bei einem Cybervorfall sinnvoll sein?
Private Ermittlungen können insbesondere dann relevant werden, wenn neben der technischen Analyse Fragen zu Personen, Geschäftspartnern, Insiderrisiken, Informationsabfluss, Social Engineering oder verdächtigen Verbindungen entstehen. Technische IT- beziehungsweise OT-Forensik und klassische Ermittlungsarbeit sollten dabei eng aufeinander abgestimmt werden.
Was sollten Unternehmen nach der aktuellen Warnung zuerst tun?
Unternehmen sollten zunächst gemeinsam mit ihren OT- und IT-Verantwortlichen prüfen, welche industriellen Steuerungen vorhanden sind, welche Systeme erreichbar sind, ob Sicherheitsupdates fehlen, welche Fernzugänge bestehen und ob verdächtige Aktivitäten erkannt werden können. Die US-Behörden empfehlen ausdrücklich Inventarisierung, Patching, Netzwerksegmentierung, stärkere Zugriffskontrollen und Monitoring.
Transparenz- und Quellenhinweis
Dieser Beitrag basiert auf der am 19. August 2026 bekannt gewordenen gemeinsamen Cybersecurity Advisory von NSA, CISA, FBI, Department of Energy und Environmental Protection Agency sowie auf öffentlich zugänglicher Berichterstattung von Reuters. Die Warnung betrifft eine aktuelle Bedrohungslage in den USA. Daraus lässt sich nicht automatisch ableiten, dass konkrete deutsche Unternehmen angegriffen wurden.
Privat Investigation Service Detegere steht in keiner geschäftlichen Verbindung zu Siemens und spricht keine Sicherheitsbewertung einzelner Siemens-Produkte aus. Die Nennung erfolgt ausschließlich im Zusammenhang mit der öffentlich veröffentlichten Behördenwarnung.
Bild: KI generiert
Wenn Sie gerade einen konkreten Verdacht haben:
Warten kostet Beweise. Sprechen Sie jetzt diskret mit uns:
Kostenfreie diskrete Erstberatung unter:
☎️ 08 00/0 12 02 23 (nur national erreichbar)
For International Customers: +49 (0)6023 9 29 68 80
Für Wirtschaftsdelikte, Observationen und internationale Ermittlungen.
📩 oliver.peth@kriminalistik.info
📞 +49 (0)6023 9 29 68 80
+49 (0)170 24 8 12 78
Hinweis zu Einsatzgebieten*
Die auf dieser Website genannten Städte, Regionen und Länder bezeichnen operative Einsatzgebiete. Sie stellen keine Niederlassungen oder Firmensitze dar.
Alle Einsätze werden zentral über die Detektei Detegere in Alzenau koordiniert. Aus Gründen des Datenschutzes, der Vertraulichkeit und zum Schutz unserer Mandanten sind dargestellte Fallbeispiele fiktiv oder an reale Sachverhalte angelehnt. Namen, Orte, Zeitangaben und einzelne Umstände wurden verändert.
Verantwortlich für diesen Inhalt:
Dieser Inhalt wurde fachlich verantwortet durch Oliver Peth, Kriminalist, Profiler und Inhaber der Detektei Detegere. Die Detektei Detegere verfügt über Erfahrung in Wirtschaftsdetektei, OSINT-Recherchen, Observationen, internationalen Ermittlungen und gerichtsfester Dokumentation.
Unser Anspruch ist es, Mandanten klar, diskret und rechtssicher zu unterstützen. Deshalb werden unsere Inhalte regelmäßig geprüft, aktualisiert und an neue rechtliche, wirtschaftliche und ermittlungstaktische Entwicklungen angepasst.
Zuletzt aktualisiert: August 2026