Iran-Hacker legen Wasserwerke in Minnesota lahm – über 30 Angriffe

Ein durchgesickertes Memo, das WIRED am 30. Juli 2026 vorliegt, bringt eine Serie von Cyberangriffen auf Wasser- und Abwasseranlagen in Minnesota mit dem Iran in Verbindung. Das Dokument des Water Information Sharing and Analysis Center (WaterISAC), das erste offizielle Papier, das diesen Zusammenhang herstellt, besagt, dass das Minnesota Fusion Center die Angriffe einer Hackerkampagne zuordnet, die die Cybersecurity and Infrastructure Security Agency (CISA) als von iranischen Hackern durchgeführt beschrieben hat.

Mehr als 30 kommunale Wasser- und Abwassersysteme in Minnesota wurden ins Visier genommen. Die Hacker kompromittierten ferngesteuerte speicherprogrammierbare Steuerungen (PLCs), vermutlich mit dem Ziel, einen Druckverlust im System und mögliche Wasserverschmutzung zu verursachen, heißt es in dem Memo. In der Stadt Braham führte der Angriff zu einem kurzzeitigen Ausfall des Wasserwerks. Die Anlagen konnten weitere Schäden verhindern, so die Behörden, und das Trinkwasser blieb sicher.

Joe Slowik, ein ehemaliger Cybersicherheitsforscher am Los Alamos National Labs, bezeichnete die Angriffe als seltenen Fall staatlich gelenkter Angriffe auf zivile Infrastruktur außerhalb des Ukraine-Kriegs. Er warnte, dass die dokumentierte Störung und Veränderung von Sicherheitsparametern an mehreren Standorten große Besorgnis erregen sollte und dass andere Anlagen mit derselben Technologie weiterhin verwundbar seien.

Das Cybersicherheitsunternehmen Tenable veröffentlichte am 28. Juli einen Bericht, der darauf hindeutet, dass die iranische Gruppe CyberAv3ngers, die mit den Islamischen Revolutionsgarden in Verbindung steht, verantwortlich sein könnte. Die New York Times berichtete am 30. Juli, dass Beamte zu dem Schluss kamen, dass die Angriffe wahrscheinlich von iranischen staatlich gelenkten Hackern durchgeführt wurden.

CyberAv3ngers tauchte erstmals Ende 2023 auf und zielte auf Unitronics-Geräte in Wasseranlagen ab. Seitdem hat die Gruppe eskaliert und ein US-Öl- und Gasunternehmen angegriffen sowie die Schadsoftware IOControl eingesetzt.

Während die genaue Gruppe hinter den Minnesota-Angriffen unklar bleibt – der Claroty-Forscher Yhonatan Harari wies auf eine andere iranische Gruppe, Handala, hin – deuten alle Anzeichen auf eine iranische Beteiligung hin. Eine separate CISA-Warnung, die am 22. Juli aktualisiert wurde, hatte davor gewarnt, dass mit dem Iran verbundene Akteure auf PLCs abzielen, um Betriebsstörungen zu verursachen, erwähnte jedoch nicht die Vorfälle in Minnesota.

Am 30. Juli gab CISA eine neue Warnung heraus, dass die Angriffe zu Abkochanordnungen und anhaltendem manuellen Betrieb geführt hätten. Sie forderte Wasserwerke auf, PLCs vom Internet zu trennen, starke Passwörter zu verwenden und vertrauenswürdige Geräte auf eine Whitelist zu setzen, und warnte, dass die Angreifer Wasseranlagen aller Größen ins Visier nehmen.