Hacker sperrten Betreiber von Wasserwerken in mindestens sieben US-Bundesstaaten aus – warum waren die Steuerungen überhaupt erreichbar?

Gegen 9.30 Uhr am Montag, 27. Juli 2026, meldete die Kleinstadt Braham in Minnesota, ihre Wasseraufbereitungsanlage sei «aus unbekanntem Grund» ausser Betrieb. Die Bevölkerung wurde gebeten, Wasser zu sparen, weil der Vorrat im Wasserturm begrenzt war, berichtete MPR News.

Später am Tag nannte die Stadt den Grund: Der Ausfall sei «die Folge eines böswilligen Cyberangriffs unbekannter Akteure auf computergestützte Betriebssysteme». Die Angreifer hatten die Steuerung abgeschaltet und damit den Brunnen und die Aufbereitungsanlage stillgelegt.

Braham war kein Einzelfall. Innert weniger Tage teilten das FBI und die Umweltschutzbehörde EPA mit, Wassersysteme in mindestens sieben Bundesstaaten seien betroffen. Die Angreifer mussten nichts Neues knacken: Die Steuerungen waren aus dem Internet erreichbar. Damit geht es um Tausende kleine Versorger, die mit derselben Art von Ausrüstung arbeiten.

Was taten die Angreifer?

Laut FBI und EPA griffen die Angreifer aus der Ferne auf internetfähige Geräte zu, änderten IP-Adressen und Passwörter und brachten die Versorger um Überwachung und Steuerung, berichtete NBC News. Die FBI-Warnung nannte über das Internet erreichbare speicherprogrammierbare Steuerungen vom Typ Rockwell Automation Allen-Bradley MicroLogix 1100 und 1400, so eine Analyse von LevelBlue SpiderLabs.

Eine neue Softwarelücke fand LevelBlue nicht. Die Kampagne stützte sich auf Internetexponierung, schwache oder fehlende Authentifizierung, ungesicherte Mobilfunkmodems, falsch konfigurierten Fernzugriff und legitime Engineering-Werkzeuge. Mindestens ein Versorger fand veränderte Projektdateien, und das FBI stellte fest, dass mehrere Opfer gleiche Netzwerkkonfigurationen externer Dienstleister nutzten, was die Wiederverwendung derselben Methode ermöglichen könnte.

Wie viele Systeme waren betroffen?

• Minnesota: mindestens 30 kommunale Wasseranlagen am 26. und 27. Juli angegriffen, laut Minnesota IT Services, zitiert von TIME; NBC News und LevelBlue sprechen von über 30. Öffentlich genannt wurden nur Braham, Plymouth, South St. Paul und Maple Plain.
• Michigan: neun Wassersysteme, laut TIME.
• Landesweit: Vorfälle in mindestens sieben Bundesstaaten, laut FBI und EPA, die diese nicht nannten, berichtete NBC News.

War das Wasser gefährlich?

Die Behörden der Bundesstaaten erklärten, die Angriffe hätten vor allem den Betrieb unterbrochen und das Trinkwasser keiner Verunreinigung ausgesetzt, berichtete TIME. Braham versicherte, das Wasser sei «wie vorgesehen gefiltert und aufbereitet», und Michigans Umweltbehörde, «alle Systeme liefen weiterhin sicher».

Die Folgen waren dennoch real. Plymouth verlor die Verbindung zu zwei Wassertürmen und mehreren Pumpstationen und stellte auf manuelle Abläufe um, so MPR News. Für die gesamte Kampagne nennt LevelBlue Druckverlust, Überflutungen, Kommunikationsausfälle, Abkochempfehlungen und längeren Handbetrieb. FBI und EPA warnten, Störungen wie Druckverlust «könnten unbehandeltes Grundwasser in die Leitungen eindringen lassen».

Nicht alle Darstellungen stimmen überein. Ein Bulletin der Umweltbehörde Wisconsins hielt fest, Minnesota habe gemeldet, Hacker hätten den Druck in Systemen gesenkt. Emily Zimmer, Sprecherin der IT-Behörde Minnesotas, widersprach: «Minnesota hat nicht gemeldet, dass Angreifer den Druck in mehreren Wassersystemen gesenkt hätten», sagte sie NBC News.

Wer steckt dahinter?

Formell wurde niemand benannt. Am 22. Juli, wenige Tage vor den Angriffen, hatten Bundesbehörden eine Warnung vor iranisch verbundenen Cyberaktivitäten gegen kritische US-Infrastruktur aktualisiert, berichtete TIME. Die Angriffe ähneln einem Vorfall von 2023 in einer Wasseranlage in Pittsburgh, den die Cybersicherheitsbehörde CISA der Gruppe CyberAv3ngers zuschrieb, die mit den iranischen Revolutionsgarden verbunden ist.

Ein Vertreter der Strafverfolgung sagte NBC News, der Angriff in Minnesota trage Merkmale iranischer Einmischung. Doch weder Minnesota noch die US-Regierung haben ihn öffentlich zugeordnet. «Eine Zuordnung erfordert die sorgfältige Analyse technischer Beweise», sagte Zimmer. LevelBlue beschreibt die Aktivität als nicht zugeordnet, mit «technischen und kontextuellen Ähnlichkeiten» zur iranischen Kampagne, und bezeichnet eine iranische Beteiligung als Arbeitshypothese.

Die Frage wurde rasch politisch. Präsident Trump wies eine iranische Beteiligung ohne Belege zurück und gab Minnesota die Schuld, so TIME: «Ich glaube, ich schiebe es auf Minnesota, weil die grob inkompetent sind», sagte er. Gouverneur Tim Walz machte Kürzungen bei der CISA verantwortlich und deutete an, Iran könnte sich für US-Angriffe rächen: «Trump weiss genau, wer für diesen Angriff verantwortlich ist, und weiss, dass auch andere Bundesstaaten getroffen wurden.»

Wessen Aufgabe ist es, die Lücke zu schliessen?

Die EPA hatte bereits früher gewarnt, dass viele lokale Wassersysteme gravierende Schwächen aufweisen, darunter veraltete Software und schwache Zugangskontrollen. EPA-Chef Lee Zeldin sagte, auf Versorgern und Gemeinden laste «viel Eigenverantwortung», berichtete TIME. Die CISA empfahl zusätzlichen Passwortschutz und die Trennung wichtiger Systeme vom Internet.

Die Liste von LevelBlue für Betreiber ist länger: Steuerungen und Modems nicht direkt ans Internet hängen, Standard- und gemeinsam genutzte Zugangsdaten ändern, Mehrfaktor-Authentifizierung für den Fernzugriff durchsetzen, die laufende Logik mit geprüften Kopien abgleichen und die Fähigkeit bewahren, wichtige Anlagen von Hand zu betreiben.

Was wir nicht wissen

• Wer die Angriffe verübte. Zum Zeitpunkt der geöffneten Quellen (Anfang August 2026) gab es keine formelle Zuordnung.
• Welche weiteren Bundesstaaten betroffen waren und wie stark. FBI und EPA nannten sie nicht, und von den betroffenen Systemen in Minnesota wurden nur vier öffentlich genannt.
• Ob irgendwo tatsächlich Wasser beeinträchtigt wurde. Die Behörden in Minnesota und Michigan verneinen das; ein landesweites Bild ist nicht öffentlich.

Worauf zu achten ist

Die Bundesbehörden erklärten, die Ermittlungen dauerten an, und das FBI sagte, es sei entschlossen, die Verantwortlichen zu identifizieren und zu stoppen. Für die Versorger hängt die Lehre nicht davon ab, wer es war: Eine Steuerung, die aus dem Internet erreichbar ist, ist für alle erreichbar. Entscheidend ist, wie viele es noch sind, wenn die nächste Warnung kommt.

Quellen

• MPR News: Officials in Minnesota cities say cyberattacks targeted water systems (27. Juli 2026)
• NBC News via NBC Washington: Hackers targeted municipal water systems in several states (31. Juli 2026)
• TIME: What to know about the U.S. water systems cyberattacks (2. August 2026)
• LevelBlue SpiderLabs: Review of the July 2026 cyberattacks against U.S. water and wastewater systems (4. August 2026)