Iran hackte US-Wassersysteme in Minnesota – und die KI-Sicherheitsdebatte verfehlt den Kern des Problems

Ein bestätigter iranischer Cyberangriff auf die Wasserinfrastruktur in Minnesota wird als KI-Geschichte dargestellt. Das sollte er nicht – und diese Darstellung ist tatsächlich gefährlich.

In plain terms: US-Behörden haben einen Cyberangriff auf die Steuerungssysteme des Wassersystems in Minnesota staatlich gesponserten iranischen Hackern zugeschrieben – obwohl die Zuordnung noch vorläufig ist. Die Angriffe richteten sich gegen Betriebstechnologie (OT), nicht gegen IT-Systeme. Dies ist ein Angriff auf kritische Infrastruktur; der „KI-Aspekt“ in der Medienberichterstattung ist eine Ablenkung.

The story: Schneiers Analyse durchdringt das Rauschen: Der Angriff nutzte bekannte Schwachstellen in industriellen Steuerungssystemen, nicht neuartige KI-gestützte Techniken. Die mediale Darstellung von „KI-gestützten Cyberangriffen“ trübt eine klarere und wichtigere Geschichte – staatliche Akteure zielen aktiv auf die OT kritischer US-Infrastruktur mit seit Jahren dokumentierten Methoden ab.

Die Angriffe auf das Wassersystem in Minnesota folgen einem Muster, das mit dem Stromnetz der Ukraine (2015–2016), der Wasseraufbereitungsanlage Oldsmar (2021) und zahlreichen ICS/SCADA-Kampagnen seitdem etabliert wurde. Das Bedrohungsmodell ist konsistent; die Abwehrmaßnahmen bleiben unzureichend.

Die „KI-Hacking“-Darstellung ist problematisch, da sie den falschen Eindruck erweckt, das Problem sei neu und futuristisch, während die tatsächlichen Lücken – ungepatchte OT-Systeme, flache Netzwerke zwischen IT und OT, unzureichende Überwachung – seit langem bekannt und behebbar sind.

Under the hood: OT-Systeme in der Wasseraufbereitung laufen auf PLCs und SCADA-Software mit Lebenszyklen von 15–25 Jahren. Die meisten sind nicht nach den Standard-IT-Zeitplänen patchbar. Air-Gapping ist teuer; die Verbindung ist gefährlich. Die Sicherheitscommunity weist seit einem Jahrzehnt darauf hin.

So what: Wasserversorger, Strombetreiber und Regierungsbeschaffungsbeauftragte sollten dies als Signal sehen, in OT-Sicherheit zu investieren – nicht darauf warten, dass eine „KI-spezifische“ Bedrohung eintritt. Die Bedrohung ist bereits da; sie trägt nur kein Chatbot-Gesicht.