LONDON (IT BOLTWISE) – Forescout hat 4.407 weltweit öffentlich erreichbare Rockwell-Controller gezählt, darunter 2.844 in den USA. In Städten mit gemeldeten Cybervorfällen bei Wasser- und Abwasserbetreibern fanden die Forscher 22 internet-facing PLCs. Laut Analyse lassen sich sichtbarkeits- und kontrollbezogene Effekte auch ohne klassischen Exploit erzielen: Angreifer ändern IP-Adressen und setzen Passwörter, sodass Betreiber Betriebsdaten verlieren. Offen bleibt, wie die Täter zuerst in die Umgebungen kamen und nach welchen Kriterien sie Ziele auswählten.
Die Zahl ist groß genug, um sie als Infrastrukturproblem zu lesen: In einem groß angelegten Scan hat Forescout am 3. August weltweit 4.407 öffentlich erreichbare Rockwell-Controller erfasst. Der Fokus lag dabei auf internet-facing speicherprogrammierbaren Steuerungen (PLCs), genauer auf EtherNet/ IP-Endpunkten, nicht auf konkreten Wasser- oder Abwassersystemen als solchen. In den USA weist der Bericht 2.844 dieser exponierten Controller aus. Die gleiche Methode führt damit nicht automatisch zu einer Aussage über „betroffene Versorger“, zeigt aber deutlich, wie viele Steuerungsgeräte ohne geeignete Perimeter-Absicherung überhaupt erreichbar sind.
Besonders brisant wird die Meldung, weil Forescout in Städten, die im Umfeld jüngerer Cyberangriffe gegen US-Water-Utilities genannt wurden, 22 solche Controller gefunden hat. Laut Darstellung entfielen 19 davon auf dieselbe Mobilfunk-Kernnetz- bzw. Carrier-Umgebung. Damit rückt ein wiederkehrendes Muster in den Mittelpunkt: Wenn entfernte Zugänge über ähnliche Telekom-Strukturen laufen, erhöhen sich die Chancen für Angreifer, mit einem einmal funktionierenden Setup wiederholbar vorzudringen. Im gleichen Kontext betonen die Angaben auch eine Einschränkung: Forescout konnte nicht bestätigen, dass die gefundenen Geräte tatsächlich kompromittiert wurden. Dennoch zeigt die Konstellation, warum klassische „IT-Perimeter“-Denke in der OT-Landschaft allein nicht ausreicht.
Technisch beschreibt Forescout einen möglichen Angriffshebel, der ohne Spezifischen Exploit auskommt: Angreifer sollen IP-Adressen so geändert und Passwörter auf den Steuerungen so gesetzt haben, dass Betreiber die Geräte aus dem Blick verlieren und in manchen Fällen die Kontrolle über angeschlossene Komponenten verlieren. Das ist in der Praxis ein anderes Risiko als „Software ist kaputt, also wird sie ausgenutzt“: Es reicht, dass die PLC weiterhin erreichbar bleibt und anschließend die Zugriffskette kompromittiert oder aus Sicht des Betriebs unterbrochen wird. Die Berichte von FBI und EPA erwähnen Vorfälle seit dem 27. Juli in mindestens sieben US-Bundesstaaten; dort steht aber ebenfalls nicht, wie genau die Angreifer identifiziert, ausgewählt und erstmalig eingestiegen sind. Selbst die Abweichung zwischen den in der Öffentlichkeit genannten Länderzahlen (Forescout zufolge 12 vs. sieben) unterstreicht, dass Details zur Taktik noch nicht vollständig transparent sind.
Ein zentraler Verteidigungshebel lässt sich aus den technischen Bedingungen ableiten, die Forescout für die Exposition nennt: Wenn EtherNet/ IP über den Standard-Port 44818 öffentlich erreichbar gemacht wird, entsteht eine unauthentifizierte Angriffsfläche. Je nach Geräte- und Konfigurationslage kann ein Angreifer dann nicht nur Informationen über die Steuerung identifizieren, sondern auch Einstellungen schreiben. Für Sicherheitsverantwortliche bedeutet das: Die Maßnahme „keine direkten Internetports“ ist nicht nur ein Best-Practice-Satz, sondern reduziert unmittelbar die Zahl potenzieller Kontaktpunkte. Zusätzlich empfiehlt die FBI/EPA-Linie für zellulare Fernzugriffe eine robuste Authentifizierung, laufende Updates sowie Logging für Modems; remote access soll zudem über eine Architektur isoliert werden, die einem privaten APN, einem VPN oder einer vergleichbaren Trennung entspricht.
Die Expositionslage wird durch Vergleichsdaten untermauert, auch wenn die Zahlen nicht eins zu eins vergleichbar sind. Ein Snapshot von Censys vom 30. Juli fand 4.148 öffentlich sichtbare Rockwell/Allen-Bradley EtherNet/ IP-Hosts; 59 % entfielen dabei auf Verizon Business, AT&T Mobility und T-Mobile USA. Forescout und Censys kommen zwar beide auf Werte über 4.100, aber unterschiedliche Plattformen, Abfragewege und Zeitpunkte sorgen dafür, dass man keinen „exakten Trend“ ableiten sollte. Gleichwohl zeigt Forescouts eigene Zeitreihe eine bemerkenswerte Dynamik: Im Juni 2026 lag der eigene historische Wert bei 4.169 und damit 47 % unter 7.814 im März 2020. Dass die Basiswerte gesunken sind, macht den aktuellen Zustand nicht harmlos – sondern lenkt den Blick darauf, wie nachhaltig OT-Hygiene und Netzwerksegmentierung umgesetzt werden.
Auch die Frage nach der Verwundbarkeit spielt weiterhin eine Rolle. In den betroffenen Städten liefen laut Forescout 19 der 22 identifizierten Controller mit Firmware, die gegen CVE-2017-16740 anfällig sein soll. Bei der genannten Schwachstelle handelt es sich laut Bericht um einen Modbus-TCP-Buffer-Overflow, der MicroLogix 1400 Series B und C (Firmware 21.002 und früher) betrifft; Rockwell habe die Lücke in der Revision 21.003 behoben. Für die Praxis ist dabei entscheidend, dass die Ausnutzung Modbus TCP erfordert, was Forescout für diese konkreten Hosts nicht verifizieren konnte. Genau diese Differenz ist wichtig: Selbst wenn die Firmwareanfälligkeit existiert, hängt der tatsächliche Exploit-Erfolg von weiteren Betriebsparametern ab. Gleichzeitig macht die Forschung klar, dass Firmware-Updates allein nicht „Internet-Exponierung akzeptabel“ machen – sie beseitigen spezifische Bugs, aber nicht die strukturelle Angriffsfläche durch öffentliche Dienste.
Für den Betrieb sind außerdem die Recovery- und Konfigurationspfade relevant, weil sie oft im Schatten der Patch-Debatte stehen. Rockwell hat ein Advisory (SD1790) veröffentlicht, das die Wiederherstellung von MicroLogix 1400 oder 1100 ermöglicht, wenn ein Angreifer Passwörter gesetzt hat, inklusive Anleitung zum Zurücksetzen auf Werkseinstellungen und zum erneuten Laden einer bekannten guten Projektdatei. Der Hinweis trägt laut Darstellung keinen CVE, weil es sich um Wiederherstellungsanleitung statt um eine Vulnerability-Offenlegung handelt. Dass solche Projekte nach Manipulationen wiederhergestellt werden müssen, ist auch deshalb realistisch, weil das FBI angibt, dass mindestens ein Opfer modifizierte PLC-Projektdateien nach auffälligen Abweichungen in der Leiterlogik über mehrere Standorte gefunden habe. Daraus folgt für Betreiber ein operatives Thema: Offline-Kopien der Steuerungslogik und ein klarer, getesteter Restore-Prozess sind Teil der Sicherheitsarchitektur – nicht nur ein Randdokument.
Unterm Strich zeigt die Kombination aus hoher Zahl exponierter EtherNet/ IP-Endpunkte, einem Angriffsmuster ohne zwingenden Exploit und dem Hinweis auf wiederkehrende Mobilfunk-Setups, wie OT-Sicherheit heute neu austariert werden muss. Unternehmen sollten die unmittelbare Maßnahme „PLC aus dem öffentlichen Internet entfernen“ als Priorität behandeln und gleichzeitig prüfen, ob Fernzugriffe über private Netze, VPNs oder vergleichbare Trennungen wirklich durchgängig umgesetzt sind. Dazu kommt die Patch- und Konfigurationsarbeit rund um Modbus TCP und die Firmwarestände der MicroLogix-Familien. Wer diese Schritte jetzt strukturiert, reduziert nicht nur das Risiko für klassische CVE-Ausnutzung, sondern auch die Wahrscheinlichkeit, dass Angreifer durch IP- und Passwort-Manipulationen den Betrieb in eine Black-Box verwandeln.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "4.407 exponierte Rockwell-PLCs: Angriffsweg über IP-Änderung und Gerätepasswörter" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "4.407 exponierte Rockwell-PLCs: Angriffsweg über IP-Änderung und Gerätepasswörter" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »4.407 exponierte Rockwell-PLCs: Angriffsweg über IP-Änderung und Gerätepasswörter« bei Google Deutschland suchen, bei Bing oder Google News!