Worum es geht
Das FBI und die CISA haben am 23. September 2026 ein gemeinsames Merkblatt veröffentlicht, das sich an Betreiber kritischer Infrastrukturen richtet und die Sicherheitsrisiken im Umgang mit externen ICS-Integratoren behandelt. Gemeint sind damit Dienstleister, die industrielle Steuerungssysteme (Industrial Control Systems) planen, installieren, konfigurieren und warten, also die SCADA-Systeme, speicherprogrammierbaren Steuerungen (SPS) und die vernetzte Hard- und Software, die physische Prozesse in Kraftwerken, Wasserwerken, Produktionsanlagen oder Verkehrsbetrieben überwachen und automatisieren.
Der Kern des Problems: Betreiber kritischer Infrastrukturen verfügen oft nicht über das spezialisierte Wissen, um ihre OT-Umgebung selbst aufzubauen und zu betreiben, und greifen deshalb auf externe Integratoren zurück. Diese erhalten dabei tiefen und privilegierten Zugang zu den empfindlichsten Systemen des Betreibers, häufig verbunden mit dauerhaftem Fernzugriff und mit der Speicherung sensibler Anlagendaten auf den Systemen des Integrators. Genau diese Konstellation macht den Integrator zu einem attraktiven Ziel und zu einem potenziellen Einfallstor.
Das Risiko: privilegierter Zugang und sensible Daten
Ein kompromittierter Integrator ist aus Sicht eines Angreifers ein Generalschlüssel. Wer den Dienstleister übernimmt, erhält potenziell Zugriff auf die OT-Umgebungen mehrerer Betreiber gleichzeitig, inklusive der Fernzugriffswege, über die der Integrator normalerweise Wartung leistet. Hinzu kommt, dass Integratoren oft detaillierte Unterlagen über die Anlagen ihrer Kunden speichern, von Netzwerkdiagrammen über Gerätekonfigurationen bis zu vollständigen Schemata.
Das Merkblatt verweist auf einen konkreten Vorfall: Zwischen März und April 2025 kompromittierten Angreifer ein US-amerikanisches Unternehmen für Industrieautomation und stellten neun ZIP-Dateien mit rund 800 Dateien zusammen, darunter Kunden-SCADA-Informationen, ICS-Gerätedetails und weitere Schemata, offenbar zur Exfiltration und für spätere Angriffe. Solche Unterlagen sind für einen Angreifer wertvoll, weil sie die aufwendige Aufklärungsphase abkürzen und einen gezielten Angriff auf die physischen Prozesse erst ermöglichen.
Vier Fragen, die jeder Betreiber beantworten sollte
CISA und FBI empfehlen, jede Zusammenarbeit mit einem Integrator anhand von vier grundlegenden Fragen zu bewerten:
Welche Daten sieht oder speichert der Integrator? Je mehr Unterlagen über die eigene Anlage bei einem Dritten liegen, desto grösser ist der Schaden bei dessen Kompromittierung.
Wo werden diese Daten physisch gespeichert? Die Frage nach dem Speicherort (im Inland oder im Ausland) berührt sowohl die Datensouveränität als auch die Frage, welchem Rechtsrahmen die Daten unterliegen.
Verfügt der Integrator über dauerhaften Fernzugriff? Ein ständig offener Zugang ist bequem, aber er ist auch ein permanenter Angriffspfad, der unabhängig vom Betreiber missbraucht werden kann.
Kann der Betrieb ohne den Integrator weiterlaufen? Wer bei einer Kompromittierung des Dienstleisters handlungsunfähig wird, hat ein Resilienzproblem, das über die reine IT-Sicherheit hinausgeht.
Die Empfehlungen im Überblick
Das Merkblatt bündelt seine Empfehlungen in mehrere Bereiche, die zusammen ein belastbares Sicherheitsniveau ergeben.
Vertragliche Anforderungen: Verträge mit Integratoren sollten konkrete Vorgaben enthalten, unter anderem zum Speicherort der Daten, zu den Fernzugriffsprotokollen, zu den einzuhaltenden Sicherheitsstandards, zum Patch-Management, zur Änderung von Standardpasswörtern und zu einer Liste der autorisierten Personen. Sicherheit muss vertraglich geregelt sein und darf nicht dem Zufall überlassen bleiben.
Zugriffskontrolle nach dem Least-Privilege-Prinzip: Ein Integrator sollte nur den minimalen Zugang erhalten, den er für seine konkrete Aufgabe benötigt, und keinen darüber hinaus. Pauschale Administratorrechte über die gesamte OT-Umgebung sind das Gegenteil davon.
Überwachter Fernzugriff auf Abruf: Statt eines dauerhaft offenen Zugangs empfehlen CISA und FBI Fernzugriffe, die nur bei Bedarf und erst nach ausdrücklicher Freigabe durch den Betreiber aktiviert werden, und die vollständig protokolliert und überwacht werden. Immer offene VPN-Tunnel in OT-Netze gelten in der Fachwelt inzwischen als Antimuster.
Operative Widerstandsfähigkeit: Betreiber sollten Offline-Backups aller kritischen Software vorhalten und den manuellen Betrieb ihrer Anlagen ohne die Unterstützung des Integrators regelmässig üben. Nur so bleibt die Kontrolle über die physischen Prozesse auch dann erhalten, wenn der Dienstleister ausfällt oder kompromittiert wird.
Vollständige Asset-Dokumentation: Der Betreiber sollte über ein vollständiges Inventar seiner Hard- und Software verfügen, inklusive Verbindungsdiagrammen und Aktualisierungsprozeduren. Man kann nur schützen, was man kennt.
Einordnung: kein Einzelthema, sondern Lieferkettensicherheit
Der Ansatz von CISA und FBI ist kein Sonderfall, sondern Teil eines breiteren Rahmens für die Sicherheit von Lieferketten. Das Merkblatt verweist ausdrücklich auf etablierte Grundlagen wie die Asset-Inventory-Guidance der CISA für OT, das Cybersecurity Supply Chain Risk Management des NIST (dokumentiert unter anderem in der Spezialpublikation NIST SP 800-161) und die Nutzung von Software Bills of Materials (SBOM).
Das aktuelle NIST Cybersecurity Framework in der Version 2.0 hat dem Thema mit der neuen Govern-Funktion und der Kategorie Supply Chain Risk Management (GV.SC) einen prominenten Platz eingeräumt. Die Botschaft dahinter ist eindeutig: das Risiko durch Dritte ist kein technisches Detail, sondern eine Führungsaufgabe, die auf Vorstands- und Geschäftsleitungsebene verankert sein muss.
Der Schweizer Kontext
Für Schweizer Betreiber kritischer Infrastrukturen ist das Thema aus zwei Gründen unmittelbar relevant. Erstens gilt die Risikolage unabhängig vom Standort: Schweizer Energieversorger, Wasserwerke, Spitäler und Verkehrsbetriebe arbeiten genauso mit externen ICS-Integratoren wie ihre amerikanischen Pendants, und die Angreifer unterscheiden nicht nach Landesgrenzen.
Zweitens hat sich die rechtliche Ausgangslage verändert. Seit dem 1. April 2025 gilt in der Schweiz eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Betreiber müssen einen Vorfall innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden, sofern er die Funktionsfähigkeit der Infrastruktur gefährdet, was ausdrücklich auch den Diebstahl oder die Manipulation sensibler Daten sowie Erpressungsversuche einschliesst. Die Pflicht stützt sich auf das Informationssicherheitsgesetz und die zugehörige Verordnung und betrifft neun Sektoren, darunter Energie, Wasser, Gesundheit, Finanzen, Verkehr und die Informations- und Kommunikationstechnik. Nach einer sanktionsfreien Übergangsphase bis zum 1. Oktober 2025 drohen bei Verstössen Bussen von bis zu 100’000 Franken. Ausgenommen sind lediglich kleinere Unternehmen unterhalb definierter Schwellenwerte.
Die Verbindung zum CISA-Merkblatt ist offensichtlich: Wird ein Schweizer Betreiber über einen kompromittierten Integrator angegriffen und werden dabei sensible Anlagendaten entwendet, ist dies nach der neuen Regelung ein meldepflichtiger Vorfall. Ein sauberes Drittparteienmanagement ist damit nicht mehr nur eine Frage der Sorgfalt, sondern berührt direkt die regulatorische Compliance.
Was Betreiber und Integratoren jetzt tun sollten
Für Betreiber lautet die zentrale Massnahme, die Beziehung zu jedem Integrator systematisch zu erfassen und die vier Schlüsselfragen ehrlich zu beantworten. Daraus ergeben sich konkrete Schritte: Fernzugriffe von dauerhaft offen auf Abruf umstellen, Zugriffsrechte auf das notwendige Minimum reduzieren, Verträge um Sicherheitsanforderungen ergänzen und den manuellen Notbetrieb üben.
Auch die Integratoren selbst sind gefordert. Wer für kritische Infrastrukturen arbeitet, wird zunehmend danach beurteilt, wie gut er die eigenen Systeme, die Kundendaten und die Fernzugriffswege absichert. Ein Integrator mit einem nachweislich soliden Sicherheitsprogramm hat künftig einen Wettbewerbsvorteil, während ein kompromittierter Dienstleister zum Reputationsrisiko für die gesamte Branche wird.
Der vollständige Leitfaden von FBI und CISA ist frei verfügbar: Considerations for Critical Infrastructure Operators Working with Third-Party ICS Integrators (CISA/FBI, September 2026)
Betreiben Sie kritische Infrastruktur oder OT-Umgebungen und arbeiten mit externen Integratoren zusammen? Kontaktieren Sie uns für eine Überprüfung Ihres Drittparteien- und Fernzugriffsmanagements.
Quellen:
– CISA/FBI: Considerations for Critical Infrastructure Operators Working with Third-Party ICS Integrators
– BACS: Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
– NIST SP 800-161r1: Cybersecurity Supply Chain Risk Management Practices
– CISA: ICT Supply Chain Risk Management