Im Kontrollraum tropft es. Nicht aus der Decke, obwohl die Decke im Kontrollraum natürlich auch schon bessere Tarifjahre gesehen hat. Diesmal tropft es aus der Leitung, durch die ein Energieplaner eigentlich vertraulich sprechen sollte.
Auf der Werkbank liegt ein Netzplan, ein bisschen eingerollt, ein bisschen beleidigt. Daneben steht PROMOD V von Hitachi Energy und sagt sinngemäß: Ich schicke da mal was rüber. CISA schaut in den Schacht und findet: Das Ding spricht an einer Stelle noch HTTP, nicht HTTPS. Also Regenkanal statt geschlossener Rohrpost.
Wenn der Dispatch-Zettel nass wird
Der Anlass ist nüchtern genug, um in einem Schaltschrank zu wohnen: Die US-Behörde CISA hat am 7. Juli 2026 das Advisory ICSA-26-188-02 zu Hitachi Energy PROMOD V veröffentlicht. Betroffen sind laut CISA PROMOD-V-Versionen 1.0.10 und früher. Die Schwachstelle heißt CVE-2026-10763.
Der Kern: PROMOD V nutzt an der beschriebenen Stelle unsichere HTTP-Kommunikation statt HTTPS. CISA führt als Ursache fehlende HTTPS-Unterstützung des Drittanbieter-Servers Digipede an. Wer an der falschen Stelle im Kanal sitzt, könnte Daten auf dem Transportweg mitlesen oder verändern. CISA nennt als mögliche Folgen unter anderem Credential Theft, Session Hijacking oder unautorisierten Zugriff.
Das ist kein Feuerwerk mit Kapuze. Es ist eher dieser Moment, in dem im Werkstattflur jemand merkt, dass die vertrauliche Hauspost seit Jahren in einer durchsichtigen Regenrinne fährt. Alle wussten: Da rauscht etwas. Niemand wollte wissen, ob die Krokodile darunter lesen können.
CVSS mit Gummistiefeln
CISA gibt für CVSS 3.1 einen Wert von 7.1 an, also High. Die Vektorzeile sagt nicht „Welt brennt“, sondern eher: Netzwerk erreichbar, niedrige Angriffskomplexität, keine Privilegien nötig, aber Nutzerinteraktion im Spiel. Genau diese Sorte Blech, die im Alltag gern übersehen wird, weil sie nicht dramatisch genug schreit.
In der Energieplanung ist Transport nicht nur Transport. Wer Fahrpläne, Lastannahmen, Sitzungen oder Zugangssplitter in der falschen Rinne liegen lässt, baut aus Vertraulichkeit eine Pfütze. Und Pfützen haben im Kontrollraum die dumme Eigenschaft, dass jeder hineinschauen kann, der nah genug am Gitter steht.
Der Schraubenschlüssel heißt Update
Die empfohlene Reparatur ist weniger poetisch, dafür brauchbar: Laut CISA soll auf PROMOD V 1.0.11 aktualisiert und HTTPS auf dem Digipede-Server aktiviert werden. Außerdem wiederholt CISA die üblichen, aber nicht falschen ICS-Grundregeln: Kontrollsysteme nicht unnötig ins Internet hängen, Netze trennen, Firewalls nutzen, Remote-Zugänge härten, vorher Risiko und Betriebsfolgen prüfen.
Man kann darüber spotten, dass „bitte HTTPS benutzen“ im Jahr 2026 klingt wie „bitte nicht mit nassen Händen in den Verteiler greifen“. Nur: Genau solche Sätze stehen nicht ohne Grund noch auf Werkstattzetteln. Irgendwo gibt es immer einen alten Karren, einen Drittanbieter-Schacht und eine Leitung, die aus Gewohnheit weiter offen murmelt.
Die Blechpresse notiert: Der Energieplaner muss nicht neu erfunden werden. Aber der Regenkanal gehört zugeschraubt, bevor der nächste Schlüssel vorbeischwimmt und jemand unten sehr höflich „meiner“ sagt.