Wasserqualität braucht Cybersicherheit

Wenn im Sommer die Temperaturen steigen, zieht es Millionen Menschen ans Wasser. Ob Erholung am See, Freibadbesuche oder die kühle Erfrischung direkt aus dem Wasserhahn. Die Verfügbarkeit von sauberem Wasser ist für uns Selbstverständlichkeit und Lebensqualität. Umso kritischer ist das, was hinter den Kulissen geschieht: Die Absicherung unserer Wasserversorgung und Abwasserentsorgung.  

Der Wasserwirtschaftssektor bildet das Fundament für Gesellschaft, Wirtschaft sowie die Gesundheit von Mensch und Umwelt. Während voranschreitende Digitalisierung und Prozessautomatisierung die Steuerung optimieren, schaffen sie gleichzeitig neue Angriffsflächen für interne Fehler und Cyberattacken.  

Ein prominentes Beispiel zeigte bereits vor einigen Jahren die Brisanz des Themenfelds: Der Beinahe-Vorfall beim Wasserversorger im US-amerikanischen Oldsmar. Dort geriet die Wasserqualität schlagartig in Gefahr. Dass nichts Schlimmeres passierte, war glücklichen Umständen zu verdanken. Doch weil die nötige Sichtbarkeit in die Operational Technology (OT) fehlte, blieb zwei Jahre lang unklar, ob es sich um eine gezielte Cyberattacke oder einen internen Bedienfehler handelte.  

Gefahrenlage und operative Herausforderungen in der Wasserwirtschaft

In den letzten Jahren blieben zwar großflächige, erfolgreiche Angriffe auf die physische Steuerungstechnik (OT) in Deutschland die Ausnahme. Allerdings zeigen Vorfälle im In- und Ausland, wie Ransomware-Angriffe auf IT-Dienstleister von Stadtwerken, wie schnell die Abstrahlwirkungen die Versorger treffen können.  

Zu den größten Herausforderungen der Branche gehören:  

• Der akute Fachkräftemangel: In der Wasserwirtschaft wachsen IT/OT-Sicherheitsexperten schlicht nicht auf den Bäumen. Die operative Belegschaft vor Ort fokussiert sich primär auf die Aufbereitung von Trinkwasser und das Einhalten von Umweltgrenzwerten, nicht auf das Analysieren von Security Advisories.  

• Veraltete Anlagenstrukturen ("Legacy OT"): Viele Steuerungen in der Prozess- und Netzleittechnik (PNLT) laufen nach dem Prinzip „Never change a running system“ seit teils Jahrzehnten. Den Systemen fehlen meist grundlegende, eigene Sicherheitsmechanismen oder Verschlüsselungen.  

• Fehlende Transparenz & Asset-Übersicht: Oft fehlt den Betreibern ein detailliertes und tagesaktuelles Inventar darüber, welche Komponenten (Assets), Firmware-Stände und Kommunikationsverbindungen in der PNLT überhaupt existieren.  

• Kleinteiligkeit des Marktes: Deutschland zählt mehrere tausend Wasserversorger. Vor allem kleine und mittlere Betriebe können ein eigenes Security Operations Center (SOC) mit 24/7-Besetzung finanziell und personell kaum abbilden.  

Gesetzlicher Druck und regulatorische Leitplanken

Parallel zur dynamischen Bedrohungslage zieht der Gesetzgeber die Daumenschrauben für Betreiber Kritischer Infrastrukturen (KRITIS) spürbar an. Versorger stehen unter Zugzwang, ihre Systeme nach dem Stand der Technik abzusichern:  

1. NIS2-Richtlinie: Bisher war nur ein kleiner Bruchteil der Wasserwirtschaft reguliert. Durch deutlich gesenkte Schwellenwerte fallen künftig auch mittelständische Versorger unter strenge Verpflichtungen (u. a. Pflicht zu Systemen zur Angriffserkennung, erweiterte Meldepflichten und eine direkte Haftung der Geschäftsführung).  

2. B3S Wasser/Abwasser: Der Branchenstandard bildet den Leitfaden zur Umsetzung des IT-Grundschutzes in der Wasserwirtschaft. Er empfiehlt ein risikobasiertes Vorgehen über den Aufbau eines Informationssicherheitsmanagementsystems (ISMS) sowie eines Betrieblichen Kontinuitätsmanagements (BKM).  

3. DVGW- / DWA-Regelwerke: Vorgaben wie das Merkblatt DWA-M 1060 oder B3S-Projektmodule verlangen eine detaillierte Identifizierung von Risiken, die Segmentierung von Netzwerken sowie den Nachweis der Wirksamkeit von Schutzmaßnahmen.  

Lösungsansätze: Branchen-SOCs, Verbände und passives OT-Monitoring

Um die Lücke zwischen regulatorischen Pflichten und fehlenden Ressourcen zu schließen, setzen Verbände und Sektor-Initiativen auf partnerschaftliche und pragmatische Modelle.  

1. Das Sektor-SOC als "Sharing Community"

Mit Initiativen wie dem Kompetenzzentrum Digitale Wasserwirtschaft (KdW) und dem Lagezentrum Cybersec@Wasser steht der Branche ein gemeinschaftlicher Ansatz zur Verfügung.  

Der Kerngedanke: Kleinsten wie auch größeren Versorgern wird eine spezialisierte Angriffserkennung ermöglicht, ohne dass jeder Betrieb selbst ein 12-köpfiges IT-Security-Team vorhalten muss. Das Sektor-SOC bündelt das spezifische OT-Fachwissen der Wasserwirtschaft, wertet Anomaliemeldungen zentral aus und benachrichtigt Betreiber im Ernstfall gezielt. Mehr dazu hören Sie im Podcast mit Roland Derler vom KdW.

2. Industrielles Netzwerkmonitoring mit Anomalieerkennung

Um Angriffe oder technische Fehler zu erkennen, bevor die Wasserqualität oder Versorgung geschädigt wird, bildet ein passives Netzwerkmonitoring das Herzstück einer modernen Defense-in-Depth-Strategie:  

• Rückwirkungsfreie Sichtbarkeit: Das Monitoring liest die Steuerungskommunikation in der PNLT passiv mit ohne die sensiblen Echtzeitprozesse zu stören.  

• Deep Packet Inspection (DPI): Durch die Dekodierung der Industrieprotokolle bis auf Wertebene werden unbefugte Fernwartungszugriffe, Konfigurationsänderungen an SPSen oder fehlerhafte Telegramme sofort identifiziert.  

• Erkennung bekannter & unbekannter Gefahren: Während klassische IT-Firewalls nur an den Netzwerkgrenzen ansetzen, erkennt die Anomalieerkennung auch schadhafte Verhaltensabweichungen im Inneren des OT-Netzwerks (z. B. Innentäter, Zero-Day-Exploits oder Fehler durch Wartungspersonal).  

• Gezieltes Notfall- & Rezeptions-Training: Um den Ernstfall zu beherrschen, gewinnt das praktische Training an Bedeutung (analog zu Branchen-Initiativen wie der Cyber-Range im Energiesektor).  

Fazit

Die Transformation der Wasserwirtschaft erfordert ein Umdenken: Cybersicherheit ist kein reines IT-Projekt, sondern integraler Bestandteil der Versorgungssicherheit und Risikovorsorge auf Managementebene. Durch die Kombination aus passiver OT-Netzwerküberwachung und der Einbindung in branchenspezifische Sektor-SOCs oder externer personeller Expertise können Wasserversorger jeder Größe den regulatorischen Vorgaben gerecht werden und die Wasserqualität nachhaltig sichern. Weitere Informationen zum passiven OT Monitoring finden Sie hier.  

‍