Wasserversorgung digital absichern

Wasserver­sorgung­sun­ternehmen ste­hen zunehmend im Fokus von Cyberbedro­hun­gen, obwohl sie lange Zeit nicht als primäre Ziele wahrgenom­men wur­den. Ins­beson­dere in den ver­gan­genen Jahren und im Kon­text geopoli­tis­ch­er Kon­flik­te wie in der Ukraine und im Iran sind sie ver­stärkt in den Blick als Teil kri­tis­ch­er Infra­struk­turen geraten.

Das Prob­lem von Cyberan­grif­f­en ist beson­ders in Däne­mark akut, wo im ver­gan­genen Win­ter Hack­er die Kon­trolle über ein regionales Wasser­w­erk erlangten, den Pumpen­druck erhöht­en und Rohrbrüche verur­sacht­en. Dadurch waren Dutzende Haushalte stun­den­lang ohne Wass­er. Nur wenige Monate zuvor hat­ten Angreifer in Nor­we­gen die Schleusen eines Wasserkraftwerks für vier Stun­den geöffnet. Im August 2025 kam es laut der Regierung in Polen zu ein­er ähn­lichen Sit­u­a­tion, als die Wasserver­sorgung ein­er großen Stadt durch einen Cyberan­griff fast unter­brochen wor­den wäre.

In Deutsch­land gab es bish­er noch keine bekan­nt gewor­de­nen, erfol­gre­ich aus­ge­führten Hack­eran­griffe auf Wasser­w­erke. Die Bedro­hungslage ist allerd­ings hoch, laut datensicherheit.de verze­ich­nete die Energie- und Ver­sorgungs­branche 2025 durch­schnit­tlich 1872 wöchentliche Angriffsver­suche pro Unternehmen.

Die Gefahr, dass so etwas auch in Deutsch­land passiert, ist entsprechend all­ge­gen­wär­tig. Die Angreifer find­en eine stark frag­men­tierte Branche vor, Sicher­heit­slück­en sind weit ver­bre­it­et und vielfach fehlen Cyber­ab­wehrmaß­nah­men. Sobald sie diese aus­nutzen, kön­nen sie enorme Schä­den anricht­en oder Lösegeld erpressen.

Gründe für Angriffe auf Wasserver­sorg­er gibt es viele: Dazu zählen Erpres­sung und das Schüren von Unsicher­heit und Chaos.

Krim­inelle Cyber­gangs greifen Ver­sorgung­sun­ternehmen mit Ran­somware an, um wichtige Dat­en zu stehlen. Ihre Angriffe auf Wasserver­sorg­er richteten sich vor allem gegen die IT-Sys­teme der Unternehmen und ziel­ten nicht auf physis­che Schä­den ab: Dies war beispiel­sweise beim Angriff auf Amer­i­can Water im Okto­ber 2024 der Fall, einem der größten US-Wasserversorger.

Staatlich geförderte und ide­ol­o­gisch motivierte Akteure greifen Wasserver­sorgungsnet­ze dage­gen an, um eine psy­chol­o­gis­che Wirkung zu erzie­len. Zu den Zie­len kön­nen physis­che Schä­den wie Über­schwem­mungen oder Druck­ver­luste gehören: Dies war beispiel­sweise bei einem Angriff auf einen irischen Energiev­er­sorg­er im Jahr 2023 durch die mit dem Iran ver­bun­dene Gruppe „Cyber Av3ngers“ der Fall. Ähn­lich gelagert war der rus­sis­che Angriff auf eine Anlage in Texas im Jahr 2024, bei dem ein Tank mit Zehn­tausenden Litern Wass­er überlief.

Auch Vergif­tungsan­griffe sind denkbar und schon pro­biert wor­den: Im Jahr 2020 ver­sucht­en ange­blich mit dem Iran in Verbindung ste­hende Hack­er, den Chlorge­halt in israelis­chen Wasser­auf­bere­itungsan­la­gen zu erhöhen, doch ihr Vorhaben wurde vere­it­elt. Im Jahr 2023 taucht­en in Olds­mar, Flori­da, Berichte auf, wonach ein Ein­drin­gling den Natri­umhy­drox­idge­halt in ein­er Kläran­lage aus der Ferne um mehr als das Hun­dert­fache erhöht habe und nur gestoppt wer­den kon­nte, weil ein Mitar­beit­er die Verän­derung in Echtzeit bemerk­te ‒ die tat­säch­lichen Umstände des Vor­falls sind jedoch umstritten.

Im Gegen­satz zu krim­inellen Ban­den zie­len staatliche Akteure eher auf Schnittstellen ab, die über entsprechende Kom­man­dos unmit­tel­bar physis­che Auswirkun­gen zeigen: Dies gilt beispiel­sweise für spe­icher­pro­gram­mier­bare Steuerun­gen (SPS), die Pumpen­drehzahlen und Ven­tilzustände regeln. Diese Angriffe sind möglich, weil Stan­dard-Sicher­heits­maß­nah­men fehlen, die etwa Default-Pass­wörter über­schreiben und Steuerungss­chnittstellen kon­se­quent vom Inter­net abschotten.

Um diesen poten­ziellen Bedro­hun­gen zu begeg­nen, ver­lan­gen Geset­zge­ber von KRI­TIS-Unternehmen deut­lich mehr Anstren­gun­gen. Die europäis­che NIS2-Richtlin­ie, die in Deutsch­land Ende 2025 in Kraft getreten ist, stuft die Wasserver­sorgung als kri­tisch ein, was eine Rei­he von Verpflich­tun­gen mit sich bringt: Betreiber müssen doku­men­tierte Risikobe­w­er­tun­gen durch­führen, Kon­trollen der Liefer­kette ein­richt­en und schw­er­wiegende Vor­fälle inner­halb von 24 Stun­den nach ihrer Fest­stel­lung melden, gefol­gt von einem voll­ständi­gen Bericht inner­halb von 72 Stun­den. Kom­plett umge­set­zt haben die NIS2-Richtlin­ie erst knapp die Hälfte aller EU-Staat­en, darunter Deutsch­land, Bel­gien und Italien.

NIS 2 ist weit­ge­hend ergeb­nisori­en­tiert und weniger vorschreibend; die Richtlin­ie ermutigt Ver­sorgung­sun­ternehmen, auf etablierte Rah­men­werke wie ISO 27001 oder die indus­trielle Sicher­heit­snorm IEC 62443 zurück­zu­greifen, ohne jedoch konkrete Kon­troll­maß­nah­men vorzuschreiben. NIS 2 konzen­tri­ert sich dabei primär auf die Cyber­sicher­heit kri­tis­ch­er Infra­struk­turen. Mit dem KRI­TIS-Dachge­setz hat Deutsch­land im März 2026 noch ein zweites Paket beschlossen, das vor allem die physis­che Resilienz von Ver­sorg­ern verbessern soll. Diese Geset­ze gel­ten aber erst für Ver­sorg­er mit ein­er gewis­sen Mindestgröße.

Trotz beste­hen­der reg­u­la­torisch­er Vor­gaben bleiben die struk­turellen Her­aus­forderun­gen bei der Verbesserung der Cyber­sicher­heit in der gesamten Branche erhe­blich. Zum einen ist der Wassersek­tor außeror­dentlich frag­men­tiert: In Europa gibt es mehr als 70.000 Wasserver­sorg­er (in den USA sind es sog­ar rund 150.000). Ein Vier­tel der kleineren Betreiber gibt an, über kaum oder keine Kapaz­itäten zur Umset­zung von Cyber­sicher­heits­maß­nah­men zu verfügen.

Ein wirk­samer Schutz der Wasser­in­fra­struk­tur begin­nt damit, sich einen umfassenden Überblick darüber zu ver­schaf­fen, was tat­säch­lich im Net­zw­erk läuft. Vie­len Ver­sorgung­sun­ternehmen fehlt ein voll­ständi­ges Bild ihrer oper­a­tiv­en Anla­gen (SPS, Men­sch-Mas­chine-Schnittstellen, Sen­soren). Das macht es unmöglich, Sicher­heit­srisiken einzuschätzen oder Patch­es zu pri­or­isieren. Die Erfas­sung der Anla­gen bildet deshalb die Grund­lage für alle weit­eren Maß­nah­men. Darauf auf­bauend wer­den die oper­a­tiv­en Net­zw­erke kon­se­quent von den IT-Sys­te­men des Unternehmens getren­nt – durch strenge Fire­walls und klar definierte, überwachte Datenkanäle.

Eben­so wichtig wie die Net­zw­erkar­chitek­tur ist die Zugriff­skon­trolle. Durch die Kom­bi­na­tion aus Mul­ti-Fak­tor-Authen­tifizierung und kon­trol­lierten Gate­ways für den Fer­n­wartungszu­griff sowie den Aus­tausch aller Default-Anmelde­dat­en von allen exponierten Geräten lässt sich ein erhe­blich­er Teil der Angriffs­fläche beseitigen.

Der dritte Schritt ist die kon­tinuier­liche Überwachung: Indus­trielle Intru­sion-Detec­tion-Sys­teme, die auf das Nor­malver­hal­ten von Pumpen, Druck­ver­läufen und Chemikalien­zu­gabe­men­gen trainiert sind, kön­nen Anom­alien aufdeck­en, die kein men­schlich­er Bedi­ener in Echtzeit erken­nen würde. Mod­erne OT-Sicher­heit­splat­tfor­men nutzen maschinelles Ler­nen, um Net­zw­erk-Teleme­triedat­en mit Anla­gen­dat­en zu verknüpfen, und bieten so gle­ichzeit­ig Trans­parenz sowohl auf der IT- als auch auf der oper­a­tiv­en Ebene.

Oft fehlt es Ver­sorg­ern auch an den Fähigkeit­en, auf Angriffe schnell und adäquat zu reagieren. Sie haben zwar oft in Erken­nungs- und Mon­i­tor­ing-Maß­nah­men investiert, es fehlen dann aber Pläne, wenn ein Angriff doch gelingt. Und dann müssen sie häu­fig unter enormem Druck impro­visieren. Die Sicherung kri­tis­ch­er Prozess­logik und die Pflege doku­men­tiert­er Ver­fahren zur manuellen Steuerung sind daher uner­lässlich, um sicherzustellen, dass ein erfol­gre­ich­er Angriff nicht auch die Fähigkeit zur Wieder­her­stel­lung beeinträchtigt.

Und zu guter Let­zt: Oft ist die physis­che Sicher­heit der Anla­gen die let­zte Vertei­di­gungslin­ie, der oft zu wenig Beach­tung geschenkt wird. Die besten Cyber-Abwehrmaß­nah­men nützen nichts, wenn ein Angreifer leicht­en Zugang etwa zu ein­er Maschi­nen­s­teuerung (SPS) bekommt. Erst durch die Kom­bi­na­tion ein­er leis­tungsstarken OT-Überwachung, inte­gri­ert­er Bedro­hungsin­for­ma­tio­nen und physis­ch­er Sen­soren entste­ht das Sicher­heit­snetz, das Wasserver­sorgung­sun­ternehmen benöti­gen, um sowohl Cyber- als auch physis­che Sicher­heitsver­let­zun­gen zu verhindern.

Autor: Edgar­do Moreno, Exec­u­tive Indus­try Con­sul­tant bei Octave