Wasserwerke Cybersicherheit: 5 Sofortmaßnahmen

Ein Wasserwerk ist kein Serverraum mit ein paar nassen Rohren. Wenn dort eine Steuerung ausfällt, merkt das niemand zuerst auf einem Dashboard, sondern am Wasserhahn. Genau deshalb ist die neue Warnung der US-Cybersicherheitsbehörde CISA so unerquicklich: Angreifende zielen laut Behörde verstärkt auf öffentlich erreichbare programmierbare Steuerungen, kurz PLCs, im Wasser- und Abwassersektor.

Für deutsche Betreiber ist das kein Anlass zur Panik. Es ist aber ein sehr guter Anlass, die eigene Fernwartung ohne Ausreden durchzugehen. Wasserwerke Cybersicherheit beginnt nicht mit einer teuren Plattform, sondern mit einer unbequemen Frage: Welche Anlage ist von außen tatsächlich erreichbar?

Wasserwerke Cybersicherheit: Warum die Warnung jetzt zählt

Am 30. Juli veröffentlichte CISA eine Warnung zu Angriffen auf internetexponierte PLCs im Wassersektor. Die Behörde berichtet von geänderten Passwörtern, ausgesperrten Bedienenden und veränderten IP-Adressen. Als Folgen nennt sie unter anderem Abkochhinweise und längere Phasen manueller Bedienung. Das ist der Knackpunkt: Selbst wenn die Wasseraufbereitung weiterläuft, kann der Betrieb in eine hektische, fehleranfällige Notlage kippen.

PLCs schalten keine PowerPoint-Folien. Sie steuern Pumpen, Ventile, Dosierung oder Messpunkte. Darum ist OT-Sicherheit etwas anderes als der Schutz eines gewöhnlichen Büro-Netzes. Ein Neustart zur falschen Zeit, eine gut gemeinte Regel im falschen Segment oder ein übereiltes Patch können Prozesse stören. Sicherheit braucht hier Kopf und Kontext.

Wir bei digital-magazin.de finden die CISA-Meldung gerade deshalb bemerkenswert, weil sie nicht von einer hypothetischen Gefahr spricht. Sie beschreibt ein Muster: öffentlich sichtbare Steuerung, Zugangsdaten geändert, Betrieb gestört. Wer nur nach „kritischen CVEs“ sucht, übersieht womöglich die simpelste Angriffsfläche.

Die offene Tür heißt oft Fernzugang

Fernwartung ist nicht per se falsch. Sie spart Anfahrten, hilft bei Störungen und ist für viele Anlagen praktisch. Problematisch wird sie, wenn ein PLC-Webinterface, ein Gateway oder ein Mobilfunkrouter ohne saubere Zugangskontrolle direkt im Internet hängt. Dann ist aus Bequemlichkeit eine öffentlich auffindbare Tür geworden.

CISA nennt ausdrücklich auch Mobilfunkmodems, die von Betreiberseite, Dienstleistenden oder Integrationspartnern installiert wurden und in üblichen Angriffsflächen-Scans fehlen können. Kennen Sie dieses Gefühl, wenn jede Abteilung sagt: „Das gehört nicht uns“? Genau dort lohnt sich die Recherche. Ein Inventar, das nur im Schrank der IT liegt, hilft der OT nicht.

Der erste Schritt für Wasserwerke Cybersicherheit ist daher kein Kaufvertrag: Außenansicht erstellen. Dazu gehören feste Internetadressen, Fernzugänge von Dienstleistenden, VPN-Endpunkte, Remote-Desktop-Gateways, Mobilfunkverbindungen und jedes Steuerungsgerät mit eigener Management-Oberfläche. Nicht vermuten. Prüfen.

Bei der Bewertung hilft die Leitlinie des britischen NCSC zu sicheren OT-Verbindungen: Externe Verbindungen sollen bewusst begrenzt, nachvollziehbar und kontrollierbar sein. Das klingt trocken, ist aber sehr konkret. Wer zugreifen darf, muss bekannt sein; der Zugriff muss einen Zweck und ein Ende haben.

Fünf Sofortmaßnahmen ohne Theater

1. Öffentlich erreichbare Steuerungen trennen

Alles, was unmittelbar aus dem Internet erreichbar ist und keinen zwingenden Grund dafür hat, gehört vom Netz getrennt. CISA formuliert es ähnlich klar: PLCs und andere OT sollten so schnell wie möglich nicht mehr öffentlich erreichbar sein. Das heißt nicht, einen Prozess blind abzuschalten. Es heißt, die Änderung geplant vorzubereiten, den Betrieb einzubeziehen und einen Rückweg zu kennen.

2. Saubere Sicherungen der PLC-Logik vorhalten

Wenn Passwörter manipuliert wurden oder ein Gerät ersetzt werden muss, braucht das Team ein bekannt sauberes Abbild der Steuerung. Eine Sicherung auf einem alten USB-Stick, deren Herkunft niemand erklären kann, ist keine Rettungsleine. Dokumentieren Sie Version, Datum, Anlage und prüfende Person. Kurz. Verständlich. Auffindbar.

3. Fernzugänge einzeln rechtfertigen

Ein Zugang ohne Verantwortlichkeit bleibt ein Risiko. Für jede Verbindung sollten Zweck, zuständiges Team, technische Sicherung, Freigabeweg und Abschaltmöglichkeit feststehen. Zeitlich begrenzter Zugriff ist meist besser als ein dauerhafter Generalschlüssel. Hand aufs Herz: Wie viele Konten ehemaliger Dienstleistender liegen noch irgendwo herum?

4. IT und Betrieb an denselben Tisch holen

Die Anlagenverantwortlichen kennen die Auswirkungen einer Unterbrechung; die Sicherheitsverantwortlichen kennen typische Zugriffswege. Erst zusammen entsteht ein brauchbares Bild. Im Idealfall wird eine Änderung an Fernzugängen wie ein Betriebseingriff behandelt: Wartungsfenster, Rückfallplan, Kontaktkette, Test.

5. Den Ernstfall üben, bevor er laut wird

Was passiert, wenn die Bedienoberfläche nicht mehr erreichbar ist? Wer entscheidet über den manuellen Betrieb? Wo liegen Konfigurationsstände? Welche externe Stelle wird informiert? Ein halbstündiges Planspiel liefert oft mehr Erkenntnisse als zehn Präsentationen. Wasserwerke Cybersicherheit wird dann greifbar, wenn die Antworten nicht nur im Audit stehen.

Warum VPN allein keine Absolution ist

„Wir haben doch ein VPN“ ist ein häufiger Satz. Er kann stimmen und trotzdem nicht reichen. Ein VPN schützt den Transportweg, aber nicht automatisch ein kompromittiertes Konto, ein schlecht gepflegtes Endgerät oder eine unübersichtliche Berechtigung. CISA weist in ihrer Warnung darauf hin, dass VPNs aktuell gehalten werden müssen und nur so sicher sind wie die verbundenen Systeme.

Das bedeutet nicht, Fernzugriff zu verteufeln. Es bedeutet, ihn wie einen Produktionszugang zu behandeln: starke Anmeldung, klare Rollen, Protokollierung und schnelle Sperrmöglichkeit. Bei kritischen Anlagen ist auch die Frage wichtig, ob ein externer Zugriff wirklich direkt zur Steuerung führen muss oder über einen kontrollierten Zwischenpunkt laufen kann.

Nach unserer Recherche bei digital-magazin.de lohnt sich der Blick auf scheinbare Nebensysteme besonders: Router, Mobilfunk-Gateways, alte Wartungs-PCs und Projektzugänge. Angreifende suchen selten nach dem ordentlich beschrifteten Haupttor. Sie nehmen die Seitentür, die beim Umbau niemand zugemacht hat.

Auch kleinere Betreiber sind kein Nebenschauplatz

CISA schreibt ausdrücklich, dass Wasserorganisationen jeder Größe betroffen sein können. Das widerspricht einer bequemen Annahme: „Für uns interessiert sich niemand.“ Doch automatisierte Suche nach offenen Diensten unterscheidet nicht zwischen einem großen Versorger und einer kleineren Anlage. Sobald ein Gerät antwortet, kann es auf Listen landen.

Gerade kleinere Teams müssen nicht alles selbst bauen. Sie können Unterstützung von kommunalen IT-Dienstleistenden, spezialisierten Dienstleistenden oder Behördenprogrammen holen. Entscheidend bleibt jedoch die eigene Betriebskenntnis. Niemand von außen weiß ohne Ihre Hilfe, welche Steuerung bei einem Neustart welche Pumpe beeinflusst.

Ein guter Prüfauftrag ist deshalb präzise: „Zeigt uns alle externen Zugänge zu unserer OT, den zugehörigen Eigentümer, die verwendete Anmeldung und die Abschaltmöglichkeit.“ Damit wird aus dem Schlagwort Wasserwerke Cybersicherheit eine Liste, die sich abarbeiten lässt.

Der Punkt ist: Sichtbarkeit ist ein Betriebsrisiko

Die CISA-Warnung ist keine Anleitung, alle Anlagen über Nacht umzubauen. Sie ist ein Weckruf gegen blinde Flecken. Erst verstehen, dann priorisieren, anschließend sauber ändern. Wer öffentlich erreichbare PLCs, vergessene Fernzugänge und unklare Sicherungen jetzt prüft, macht den Betrieb nicht spektakulärer. Aber ruhiger.

Und genau das ist bei Wasser die vernünftigste Form von Digitalisierung: Technik, die im Hintergrund zuverlässig arbeitet, statt plötzlich zur Schlagzeile zu werden.

Der Prüfplan für die kommenden 14 Tage

Es muss nicht alles an einem Vormittag passieren. Klüger ist ein kurzer, verbindlicher Sprint. Am ersten Tag wird die Bestandsliste zusammengetragen: Anlagen, Netzsegmente, Fernwartungswege, Konten und zuständige Stellen. Am zweiten Tag wird diese Liste mit der Realität abgeglichen. Ein Gerät, das niemand in der Dokumentation findet, ist nicht „exotisch“, sondern ein Arbeitsauftrag.

Danach folgt die Priorisierung. Direkt öffentlich erreichbare Steuerungen und ungeklärte Remote-Zugänge gehören nach oben. Systeme mit nachvollziehbarer Segmentierung, aktueller Zugriffsverwaltung und getesteter Sicherung können später folgen. Dieser Ansatz verhindert das übliche Sicherheits-Theater: Alles wirkt dringend, bis am Ende niemand die eine wirklich offene Verbindung schließt.

Bei Veränderungen sollten Betrieb und Dienstleistende früh eingebunden sein. Manche Anlagen lassen sich nur in Wartungsfenstern anfassen. Manche Steuerungen benötigen nach einer Netzänderung einen bestimmten Ablauf. Und manche alte Komponente reagiert auf eine neue Firewall-Regel überraschend empfindlich. Das ist kein Argument gegen Schutzmaßnahmen, sondern für handwerklich saubere Umsetzung.

Die Lehre aus anderen technischen Pflichten ist ähnlich. Bei der praktischen Umsetzung von Transparenzpflichten bei KI reicht eine Absichtserklärung ebenso wenig wie bei OT: Verantwortlichkeiten, Nachweise und ein Ablauf für Ausnahmen zählen. Wer nicht weiß, wer einen Zugang freigibt, kann ihn im Störfall kaum kontrolliert schließen.

Ein zweites Team sollte die Außenansicht prüfen. Das kann die interne IT sein, ein beauftragter Sicherheitsdienst oder ein spezialisierter Partner. Wichtig ist die Unabhängigkeit vom ursprünglichen Projektteam. Menschen sehen ihre eigene Dokumentation oft mit einem kleinen blinden Fleck. Das ist menschlich. Bei kritischer Infrastruktur sollte man sich darauf nicht verlassen.

Was in einem belastbaren Nachweis steht

Für jede Verbindung genügt zunächst ein kompakter Datensatz: technische Kennung, Anlage, verantwortliche Stelle, Zweck, Art der Anmeldung, letzte Prüfung und geplanter nächster Check. Keine Hochglanzmappe, kein Monster-Spreadsheet mit fünfzig Spalten. Aber eine Liste, die ein Bereitschaftsteam auch nachts versteht.

Besonders wertvoll ist ein nachvollziehbarer Rückfallplan. Wenn ein Fernzugang entfernt wird, muss klar sein, wie eine Störung trotzdem bearbeitet wird. Gibt es einen lokalen Bedienplatz? Kann eine Fachkraft vor Ort handeln? Liegt die Kontaktkette bereit? Wer solche Fragen vor dem Zwischenfall stellt, spart im Zwischenfall Minuten. Bei Wasser können Minuten sehr lang werden.

Auch die Lieferkette gehört auf die Karte. Ein Router kann Teil eines Wartungsvertrags sein, ein Mobilfunkmodem vom früheren Integrationsprojekt stammen, ein Servicekonto bei einem Softwarewechsel übriggeblieben sein. Die Logik erinnert an die Frage, welche Komponenten in einer Software stecken: Unser Beitrag zu Sicherheitsfreigaben und Datenschutz zeigt, wie schnell Zuständigkeiten zwischen Teams verschwimmen können. In der OT ist dieser Übergang besonders heikel.

Keine Scheinsicherheit durch Schnellschüsse

Ein verbreiteter Fehler wäre, jetzt einfach alle Verbindungen zu kappen. Das kann im Einzelfall richtig sein, doch eine unkoordinierte Änderung kann Alarmierung, Wartung oder Datenübertragung beschädigen. Wer ein Risiko reduziert, darf nicht versehentlich ein neues Betriebsrisiko schaffen. Deshalb: erst den kritischen Pfad verstehen, dann mit verantwortlichen Fachleuten absichern.

Genauso wenig hilft es, ein neues Passwort zu setzen und danach weiterzumachen wie zuvor. Passwörter sind nur eine Schicht. Entscheidend sind erreichbare Dienste, Identitäten, Segmentierung, sichere Endgeräte und die Fähigkeit, Abweichungen zu bemerken. Wasserwerke Cybersicherheit ist kein einzelnes Produkt. Es ist tägliche Betriebshygiene.

Ein Blick über den eigenen Zaun hilft. Für Teams, die digitale Risiken systematisch erfassen wollen, ist auch unser Überblick zu Browser-Zugängen und digitalen Arbeitswegen interessant: Jeder zusätzliche Zugangskanal braucht eine klare Entscheidung, nicht bloß eine technische Möglichkeit. Das gilt für Kommunikation genauso wie für Fernwartung.

Am Ende bleibt eine einfache Regel: Alles, was eine physische Anlage steuert, verdient eine höhere Messlatte als ein gewöhnlicher Webdienst. Nicht aus Angst vor Technik, sondern aus Respekt vor ihrer Wirkung. CISA hat die Warnung ausgesprochen. Jetzt liegt es an den Betreibenden, aus Sichtbarkeit wieder kontrollierte Erreichbarkeit zu machen.