Zum Hauptinhalt springen
Ein Foto von Gläsern Wasser in einer diagonalen Reihe, von oben gesehen.
Perspektiven

Während Bundesbehörden vor einer Hackerwelle auf Wassersysteme warnen, präsentieren wir unsere Zusammenstellung von Cybersicherheitsressourcen

Jüngste Angriffe durch vom Iran unterstützte Hacker sowie künftige Bedrohungen durch von China geförderte Gruppen haben Forderungen nach einer Verbesserung der Sicherheit bei Wasserversorgungsunternehmen laut werden lassen – und uns dazu veranlasst, diese Fülle an Tipps und Ressourcen aus unseren Unterlagen mit Ihnen zu teilen.

Während die Vereinten Nationen am Freitag ihren jährlichen Weltwassertag begehen, um das Bewusstsein für globale Wasserprobleme zu schärfen, warnen US-Behörden vor einer Welle von Cyberangriffen auf Wasser- und Abwassersysteme im ganzen Land, was erneut Bedenken hinsichtlich der Anfälligkeit dieses oft übersehenen und unterfinanzierten Sektors schürt.

Eine Sondersitzung der Beauftragten für innere Sicherheit der Bundesstaaten am Donnerstag, ein gemeinsamer Brief des Weißen Hauses und der Umweltschutzbehörde (EPA) vom Dienstag unter dem Titel „ “ ( ) sowie eine Anhörung des Kongresses im Januar unter dem Titel „“ ( ) haben allesamt die Notwendigkeit einer verstärkten Cyberabwehr im Bereich der Wasserversorgung betont. Dies geschah, nachdem Ermittler im November eine Reihe von Angriffen auf vom Iran unterstützte Hacker zurückgeführt hatten und das FBI auf anhaltende Bedrohungen aus China hingewiesen hatte.

Für einen derart wichtigen Teil unserer Infrastruktur sind die Sicherheitsvorkehrungen bedauerlicherweise äußerst unzureichend.

Erfahren Sie, wie sicher oder gefährdet Ihr Unternehmen tatsächlich ist – erhalten Sie in nur 5 Tagen eine umfassende Risikobewertung.

„Trinkwasser- und Abwassersysteme sind ein attraktives Ziel“, schrieben EPA-Administrator Michael Regan und der nationale Sicherheitsberater Jake Sullivan in dem Schreiben an die Gouverneure der Bundesstaaten, in dem sie diese auf die iranischen Hackerangriffe und mögliche künftige Angriffe durch eine von China unterstützte Gruppe hinwiesen. In zu vielen Wasserversorgungsanlagen, so schrieben sie, seien „selbst grundlegende Maßnahmen zur Cybersicherheit“ nicht vorhanden, und dies „kann den Unterschied zwischen normalem Betriebsablauf und einem schwerwiegenden Cyberangriff ausmachen“.

Betrachten Sie die aktuellen Zahlen:

  • 150 000 – Die Anzahl der Wasserversorgungsunternehmen, die Trinkwasser bereitstellen und (zusammen mit 16 000 öffentlichen Abwassersystemen) bis zu 90 % der Amerikaner versorgen (EPA, CISA)
  • Weniger als 25 % – Der Prozentsatz der Betreiber von Wasser- und Abwasseranlagen, die jährliche Risikobewertungen zur Cybersicherheit durchführen (EPA)
  • 25 % – Der geschätzte Prozentsatz der weltweiten Wasserversorgungssysteme, bei denen bis zum Jahr 2025 voraussichtlich eine Cybersicherheitsverletzung aufgetreten sein wird. (GHD)
  • 98 % – Der Prozentsatz der Cyberangriffe, die durch grundlegende Cyberhygiene verhindert oder minimiert werden könnten (EPA)

Angesichts dieser ernüchternden Zahlen haben wir hier einen kurzen Überblick über die Cybersicherheit in der Wasserversorgung zusammengestellt, einschließlich einer Zusammenfassung der jüngsten Angriffe und Regierungsanhörungen sowie einer Fülle von Tipps und Ressourcen aus den Unterlagen der Kontaktstelle für die „ “ ( ).

[Lesen Sie auch: Was ist Cyber-Resilienz?] (wird in einem neuen Tab geöffnet)

Zum Thema Wasser (und Abwasser) – Hacker und Anhörungen

Im vergangenen Monat verhängte das US- , Sanktionen gegen sechs iranische Amtsträger, die mit einer Hackergruppe in Verbindung stehen, welche im vergangenen Herbst mehrere US-amerikanische Wasserversorgungsunternehmen ins Visier genommen hatte, darunter die städtische Wasserbehörde in Aliquippa, Pennsylvania. Dort setzten Hacker digitale Wasserdruckmessgeräte außer Betrieb, wodurch die Werksleiter gezwungen waren, auf manuelle Steuerung umzuschalten. Obwohl die Versorgung ohne Unterbrechungen funktionierte und die Wasserqualität unbedenklich blieb, war es eine knappe Sache, insbesondere angesichts der Tatsache, dass viele Wasserversorgungsbetriebe nicht über solche manuellen Übersteuerungsmöglichkeiten verfügen.

„“ Die Wasserversorgung und insbesondere die Abwasserentsorgung sind kein glamouröser Bereich.“
Rick Jeffares, Präsident der Georgia Rural Water Association

Im Januar meldete Veolia North America, das die Wasser- und Abwassersysteme in 200 Gemeinden in den USA verwaltet ( ), einen Ransomware-Angriff auf seinen kommunalen Wasserbereich, der einige seiner Softwareanwendungen für die Rechnungsstellung beeinträchtigte und möglicherweise die personenbezogenen Daten einer „begrenzten Anzahl“ von Personen gefährdete.

All dies stand kürzlich bei einer Anhörung zum Thema „ “ des Ausschusses für Energie und Handel des Repräsentantenhauses im Vordergrund, bei der Vertreter von Branchenverbänden den Kongress dazu aufforderten, Gesetze zu verabschieden oder Finanzmittel bereitzustellen, um Wasserversorgungsunternehmen dabei zu unterstützen, Cybersicherheitsschulungen und Software-Updates zu erhalten. Frühere Gesetze, wie das Gesetz Nr. 2002’s gegen Bioterrorismus und das Gesetz Nr. 2018’s zur Wasserinfrastruktur, sahen zwar Mittel zur Ermittlung von Schwachstellen vor, enthielten jedoch kaum Bestimmungen zur Behebung dieser Mängel. „Guten Tag, wir haben ein Problem festgestellt – wo sind die Ressourcen, um es zu beheben?“ Dies erklärte Cathy Tucker-Vogel, Abteilungsleiterin für öffentliche Wasserversorgung beim Gesundheits- und Umweltministerium von Kansas und ehemalige Präsidentin der Vereinigung der staatlichen Trinkwasserbehörden.

[Lesen Sie auch: Warum Cyberkriminelle kleine Versorgungsunternehmen ins Visier nehmen]

Seit der Anhörung hat die American Water Works Association, ein Branchenverband mit rund 50 000 Mitgliedern, Gespräche mit politischen Entscheidungsträgern geführt, um die Genehmigung eines von Experten der Wasserwirtschaft konzipierten kooperativen Regulierungsmodells zu fördern, das von der EPA beaufsichtigt werden soll. Anstelle einer Einheitsregelung würde dies einen abgestuften Rahmen bieten, der die Vielfalt (und die Fähigkeiten) der Wasserversorgungsunternehmen berücksichtigt, wie Kevin M. Morley, Leiter für Bundesbeziehungen bei der AWWA, in einem Exklusivinterview mit dem „ “ Focal Point erklärt.

„[Wir brauchen] angemessene Anforderungen an die Cybersicherheit, die sich auf praktische, schützende und umsetzbare Lösungen konzentrieren“, sagt Morley. „Wir sind zuversichtlich, dass in den kommenden Monaten ein Gesetzentwurf eingebracht wird.“

Die Herausforderungen könnten nicht größer sein – und sie lasten auf einer alternden Erwerbsbevölkerung.

„Wenn ich ein neues Handy bekomme, muss meine Enkelin es für mich einrichten“, gab Rick Jeffares, Präsident der Georgia Rural Water Association, zu, als er vor dem Kongress aussagte. Nicht, dass jeder, der bei einem Wasserversorgungsunternehmen arbeitet, mit der dortigen Technik überfordert wäre, doch es lässt sich nicht leugnen, dass die Belegschaft der Wasserversorger altert. Das Durchschnittsalter eines Wasserwerkbetreibers in Georgia beträgt 58 Jahre, so Jeffares. Und im gesamten Wassersektor der USA sind die Beschäftigten tendenziell älter als in anderen Branchen, wobei laut einem Bericht der EPA aus dem Jahr 2020 Tausende von ihnen in den kommenden Jahren in den Ruhestand gehen können.

Dieses zugrunde liegende demografische Problem schränkt die Politik in hohem Maße ein. Zudem schränken knappe Budgets die Vergütungsmöglichkeiten ein, mit denen neue Talente gewonnen werden könnten.

Dann ist da natürlich noch der Ekel-Faktor.

„Die Wasserwirtschaft und insbesondere die Abwasserentsorgung sind kein besonders glamouröser Bereich“, räumte Jeffares ein.

Angesichts dieser eklatanten Probleme bei der Personalbeschaffung hat sich die NRWA entschlossen, gemeinsam mit dem US-Arbeitsministerium ein Ausbildungsprogramm ins Leben zu rufen. Die nächste Generation von Fachkräften in der Wasserversorgung werde zweifellos über bessere Cyberkenntnisse verfügen, doch bis dahin sei ein Engagement für umfassende Schulungsprogramme und eine angemessene Cyberhygiene unerlässlich, betonte er.

The IT and OT of H2O

Wasser wird von Minute zu Minute hochtechnologischer. Die Konvergenz von Informationstechnologie (IT) und Betriebstechnik (OT) hat es den immer kleiner werdenden Belegschaften der Versorgungsunternehmen ermöglicht, kritische Infrastrukturen aus der Ferne zu betreiben. Die Automatisierung hat die Branche somit gerettet – macht sie jedoch gleichzeitig zunehmend anfällig für Cyberangriffe.

„: Wasserversorger stecken in einer digitalen Kluft fest.“
Kevin M. Morley, Leiter für Bundesbeziehungen, AWWA

Wasserwerke werden mittlerweile häufig über Fernüberwachungssysteme gesteuert, die Software, Hardware und Datennetzwerke nutzen, um Pumpen, Ventile, Sensoren sowie Verteilungs- und Aufbereitungsprozesse zu steuern. Hacker können solche Komponenten missbrauchen, um beispielsweise Pumpen abzuschalten, die Trinkwasser liefern (wie es im November in Aliquippa geschehen ist), oder die Wasserversorgung zu verunreinigen (wie beim berüchtigten „ 2021 “-Angriff auf eine Wasseraufbereitungsanlage in Oldsmar, Florida, bei dem ein bislang nicht identifizierter Hacker den Gehalt an Natriumhydroxid – auch bekannt als Lauge – veränderte; ein Vorfall, der zwar von aufmerksamen Anlagenmitarbeitern schnell entdeckt und behoben wurde, der Cyber-Experten jedoch große Sorge bereitet).

Diese Sachanlagen stellen eine finanzielle Herausforderung dar.

„Die Wasserversorgungsunternehmen stecken in einer digitalen Kluft fest“, erklärte Morley in seiner Aussage vor dem Kongress. Er erklärte, dass die OT-Systeme, die Pumpen und Motoren steuern, „nicht in der Lage waren, mit den Fortschritten bei den Unternehmenssystemen Schritt zu halten, die wesentlich schneller auf neue Versionen aktualisiert werden“.

Wasserversorgungsunternehmen müssen umfassende Tools für das Endpunktmanagement einsetzen, um eine bessere Transparenz bei der „ “, der „ “, der „patching“ , der „updates“ sowie der Einhaltung gesetzlicher Vorschriften „“ zu gewährleisten. In einigen Fällen, fügte Morley hinzu, erfordern veraltete OT-Anlagen ein „Rip-and-Replace“-Investitionsvorhaben, dessen Kosten dadurch steigen, dass diese Anlagen während der Modernisierungsarbeiten weiterbetrieben werden müssen.

„Water-as-a-Service“ – eine neue kommerzielle (und umstrittene) Lösung

Blaues Podcast-Logo mit dem Titel „Lets Converge“ in Weiß und „Tanium“ in Rot

In den letzten Jahren haben einige Bundesstaaten (Indiana, Missouri, Kalifornien, New Jersey und Tennessee) Gesetze verabschiedet, um die Cybersicherheit von Wasserversorgungssystemen zu verbessern. In anderen Bundesstaaten (Pennsylvania, Maryland) scheiterten die „ “-Gesetzesvorhaben , als von privaten Wasserversorgungsunternehmen unterstützte Gesetzesentwürfe auf Widerstand seitens der öffentlichen Wasserversorgungsbehörden stießen, die geltend machten, die Entwürfe seien lediglich kaum verhüllte Versuche, die Privatisierung voranzutreiben, was den Verbrauchern unweigerlich höhere Tarife aufzwingen würde.

Auch wenn dies zutreffen mag, lassen die schiere Größe und das Ausmaß dieses Problems vermuten, dass möglicherweise eine aus öffentlichen und privaten Maßnahmen zusammengesetzte Lösung erforderlich sein könnte. Zudem gewinnen netzunabhängige Wasserversorgungssysteme zunehmend an Bedeutung.

So äußert sich Riggs Eckelberry, Geschäftsführer von OriginClear, der ein leistungsstarkes, profitables „Airbnb für Wasser“ schaffen möchte, indem er die Wasseraufbereitung privatisiert und diese durch vermögensbesicherte, hochverzinsliche Wasserrenten finanziert. Eckelberry war im vergangenen Jahr zu Gast in dem Begleitpodcast „ Let’s Converge“ ( ) von „“ – einer Initiative von Focal Point – unter dem Titel „ “ (), und seine Ansichten erscheinen angesichts der derzeitigen erhöhten Dringlichkeit noch relevanter.

„Im Jahr 2016, als ich anfing, über dezentralisierte Wasserversorgung zu sprechen, reagierten die Leute mit: ‚Hä?‘ „Was?““ Eckelberry erinnerte sich. „Heute verstehen die Menschen es. „Immer mehr Menschen sind sich bewusst, dass Selbstversorgung äußerst wichtig ist.“

Als Präsident und COO des Sicherheitssoftwareunternehmens CyberDefender führte Eckelberry das Unternehmen an die NASDAQ. Nun setzt er voll und ganz auf „Water-as-a-Service“ oder „Water-on-Demand“ – eine Möglichkeit für Wohnsiedlungen und Unternehmen, insbesondere kleine Betriebe, ihr Wasser selbst aufzubereiten. Diese Hightech-Mentalität der Disruption sei der Grund dafür, dass „Airbnb die Hotels und Uber die Taxis verdrängt haben“, sagt er. „Und das wird im Wasser geschehen.“

[Hören Sie mehr dazu: Folge 5: Die Wahrheit über Hacker und (ja) Ihre Toilette]

Wie Passwörter und grundlegende Cybersicherheitsmaßnahmen Wasser- und Abwassersystemen helfen können

Ein Foto, auf dem man einer weißen Frau über die Schulter blickt, während sie ein Passwort auf ihrem Laptop eingibt.

Grundlegende Sicherheitsmängel, wie unzureichende Passwortsicherheit und veraltete Betriebssysteme, haben bei vielen dieser Angriffe eine Rolle gespielt. In Aliquippa stellten Ermittler der CISA fest, dass die Wasserversorgungsbehörde nach wie vor eine Software verwendete, bei der das vom Hersteller voreingestellte Passwort „ “1111” “ noch immer im Einsatz war.

Da kann man sich nur die Hand vor die Stirn schlagen.

Dies ist eine wichtige Mahnung an Führungskräfte in Unternehmen überall, dass grundlegende Cybersicherheitsmaßnahmen nie oft genug betont werden können.

Zugegeben, es handelt sich nicht ausschließlich um ein Problem der Mitarbeiter. Arbeitnehmer nehmen aus gutem Grund Abkürzungen . Umständliche Anmelde- und andere Netzwerkverfahren verleiten die Mitarbeiter dazu, eigene Lösungen zu finden. Die Lösung? Führungskräfte in Unternehmen müssen die digitale Mitarbeitererfahrung unter verbessern – eine Strategie, die dazu beitragen kann, die Produktivität einer hybriden Belegschaft zu steigern und den IT-Support zu entlasten.

Doch zurück zu den Passwörtern … Es ist von entscheidender Bedeutung, das richtige Gleichgewicht zwischen Sicherheit und Komfort zu finden. Sehen Sie sich diese vier gängigen Mythen zum Thema Passwörter an, die es zu widerlegen gilt.

[Weiterlesen: Tanium-Experten widerlegen verbreitete Mythen zum Thema Passwörter]

Finanzierungsmöglichkeiten für die Wasser- und Abwasserwirtschaft – so finden Sie sie

Nahaufnahme der Hand eines Geschäftsmannes, der einem anderen ein Bündel aus 100 -Dollar-Scheinen überreicht

, Ansprechpartnerin bei „Focal Point“, erläuterte im vergangenen Jahr in einem Leitartikel auf unter dem Titel „ in 2022 “ sowie in einer Folge des Podcasts „Let’s Converge“ auf unter den Titeln „“, „ “ und „“ die Grundlagen zur Beantragung eines Anteils aus dem mit 1 Milliarde US-Dollar dotierten staatlichen und kommunalen Förderprogramm für Cybersicherheit. Der Wettbewerb um die Fördermittel für das dritte Jahr wird sich bald verschärfen, daher sollten die Akteure der Wasserwirtschaft bereits jetzt mit der Planung beginnen. Die Schaffung von Kommunikationskanälen mit den Verantwortlichen des Landkreises ist ein guter erster Schritt.

Weitere Tipps zur Vorgehensweise beim Bewerbungsverfahren sowie eine Analyse des bisherigen Verlaufs der Einführung des Programms finden Sie in unserem SLCGP-Update vom Januar.

[Weiterlesen: Das SLCGP ist wieder ein Jahr älter – hier erfahren Sie alles, was Sie über Cyber-Fördermittel des Bundes wissen müssen]

So melden Sie einen Vorfall:

Alle Organisationen sollten tatsächliche oder vermutete Cybersicherheitsvorfälle an … melden.

  • CISA – Für das 7.12. Operations Center der Behörde senden Sie bitte eine E-Mail an , report@cisa.govoder oder rufen Sie unter der Nummer 888-282-0870 an.
  • FBI – Wenden Sie sich an die nächstgelegene FBI-Außenstelle unter , oder melden Sie Hinweise an , tips.fbi.gov oder.

Weitere Ressourcen zum Thema Cybersicherheit in der Wasser- und Abwasserwirtschaft

Eric Goldstein, stellvertretender Direktor für Cybersicherheit bei der CISA, bezeichnet den Wasser- und Abwassersektor als „zielreich, aber cybersicherheitsarm“. Das stimmt – vorerst. Es gibt jedoch eine Vielzahl von Ressourcen und Hilfsmitteln, die dabei helfen können, die Situation zum Positiven zu wenden. Betrachten Sie einen der folgenden Punkte:

Umweltschutzbehörde (EPA)

  • Bewertung der Cybersicherheit und technische Unterstützung – Die EPA bietet in Zusammenarbeit mit der Horsley Witten Group, einem Ingenieur- und Umweltberatungsunternehmen, kostenlose und vertrauliche Cybersicherheitsbewertungen sowie technische Unterstützung an.
  • zur Tabletop-Übung (TTX) im Bereich Cybersicherheit – Diese Schritt-für-Schritt-Anleitung beschreibt, wie Wasser- und Abwasserunternehmen ihre eigene Tabletop-Übung konzipieren können.
  • Checkliste für Maßnahmen bei Cybersicherheitsvorfällen – Zuallererst erfordert ein absolut solider Plan zur Reaktion auf Vorfälle Schnelligkeit. Genau das bietet dieses PDF: Es wurde für „Komfort unterwegs“ konzipiert und unterteilt die Anweisungen in drei Abschnitte zum „Herausreißen und sofort Anwenden“ für den Fall, dass Cybervorfälle Wasser- und Abwasseranlagen betreffen. Es gibt sogar Platz, um eigene Notizen und Kontaktdaten hinzuzufügen. (Checklisten zum Thema Wasser und Abwasser für Waldbrände, Überschwemmungen, Tornados und andere Krisen finden Sie auch auf der Website „ “ unter folgendem Link:.)
  • Bewährte Verfahren zur Cybersicherheit für die Wasserwirtschaft – Diese Galerie bietet eine Fülle von Informationen und Links zu Ressourcen aus dem Bereich Wasser und Abwasser, die sich mit der Finanzierung, Schulung, Planung und weiteren Aspekten der Cybersicherheit befassen.

Behörde für Cybersicherheit und Infrastruktursicherheit (CISA)

  • Informationszentrum für Cybersicherheit im Wasser- und Abwasserbereich – Diese Link-Sammlung bietet aktuelle Informationen zu Fördermöglichkeiten sowie die neuesten Erkenntnisse zu „ “-Ransomware, Phishing-Angriffen unter und weiteren Themen.
  • Leitfaden zur Reaktion auf Zwischenfälle in der Wasser- und Abwasserwirtschaft – Dieser neue, im Januar gemeinsam mit dem FBI und der EPA veröffentlichte Leitfaden bietet einen umfassenden Überblick und führt Betreiber von Wasser- und Abwasseranlagen durch die vier Phasen der Reaktion auf Zwischenfälle. Das Beste daran ist, dass es in einer für Laien verständlichen Sprache verfasst ist – technische Vorkenntnisse sind nicht erforderlich.
  • Leistungsziele für die Cybersicherheit – Ein sektorübergreifendes Maßnahmenpaket zum Schutz kritischer Infrastrukturbetreiber – sowohl großer als auch kleiner – zur Verringerung der Wahrscheinlichkeit und der Auswirkungen von Cyberbedrohungen. Es umfasst eine Reihe grundlegender Best Practices für die Cybersicherheit sowie einen Maßstab zur Messung und Steigerung der Cybersicherheitsreife.
  • für Schwachstellen-Scans im Rahmen der Cyberhygiene – Dieser größtenteils automatisierte Dienst wird für jedes registrierte System kostenlos bereitgestellt und führt wöchentliche Scans sowie Berichte durch, in denen auf unsichere Konfigurationen und bekannte Schwachstellen hingewiesen wird.

Nationales Institut für Standards und Technologie (NIST)

American Water Works Association (AWWA)