Wasserwirtschaft

Eine Branche im Umbruch

Die Wasserwirtschaft in Deutschland ist stark zergliedert. Rund 5.500 Wasserversorger und tausende Abwasserbetriebe teilen sich die Aufgabe, fast überwiegend kommunal organisiert in Stadtwerken, Eigenbetrieben und Zweckverbänden. Diese Kleinteiligkeit ist historisch gewachsen und versorgungstechnisch sinnvoll, sicherheitstechnisch aber ein Problem: Viele Betreiber haben wenige Mitarbeiter, kein eigenes IT-Sicherheitspersonal und trotzdem hoch vernetzte Anlagen.

Denn auch die Wasserwirtschaft hat digitalisiert — oft gerade weil das Personal knapp ist. Hochbehälter, Pumpwerke, Aufbereitungs- und Kläranlagen werden heute über speicherprogrammierbare Steuerungen (SPS) und SCADA-Leitsysteme gefahren, vielfach mit Fernwartung und Fernwirktechnik über weite, verteilte Standorte. Die Betriebstechnik (Operational Technology, OT) wächst dabei mit der Büro-IT zusammen — die IT-/OT-Konvergenz. Was als geschlossenes, örtlich bedientes System gedacht war, ist heute ein fernsteuerbares Netz aus Sensoren, Aktoren und Leitständen. Damit verschwimmt die Grenze zwischen einem IT-Vorfall und einer echten Versorgungsstörung — und das bei einem Gut, dessen Ausfall sich anders als beim Strom nicht durch ein Notaggregat überbrücken lässt.

Die Bedrohungslage

Dass die Steuerungstechnik von Wasseranlagen angreifbar ist, zeigt sich in Deutschland seit Jahren — weniger an einem großen Vorfall als an wiederkehrenden Schwachstellenfunden. Bereits im Juli 2016 machten zwei Sicherheitsforscher die Bedienoberflächen (Human Machine Interfaces, HMI) gleich mehrerer deutscher Wasserwerke ausfindig, die ungeschützt und ohne ernsthafte Authentifizierung aus dem Internet erreichbar waren. In Teilen ließen sich die Anlagen nicht nur einsehen, sondern auch steuern — etwa die Pumpen. Das BSI informierte die Betreiber, die Zugänge wurden geschlossen.[1] Im April 2019 wiederholte sich das Muster: Bei einem Penetrationstest übernahmen Forscher die komplette Steuerung eines Klärwerks, dessen Prozessleitsystem offen im Netz stand und mit einem vorausgefüllten Nutzernamen arbeitete — das Passwort war ebenso leicht zu erraten.[2] In beiden Fällen ging es um reale Anlagen im Betrieb, nicht um Laborversuche.

International ist aus der Möglichkeit längst ein Angriff geworden. Im Februar 2021 verschaffte sich ein Angreifer im US-amerikanischen Oldsmar Fernzugriff auf die Aufbereitung und stellte die Natronlauge-Dosierung auf einen toxischen Wert — ein Mitarbeiter bemerkte die Manipulation am Bildschirm und drehte sie zurück.[3] Im November 2023 kompromittierte die iranisch zuzuordnende Gruppe CyberAv3ngers in Aliquippa, Pennsylvania, eine internet-exponierte Unitronics-Steuerung mit Standardpasswort und verunstaltete das Bedienterminal; der Betrieb wechselte auf manuellen Modus, die Versorgung blieb stabil. Der Fall ist deshalb so lehrreich, weil das Einfallstor banal war — Werkseinstellung, offener Port, kein zweiter Faktor. Zum Zeitpunkt des Angriffs waren weltweit rund 1.800 baugleiche Steuerungen offen aus dem Internet erreichbar, auch in Europa.[4] Im Oktober 2024 traf ein Angriff schließlich American Water, den größten Wasserversorger der USA mit 14 Millionen versorgten Menschen; das Unternehmen nahm vorsorglich Kundenportal und Abrechnung vom Netz, der eigentliche Betrieb lief weiter.[5]

In Deutschland blieb die Versorgung bislang stabil — getroffen wurden Verwaltung, Kommunikation und Kundenservice. Beim Trinkwasserverband Stader Land legte ein Angriff im Juli 2023 wochenlang die E-Mail- und Erreichbarkeit lahm; eine Verschlüsselung der Daten fand nicht statt, die Wasserversorgung lief durchgehend weiter.[6] Beim Ransomware-Angriff auf den kommunalen IT-Dienstleister Südwestfalen IT im Oktober 2023 traf es über hundert Kommunen an einem Punkt — auch Einzüge von Abwassergebühren standen monatelang still.[7] Das wahrscheinlichste Risiko ist heute also weniger die manipulierte Wasserqualität als der schleichende Verlust von Steuerbarkeit, Übersicht und Handlungsfähigkeit — und der Hebel, den ein einziger kompromittierter Dienstleister auf viele Betreiber zugleich hat.

Die offiziellen Zahlen sind mit Vorsicht zu lesen. Für das Jahr 2020 gingen beim BSI 419 KRITIS-Meldungen ein — davon 73 aus dem Energiesektor, aber nur sieben aus dem Wassersektor.[8] Diese niedrige Zahl spiegelt vor allem den Regulierungsstand: Bundesweit zählen nur rund 47 von etwa 5.500 Wasserversorgern überhaupt zur kritischen Infrastruktur, weil erst ab 500.000 versorgten Einwohnern die Meldepflicht griff.[9] Wo keine Meldepflicht besteht, wird auch wenig gemeldet — die sieben Meldungen bilden also nur einen kleinen Ausschnitt der tatsächlichen Lage ab. Bayern zeigt das Verhältnis beispielhaft: Dort unterliegen nur drei große Versorger den gesetzlichen Vorgaben, rund 2.100 weitere nicht. Der Präsident des Bayerischen Landesamts für Sicherheit in der Informationstechnik brachte es im Mai 2025 auf den Punkt — gut vernetzte, teils aus dem Internet erreichbare Systeme, vor Ort aber wenig Personal und mit Sicherheit keine IT-Spezialisten.[10] Seit 2024 schließt das Lagezentrum CyberSec@Wasser diese Lücke und erstellt erstmals ein eigenes Lagebild für den Sektor — die Betreiber dort beobachten laufende Angriffsversuche auf IT und OT, bislang ohne größere Erfolge.[11]

Was die Branche regulatorisch treibt

Der Gesetzgeber hat die Schwelle radikal abgesenkt. Das NIS2-Umsetzungsgesetz, in Kraft seit Dezember 2025 und umgesetzt im BSI-Gesetz, knüpft die Pflichten nicht mehr an 500.000 versorgte Einwohner, sondern an Unternehmensgröße: Trinkwasser- und Abwasserbetriebe gelten ab 50 Beschäftigten oder 10 Mio. Euro Umsatz als wichtige Einrichtung. Der alte KRITIS-Schwellenwert wirkt damit nicht mehr filternd — viele mittelgroße Stadtwerke und Zweckverbände, die sich bisher als nicht reguliert verstanden, fallen nun unter verbindliche Pflichten zu Risikomanagement, Angriffserkennung und Vorfallmeldung. Erhebliche Vorfälle sind binnen 24 Stunden zu melden, mit vertiefter Meldung nach 72 Stunden und Abschlussbericht nach einem Monat. Bei Verstößen drohen Bußgelder bis zu 10 Mio. Euro oder 2 % des Jahresumsatzes.[12]

Parallel wirkt die physische Schiene. Das KRITIS-Dachgesetz, in Kraft seit März 2026 und Umsetzung der europäischen CER-Richtlinie (EU 2022/2557), macht die physische Resilienz kritischer Anlagen erstmals zur eigenständigen Pflicht — mit Risikoanalyse, Resilienzplan und einer Geschäftsführungshaftung, die auf die nachweisbare Wirksamkeit der Maßnahmen zielt.[13] Für die Wasserwirtschaft kommt eine dritte, brancheneigene Schiene hinzu: Die novellierte EU-Trinkwasserrichtlinie (EU 2020/2184), national über die Trinkwasserverordnung umgesetzt, verlangt einen risikobasierten Ansatz über die gesamte Versorgungskette — vom Einzugsgebiet über die Aufbereitung bis zur Verteilung. Die Risikobewertung der Trinkwasser-Einzugsgebiete war bis November 2025 zu erstellen, das Risikomanagement der Versorgungssysteme folgt bis Januar 2029. Damit wird Risikodenken zur Dauerpflicht, nicht zur einmaligen Prüfung.[14]

Den fachlichen Rahmen liefern die Standards. Der Branchenspezifische Sicherheitsstandard Wasser/Abwasser (B3S WA), getragen von DVGW und DWA und vom BSI als geeignet anerkannt, konkretisiert über das Merkblatt DVGW W 1060 / DWA-M 1060, wie ein Informationssicherheits-Managementsystem (ISMS) in der Branche umzusetzen ist. Er gilt ausdrücklich auch für Anlagen unterhalb der KRITIS-Schwelle.[15] Die Logik dahinter ist entscheidend: Geschützt wird nicht das einzelne System, sondern die Versorgungsleistung selbst — Resilienz statt reiner Prävention, also handlungs- und wiederanlauffähig bleiben, auch wenn ein Angriff durchkommt. Und mit der Geschäftsführungshaftung wird die lückenlose Nachweisbarkeit von Risikoanalyse, Resilienzplan und Wirksamkeitskontrolle zur direkten Verantwortung der Unternehmensleitung.

Wo die kritischen Risiken liegen

Die schwierigsten Risiken stecken selten in einer einzelnen Domäne. Sie entstehen an den Schnittstellen — dort, wo klassische IT, Betriebstechnik, physische Sicherheit und externe Dienstleister aufeinandertreffen und in der Praxis oft in getrennten Verantwortungssilos geführt werden. In der Wasserwirtschaft kommt ein struktureller Faktor hinzu: geografisch weit verteilte, oft unbemannte Außenstationen — Hochbehälter, Pump- und Druckerhöhungswerke — die per Fernwirktechnik angebunden sind. Jede dieser Verbindungen ist eine potenzielle Tür, und der physische Zugang zu einer entlegenen Station bedeutet im Zweifel vollen Zugriff auf die Steuerung. Cyber- und physische Sicherheit lassen sich hier nicht trennen.

OT-Umgebungen lassen sich nicht mit den Mitteln klassischer IT-Sicherheit absichern. In der IT steht die Vertraulichkeit vorn; in der OT kehrt sich das um — hier zählen Verfügbarkeit und Integrität zuerst. Patch-Zyklen sind lang, viele Steuerungen laufen über Jahrzehnte, und ein direkter Pfad vom Büro-Client zur Anlagensteuerung darf gar nicht erst existieren. Genau hier liegt die häufigste reale Schwachstelle der Branche: Steuerungen mit Werkspasswort, ungesicherte Fernwartungszugänge und aus dem Internet erreichbare Bedienoberflächen — die Funde von 2016 und 2019 und der Aliquippa-Fall folgen alle demselben Muster. Dagegen greift Defense in Depth: gestaffelte, voneinander unabhängige Schutzschichten nach dem Zwiebelschalenprinzip, konsequente Netzwerksegmentierung zwischen IT und OT, Zonen- und Conduit-Modelle nach IEC 62443 und das Leitbild Zero Trust — kein automatischer Vertrauensvorschuss, weder für Nutzer noch für Verbindungen. Standards wie ISO/IEC 27001 und IEC 62443 setzen den fachlichen Rahmen; sie konkretisieren, was die Regulatorik fordert — ersetzen aber nicht die Architektur, die IT, OT und physische Sicherheit zusammenhält.

Quellen

[1] Offen erreichbare HMIs deutscher Wasserwerke, manipulierbare Pumpen (Juli 2016) — DER SPIEGEL · Golem.de

[2] Klärwerk-Penetrationstest, vollständige Steuerungsübernahme (April 2019) — datensicherheit.de / PSW Group

[3] Oldsmar, Florida (Februar 2021): Natronlauge-Dosierung manipuliert, ~15.000 versorgt — BBC

[4] Aliquippa, Pennsylvania (November 2023): CyberAv3ngers, Unitronics-PLC mit Standardpasswort, ~1.800 exponierte PLCs weltweit — Forescout · CSO Online

[5] American Water (Oktober 2024): größter US-Versorger, 14 Mio. Menschen, Kundenportal/Abrechnung offline — CNBC

[6] Trinkwasserverband Stader Land (Juli 2023): wochenlange Einschränkung, keine Verschlüsselung, Versorgung durchgehend — Tageblatt · Kreiszeitung Wochenblatt

[7] Südwestfalen IT (Oktober 2023): >100 Kommunen, Abwassergebühren-Einzug betroffen, Schaden ~1,5 Mio. € — Borncity

[8] BSI-Meldungen 2020: 419 KRITIS-Meldungen gesamt, 73 Energie, 7 Wasser — Kompetenzzentrum Wasser Berlin

[9] ~47 von ~5.500 Wasserversorgern KRITIS (Schwelle 500.000 EW) — MDR (AG KRITIS / Manuel Atug)

[10] Bayern (Mai 2025): nur 3 gesetzlich verpflichtete Großversorger, ~2.100 weitere nicht reguliert — BR24

[11] Lagezentrum CyberSec@Wasser: erstes Sektor-Lagebild seit 2024, laufende Angriffsversuche auf IT/OT — ZFK · kdw-nrw.de

[12] NIS2-Umsetzungsgesetz: wichtige Einrichtung ab 50 Beschäftigte / 10 Mio. €; Meldefristen 24h/72h/1 Monat; Bußgeld bis 10 Mio. € / 2 % — DVGW IT-Sicherheit · nisd2.eu

[13] KRITIS-Dachgesetz (in Kraft März 2026), CER-Richtlinie (EU) 2022/2557, Geschäftsführungshaftung — BSI-KritisV § 3 Sektor Wasser

[14] EU-Trinkwasserrichtlinie (EU) 2020/2184, TrinkwV; Risikobewertung bis Nov. 2025, Versorgungssysteme bis Jan. 2029 — Rödl & Partner

[15] B3S WA / DVGW W 1060 / DWA-M 1060, BSI-Eignungsfeststellung, gilt auch unterhalb KRITIS-Schwelle — DWA