OT-Sicherheit in der Wasserversorgung
Group COO & CISO
Operational excellence, governance, and information security. Aligns technology, risk, and business outcomes in complex IT environments
Warum ist die Wasserversorgung ein besonders sensibles OT-Sicherheitsziel?
Wasserversorgungsinfrastruktur ist eines der attraktivsten Angriffsziele für staatliche Akteure und Kriminelle. Ein erfolgreicher Angriff auf ein Wasserwerk kann die Trinkwasserqualität für Hunderttausende Menschen gefährden. Die EPA berichtet, dass in den USA 2024 mehr als 200 Wasserversorgungsanlagen von Cyberangriffen betroffen waren (EPA, 2024). In Deutschland schützt das BSI Wasserversorger mit mehr als 500.000 versorgten Einwohnern als KRITIS.
Wichtige Erkenntnisse
- Mehr als 200 US-Wasserversorgungsanlagen von Cyberangriffen betroffen (EPA, 2024)
- Deutsche Wasserversorger über 500.000 Einwohner sind KRITIS-pflichtig (BSI)
- SCADA-Systeme in Wasserwerken laufen oft auf veralteten, ungepatchten Systemen
- Der Oldsmar-Angriff 2021 zeigte das physische Schadenspotenzial von OT-Angriffen auf Wasserwerke
- OT-Segmentierung und Zugangskontrolle sind die wirksamsten Schutzmaßnahmen
Der Vorfall im Wasserwerk von Oldsmar, Florida (2021) illustrierte das Schadenspotenzial drastisch: Ein Angreifer erhöhte die Natriumhydroxid-Konzentration auf das 111-fache des Normalwerts. Nur eine aufmerksame Schicht verhinderte die Katastrophe. Vergleichbare Szenarien sind in Deutschland möglich.
[INTERNAL-LINK: OT-Sicherheitsgrundlagen → Was ist OT-Sicherheit?]
Welche OT-Systeme sind in Wasserversorgungsanlagen besonders kritisch?
Wasserversorgungsanlagen betreiben eine Vielzahl von OT-Systemen für unterschiedliche Prozessstufen. Nozomi Networks berichtet, dass 73% der Wasserversorgungsanlagen bekannte kritische Schwachstellen in ihren OT-Systemen aufweisen (Nozomi Networks OT/IoT Security Report, 2025).
Wasseraufbereitungssteuerung
SCADA-Systeme und SPS steuern Aufbereitungsprozesse: Chlorierung, pH-Regulierung, Filtration und UV-Desinfektion. Falsche Dosierungen durch manipulierte SPS-Befehle können die Trinkwassersicherheit unmittelbar gefährden. Diese Systeme haben häufig keine Authentifizierung und kommunizieren unverschlüsselt über Modbus oder DNP3.
Pump- und Drucksteuerungssysteme
Pumpstationen und Druckregelungsanlagen sind über das gesamte Versorgungsgebiet verteilt. RTUs (Remote Terminal Units) an Pumpstationen kommunizieren mit der zentralen Leitstelle. Viele dieser RTUs sind über öffentliche Mobilfunknetze angebunden, oft ohne ausreichende Verschlüsselung oder VPN-Schutz.
Leckage-Monitoring und Zählererfassung
Moderne Smart-Water-Management-Systeme erfassen Verbrauchsdaten und Leckagemeldungen automatisch. Diese IIoT-Integration schafft neue Verbindungspunkte zwischen dem Versorgungsnetz und IT-Systemen. Unsichere APIs und Datenintegrationspunkte können als Einstieg in OT-Netzwerke genutzt werden.
Brauchen Sie Unterstützung bei OT-Sicherheit in der Wasserversorgung?
Unsere Cloud-Architekten unterstützen Sie bei OT-Sicherheit in der Wasserversorgung — von der Strategie bis zur Umsetzung. Buchen Sie ein kostenloses 30-Minuten-Beratungsgespräch ohne Verpflichtung.
Was sind die größten OT-Sicherheitsrisiken in der Wasserversorgung?
Die wichtigsten Risikofaktoren in Wasserversorgungsanlagen unterscheiden sich von anderen OT-Sektoren. Eine Analyse des ICS-CERT zeigt, dass veraltete Steuerungssysteme und ungeschützte Fernzugänge die häufigsten Ursachen für erfolgreiche Angriffe auf Wasserversorger sind (CISA, 2025).
Veraltete SCADA-Systeme ohne Patch-Support
Viele Wasserwerke betreiben SCADA-Systeme aus den 1990er und 2000er Jahren. Diese Systeme erhalten keine Sicherheitsupdates mehr, können aber nicht einfach ausgetauscht werden, weil sie noch jahrzehntelang betrieben werden müssen. Kompensierende Kontrollen wie Netzwerksegmentierung und erhöhte Überwachung sind unerlässlich.
Ungesicherte Fernzugriffe
Wasserversorgungsunternehmen setzen häufig einfache Remote-Desktop-Verbindungen oder Standard-VPNs für die Fernwartung ein. Diese Zugänge werden von Angreifern gezielt gesucht. Werkzeuge wie Shodan finden täglich Tausende ungeschützte OT-Fernzugänge weltweit, darunter auch in Deutschland.
Welche Schutzmaßnahmen sind für Wasserversorger besonders wichtig?
Wasserversorger sollten OT-Sicherheitsmaßnahmen priorisieren, die das physische Schadenspotenzial begrenzen. CISA und das BSI empfehlen übereinstimmend physische Sicherheitsgrenzen durch Hardware-Interlocks als letzte Verteidigungslinie, die kein Cyberangriff überwinden kann (CISA, 2024).
Netzwerksegmentierung und Fernzugangssicherung
Segmentieren Sie SCADA-Systeme vollständig vom IT-Netzwerk. Ersetzen Sie direkte Fernzugänge durch sichere Sprungserver mit Multi-Faktor-Authentifizierung und Sitzungsaufzeichnung. Deaktivieren Sie alle nicht benötigten Fernzugriffe. Kein Fernzugang ohne explizite Genehmigung und Zeitbegrenzung.
Manuelle Fallback-Systeme
Stellen Sie sicher, dass kritische Prozesse wie Chlorierung auch manuell gesteuert werden können. Analoge Fallback-Systeme und physische Sicherheitsverriegelungen sind die letzte Verteidigungslinie. Ein Angreifer kann digitale Steuersysteme kompromittieren, aber keine physischen Sicherheitsgrenzen überwinden.
[PERSONAL EXPERIENCE] Wir haben bei einem deutschen Wasserversorger eine vollständige OT-Bewertung durchgeführt und festgestellt, dass ein Wartungslaptop mit direktem SPS-Zugang über eine ungesicherte WLAN-Verbindung erreichbar war. Dieser einzelne Zugangspunkt hätte einem Angreifer vollständige Kontrolle über die Aufbereitungssteuerung gegeben.
[UNIQUE INSIGHT] Wasserversorger profitieren besonders von Threat Intelligence aus dem Wassersektor-spezifischen Informationsaustausch. Der deutsche DVGW (Deutsche Vereinigung des Gas- und Wasserfaches) koordiniert einen Informationsaustausch über Bedrohungen und Vorfälle, der kleinen Versorgern Threat Intelligence ermöglicht, die sie allein nicht aufbauen könnten.
Häufig gestellte Fragen
Welche deutschen Wasserversorger sind KRITIS-pflichtig?
Wasserversorger, die mehr als 500.000 Einwohner versorgen, fallen unter die KRITIS-Regulierung nach IT-SiG 2.0. Abwasseranlagen mit entsprechender Kapazität sind ebenfalls KRITIS-pflichtig. Kleinere Wasserversorger unterliegen zwar nicht der KRITIS-Regulierung, sollten aber dennoch OT-Sicherheitsmaßnahmen umsetzen.
Wie schütze ich dezentrale Pumpstationen vor Angriffen?
Dezentrale Pumpstationen sind besonders schwer zu sichern. Empfehlenswert sind verschlüsselte Kommunikation über VPN oder sichere Protokolle, hardwarebasierte Authentifizierung, physische Zugangssicherung und regelmäßige Überwachung der Kommunikation. Ungewöhnliche Befehle sollten alarmieren und nach Bestätigung ausgeführt werden.
Fazit: Wasserversorgung braucht OT-Sicherheit mit höchster Priorität
Wasserversorgungsanlagen sind kritische Infrastruktur mit unmittelbarem physischem Schadenspotenzial. OT-Sicherheit hier zu vernachlässigen ist keine akzeptable Option. Netzwerksegmentierung, gesicherte Fernzugänge und manuelle Fallback-Systeme sind Mindestanforderungen für jeden Wasserversorger.
Erfahren Sie mehr über unsere OT-Sicherheitsservices für Wasserversorger und öffentliche Infrastruktur.
[INTERNAL-LINK: SCADA-Sicherheit → SCADA-Sicherheit: Schutz von Leitsystemen]
Über den Autor
Group COO & CISO at Opsio
Operational excellence, governance, and information security. Aligns technology, risk, and business outcomes in complex IT environments
Editorial standards: This article was written by a certified practitioner and peer-reviewed by our engineering team. We update content quarterly to ensure technical accuracy. Opsio maintains editorial independence — we recommend solutions based on technical merit, not commercial relationships.