Muss laufen. Auch nachts um vier

Nicht der Fernzugriff aufs Wasserwerk ist das Problem, sondern die Form des Zugangs. Der typische Befund bei Bestandsaufnahmen: Der Zugang ist dauerhaft offen statt nur bei Bedarf, das Passwort stammt von 2019, und in der Gemeinde weiß niemand genau, wer darüber alles auf die Steuerung kommt. Wir stellen solche Zugänge auf VPN um, machen sie personengebunden und schalten sie nur für die Wartung frei. Für den Hersteller ändert sich am Arbeiten fast nichts. Für Sie ändert sich alles: Sie sehen, wer wann an der Anlage war, und können jeden Zugang jederzeit schließen.

Formal meist nicht: Die KRITIS-Schwelle liegt bei der Wasserversorgung bei rund 500.000 versorgten Personen, weit über jeder Gemeinde der Region. Aus dem Schneider sind Sie damit trotzdem nicht. Das NIS2-Umsetzungsgesetz, seit Dezember 2025 in Kraft, weitet die Pflichten auf über 30.000 Einrichtungen aus, ausdrücklich auch bei Trinkwasser und Abwasser. Und Art. 43 des Bayerischen Digitalgesetzes verpflichtet jede Kommune zu einem Konzept für Informationssicherheit, die Anlagen gehören dort hinein. Entscheidend ist ohnehin das Risiko, nicht der Paragraf: Wer Trinkwasser liefert, trägt die Verantwortung mit oder ohne KRITIS-Einstufung.

Eine seriöse Zahl gibt es erst nach der Bestandsaufnahme, denn der Aufwand hängt davon ab, was über die Jahre gewachsen ist. Der Weg dorthin ist immer gleich: Wir nehmen Anlagen, Zugänge und Netze auf, priorisieren nach Risiko und schneiden die Schritte so zu, dass sie sich einzeln beschließen und über Haushaltsjahre verteilen lassen. Den größten Sicherheitsgewinn bringen erfahrungsgemäß die ersten beiden Schritte: Netztrennung und kontrollierte Fernzugriffe. Unsere Angebote schlüsseln wir so auf, dass sie im Gemeinderat bestehen und sich sauber in Ihre Vergabepraxis einfügen.

Ja, das ist sogar der sinnvollste Weg. Wasserwerk, Bauhof und Bücherei erben dann die geregelten Abläufe des Rathauses: ein Monitoring, ein Backup, ein Ansprechpartner für alles. Mit den Fachfirmen der Anlagentechnik arbeiten wir dabei Hand in Hand: Die kümmern sich um Pumpen und Steuerungen, wir um die IT dahinter. Und was im Rathaus selbst läuft, von den Fachverfahren bis zum Behördennetz, beschreiben wir auf der Seite Gemeinden & Verwaltungen.

Ohne Monitoring meist erst, wenn etwas ausfällt, und das kann Wochen nach dem Einbruch sein. Mit Monitoring fallen Auffälligkeiten sofort auf: fremde Anmeldeversuche, neue Verbindungen ins Steuerungsnetz, ein Zugang, der plötzlich nachts aktiv ist. Zusammen mit der Netztrennung verschafft das den entscheidenden Zeitvorsprung, bevor aus einem Vorfall im Büro ein Problem an der Anlage wird. Und wenn es ernst wird, sind wir schnell da: Wir sitzen in Vohburg und betreuen Gemeinden rund um Ingolstadt, Pfaffenhofen, Kelheim und Eichstätt.

IT/OT-Trennung heißt: Bürotechnik (IT) und Anlagensteuerung (OT, Operational Technology) laufen in getrennten Netzen, dazwischen lässt eine Firewall nur die Verbindungen durch, die der Betrieb wirklich braucht. Der Grund ist schlicht: Viele Angriffe beginnen im Büro, mit einer Phishing-Mail oder einem verseuchten Anhang. Hängt die Pumpensteuerung im selben Netz, ist sie der nächste Schritt. Ein zweiter Weg führt über externe Geräte, etwa den USB-Stick oder den Laptop der Wartungsfirma. Deshalb gehört zur Trennung auch eine Regel, was an die Anlage angeschlossen werden darf.