Wasserwerk am Netz: Kritische Infrastruktur absichern.

Über Angriffe auf Stadtwerke und Großversorger wird berichtet. Über die Realität in kleinen Gemeinden selten, dabei ist sie brisanter: Dort betreut oft ein einziger Wassermeister mit einem externen Anlagenbauer eine Technik, die über Jahrzehnte gewachsen ist. Typische Befunde aus unseren Bestandsaufnahmen:

• Fernwartungszugänge des Anlagenbauers, die dauerhaft offen sind, statt nur bei Bedarf, und von denen keine Dokumentation existiert.
• Steuerungsrechner mit uralten Betriebssystemen, die nie Updates gesehen haben, aber im selben Netz hängen wie die Büro-PCs.
• Passwörter, die seit der Inbetriebnahme beim Hersteller-Standard geblieben sind.
• Keine Übersicht, welche Anlagen überhaupt von außen erreichbar sind.

Keiner dieser Punkte ist Nachlässigkeit einzelner Personen. Es ist das Ergebnis von zwanzig Jahren “Hauptsache, es läuft”, und es lässt sich systematisch aufräumen.

Wie real das Szenario ist, zeigt der Blick in den aktuellen BSI-Lagebericht. Kommunen und ihre Einrichtungen stehen ausdrücklich im Fokus der Angreifer, und der Fall des kommunalen Dienstleisters Südwestfalen-IT, bei dem 72 Kommunen wochenlang lahmgelegt waren, hat gezeigt, dass Verwaltung und Versorgung längst zusammen gedacht werden müssen. Eine Gemeinde, deren Rathaus verschlüsselt ist, verliert Bürgerdienste. Eine Gemeinde, deren Wasserwerk-Steuerung mit dranhängt, hat ein Problem ganz anderer Ordnung.

Die Wasserversorgung fällt selten durch einen Hollywood-Angriff aus. Realistischer ist der Verschlüsselungstrojaner, der über den Bürorechner ins ungetrennte Netz kommt und die Steuerung gleich mitnimmt.

Die Rechtslage hat sich 2025 deutlich verschärft. Mit dem NIS2-Umsetzungsgesetz, das im Dezember 2025 ohne Übergangsfrist in Kraft getreten ist, weitet Deutschland die Cybersicherheits-Pflichten massiv aus, von zuvor rund 4.500 auf rund 30.000 regulierte Einrichtungen. Ausdrücklich erfasst sind auch Trinkwasserversorgung und Abwasserbeseitigung; betroffene Betreiber müssen sich registrieren, Sicherheitsmaßnahmen nachweisen und Vorfälle melden. Für Bayerns Kommunen ist das Landesamt für Sicherheit in der Informationstechnik die zentrale Anlaufstelle. Unabhängig von Schwellenwerten gilt: Die Verantwortung für die Sicherheit der Anlagen liegt bei der Leitung, also beim Bürgermeister, nicht beim Wassermeister.

Dazu kommt die bayerische Pflicht zum Informationssicherheitskonzept nach dem Digitalgesetz, die wir im Beitrag zur Informationssicherheit in der Kommune ausführlich beschreiben. Die Anlagentechnik gehört in dieses Konzept hinein, nicht in eine Fußnote.

Wichtig für die Einordnung: Auch Gemeinden unterhalb der formalen NIS2-Schwellen sind nicht aus dem Schneider. Die Pflichten markieren das Mindestniveau, das der Gesetzgeber für kritische Dienste erwartet, und im Schadensfall wird sich jede Verwaltung daran messen lassen müssen, unabhängig davon, ob sie formal registrierungspflichtig war. Wer Trinkwasser liefert, trägt die Verantwortung mit oder ohne Paragrafen im Rücken.

Die gute Nachricht: Für die typische Gemeinde-Infrastruktur braucht es keine Forschungsprojekte, sondern vier solide Bausteine:

1. Inventur: Welche Anlagen gibt es, welche Verbindungen nach außen, wer hat Zugriff? Ohne diese Liste ist alles Weitere Raten.
2. Trennung: Die Anlagensteuerung bekommt eine eigene Netzwerkzone, strikt getrennt vom Verwaltungsnetz. Ein Vorfall im Büro darf niemals die Pumpensteuerung erreichen.
3. Kontrollierte Fernzugänge: Wartungszugänge laufen über VPN, werden nur bei Bedarf freigeschaltet, sind personengebunden und werden protokolliert. Der Anlagenbauer arbeitet damit genauso gut, nur nachvollziehbar.
4. Notfallplan und geprobte Rückkehr: Was passiert, wenn die Steuerung ausfällt oder verschlüsselt wird? Handbetrieb, Ersatzteile, Wiederanlauf aus einer Sicherung nach der 3-2-1-Regel, regelmäßig geprobt.

Der vierte Punkt verdient einen Zusatz: Gerade bei Anlagen ist der Handbetrieb die unterschätzte Versicherung. Ein Wasserwerk, das sich notfalls einige Tage von Hand fahren lässt, nimmt jedem IT-Vorfall die Existenzbedrohung, vorausgesetzt, die Handgriffe sind dokumentiert und die Menschen, die sie kennen, sind nicht alle dieselbe Person.

Technik ist nur die Hälfte der Absicherung. Die andere Hälfte sind klare Zuständigkeiten zwischen drei Beteiligten, die bisher selten am selben Tisch saßen. Dem Wassermeister, der die Anlage kennt wie seine Westentasche, dem Anlagenbauer, der die Steuerung liefert und wartet, und der Verwaltung, die am Ende die Verantwortung trägt.

In der Praxis bewähren sich drei einfache Vereinbarungen. Erstens ein gemeinsames Verzeichnis aller Zugänge, das bei der Gemeinde liegt, nicht nur beim Dienstleister. Zweitens die Regel, dass Fernzugriffe angekündigt und freigeschaltet werden, was mit heutiger Technik ein Knopfdruck ist und nebenbei ein Protokoll erzeugt, wer wann an der Anlage war. Drittens ein jährlicher gemeinsamer Termin, bei dem Zugänge, Updates und der Notfallplan durchgesprochen werden, eine Stunde, die im Ernstfall Tage spart.

Dazu kommt die stille Wache im Hintergrund. Ein Monitoring, das Steuerungsnetz und Fernzugänge im Blick behält, meldet Auffälligkeiten, bevor sie zur Störung werden, dieselbe Frühwarnlogik, die auch gegen Ransomware den entscheidenden Zeitvorsprung bringt.

Unsere Empfehlung an Gemeinden: mit der Inventur und der Netztrennung beginnen, denn diese beiden Bausteine bringen den größten Sicherheitsgewinn fürs Geld und schaffen die Grundlage für alle Nachweispflichten. Beides lässt sich für eine typische Gemeinde mit Wasserwerk, Kläranlage und Bauhof in überschaubaren Projektschritten umsetzen, abgestimmt mit Anlagenbauer und Wassermeister statt an ihnen vorbei. Im Rahmen unserer Leistung Backup & IT-Sicherheit begleiten wir Kommunen der Region von der Bestandsaufnahme bis zum geprobten Notfallplan. Sprechen Sie uns an.