Abwasser
Cybersicherheitspflichten für Abwasserbetriebe, Zweckverbände und Betreiber von Kanalnetzen
Ist Ihr Unternehmen betroffen?
- Unternehmen, die Abwasser sammeln, ableiten oder behandeln, ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz (NIS2UmsuCG Anhang I)
- Kommunale Abwasserbetriebe und Eigenbetriebe, soweit sie als eigenständige wirtschaftliche Einheit geführt werden
- Abwasserzweckverbände mit gemeinsamer Kläranlage und verbandsübergreifender Fernwirktechnik
- Betreiber von Kanalnetzen mit fernüberwachten Pumpwerken, Regenüberlaufbecken und Schneckenhebewerken
- Industrielle Direkteinleiter mit eigener Vorbehandlungsanlage, sofern sie die Schwellenwerte überschreiten
NIS2-Anforderungen nach Art. 21
- 01.
Absicherung weiträumig verteilter Fernwirktechnik
Anders als in einem Werk verteilt sich Abwasserinfrastruktur über Dutzende unbemannte Standorte. Pumpwerke kommunizieren über Funk, Mobilfunk oder Standleitungen mit der Leitwarte. Jede dieser Außenstationen ist ein Zugangspunkt und muss entsprechend abgesichert und überwacht werden.
- 02.
Schutz der Reinigungsstufen vor Fehlsteuerung
Belebung, Fällmittelzugabe und Schlammabzug sind aufeinander abgestimmte Prozesse. Werden Sollwerte unbemerkt verändert, kann ungereinigtes Abwasser in den Vorfluter gelangen — ein Umweltschaden, der zugleich wasserrechtliche Folgen hat.
- 03.
Verfügbarkeit bei Starkregen und Havarie
Der kritischste Moment ist der, in dem die Anlage am meisten leisten muss. Die Notfallplanung muss beschreiben, wie Pumpwerke und Regenbecken ohne Leitwarte gefahren werden und wie ein Rückstau in bebautes Gebiet verhindert wird.
- 04.
Abgrenzung und Zusammenspiel mit der Trinkwasserversorgung
Viele Betreiber führen Wasserversorgung und Abwasserentsorgung in einer Organisation, oft im selben Netz. Beide Bereiche fallen unter NIS2, unterscheiden sich aber in Schutzbedarf und Meldeschwelle. Die Zuordnung muss im Sicherheitskonzept sauber getrennt sein.
- 05.
Kontrolle über Dienstleisterzugriffe
Betriebsführung, Fernwartung und Laboranalytik sind häufig ausgelagert. NIS2 verlangt, dass jeder externe Zugriff einer benannten Person zuzuordnen, zeitlich begrenzt und protokolliert ist — nicht ein Sammelzugang für den Dienstleister.
- 06.
Meldepflicht mit wasserrechtlicher Parallele
Erhebliche Sicherheitsvorfälle gehen binnen 24 und 72 Stunden an das BSI. Führt derselbe Vorfall zu einer Grenzwertüberschreitung im Ablauf, greift zusätzlich die Anzeigepflicht gegenüber der Wasserbehörde. Beide Wege gehören vorab beschrieben.
- 07.
Physischer Schutz unbemannter Anlagenteile
Pumpwerke und Sonderbauwerke stehen oft frei zugänglich im Gelände. Ohne Zutrittsschutz und Einbruchmeldung ist der direkte Zugriff auf die Steuerung der einfachste Angriffsweg — technische Härtung im Netz nützt dann wenig.
Typische Bedrohungsszenarien
Innentäter mit Funkzugriff auf die Steuerung
Ein abgelehnter Bewerber mit Insiderwissen sendete über handelsübliche Funktechnik Steuerbefehle an Pumpstationen und ließ mehrfach ungeklärtes Abwasser in Parks und Wasserläufe austreten. Der Fall gilt als erster dokumentierter Angriff auf eine Abwasserinfrastruktur.
Maroochy Shire Sewage Spill (Australien, 2000)Kompromittierung ungeschützter Kleinsteuerungen
Eine Angreifergruppe suchte gezielt nach über das Internet erreichbaren Steuerungen eines bestimmten Herstellers und übernahm sie bei mehreren kommunalen Wasser- und Abwasserbetrieben. Voraussetzung war in vielen Fällen nur ein unverändertes Standardpasswort.
CyberAv3ngers-Kampagne gegen Unitronics-Steuerungen, u. a. Aliquippa (USA, 2023)Ransomware beim Ver- und Entsorgungsdienstleister
Ein Ransomware-Angriff traf die Kommunalsparte eines großen Wasser- und Abwasserdienstleisters. Die Aufbereitung lief weiter, doch Abrechnung, Kundendienst und administrative Systeme fielen aus — ein Muster, das bei kommunalen Betrieben besonders häufig auftritt.
Ransomware bei Veolia North America, Municipal Water (2024)Maßnahmen-Checkliste
- Vollständiges Verzeichnis aller Außenstationen samt Kommunikationsweg, Steuerungstyp und Firmware-Stand
- Verschlüsselte und authentifizierte Fernwirkverbindungen statt offener Funk- oder Mobilfunkstrecken
- Netztrennung zwischen Prozessleitebene, Fernwirknetz und kaufmännischer Verwaltung
- Zutrittsschutz und Einbruchmeldung für Pumpwerke, Regenbecken und Sonderbauwerke
- Plausibilitätsprüfung der Prozesswerte, die unrealistische Sollwertsprünge unabhängig vom Leitsystem meldet
- Beschriebener und geübter Handbetrieb für Pumpwerke bei Ausfall der Leitwarte, mit Starkregenszenario
- Persönlich zugeordnete, zeitlich befristete und protokollierte Zugänge für Betriebsführer und Wartungsfirmen
- Wiederkehrende Prüfung auf aus dem Internet erreichbare Steuerungen, einschließlich der Außenstandorte
- Abgestimmter Melde- und Eskalationsplan zwischen Betriebsleitung, Wasserbehörde und Bundesamt
- Regelmäßiger Austausch von Standardzugangsdaten in Klein- und Altsteuerungen, dokumentiert je Standort
Verwandte Inhalte
NIS2-Compliance für Abwasser?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen