Ende Juli kam es zu einer Reihe von Cyberangriffen auf US-amerikanische Wasser- und Abwasserunternehmen, was eine gemeinsame Warnmeldung des FBI, der EPA und der CISA. Die Warnung beschreibt die beobachteten Aktivitäten, identifiziert die dabei angewandten Methoden und legt empfohlene Schutzmaßnahmen für die Branche dar. Der Warnung zufolge richteten sich die Aktivitäten gegen die Betriebs- und Verwaltungssysteme, auf die die Versorgungsunternehmen angewiesen sind, um sicheres Wasser bereitzustellen; die Zuordnung und Charakterisierung der Angreifer durch die Bundesbehörden sollte als maßgebliche Darstellung angesehen werden, und dieser Beitrag stützt sich durchgehend darauf.

Siehe auch: Warum die Planung der OT-Isolierung eine lückenlose Kommunikation erfordert

Empfehlungen werden in Form von Listen mit Abhilfemaßnahmen verfasst. Reaktionen erfolgen als Abfolge von Entscheidungen unter Zeitdruck. Am nützlichsten ist es für ein Versorgungsunternehmen, die Empfehlungen auf den Zeitplan eines tatsächlichen Vorfalls abzustimmen, denn dadurch wird deutlich, welche Empfehlungen Vorbereitungsmaßnahmen betreffen, die jetzt getroffen werden müssen, und welche Fähigkeiten bereits vorhanden sein müssen, wenn die Uhr zu ticken beginnt.

Stunde Null bis Stunde Sechs: Erkennung und Eindämmung

Die kurzfristigen Empfehlungen des Berichts konzentrieren sich auf die Erkennung und Unterbindung unbefugter Zugriffe: Überprüfung der Fernzugriffswege, Zurücksetzen von Zugangsdaten und Isolierung betroffener Segmente. Die Zeitachsenansicht verdeutlicht zudem Folgendes: Jede dieser Maßnahmen wird von Menschen koordiniert, und in den ersten Stunden arbeiten diese Menschen nachts und am Wochenende – und über ihre privaten Telefone. Die Versorgungsunternehmen, die bei den Angriffen im Juli am schnellsten reagierten, waren diejenigen, die ihr Reaktionsteam innerhalb von Minuten über vertrauenswürdige Kanäle zusammenstellen konnten, wobei klar war, wer beteiligt war. Die Geschwindigkeit der Alarmierung und die Sicherstellung der Kommunikation werden in den meisten Sicherheitshinweisen nicht als separate Punkte aufgeführt, bilden jedoch die Grundlage, auf der jede empfohlene Maßnahme aufbaut.

Tag 1 bis Tag 3: Räumung und Kontinuität

Im weiteren Verlauf der Eindämmungsmaßnahmen verlagern sich die Empfehlungen des Leitfadens auf die Absicherung: Trennung von IT und OT, Beseitigung unnötiger Internetanbindung von Steuerungssystemen und Überprüfung der Sicherungskopien. In dieser Phase besteht die praktische Herausforderung für die meisten kleinen Versorgungsunternehmen nicht darin, zu wissen, was zu tun ist, sondern darin, die Maßnahmen umzusetzen und gleichzeitig die Wasseraufbereitung fortzusetzen, die Aufsichtsbehörden zu informieren, sich mit benachbarten Systemen abzustimmen und die Öffentlichkeitsarbeit zu bewältigen – oft mit einem Personalbestand im einstelligen Bereich. Die Kontinuität der Führung, d. h. ein beständiger, sicherer Koordinationskanal für Führungsebene und Betrieb, verhindert, dass die technischen und die organisatorischen Aufgaben miteinander kollidieren.

In Sicherheitshinweisen werden Abhilfemaßnahmen aufgeführt. Vorfälle erfordern Koordination. Die Kluft zwischen beiden Bereichen bereitet kleinen Versorgungsunternehmen die größten Schwierigkeiten – doch diese Lücke lässt sich noch vor dem nächsten Vorfall schließen.

Die erste Woche und darüber hinaus: Absicherung und Nachweis

Die Empfehlungen mit längerfristigem Horizont in der Stellungnahme – darunter die Pflege von Zugangsdaten, Überwachung und die Planung der Reaktion auf Vorfälle – kommen Versorgungsunternehmen zugute, die die Ereignisse vom Juli eher als Probe denn als Beinaheunfall betrachten. Zwei Übungen machen sich sofort bezahlt. Erstens eine Kontakt- und Alarmierungsübung: Wie lange dauert es, bis alle Einsatzkräfte erreicht sind und der Empfang bestätigt wird, und funktioniert dieser Prozess auch dann noch, wenn die Unternehmens-E-Mail und die Telefonie ausfallen? Zweitens eine Übung zum vertrauenswürdigen Kommunikationskanal: Wenn die primären Netzwerke morgen nicht mehr vertrauenswürdig wären, über welchen Kanal würde die Führungsebene dann Maßnahmen zur Eindämmung besprechen, und ist dieser Kanal verschlüsselt, authentifiziert und unabhängig von der betroffenen Infrastruktur?

Die meisten Versorgungsunternehmen, die solche Übungen durchführen, stellen immer wieder dieselben drei Schwachstellen fest: Die Alarmierung erfolgt über eine manuelle Meldehierarchie, als Ausweichkanal für die Koordination dienen Benachrichtigungen an die Verbraucher über deren persönliche Endgeräte, und niemand kann mit Sicherheit sagen, welche Geräte in der Reaktionskette verwaltet und auf dem neuesten Stand gehalten werden. Alle drei Probleme lassen sich innerhalb eines Quartals beheben, ohne dass das Steuerungsnetzwerk berührt werden muss.

Die Schlussfolgerung auf Branchenebene

Die Angriffe im Juli und die gemeinsame Warnmeldung bestätigen, was die Verantwortlichen im Wassersektor seit Jahren sagen: Diese kritische Infrastruktur steht im Visier, die Angriffe sind in Warnmeldungen der Bundesbehörden dokumentiert und keineswegs hypothetisch, und die für die Abwehr zuständigen Betreiber gehören zu denjenigen mit den geringsten Ressourcen in allen Branchen. Die richtige Vorgehensweise besteht nicht darin, alle in der Warnmeldung genannten Maßnahmen gleichzeitig umzusetzen. Vielmehr gilt es, die Maßnahmen nacheinander zu ergreifen: Zunächst muss die Koordinierungsebene gesichert werden, da alle weiteren Abwehrmaßnahmen davon abhängen, wenn die nächste Warnmeldung ein bereits im Gange befindliches Ereignis beschreibt und nicht mehr nur ein eingedämmtes.