Wenn digitale Erreichbarkeit den physischen Prozess berührt

Moderne Wasser- und Abwasseranlagen werden über SPS, Prozessleitsysteme, Sensoren und Bedienoberflächen überwacht. Fernzugriff kann Stillstandszeiten verkürzen, Spezialisten schneller einbinden und die Diagnose verteilter Anlagen vereinfachen. Dieselbe Verbindung kann jedoch zum Risiko werden, wenn Steuerungskomponenten direkt aus dem Internet erreichbar sind oder Zugriffe nicht ausreichend getrennt, begrenzt und protokolliert werden.

Das US-amerikanische National Institute of Standards and Technology, kurz NIST, hat am 1. Oktober 2026 aktuelle Angriffe auf Wasser- und Abwassersysteme eingeordnet. Nach Angaben des Fachbeitrags richteten sich Angreifer gegen internetseitig erreichbare speicherprogrammierbare Steuerungen. Sie versuchten unter anderem Einstellungen zu verändern, Überwachungs- und Steuerungsmöglichkeiten einzuschränken und den Betrieb zu stören.

Das Beispiel stammt aus den Vereinigten Staaten. Es ist kein Beleg für einen konkreten Angriff auf eine europäische oder eine ROTREAT-Anlage. Die technische Lehre ist dennoch übertragbar: Eine Verbindung zur Betriebstechnik darf nicht allein danach bewertet werden, ob sie funktioniert. Sie muss so gestaltet sein, dass nur berechtigte Zugriffe möglich sind, ihre Wirkung begrenzt bleibt und der Betrieb nach einem Vorfall sicher fortgesetzt oder wiederhergestellt werden kann.

OT ist nicht nur ein weiterer Bürorechner

In der klassischen Informationstechnik stehen häufig Vertraulichkeit und Datenintegrität im Vordergrund. In der Operational Technology, kurz OT, steuert Software reale Prozesse. Eine falsche Sollwertänderung kann Pumpen, Ventile, Dosierungen oder Reinigungsabläufe beeinflussen. Verfügbarkeit und Prozesssicherheit haben deshalb besonderes Gewicht.

Wasseranlagen besitzen außerdem lange Lebenszyklen. Steuerungen und Feldgeräte bleiben oft deutlich länger im Einsatz als Bürohardware. Nicht jedes Gerät unterstützt moderne Sicherheitsfunktionen. Updates müssen mit der Prozessverfügbarkeit, Herstellerfreigaben und möglichen Auswirkungen auf die Steuerung abgestimmt werden.

Daraus folgt kein Verzicht auf Digitalisierung. Es folgt eine andere Planungslogik. Fernzugriff wird als eigener Betriebsfall mit definierten Risiken, Rollen und technischen Schutzschichten behandelt.

Schritt eins: Wissen, welche Komponenten vorhanden sind

NIST betont, dass Betreiber nur schützen können, was sie kennen. Ein belastbares Anlageninventar enthält deshalb nicht nur SPS und Bedienpanel. Dazu gehören auch Engineering-Rechner, Router, Mobilfunkgeräte, Fernwirkstationen, Messgeräte mit Netzwerkanschluss, virtuelle Systeme, Cloud-Dienste und externe Wartungszugänge.

Für jedes Asset sollten mindestens Funktion, Standort, Verantwortlichkeit, Netzverbindung, Software- oder Firmwarestand und notwendige Kommunikationsbeziehungen dokumentiert sein. Ebenso wichtig ist die Frage, ob ein Gerät aus einem fremdverwalteten Netz erreicht werden kann.

Das Inventar ist kein einmaliges Übergabedokument. Änderungen an Steuerung, Netzwerk oder Fernwartung müssen nachvollziehbar eingepflegt werden. Sonst entsteht mit jeder provisorischen Verbindung ein blinder Fleck.

Direkter Internetzugang zur SPS ist keine Wartungsstrategie

NIST SP 1800-45 beschreibt mehrere Referenzarchitekturen für sicheren Fernzugriff in Wasser- und Abwassersystemen. Ein gemeinsames Prinzip ist, den Zugriff nicht unmittelbar auf ein Steuerungsgerät zu führen. Die Verbindung endet zunächst in einem geschützten Netzwerkbereich. Von dort wird eine getrennte und kontrollierte Sitzung zur OT aufgebaut.

Eine solche Architektur kann je nach Größe und Risikoprofil Firewalls, eine demilitarisierte Zone, einen Fernzugriffsserver oder einen besonders geschützten Sprungserver umfassen. Entscheidend ist nicht der Produktname. Entscheidend ist, dass nur notwendige Netze, Ports und Protokolle freigegeben werden und die Betriebstechnik nicht als öffentlich erreichbarer Endpunkt erscheint.

Auch eine Cloudlösung kann Teil eines sicheren Konzepts sein. Dann müssen Vertrag, Verantwortlichkeiten, Ende-zu-Ende-Verschlüsselung, Zugriffssteuerung, Protokollierung, Schwachstellenmanagement und ein Vorgehen bei Ausfall des Dienstes geklärt sein. Die Auslagerung einer Funktion lagert die Betreiberverantwortung nicht automatisch aus.

Identität und Berechtigung müssen zur Wartungsaufgabe passen

Ein gemeinsames Wartungskonto für mehrere Personen erschwert die Nachvollziehbarkeit. Besser sind personenbezogene Zugänge mit einer zweiten Authentifizierungskomponente. Rollen und Rechte sollten auf die konkrete Aufgabe begrenzt sein.

Ein externer Servicetechniker benötigt nicht automatisch dauerhaften Zugriff auf alle Anlagenteile. Sinnvoll sind zeitlich begrenzte Freigaben, das Prinzip der geringsten notwendigen Rechte und eine Trennung zwischen Beobachten, Parametrieren und Programmieren. Besonders kritische Änderungen können eine zusätzliche lokale oder organisatorische Freigabe erfordern.

Bei Personalwechsel, Projektende oder Ablauf eines Wartungsvertrags müssen Berechtigungen zuverlässig entzogen werden. Diese scheinbar administrative Aufgabe ist Teil der technischen Sicherheit.

Protokollierung macht Fernwartung überprüfbar

Ein sicherer Zugang sollte dokumentieren, wer sich wann angemeldet hat, auf welches System zugegriffen wurde und welche sicherheitsrelevanten Ereignisse auftraten. Je nach Architektur können auch Sitzungsinformationen oder Dateiübertragungen erfasst werden.

Protokolle sind nur hilfreich, wenn sie geschützt, auswertbar und einer verantwortlichen Stelle zugeordnet sind. Eine große Menge ungesichteter Logdaten ersetzt keine Überwachung. Betreiber sollten festlegen, welche Ereignisse einen Alarm auslösen, wer diesen bewertet und wie im Verdachtsfall reagiert wird.

Dateiübertragungen in die OT verdienen besondere Aufmerksamkeit. Programme, Updates oder Konfigurationsdateien sollten aus einer autorisierten Quelle stammen, vor der Übernahme geprüft und versioniert werden. Nach einer Änderung muss ein definierter Rückweg zur letzten funktionsfähigen Konfiguration bestehen.

Rückfallbetrieb und Wiederherstellung gehören zur Planung

Vollständige Sicherheit kann kein System garantieren. Deshalb gehören Reaktion und Wiederanlauf zur Architektur. Betreiber sollten wissen, welche Prozesse bei Ausfall der Fernverbindung lokal weiterlaufen, welche Handbedienung möglich ist und wie lange die Anlage ohne externe Unterstützung sicher betrieben werden kann.

Zu einem belastbaren Konzept gehören gesicherte Konfigurationen von SPS, Bedienoberflächen und relevanten Netzwerkkomponenten. Die Wiederherstellung sollte nicht nur dokumentiert, sondern unter kontrollierten Bedingungen getestet werden. Ein Backup ist erst dann wertvoll, wenn es verfügbar, unverändert und praktisch einspielbar ist.

Auch Alarmwege müssen ohne die betroffene Verbindung funktionieren können. Wenn Überwachung, Wartungszugang und Benachrichtigung vollständig vom selben externen Dienst abhängen, kann ein einzelner Ausfall mehrere Schutzebenen gleichzeitig treffen.

NIS2 macht Cybersicherheit zur Managementaufgabe

Die europäische NIS2-Richtlinie erfasst unter anderem Trinkwasser und Abwasser als Sektoren hoher Kritikalität. Ob eine einzelne Organisation konkret unter nationale Pflichten fällt, hängt von Rechtsraum, Größe, Tätigkeit und weiteren Kriterien ab und muss separat geprüft werden.

Die EU-Agentur ENISA ordnete Trinkwasser und Abwasser in ihrem Bericht NIS360 vom Mai 2026 in eine Risikozone ein, weil die bewertete Cyberreife hinter der Kritikalität der Sektoren zurückblieb. ENISA nennt unter anderem Ressourcenmangel, uneinheitliche Umsetzung und Lücken bei der Nutzung vorhandener Leitlinien.

Diese Einordnung ersetzt keine Rechtsberatung. Sie macht aber deutlich, dass Fernwartung nicht allein bei der IT-Abteilung oder beim Lieferanten verbleiben sollte. Geschäftsführung, Betrieb, Verfahrenstechnik, Automatisierung und IT müssen Zuständigkeiten und akzeptierte Risiken gemeinsam festlegen.

Sicherheit muss bereits in Ausschreibung und Abnahme sichtbar sein

Viele spätere Schwachstellen entstehen nicht erst im Betrieb. Sie werden durch unklare Anforderungen im Projekt angelegt. Eine Ausschreibung für eine automatisierte Wasseranlage sollte deshalb auch die OT-Schnittstellen beschreiben:

  1. Welche Fernzugriffe sind tatsächlich erforderlich?
  2. Wer stellt Infrastruktur und Identitätsverwaltung bereit?
  3. Welche Rollen, Freigaben und Zeitbegrenzungen gelten?
  4. Wo werden Protokolle gespeichert und wer wertet sie aus?
  5. Wie werden Software, Konfigurationen und Änderungen dokumentiert?
  6. Welche lokalen Betriebsfunktionen bleiben bei Verbindungs- oder Dienstausfall erhalten?
  7. Welche Unterlagen und Wiederherstellungstests gehören zur Abnahme?

Die Werksabnahme kann neben Verfahrenstechnik und Elektrofunktion auch ausgewählte digitale Betriebsfälle prüfen. Dazu gehören ein zulässiger Fernzugriff, ein abgelehnter Zugriff, die Protokollierung und der Betrieb bei getrennter externer Verbindung. Die konkrete Prüftiefe richtet sich nach Anlage und Risikobewertung.

Der ROTREAT-Bezug

ROTREAT baut modulare Abwasserbehandlungsanlagen mit Automation, Mess- und Regeltechnik sowie werksseitiger Abnahme. Bei der Projektierung müssen die betrieblichen Anforderungen an Fernüberwachung und Service früh geklärt werden, damit Schaltschränke, Netzwerkkomponenten, Bedienung und Schnittstellen konsistent ausgeführt werden können.

ROTREAT ist kein Anbieter einer vollständigen Cybersecurityberatung und ersetzt weder Betreiberpflichten noch spezialisierte OT-Sicherheitsplanung. Der Anlagenbau kann jedoch die Voraussetzungen unterstützen: dokumentierte Komponenten, klar definierte Schnittstellen, nachvollziehbare Zugriffsanforderungen und ein Abnahmekonzept, das den sicheren Anlagenbetrieb berücksichtigt.

Nächste Schritte

Planen Sie eine automatisierte oder fernwartbare Wasserbehandlungsanlage? Definieren Sie gemeinsam mit Ihrer IT- und OT-Sicherheitsverantwortung die notwendigen Zugriffe, Betriebsrollen und Ausfallszenarien. ROTREAT kann diese Anforderungen in die Schnittstellen- und Abnahmeplanung der verfahrenstechnischen Anlage einbeziehen.