Jedes Wasserversorgungssystem im Land stützt sich auf Beziehungen, die es nicht selbst kontrolliert. Die bekannteste davon ist die gegenseitige Hilfe: ein staatliches WARN-Programm, eine interkommunale Vereinbarung mit dem System im benachbarten Landkreis, die Handynummer des Betreibers, der über eine Ersatzpumpe verfügt. Andere sind ebenso wichtig. Die Meldung an eine federführende Behörde. Ein Anruf bei einer FBI-Außenstelle. Der Informationsaustausch zwischen den Sektoren. Der Landesverband, der an einem Dienstagmorgen eine Benachrichtigung weiterleitet. Jede dieser Beziehungen dient der Koordination und beruht auf einer stillschweigenden Annahme: Wenn es darauf ankommt, gibt es eine funktionierende Möglichkeit, jemanden außerhalb der eigenen Organisation zu erreichen.

Bevorstehendes Webinar: Was CI Fortify über Kommunikation verschweigt

In den meisten Notfällen trifft diese Annahme zu. Ein Hauptrohrbruch um 4 Uhr morgens legt die Telefonanlage nicht lahm. Eine Überschwemmung macht Straßen und Pumpstationen unpassierbar, doch der Versorgungsbetrieb zwei Landkreise weiter hat noch Wasser und ist telefonisch erreichbar. Diese Zusammenarbeit funktioniert, weil der Ausfall lokal begrenzt ist, die Hilfe jedoch nicht.

Ein Cybervorfall kann ganz unterschiedliche Ausprägungen annehmen. Er kann im Rahmen desselben Vorfalls sowohl das E-Mail- als auch das Telefonsystem lahmlegen und dabei auch das Überwachungssystem und das Kontaktverzeichnis mit in den Abgrund reißen, da sich alles in einem Netzwerk befindet und die Authentifizierung über ein einziges Verzeichnis erfolgt. In einem Szenario, das bei der Sektorplanung so gut wie nie berücksichtigt wird, trifft es die beiden Systeme innerhalb derselben Woche an beiden Enden.

Zwei Versorgungsunternehmen, eine Kampagne

Zwei Systeme, 40 Meilen voneinander entfernt. Beide versorgen kleine Gemeinden, beide gehören zum WARN-Programm desselben Bundesstaates und beide sind von derselben Aktivität innerhalb derselben sieben Tage betroffen.

Das erste System benötigt Unterstützung. Es braucht einen Mitarbeiter, der eine manuelle Schicht übernehmen kann, und jemanden, der sich damit schon einmal auskennt. Dem Leiter wurde geraten, das Unternehmensnetzwerk als verdächtig einzustufen. Damit fallen das E-Mail-Konto, über das er die Anfrage stellen würde, die Telefonanlage, die denselben Anschluss nutzt, sowie die Kontaktliste auf dem gemeinsamen Laufwerk in den Bereich, dem er laut Anweisung nicht vertrauen darf.

Das zweite System ist das, das er anrufen würde. Auch hier ist gerade ein Einsatz im Gange. Die Mitarbeiter sind voll im Einsatz, die manuelle Abdeckung ist lückenhaft, und der Einsatzleiter stellt genau dieselbe Überlegung hinsichtlich seiner eigenen Kommunikationskanäle an.

Der Staat erhält von beiden Seiten nur unvollständige Informationen, und zwar später, als ihm lieb ist, während er versucht, herauszufinden, ob es sich um zwei Ereignisse oder um ein einziges handelt.

Dafür braucht es keinen exotischen Gegner. Gegenseitige Hilfe funktioniert, weil die freien Kapazitäten des Helfers nichts mit dem Ausfall des Hilfesuchenden zu tun haben – und die geografische Lage sorgt in der Regel dafür. Die Korrelation ist der Kern einer Kampagne. Wenn dieselbe Aktivität innerhalb eines Zeitfensters viele Systeme betrifft, ist die Annahme, dass es jemandem in der Nähe gut geht und er verfügbar ist, als Erstes hinfällig.

Erreichbarkeit hat Vorrang vor der Überprüfung

Aus Sicherheitsgründen neigt man dazu, dies als Identitätsproblem zu betrachten. Woher weiß das zweite Versorgungsunternehmen, dass die Anfrage tatsächlich vom Leiter des ersten Versorgungsunternehmens stammt und nicht von jemandem, der dessen E-Mails gelesen hat? Wie überprüft der Staat die Richtigkeit der übermittelten Angaben? Diese Fragen sind berechtigt, und die Branche wird sie beantworten müssen.

Das ist die zweite Frage. Die erste lautet, ob überhaupt ein Kanal existiert: einer, den beide Parteien erreichen können, ohne auf das primäre Netzwerk oder Verzeichnis einer der beiden Organisationen angewiesen zu sein. Niemand authentifiziert sich auf einem Kanal, über den er nicht verfügt.

Die Kontinuitätsplanung endet in der Regel genau an dieser Stelle. In den Plänen werden die Beteiligten namentlich genannt und die Nummern aufgelistet. Nur wenige Pläne geben an, wo diese Nummern zu finden sind, wenn das Netzwerk, in dem sie gespeichert sind, selbst unter Verdacht steht, oder welcher Kanal die Kommunikation übernimmt, wenn beide Seiten unter derselben Warnung operieren.

Das ist eine berechtigte Frage, die man Anbietern, einschließlich diesem hier, stellen sollte. Eine als Cloud-Dienst bereitgestellte Koordinationsplattform ist von der Internetverbindung abhängig, die ein Versorgungsunternehmen möglicherweise gerade unterbrochen hat. Das Standardbereitstellungsmodell für BlackBerry® AtHoc® ist die Cloud. Die Konfigurationen, die auch bei einem Ausfall der externen Verbindung weiterhin funktionieren, sind die lokalen und hybriden Lösungen, und ein Betreiber, der Koordinationsfunktionen erwirbt, sollte vor der Unterzeichnung des Vertrags wissen, welche davon im Angebot enthalten ist.

Die Erkennung steht vor der Tür. Die Koordination liegt weiterhin in Ihrer Hand.

In diesem Monat hat sich für kleine Wasserversorgungssysteme etwas Grundlegendes geändert. Am 7. August haben die DEF CON Franklin und die National Rural Water Association (NRWA) das „Water Watch Center“ ins Leben gerufen, das Anbietern von Managed-Detection-and-Response-Diensten die Möglichkeit gibt, ihre Dienste kostenlos für Wasserversorger mit weniger als 10.000 Einwohnern bereitzustellen, wobei die NRWA als nationale Drehscheibe für die von diesen Anbietern erfassten Daten fungiert. Etwa neun von zehn kommunalen Wasserversorgungssystemen des Landes liegen unter dieser Einwohnerzahl. Für einen Versorger ohne eigenes Sicherheitspersonal bedeutet dies den Unterschied zwischen einer Überwachung und gar keiner. Die Branche hadert schon seit Jahren mit dieser Frage.

Die Erkennung zeigt Ihnen, dass etwas passiert ist. Die Koordination bestimmt, wie Sie darauf reagieren.

Dadurch wird die Frage auch noch pointierter. Ein Leiter, der um 23 Uhr einen glaubwürdigen Alarm erhält, ist in einer weitaus besseren Position als einer, der erst am Donnerstag durch eine Kundenbeschwerde davon erfährt, und er muss nun eine Reihe von Entscheidungen treffen, die ihm kein Überwachungsdienst abnimmt. Wer wird geweckt? Welcher Nachbar wird angerufen? Wann wird die zuständige Behörde informiert? Was wird dem Stadtverwalter mitgeteilt, und wie sieht die Situation aus, wenn das Unternehmensnetzwerk Teil des Problems ist?

Die Koordinationsfähigkeit unterscheidet sich von der Erkennungsfähigkeit und wiederum von der operativen Fähigkeit, die Anlage manuell zu betreiben. Von diesen drei Fähigkeiten wird diese am häufigsten als gegeben vorausgesetzt, anstatt sie gezielt bereitzustellen, da sie eher wie eine Liste von Telefonnummern als wie ein System wirkt.

Fünf Fragen, die Sie sich vor der nächsten Aktivierung stellen sollten

1. Wenn um 2 Uhr morgens sowohl Ihre E-Mail als auch Ihre Telefonanlage ausfallen würden, unter welcher Nummer sind Sie dann erreichbar und wer außerhalb Ihrer Organisation kennt diese Nummer?

2. Wo befindet sich die Liste für gegenseitige Hilfe, und kann man darauf zugreifen, nachdem das Netzwerk, auf dem sie gespeichert ist, getrennt wurde?

3. Wenn Sie ein benachbartes System um Hilfe bitten, wie stellt dieses System dann sicher, dass die Anfrage tatsächlich von Ihnen stammt?

4. Wenn die beiden Partner, die Sie anrufen würden, gerade beide mit eigenen Vorfällen beschäftigt sind, an wen richten Sie dann den dritten Anruf, und haben Sie diesen Anruf schon einmal getätigt?

5. Können Sie eine Aufstellung darüber vorlegen, wen Sie wann benachrichtigt haben, ohne diese eine Woche später aus dem Gedächtnis zusammenstellen zu müssen?

Ein Schulleiter kann diese Fragen an einem Nachmittag durchgehen. Die Antworten fallen fast bei jedem an denselben Stellen unangenehm aus.

Was das für die Verantwortlichen bedeutet, die die Regeln festlegen

Diese fünf Fragen dienen gleichzeitig als Diagnoseinstrument für die Politik. Die zuständigen Behörden und Gesetzgeber entscheiden derzeit darüber, wofür die Cyber-Mittel für kleine Systeme ausgegeben werden dürfen, und die Listen der zulässigen Verwendungszwecke werden anhand von Dingen erstellt, die sich inventarisieren lassen: Bewertungen, Ausrüstung, Abonnements für Überwachungsdienste. Die Koordinationsfähigkeit lässt sich nur schwer in Einzelposten aufschlüsseln, sodass sie nur dann finanziert wird, wenn jemand sie gezielt nennt.

Die Bundesländer haben ein eigennütziges Interesse daran. Bei einem Ereignis, das mehrere Systeme betrifft, erhält das Bundesland die beeinträchtigten und verzögerten Meldungen mehrerer Versorgungsunternehmen gleichzeitig und versucht, den Ministerpräsidenten über die Lage in seinem eigenen Sektor zu informieren. Der Kanal, über den der Statusbericht eines Leiters übermittelt wird, trägt entscheidend dazu bei, ob das Bundesland überhaupt ein genaues Bild von der Lage erhält. Das allein ist schon eine Finanzierung wert.

Weiterführende Literatur:

• Sicherheitswarnung zu programmierbaren Steuerungen der Siemens S7-Serie: Was Wasserversorger wissen müssen

• Das „Water Watch Center“ macht Lücken bei der Cyber-Reaktionsfähigkeit der Wasserversorger deutlich

• Warum die Sicherheitsrichtlinien für CI bei kleinen Versorgungsunternehmen immer wieder versagen

• Von einer Kompromittierung ausgehen – und was dann? Über den Slogan hinaus zu operativen Anforderungen

• Was CI Fortify von Versorgungsunternehmen verlangt – und die Funktion, die es nie erwähnt

• Wenn die Handys ausfallen: Die Koordinationslücke, mit der niemand rechnet

• Lehren aus den Angriffen auf Wasserversorgungsunternehmen im Juli: Was die gemeinsame Empfehlung den Betreibern für das weitere Vorgehen rät

• Warum die Planung der OT-Isolierung eine lückenlose Kommunikation erfordert