Die Anweisungen trafen mitten während des Angriffs ein.

Am Wochenende vom 26. bis 27. Juli2026 führte ein koordinierter Cyberangriff zu Störungen in mehr als 30 kommunalen Wasserversorgungssystemen in Minnesota. Das FBI berichtete, dass Wasser- und Abwasserbetriebe in mindestens sieben Bundesstaaten nach dem 27. Juli von Vorfällen betroffen waren, von denen einige den Wasserbetrieb beeinträchtigten (FBI-Öffentliche Bekanntmachung I-073026-PSA). Am 30. Juli gab die CISA eine Warnung vor einem deutlichen Anstieg von Bedrohungsaktivitäten heraus, die auf speicherprogrammierbare Steuerungen im Wassersektor abzielten.

Zwei Tage vor dieser Warnung veröffentlichte die CISA – gemeinsam mit dem Australian Cyber Security Centre des Australian Signals Directorate, dem FBI und internationalen Partnern – „CI Fortify – Empfehlungen zur Isolierung kritischer Systeme“. Die Betreiber lasen gerade die Anleitungen zur Isolierung, während ihre Nachbarn das darin beschriebene Szenario hautnah erlebten.

Die Frage nach den Kosten ist also keine rein theoretische, und sie verdient eine klare Antwort: Welche Ausgaben entstehen einem kleinen Versorgungsunternehmen tatsächlich, wenn es diese Leitlinien befolgt?

Die Investitionskosten fallen geringer aus, als die Branche befürchtet

Es herrscht die weit verbreitete Annahme, dass CI Fortify eine redundante Infrastruktur bedeutet – eine parallele Umgebung, die in Bereitschaft steht und darauf wartet, die Aufgaben zu übernehmen. Diese Annahme ist kostspielig, entmutigend und falsch.

Die CISA nennt zwei Maßnahmen. Isolation: „Proaktive Trennung von Abhängigkeiten gegenüber Dritten und Betrieb ohne zuverlässige Telekommunikations-, Internet- und Dienstanbieter sowie ohne Abhängigkeiten von vorgelagerten Systemen.“ Wiederherstellung: „Schnelle Wiederherstellung kritischer, kompromittierter Systeme im isolierten Zustand“, wobei „ein wesentlicher Bestandteil darin besteht, Wiederherstellungspläne zu testen und den lokalen sowie manuellen Betrieb zu üben.“

Die Wiederherstellung kompromittierter Systeme und das Einüben manueller Abläufe ist der kapitalarme Weg, nicht der kapitalintensive. Die Leitlinien vom 28. Juli unterstreichen dies – die darin beschriebenen Maßnahmen umfassen die Identifizierung kritischer Systeme, die Erfassung von Verbindungen und die Einrichtung wirksamer Trennstellen sowie die Bestandsaufnahme von Anlagen, die Erfassung von Abhängigkeiten und das Testen von Wiederherstellungsverfahren. Ein Versorgungsunternehmen mit drei Bedienern kann den Großteil davon ohne einen Budgetzyklus in Angriff nehmen.

Das sind wirklich gute Nachrichten, auch wenn sich dies nicht immer in der Art und Weise widerspiegelt, wie über die Leitlinien diskutiert wird.

Die tatsächlichen Kosten verbergen sich in einem Posten, den niemand hat

Lesen Sie sich die Definition von „Isolation“ der CISA noch einmal durch: Betrieb ohne zuverlässige Telekommunikation.

Die Leitlinien weisen die Betreiber an, Vorkehrungen für den Fall zu treffen, dass ihre Kommunikationswege ausfallen. Es wird jedoch nicht darauf eingegangen, wie ein Versorgungsunternehmen die Maßnahmen koordinieren soll, sobald dies tatsächlich eintritt.

Diese Stille ist die Lücke. Keine kostspielige Anforderung – sondern eine, die nicht berücksichtigt wurde. Und sie verschärft sich sofort, denn die zweite Fähigkeit, die die CISA fordert, ist die Durchführung lokaler und manueller Maßnahmen. Manuelle Maßnahmen sind keine Netzwerkaktivitäten. Sie erfordern den Einsatz von Menschen: Bediener, die um 2 Uhr morgens alarmiert werden, verlängerte Schichtzeiten, die Kontaktaufnahme mit Auftragnehmern und Integratoren, die Einbindung von Partnern für gegenseitige Hilfe, die Benachrichtigung einer federführenden Behörde und die Information der Bevölkerung über die Geschehnisse. Jeder dieser Schritte hängt davon ab, dass Menschen über Kanäle erreicht werden, von denen die CISA Ihnen gerade gesagt hat, dass Sie davon ausgehen sollen, dass sie unzuverlässig oder nicht vertrauenswürdig sind.

Auch die Isolation befreit ein Versorgungsunternehmen nicht von seinen Verpflichtungen. Während einer längeren Isolationsphase müssen Versorgungsunternehmen weiterhin Chemikalienlieferungen bestellen und bezahlen, zertifizierte Laboruntersuchungen und Konformitätsproben beim Staat einreichen, Ersatzteile und Bestellungen tätigen sowie die Gehaltsabrechnung durchführen. Nichts davon gehört zur Betriebstechnik. All dies erfordert die Koordination mit Personen außerhalb des Geländes – und all dies ist notwendig, damit das Wasser weiterhin sicher und gesetzeskonform fließt.

Ein kleines Hilfsprogramm, das alle Abhängigkeiten erfasst und den manuellen Ablauf durchgespielt hat, versagt dennoch, wenn seine vier Einsatzkräfte sich nicht gegenseitig erreichen und bestätigen können, wer im Einsatz ist. In einer kleinen Organisation bedeutet ein Koordinationsversagen ein totales Versagen. Ein Unternehmen verliert eine Stunde und nimmt diesen Verlust hin. Ein Versorgungsunternehmen verliert den Einsatz selbst.

Die Koordinationsschicht – konkret gesehen

Um die von CI Fortify hinterlassene Lücke zu schließen, sind drei Funktionen erforderlich, von denen keine das Kontrollnetzwerk betrifft.

Massenbenachrichtigung und Personalüberwachung. BlackBerry^® AtHoc^® erreicht Mitarbeiter, Auftragnehmer, Integratoren und Partner für gegenseitige Hilfe über mehrere Kanäle hinweg mit Zustellbestätigung – und erfasst, wer geantwortet hat. Dies ist die operative Umsetzung des Grundsatzes „lokale und manuelle Abläufe praktizieren“: Man kann eine Anlage nicht manuell betreiben, ohne die dafür qualifizierten Mitarbeiter zusammenzubringen, und eine manuelle Meldehierarchie hält einem Vorfall um 2 Uhr morgens, der mehrere Standorte betrifft, nicht stand. „ BlackBerry AtHoc “ ist nach FedRAMP Klasse D (High) zertifiziert und wurde in diesem Jahr erneut zertifiziert – was entscheidend ist, wenn die Koordinationsschicht selbst nicht zum Schwachpunkt werden darf.

Verschlüsselte Sprach- und Textnachrichten. BlackBerry^® SecuSUITE^® ermöglicht eine Kommunikation, die unabhängig vom Identitätsmanagement des Unternehmens und vom Netzwerkpfad ist, sodass Führungsebene und operativer Betrieb sich während der Eindämmungsphase offen abstimmen können – selbst wenn die Infrastruktur für den normalen Datenverkehr beeinträchtigt ist oder als kompromittiert gilt. Wenn die CISA in ihrer eigenen Definition von Isolation davon ausgeht, dass die Telekommunikation unzuverlässig ist, ist ein unabhängiger Kanal keine Vorsichtsmaßnahme – sondern die festgelegte Betriebsbedingung.

Verwaltete, vertrauenswürdige Endgeräte. BlackBerry^®UEM sorgt dafür, dass die kleine Anzahl reaktionskritischer Geräte stets auf dem neuesten Stand, abgesichert und wiederherstellbar bleibt. Ein Ausweichkanal, auf den von einem kompromittierten Laptop aus zugegriffen wird, ist kein echter Ausweichkanal.

Dies ist ein zusätzlicher Vorteil. Es erfordert weder eine Neugestaltung des Steuerungsnetzwerks noch die Weiterbeschäftigung von Fachpersonal oder die Verpflichtung zu einem mehrjährigen Programm – und es schafft Mehrwert im Alltag, nicht nur im Falle eines Vorfalls.

Warum wir das sagen

BlackBerry vertreibt sichere Kommunikationslösungen, daher haben wir ein offensichtliches Interesse daran, wie diese Debatte ausgeht. Das ist fair. Aber der Kernpunkt liegt im Ausgangstext: Die CISA hat Betreiber kritischer Infrastrukturen angewiesen, sich auf den Betrieb ohne zuverlässige Telekommunikation vorzubereiten und manuelle Abläufe zu üben, und die Leitlinien gehen nicht darauf ein, wie die Koordination unter diesen Bedingungen aufrechterhalten werden kann. Die meisten Anbieter, die diese Diskussion prägen, verkaufen Netzwerksicherheit, OT-Transparenz oder Zugriffskontrolle – leistungsfähige Produkte, die die Teile des Problems lösen, die in ihren Diagrammen enthalten sind. Die Koordinationsschicht liegt außerhalb all dieser Diagramme, und genau deshalb wird sie nicht finanziert.

CI Fortify gibt die richtige Richtung vor. Versorgungsunternehmen, die es umsetzen, sollten sich eine zusätzliche Frage stellen, die in den Leitlinien nicht aufgeführt ist: Wie erreichen sich unsere Mitarbeiter, wenn die Verbindung unterbrochen ist?

Weiterführende Lektüre:
Wenn die Telefone ausfallen: Die Koordinationslücke, mit der niemand rechnet
Lehren aus den Angriffen auf Wasserversorger im Juli: Was die gemeinsame Empfehlung den Betreibern als Nächstes rät
Warum die Planung der OT-Isolierung eine lückenlose Kommunikation erfordert