Die meisten Sicherheitsrichtlinien für kritische Infrastrukturen richten sich an große Unternehmen mit eigenen Sicherheitszentralen und umfangreichen Budgets. Kleine Versorgungsunternehmen, die oft mit minimaler Personalausstattung und begrenzten Ressourcen arbeiten, können diese Rahmenwerke nicht unverändert umsetzen. Das Ergebnis ist nicht eine nur teilweise Einhaltung der Vorschriften, sondern eine Lähmung des Betriebs, die zu anhaltender Anfälligkeit führt.

Kleine Wasserversorgungsunternehmen, ländliche Stromgenossenschaften und regionale Abwasserentsorger bilden das Fundament der nationalen Infrastruktur und versorgen Millionen von Menschen. Nach den meisten praktischen Maßstäben werden sie jedoch gerade von den Sicherheitsrahmen, die eigentlich zu ihrem Schutz gedacht sind, nur unzureichend berücksichtigt.

Die Leitlinien sind vorhanden: Die CISA veröffentlicht sie, die NERC-CIP schreibt Teile davon vor, und branchenspezifische Behörden geben regelmäßig Empfehlungen heraus. Die jüngste Ergänzung ist „CI Fortify“, die Initiative, die die CISA im Mai 2026 ins Leben gerufen und am 28. Juli durch gemeinsame Leitlinien erweitert hat, die gemeinsam mit dem Australian Cyber Security Centre des Australian Signals Directorate, dem FBI und internationalen Partnern herausgegeben wurden. Darin werden Betreiber aufgefordert, zwei Fähigkeiten aufzubauen: Isolation, definiert als „proaktive Abkopplung von Abhängigkeiten gegenüber Dritten und Betrieb ohne zuverlässige Telekommunikations-, Internet- und Dienstanbieter sowie ohne Abhängigkeiten von vorgelagerten Systemen“, sowie Wiederherstellung, wobei „ein wesentlicher Bestandteil darin besteht, Wiederherstellungspläne zu testen und den lokalen sowie manuellen Betrieb zu üben“.

Diese aktualisierten Leitlinien wurden wenige Tage nach einem koordinierten Cyberangriff veröffentlicht, der am Wochenende vom 26. bis 27. Juli 2026 den Betrieb von mehr als 30 kommunalen Wasserversorgungssystemen in Minnesota lahmgelegt hatte. Das FBI meldete nach dem 27. Juli Vorfälle bei Wasser- und Abwasserbetrieben in mindestens zwölf Bundesstaaten, von denen einige zu Beeinträchtigungen des Wasserbetriebs führten.

Das Problem liegt nicht in der Qualität dieser Dokumentation, sondern darin, dass ein Großteil davon ein Organisationsmodell voraussetzt, über das die meisten kleinen Versorgungsunternehmen nicht verfügen: eigens dafür zuständige Sicherheitsanalysten, mehrstufige Teams zur Reaktion auf Vorfälle, formelle Änderungsmanagementprozesse und eigene Haushaltsposten für Tools zur kontinuierlichen Überwachung.

Ein kommunales Wasserversorgungssystem, das weniger als 10.000 Menschen versorgt – das sind rund 91 Prozent der etwa 50.000 kommunalen Wasserversorgungssysteme im Land –, beschäftigt möglicherweise nur zwei oder drei Mitarbeiter in IT-nahen Funktionen, von denen die meisten zudem operative Aufgaben wahrnehmen. Eine solche Organisation kann weder ein rund um die Uhr besetztes Sicherheitszentrum betreiben noch einen Vollzeitmitarbeiter für die Analyse von Bedrohungsinformationen abstellen. Wenn eine Empfehlung der Bundesbehörden mit Dutzenden von Abhilfemaßnahmen und ohne festgelegte Reihenfolge eintrifft, führt dies in der Praxis oft zu Untätigkeit: nicht zu einer aus Nachlässigkeit resultierenden Nichteinhaltung, sondern zu einer Lähmung, die durch einen unüberwindbaren Umsetzungsaufwand verursacht wird.

Das Problem der Unternehmensannahme

Rahmenwerke wie NIST CSF, ISO 27001 und branchenspezifische Leitlinien der CISA gehen in der Regel von einem ausgereiften Unternehmen aus: mehrstufige Teams, festgelegte Rollen, dokumentierte Prozesse und Budgetbefugnisse für spezialisierte Tools. Dieses Modell beschreibt ein Fortune-500-Unternehmen oder einen großen kommunalen Versorgungsbetrieb, nicht jedoch die meisten Betreiber, die auf kommunaler Ebene für kritische Infrastrukturen verantwortlich sind.

Eine vollständige Umsetzung des NIST CSF erfordert von einer Organisation, dass sie ihre Ressourcen umfassend identifiziert, diese durch Zugriffskontrollen und Schulungen schützt, Anomalien durch kontinuierliche Überwachung erkennt, anhand eines dokumentierten Plans zur Reaktion auf Vorfälle reagiert und mithilfe getesteter Verfahren zur Geschäftskontinuität den Normalbetrieb wiederherstellt. Jede dieser Funktionen umfasst weitere Unterfunktionen, Rollen, Werkzeuge und Prozesse.

Für ein dreiköpfiges Betriebsteam, das sowohl IT- als auch Betriebstechnikumgebungen verwaltet, ist die gleichzeitige Umsetzung dieser Funktionen nicht machbar. Die Leitlinien geben den Betreibern keine Anleitung, was sie zuerst tun sollen, wenn sie in diesem Quartal nur eine Funktion umsetzen können. Sie unterscheiden nicht zwischen einer Kontrollmaßnahme, die das Risiko wesentlich verringert, und einer, die nur eine marginale Verbesserung bewirkt. Sie stellen eine umfassende Architektur vor und überlassen die Reihenfolge der Umsetzung dann dem Leser.

Hier handelt es sich eher um ein strukturelles Versagen als um eine Lücke in der Dokumentation. Gerade die Organisationen, die am wenigsten in der Lage sind, komplexe Leitlinien zu interpretieren und zu priorisieren, erhalten dabei am wenigsten Unterstützung bei der Auslegung.

Die Lähmung durch ungeordnete Maßnahmenkataloge

Die CISA-Hinweise und Branchenwarnungen enthalten häufig Listen mit 20 bis 50 Maßnahmen zur Risikominderung. Jede einzelne Maßnahme mag technisch gesehen sinnvoll sein, doch in ihrer Gesamtheit führen sie zu einem Umsetzungsrückstand, den ein kleiner Betreiber nicht innerhalb eines Jahres aufholen kann – geschweige denn in dem kurzen Zeitraum zwischen der Veröffentlichung des Hinweises und dem Beginn der aktiven Ausnutzung der Sicherheitslücke.

Unsortierte Listen verursachen ein spezifisches kognitives Problem: Sie bieten keinen Einstiegspunkt. Wenn jeder Punkt als gleich wichtig dargestellt wird, beginnen die Betreiber oft mit dem, was ihnen vertraut oder logistisch praktisch ist, anstatt mit dem, was betrieblich kritisch ist. Das Patch-Management erhält Aufmerksamkeit, weil es Routine ist. Die Netzwerksegmentierung zwischen IT- und OT-Umgebungen wird aufgeschoben, weil sie Planung und mögliche Ausfallzeiten erfordert. Die Einführung der Multi-Faktor-Authentifizierung verzögert sich, weil sie die Koordination der Benutzer erfordert.

Das Ergebnis ist ein Sicherheitsstatus, der zwar aktiv erscheint, während sich die Anstrengungen jedoch auf Bereiche mit geringerer Auswirkung konzentrieren und hochwertige Angriffsflächen ungeschützt bleiben. Angreifer, die es auf kritische Infrastrukturen abgesehen haben, benötigen nicht unbedingt das System mit dem neuesten ungepatchten Sicherheitsloch. Was sie brauchen, ist die Lücke in der Segmentierung, der unüberwachte Fernzugriffskanal oder die Standard-Anmeldedaten, die unverändert geblieben sind, weil der Hinweis darauf in der Sicherheitsempfehlung nur unter Punkt 34 von 47 aufgeführt war.

Mangelnde Koordination bedeutet in einer kleinen Organisation einen totalen Misserfolg

Bei der Priorisierung von Abläufen für ein kleines Versorgungsunternehmen müssen gleich zwei knappe Ressourcen berücksichtigt werden: das Budget und die verfügbare Aufmerksamkeit der Mitarbeiter. Zudem muss dabei eine strukturelle Gegebenheit im Zusammenhang mit Vorfällen berücksichtigt werden, die in unternehmensorientierten Leitfäden ignoriert werden kann.

Große Organisationen können Koordinationsfehler auffangen. Wenn ein Team einem anderen Team ein Sicherheitsereignis nicht meldet, kann das zweite Team das Ereignis dennoch eigenständig erkennen und darauf reagieren. Redundanz sorgt für Ausfallsicherheit.

Kleine Energieversorger verfügen nicht über diese Redundanz. Ein Energieversorger, dessen gesamte Reaktionskapazität aus vier Personen besteht, verliert die Reaktionsfähigkeit an sich, wenn diese vier Personen sich nicht miteinander in Verbindung setzen, klären können, wer gerade im Einsatz ist, und offen darüber sprechen können, was zu tun ist. Wenn die einzige Person, die die SCADA-Systeme verwaltet, während eines Vorfalls nicht erreichbar ist und niemand sonst die OT-Umgebung gut genug versteht, um betroffene Systeme zu isolieren, wird aus einem Koordinationsversagen ein Betriebsausfall.

CI Fortify macht dies eher deutlicher als weniger deutlich. Die CISA-eigene Definition von „Isolation“ weist die Betreiber an, den Betrieb ohne zuverlässige Telekommunikation zu planen, und die Leitlinien enthalten keine Angaben dazu, wie ein Versorgungsunternehmen die Reaktion koordiniert, sobald dieser Zustand eintritt. Die zweite Funktion verschärft das Problem noch: Das Einüben lokaler und manueller Abläufe ist keine Netzwerkaktivität. Es sind Menschen. Um 2 Uhr morgens wurden Betreiber hinzugezogen, der Schichtdienst verlängert, Auftragnehmer und Integratoren kontaktiert, Partner für gegenseitige Hilfe eingeschaltet, eine federführende Behörde benachrichtigt und die Bevölkerung über die Geschehnisse informiert.

Auch die Isolation befreit ein Versorgungsunternehmen nicht von seinen Verpflichtungen. Während einer längeren Isolationsphase müssen Versorgungsunternehmen weiterhin Chemikalienlieferungen bestellen und bezahlen, zertifizierte Laboruntersuchungen und Konformitätsproben beim Staat einreichen, Ersatzteile und Bestellungen tätigen sowie die Gehaltsabrechnung durchführen. Nichts davon gehört zur Betriebstechnik. All dies erfordert die Koordination mit Personen außerhalb des Geländes und ist notwendig, damit das Wasser weiterhin sicher und gesetzeskonform fließt.

Eine effektive Reaktion auf Vorfälle in einer kleinen Organisation erfordert daher radikale Einfachheit. Der Reaktionsplan sollte auf zwei Seiten Platz finden und festlegen, wer wen in welcher Reihenfolge und über welchen Kommunikationskanal benachrichtigt, sobald eine bestimmte Auslösebedingung erfüllt ist. Er sollte mindestens einmal im Jahr im Rahmen einer Tabletop-Übung mit den Personen getestet werden, die ihn tatsächlich umsetzen würden. Er sollte aktualisiert werden, sobald sich die Personal- oder Kontaktdaten ändern.

Die Komplexität eines Einsatzplans führt gerade unter den Bedingungen, für die der Plan eigentlich gedacht ist – nämlich unter Druck, in einer unübersichtlichen Situation und unter Zeitdruck –, zu einer Haftungsgefahr.

Die Erkennung wird gerade gelöst. Die Koordination liegt weiterhin bei Ihnen.

Das oben beschriebene Personalproblem findet nun endlich branchenweite Beachtung. Am 7. August 2026 haben DEF CON Franklin und die National Rural Water Association das „Water Watch Center“ ins Leben gerufen, das zunächst fünf Anbieter von Managed-Detection-and-Response-Diensten mit Wasserversorgungsunternehmen zusammenbringt, die weniger als 10.000 Menschen versorgen – und zwar ohne Kosten für die Wasserversorger.

Dies ist bislang die überzeugendste Lösung für den Personalmangel bei kleinen Energieversorgern, doch sollte man sie genau betrachten: Sie stellt Erkennungskapazitäten für Betreiber bereit, die über keine solchen verfügen.

Die Erkennung zeigt an, dass etwas passiert ist. Die Koordination bestimmt, wie man darauf reagiert. Das Water Watch Center schließt die erste Lücke für kleine Wasserversorger; die Koordination müssen sie jedoch weiterhin selbst lösen. Was ein dreiköpfiger Wasserversorger in der Stunde nach dem Anruf des Anbieters unternimmt – wer den Anruf entgegennimmt, wer erreichbar ist, wer eine Abschaltung genehmigen kann, wer den Staat benachrichtigt – ist ein ganz anderes Problem.

Ein Einführungsplan für das erste Quartal

Die gleiche Abfolge kann in einen Plan für das erste Quartal umgesetzt werden. Das Ziel besteht darin, sichtbare Fortschritte bei den Risiken zu erzielen, die am ehesten zu Betriebsstörungen führen können, und nicht darin, alle Sicherheitsanforderungen vollständig zu erfüllen. Beginnen Sie mit der Ebene, deren Fehlen im Falle eines tatsächlichen Vorfalls alle anderen Investitionen zunichte macht.

Tage 1–30: Einrichtung eines Alarmsystems mit Zustellbestätigung. Ersetzen Sie die manuelle Telefonkette, die um 2 Uhr morgens versagt, durch ein Massenbenachrichtigungssystem, das Mitarbeiter, Auftragnehmer, Integratoren und Kontakte für gegenseitige Hilfe über mehrere Kanäle erreicht und erfasst, wer tatsächlich reagiert hat. Dies ist die operative Umsetzung des „Übens lokaler und manueller Abläufe“; man kann eine Anlage nicht manuell betreiben, ohne zuvor die Personen zusammenzubringen, die wissen, wie es geht.^{BlackBerry®AtHoc®} bietet diese Funktion und ist nach FedRAMP Klasse D (High) zertifiziert – die Zertifizierung wurde in diesem Jahr erneuert –, was entscheidend ist, wenn die Koordinationsschicht selbst nicht zum schwachen Glied in der Kette werden darf.

Tag 31–60: Richten Sie einen Out-of-Band-Koordinationskanal ein. Stellen Sie für die Führungsebene und den operativen Betrieb verschlüsselte, authentifizierte Sprach- und Messaging-Kanäle bereit, die unabhängig vom Identitäts-Stack und vom Netzwerkpfad des Unternehmens sind, damit die Koordination von Vorfällen niemals über Kanäle erfolgt, die beeinträchtigt sind oder als kompromittiert gelten.^BlackBerry® SecuSUITE^® bietet diese Ebene. Die Out-of-Band-Koordination ist eine etablierte Kontrollmaßnahme und keine Option: MITRE ATT&CK führt sie als Schutzmaßnahme M1060 auf und weist Verteidiger an, „sichere Out-of-Band-Kommunikationskanäle einzurichten, um die Kontinuität kritischer Kommunikation während Sicherheitsvorfällen, Angriffen auf die Datenintegrität oder Kommunikationsausfällen innerhalb des Netzwerks sicherzustellen.“

Tage 61–90: Geräte, die für die Reaktion entscheidend sind, unter Verwaltung stellen. Die kleine Gruppe von Smartphones und Laptops identifizieren, die für die Reaktion zuständig sind, und sicherstellen, dass diese auf dem neuesten Stand sind, abgesichert wurden und wiederherstellbar sind.^BlackBerry® UEM verwaltet diese Gerätegruppe. Ein Ausweichkanal, auf den von einem kompromittierten Laptop aus zugegriffen wird, gilt nicht als Ausweichlösung.

Keine dieser Maßnahmen erfordert Eingriffe in das Steuerungsnetzwerk, die Beibehaltung von Fachpersonal oder die Verpflichtung zu einem mehrjährigen Programm. Jede einzelne führt innerhalb weniger Wochen zu einer messbaren Bereitschaft, was für Vorstände und Tarifverfahren ebenso wichtig ist wie für die Sicherheit: Ein Versorgungsunternehmen kann seinen Aufsichtsbehörden und der Öffentlichkeit nachweisen, dass die jüngste Empfehlung der Bundesbehörden konkrete Veränderungen an seiner Sicherheitslage bewirkt hat. Und jede einzelne Maßnahme zahlt sich im normalen Betrieb aus, nicht nur in Krisenzeiten.

Eine umfassendere Orientierung ist nach wie vor wichtig. Die Verwaltung von Zugangsdaten, Netzwerksegmentierung und Multi-Faktor-Authentifizierung gehören alle zu einem ausgereiften Programm, und die Betreiber sollten darauf hinarbeiten. Doch dies sind Aufgaben für das zweite Quartal, nicht für das erste, denn ein Versorgungsunternehmen, das zwar jedes System abgesichert hat, aber nicht in der Lage ist, seine eigenen Mitarbeiter zu koordinieren, hat Sicherheitsmaßnahmen erworben, die es in dem Fall, für den sie angeschafft wurden, nicht nutzen kann.

Ein Hinweis an die Berater der Branche

Verbände, staatliche Aufsichtsbehörden und Berater, die die Bundesrichtlinien für kleine Netze umsetzen, haben mehr Einfluss auf die Sicherheit der Branche als jeder Anbieter. Das Wertvollste, was dieser Einfluss derzeit bewirken kann, ist eine ehrliche Prioritätensetzung: einem Versorgungsunternehmen mit begrenzten Ressourcen nicht nur mitzuteilen, was das gesamte Maßnahmenpaket umfasst, sondern auch, was als Erstes, Zweites und Drittes zu tun ist – und warum.

Eine Anleitung, die keine Reihenfolge vorgibt, ist eine Anleitung, die die schwierigste Entscheidung stillschweigend an die Partei mit den geringsten Ressourcen delegiert.

Sicherheitsrichtlinien müssen den Betreibern zugutekommen, die sie am dringendsten benötigen

Die derzeitigen Leitlinien sind nicht falsch. Sie sind jedoch in den Punkten unvollständig, die für die Organisationen, die am wenigsten in der Lage sind, diese Lücken auszugleichen, am wichtigsten sind.

CI Fortify gibt die richtige Richtung vor. Eine wirksame Sicherheit kritischer Infrastrukturen auf kommunaler Ebene erfordert Leitlinien, die Kontrollmaßnahmen nach ihren betrieblichen Auswirkungen ordnen, zwischen dem Ideal und dem Nötigen unterscheiden und die personellen und finanziellen Gegebenheiten berücksichtigen, mit denen kleine Betreiber tatsächlich konfrontiert sind.

Solange diese Leitlinien nicht in einer leichter zugänglichen, praxisorientierten Form vorliegen, sollten kleine Versorgungsunternehmen der Lähmung widerstehen, die durch ungeordnete Listen mit Schutzmaßnahmen hervorgerufen wird. Ordnen Sie die Maßnahmen nach ihrer Wirkung pro ausgegebenem Dollar und pro investierter Mitarbeiterstunde. Beginnen Sie mit der Ebene, die die Koordination Ihrer Mitarbeiter gewährleistet. Bauen Sie darauf auf. Und stellen Sie die Frage, die CI Fortify nicht stellt: Wenn die Verbindung unterbrochen ist, wie erreichen sich unsere Mitarbeiter dann gegenseitig?

Weiterführende Literatur:

• Von einer Kompromittierung ausgehen – und was dann? Über den Slogan hinaus zu operativen Anforderungen

• Was CI Fortify von Versorgungsunternehmen verlangt – und die Funktion, die es nie erwähnt

• Wenn die Handys ausfallen: Die Koordinationslücke, mit der niemand rechnet

• Lehren aus den Angriffen auf Wasserversorgungsunternehmen im Juli: Was die gemeinsame Empfehlung den Betreibern für das weitere Vorgehen rät

• Warum die Planung der OT-Isolierung eine lückenlose Kommunikation erfordert