In einer zunehmend vernetzten Gesellschaft hat die Sicherheit öffentlicher Informationssysteme direkten Einfluss darauf, ob eine Stadt weiterhin Wasser und Strom bereitstellen, den Verkehr aufrechterhalten, grundlegende Dienste in Notfällen sichern und die öffentliche Gesundheit sowie den Alltag schützen kann. Digitale Netze haben öffentliche Dienste effizienter gemacht, gleichzeitig aber betriebliche Systeme, Steuerungsplattformen und die Notfallkoordination enger miteinander verknüpft. Eine Störung in einem Teil dieser Umgebung kann sich schnell auf Dienste weit über den ursprünglichen Ausfallpunkt hinaus auswirken.

Aus diesem Grund kann die Sicherheit öffentlicher Informationssysteme nicht mehr nur als Schutz vor Datenlecks, manipulierten Websites oder Ausfällen von Büronetzwerken verstanden werden. Sie muss bereits vor einem Vorfall in öffentliche Dienste integriert werden, wobei Sicherheitskontrollen, Betriebsverfahren und Wiederherstellungsfähigkeiten als Bestandteil der normalen Infrastrukturplanung behandelt werden und nicht erst nach einer schweren Störung hinzukommen.

Öffentliche Mitteilungen von Behörden auf Bundesstaatsebene und aus dem Wassersektor zeigten, dass im August 2026 Trinkwasser- oder Abwasseranlagen in mindestens sieben US-Bundesstaaten, darunter Minnesota und Michigan, von Cyberangriffen betroffen waren. Obwohl Pennsylvania zu diesem Zeitpunkt keinen vergleichbaren lokalen Angriff bestätigt hatte, veröffentlichte die dortige Umweltbehörde dennoch eine Sicherheitswarnung und forderte Trinkwasser- und Abwasserorganisationen auf, unnötige öffentliche Internetexponierung zu reduzieren und Kontopasswörter zu aktualisieren. Die Reaktion verdeutlicht einen wichtigen Punkt: Das Fehlen eines bestätigten Vorfalls bedeutet nicht, dass bestehende Sicherheitspraktiken unverändert bleiben sollten.

Die Sicherheit öffentlicher Informationssysteme sollte außerdem über Regierungswebsites, Datenbanken und personenbezogene Informationen hinausgehen. Für Wasserversorger, Energiesysteme, Verkehrsnetze, Kommunikationsinfrastrukturen, Gesundheitswesen und Notfallmanagement gehören Netzwerkverbindungen, Gerätekonten, operative Steuerungssysteme, Servicedaten und Betriebskontinuität zum Sicherheitsbild. Werden diese Systeme gestört, können die Auswirkungen über Informationsverluste hinaus bis zur Unterbrechung wesentlicher öffentlicher Dienste reichen.

Warum wird ein Cyberangriff auf ein Wassersystem zu einem Problem der öffentlichen Informationssicherheit?

Wird ein herkömmliches Unternehmensnetz angegriffen, können die unmittelbaren Folgen unzugängliche Dateien, kompromittierte Konten, nicht verfügbare Anwendungen oder offengelegte Daten sein. Kritische öffentliche Infrastrukturen unterscheiden sich dadurch, dass ihre digitalen Systeme direkt mit realen Dienstleistungen verbunden sind. Erreicht ein Angriff die Betriebsebene, beschränken sich die betroffenen Werte nicht mehr auf Server und Daten. Auch Pumpen, Aufbereitungsprozesse, Steuerungstechnik, Leitstellenabläufe und Bediener vor Ort können betroffen sein.

Wasserversorger sind ein klares Beispiel. Überwachungsplattformen, Fernsteuergeräte, Pumpstationen, Aufbereitungsanlagen und Bedienerterminals müssen einen kontinuierlichen Betrieb unterstützen. Werden automatisierte Steuerungssysteme durch einen Cybervorfall außer Betrieb gesetzt, müssen Betreiber unter Umständen auf lokalen oder manuellen Betrieb umstellen. Im Jahr 2023 wechselte eine Wasserbehörde in Aliquippa, Pennsylvania, nach einem Cyberangriff in den manuellen Betrieb und stellte einen Teil des Pumpbetriebs vorübergehend ein. Für Kunden wurde kein größerer Dienstausfall gemeldet, doch der Vorfall zeigte, wie ein Cybersicherheitsproblem über das Büronetz hinaus physische Betriebsabläufe beeinflussen kann.

Für kritische Infrastrukturen kann das Ziel der öffentlichen Informationssicherheit daher nicht auf „Hacker draußen halten“ reduziert werden. Ein realistischeres Ziel ist, unbefugten Zugriff zu verhindern und zugleich sicherzustellen, dass wesentliche Dienste auch bei einem erfolgreichen Angriff fortgeführt und normale Abläufe so schnell wie möglich wiederhergestellt werden können. Cybersicherheit, Betriebskontinuität, Notfallkoordination und betriebliche Verfahren vor Ort müssen sich gegenseitig unterstützen.

Das Risiko beschränkt sich nicht mehr auf die Frage nach Datenlecks

Traditionelle Informationssicherheitsprogramme beginnen häufig mit Servern, Datenbanken, E-Mail-Systemen und Unternehmensnetzen. Diese Werte bleiben wichtig, doch die digitale Transformation hat die Angriffsfläche öffentlicher Versorger erheblich erweitert. Ein Angreifer muss nicht sofort Zugriff auf ein zentrales Steuerungssystem erhalten. Eine vergessene Fernverwaltungsoberfläche, ein veraltetes Konto oder ein unzureichend geschütztes, internetseitig erreichbares Gerät kann bereits genügend Zugang bieten, um sich tiefer in der Umgebung zu bewegen.

Eine öffentliche Dienstleistungsorganisation kann gleichzeitig Unternehmens-IT-Netze, Geschäftsanwendungen, Fernwartungsverbindungen, OT-Netze, Videoüberwachung, Kommunikationssysteme und große Mengen vernetzter Feldgeräte betreiben. Diese Systeme können Daten austauschen oder voneinander abhängen, während sich ihre Sicherheitskontrollen deutlich unterscheiden. Die Kompromittierung eines peripheren Geräts kann schwerwiegender werden, wenn interne Vertrauensbeziehungen einem Angreifer ermöglichen, sich in Richtung sensiblerer Systeme weiterzubewegen.

Aus diesem Grund konzentriert sich die moderne Cybersicherheit kritischer Infrastrukturen zunehmend auf die gesamte Angriffsfläche, anstatt nur zu fragen, ob auf einem einzelnen Server Sicherheitssoftware installiert ist. Betreiber von Wasser-, Energie- und anderen wesentlichen Diensten müssen mindestens drei mögliche Auswirkungen berücksichtigen:

• Könnten sensible Daten oder Systemkonfigurationen eingesehen, verändert oder gelöscht werden?

• Könnten kritische Geräte oder Betriebsplattformen die Kontrolle verlieren oder nicht mehr verfügbar sein?

• Können Betreiber wesentliche öffentliche Dienste weiterhin bereitstellen, wenn digitale Systeme gestört sind?

Die dritte Frage wird oft am wenigsten diskutiert, zeigt aber einen der deutlichsten Unterschiede zwischen gewöhnlicher Unternehmens-IT und kritischer öffentlicher Infrastruktur. Die entscheidende Anforderung besteht nicht darin, dass jedes Informationssystem jederzeit erreichbar bleibt. Wesentliche Dienste müssen der Öffentlichkeit auch dann weiterhin zur Verfügung stehen, wenn einzelne digitale Systeme nur eingeschränkt funktionieren.

Warum bleiben Internetexponierung und Kontosicherheit prioritäre Risiken?

Die Reduzierung unnötiger öffentlicher Internetexponierung und das Aktualisieren von Passwörtern gehörten zu den grundlegenden Maßnahmen, die in den jüngsten Sicherheitshinweisen hervorgehoben wurden. Diese Empfehlungen sind nicht neu, bleiben aber relevant, weil viele erfolgreiche Angriffe mit vergleichsweise einfachen Schwachstellen beginnen und nicht mit hochkomplexen Techniken.

Angreifer suchen regelmäßig nach internetseitig erreichbaren Verwaltungsoberflächen, bekannten Schwachstellen, Standardzugangsdaten und schlecht geschützten Fernzugriffsdiensten. Öffentliche Versorger können besonders exponiert sein, wenn Geräte seit vielen Jahren in Betrieb sind und sich unterschiedliche Fernwartungsmethoden im Laufe der Zeit angesammelt haben.

Eine Web-Verwaltungsseite, ein VPN-Gateway, ein Remotedesktopdienst oder ein Wartungsport kann ursprünglich nur für eine vorübergehende Inbetriebnahme oder Unterstützung geöffnet worden sein. Jahre später ist er möglicherweise immer noch aus dem Internet erreichbar, nur weil niemand daran gedacht hat, ihn aus dem Netzwerkdesign zu entfernen.

Auch die Kontoverwaltung erzeugt ein ähnliches Risiko. Standardpasswörter, gemeinsam genutzte Administratorkonten, weiterhin aktive Zugangsdaten ehemaliger Mitarbeiter oder die Wiederverwendung desselben Passworts in mehreren Systemen können wesentlich stärkere Netzwerksicherheitskontrollen unterlaufen.

Aus diesem Grund sollte eine Überprüfung der öffentlichen Informationssicherheit mit zwei scheinbar einfachen Fragen beginnen:

• Welche Systeme sind tatsächlich aus dem öffentlichen Internet erreichbar?

• Wer ist derzeit berechtigt, darauf zuzugreifen?

Kann eine Organisation diese Fragen nicht präzise beantworten, gibt es wahrscheinlich auch an anderer Stelle blinde Flecken. Ein verlässliches Verständnis der Internetexponierung und Zugriffsrechte ist die Grundlage für Netzsegmentierung, kontrollierten Fernzugriff, Überwachung und Reaktion auf Sicherheitsvorfälle.

Was sollte bei einer Überprüfung der öffentlichen Informationssicherheit zuerst untersucht werden?

Die Verbesserung der Sicherheit kritischer Infrastrukturen beginnt nicht zwangsläufig mit dem Kauf zusätzlicher Sicherheitsgeräte. In vielen Umgebungen besteht die dringendere Aufgabe darin, vorhandene Systembestände, Konten, Netzwerkbeziehungen und Notfallverfahren zu verstehen. Kann eine Organisation nicht klar feststellen, welche Systeme vorhanden sind, wer darauf zugreifen kann und wer bei Problemen verantwortlich ist, lösen zusätzliche Werkzeuge das Problem nicht automatisch.

Internetexponierte Dienste und Identitätsmanagement sollten zuerst überprüft werden. Verwaltungsoberflächen, Feldgeräte und Fernzugriffsdienste können aus historischen Gründen weiterhin direkt exponiert sein, obwohl diese Exponierung nicht mehr erforderlich ist. Standardpasswörter, gemeinsam genutzte Administratorkonten und Zugangsdaten, die seit Jahren nicht geändert wurden, können eine ebenso schwerwiegende Schwachstelle darstellen. Organisationen sollten deshalb sicherstellen, dass jeder extern erreichbare Dienst einen legitimen Betriebszweck hat, unnötige Exponierung entfernen, individuelle Konten nutzen, die Authentifizierung stärken, Berechtigungen nach dem Minimalprinzip anwenden und Zugriffsrechte bei Rollenwechseln oder Austritten umgehend widerrufen.

Netzgrenzen und Bestandsmanagement sind ebenso wichtig. Wenn Unternehmens-IT und operative Steuerungsnetze nicht sauber getrennt sind, kann ein Phishing-Angriff auf einen gewöhnlichen Büroarbeitsplatz einen Weg zu sensibleren betrieblichen Systemen eröffnen. Unvollständige Bestandsverzeichnisse schaffen ein weiteres Problem: Server, Controller und Feldterminals können weiter erreichbar bleiben, ohne klaren Eigentümer oder aktuellen Wartungsstatus. Netzwerke nach Geschäftsfunktion und Sicherheitsniveau zu segmentieren und zugleich ein aktuelles Inventar von Hard- und Software zu pflegen, erleichtert das Verständnis der Systemverbindungen und zeigt, welche Wege bei einem Vorfall zuerst isoliert werden sollten.

Schließlich bestimmen Protokollierung, Sicherungskopien und Reaktion auf Sicherheitsvorfälle, wie wirksam eine Organisation reagieren kann, sobald verdächtige Aktivitäten erkannt werden. Ohne ausreichende Protokolle wissen Ermittler möglicherweise nicht, wie ein Angreifer eingedrungen ist, was verändert wurde oder ob schädliche Aktivitäten noch andauern. Ohne getestete Sicherungskopien kann die Wiederherstellung beschädigter Systeme deutlich länger dauern. Eine weitere häufige Schwachstelle ist organisatorischer und nicht technischer Natur: Teams wissen möglicherweise nicht, wer die Befugnis hat, Untersuchungen einzuleiten, Geräte zu isolieren, einen Vorfall auszurufen oder die Wiederherstellung zu starten. Daher sollten bereits vor einem Notfall zentrale Aufzeichnungen über Anmeldungen, Konfigurationsänderungen, Alarme und auffällige Netzwerkaktivitäten eingerichtet und mit regelmäßigen Wiederherstellungstests von Sicherungskopien sowie klar zugewiesenen Verantwortlichkeiten kombiniert werden.

Keine dieser Maßnahmen wirkt besonders fortschrittlich, dennoch bestimmen sie weitgehend, ob eine Organisation einen Vorfall frühzeitig erkennt, eindämmt und sich ohne längere Unterbrechung erholen kann. Gleichzeitig schaffen sie die Grundlage für den späteren wirksamen Einsatz anspruchsvollerer Cybersicherheitstechnologien.

Warum müssen kritische Infrastrukturen Cybersicherheit und Betriebskontinuität miteinander verbinden?

Eines der häufigsten Missverständnisse in der öffentlichen Informationssicherheit ist die Annahme, ein sicheres System könne niemals kompromittiert werden. Keine vernetzte Umgebung kann garantieren, dass Schwachstellen, gestohlene Zugangsdaten, Konfigurationsfehler oder bisher unbekannte Angriffe niemals auftreten.

Kritische Infrastrukturen benötigen daher eine zweite Schutzebene: Wird ein Teil des Netzwerks, der Serverumgebung oder des automatisierten Steuerungssystems nicht verfügbar, müssen wesentliche Betriebsabläufe weiterhin auf tragfähige Weise fortgesetzt werden können.

Das kann viele Formen annehmen. Werden kritische Konfigurationen in einer Offline-Sicherungskopie gespeichert? Kann eine sekundäre Plattform übernehmen, wenn das Primärsystem ausfällt? Können Feldmitarbeiter lokale Steuerungen weiter nutzen, wenn die Fernsteuerung verloren geht? Gibt es bei Ausfall des Hauptnetzes einen unabhängigen Kommunikationsweg? Wissen Dispatcher, Bereitschaftspersonal und Notfallteams, wie sie in einen degradierten Betriebsmodus wechseln?

Das ist nicht dasselbe wie die Annahme, dass jedes System irgendwann kompromittiert wird. Es ist lediglich die Anerkennung, dass komplexe Infrastrukturen außergewöhnliche Zustände erleben werden. Resiliente öffentliche Systeme werden so ausgelegt, dass ein technischer Fehler nicht unmittelbar zu einem Dienstausfall wird.

Für einen Wasserversorger kann die Fähigkeit, auf manuellen Betrieb umzuschalten, selbst eine wichtige Resilienzmaßnahme sein. Diese Fähigkeit ist jedoch von geringem Wert, wenn sie nur in einem Verfahrenshandbuch existiert. Mitarbeitende müssen wissen, wie sie anzuwenden ist, alternative Arbeitsabläufe müssen getestet werden und kritische Teams müssen auch dann kommunizieren können, wenn normale digitale Systeme nicht verfügbar sind.

Warum ist kontinuierliche Überwachung wichtiger als eine Untersuchung nach einem Ausfall?

Die Behörden in Pennsylvania überwachten weiterhin mögliche Angriffe, obwohl zu diesem Zeitpunkt kein lokaler Vorfall bestätigt worden war, und hielten zugleich die Koordination mit Sicherheitsstellen auf Bundes-, Bundesstaaten- und lokaler Ebene aufrecht. Dieser Ansatz spiegelt ein weiteres wichtiges Prinzip der öffentlichen Informationssicherheit wider: Bedrohungsinformationen dürfen nicht in einer einzelnen Organisation eingeschlossen bleiben.

Dieselben Wasseraufbereitungsanlagen, Industriecontroller, Fernverwaltungsprogramme oder Netzwerkprodukte können von Versorgern in vielen Städten und Regionen eingesetzt werden. Erkennt ein Betreiber ungewöhnliche Anmeldeaktivitäten, bösartige Scans oder eine neue Angriffstechnik und teilt diese Information schnell, haben andere Organisationen die Möglichkeit, ihre eigenen Systeme zu prüfen, bevor sie auf dieselbe Weise angegriffen werden.

Öffentliche Informationssicherheit darf daher nicht allein Aufgabe der IT-Abteilung sein. Betriebspersonal, Cybersicherheitsteams, Instandhalter, Notfallmanager und externe Partner benötigen einen klaren Prozess zum Melden und Teilen sicherheitsrelevanter Informationen.

Kontinuierliche Überwachung muss außerdem über die reine Frage hinausgehen, ob ein Gerät erreichbar oder nicht erreichbar ist. Anmeldungen zu ungewöhnlichen Zeiten, wiederholte Authentifizierungsfehler, unerwartete Konfigurationsänderungen, unbekannte Geräte im Netzwerk, ungewöhnliche ausgehende Verbindungen und Fernoperationen, die nicht zu normalen Arbeitsmustern passen, können frühe Hinweise auf ein Problem liefern.

Der Wechsel von nachträglicher Untersuchung zu kontinuierlichem Lagebewusstsein erhöht die Chance, verdächtige Aktivitäten bereits während ihrer Entwicklung zu erkennen, anstatt das Problem erst festzustellen, nachdem ein öffentlicher Dienst bereits gestört wurde.

Was muss ein wirksames Programm für öffentliche Informationssicherheit tatsächlich aufbauen?

Cyberangriffe auf Wassersysteme sind nur ein Einstiegspunkt in ein wesentlich breiteres Thema. Je mehr öffentliche Dienste von IP-Netzen, Cloud-Plattformen und Fernverwaltung abhängen, desto weniger lässt sich öffentliche Informationssicherheit von der Zuverlässigkeit der Dienste trennen.

Die zentrale Frage lautet nicht mehr, ob eine Organisation genug Sicherheitsprodukte gekauft hat. Entscheidend ist, ob sie tatsächlich versteht, wie ihre Systeme verbunden sind, wer darauf zugreifen darf, wie verdächtige Aktivitäten erkannt werden, wie ein Angriff eingedämmt wird und ob wesentliche Betriebsabläufe fortgesetzt werden können, während digitale Systeme wiederhergestellt werden.

Für kritische Infrastrukturen sollte ein ausgereiftes Programm für öffentliche Informationssicherheit mindestens sechs Fähigkeiten bereitstellen: unnötige Exponierung reduzieren, Zugriffe kontrollieren, Aktivitäten kontinuierlich überwachen, die Ausbreitung eines Eindringens begrenzen, wesentliche Betriebsabläufe aufrechterhalten und Dienste schnell wiederherstellen.

Technologie unterstützt diese Fähigkeiten, reicht aber allein nicht aus. Richtlinien, Sicherheitsbewusstsein der Mitarbeiter, Betriebsverfahren, Schulungen und bereichsübergreifende Koordination bestimmen, ob Sicherheitsmaßnahmen bei einem realen Vorfall tatsächlich funktionieren.

Über Jahre hinweg ohne größeren Cyberangriff zu arbeiten, ist ein normaler Zustand und kein Beleg dafür, dass der Schutz gelockert werden kann. Ein großer Teil des Werts von Cybersicherheit ist im Normalbetrieb kaum sichtbar. Ihre Bedeutung zeigt sich, wenn ein ungewöhnliches Ereignis eintritt und die Organisation Auswirkungen begrenzen, wesentliche Dienste erhalten und den Normalbetrieb ohne unnötige Verzögerung wiederherstellen kann.

Das ist der eigentliche Zweck öffentlicher Informationssicherheit: nicht zu behaupten, dass öffentliche Systeme niemals ausfallen werden, sondern sicherzustellen, dass die für Stadt und Bevölkerung wesentlichen Dienste weiterlaufen können, wenn etwas schiefgeht.

FAQ

Worin unterscheidet sich öffentliche Informationssicherheit von gewöhnlicher Unternehmens-Cybersicherheit?

Viele der zugrunde liegenden Technologien sind identisch, doch bei der öffentlichen Informationssicherheit liegt ein stärkerer Schwerpunkt auf der Kontinuität wesentlicher Dienste. Fällt ein Wasser-, Verkehrs-, Energie- oder Notfallmanagementsystem aus, können die Auswirkungen weit über die Beschäftigten einer einzelnen Organisation hinausgehen. Sicherheitsplanung muss daher Netzwerkschutz, physische Betriebsabläufe und Notfallwiederherstellung gemeinsam berücksichtigen. Ein Unternehmen bewertet Cyberrisiken möglicherweise hauptsächlich anhand von Daten- und Finanzverlusten, während kritische öffentliche Infrastrukturen zusätzlich öffentliche Sicherheit und gesellschaftliche Auswirkungen berücksichtigen müssen.

Bedeutet das Fehlen eines aktuellen Cyberangriffs, dass eine Region sicher ist?

Nein. Das Fehlen eines bestätigten Vorfalls bedeutet nur, dass zu diesem Zeitpunkt kein bestimmter Angriff bestätigt wurde. Es beweist nicht, dass keine internetseitig erreichbaren Dienste, schwachen Passwörter, veralteten Systeme oder Konfigurationsrisiken vorhanden sind. Sicherheitsprüfungen sollten sich kontinuierlich an den Assets und dem Risikoprofil der Organisation orientieren und nicht erst beginnen, nachdem ein Angriff erkannt wurde. Manche Eindringversuche können zudem längere Zeit unbemerkt bleiben, bevor sichtbare betriebliche Auswirkungen entstehen.

Warum sollten öffentliche Versorger ihre direkte Internetexponierung reduzieren?

Jede internetseitig erreichbare Verwaltungsoberfläche und jedes Gerät erhöht die Zahl der Systeme, die externe Akteure entdecken, scannen und testen können. Wenn Fernzugriff betrieblich notwendig ist, sollte er über kontrollierte Zugriffswege mit geeigneter Authentifizierung und Autorisierung erfolgen, anstatt unnötige Verwaltungsdienste dauerhaft offen im Internet bereitzustellen. Die Reduzierung direkter Exponierung nimmt Angreifern Möglichkeiten, noch bevor komplexere Sicherheitskontrollen in Betracht gezogen werden.

Warum benötigen kritische Einrichtungen weiterhin manuelle oder lokale Betriebsfähigkeiten?

Wird ein Netzwerk, Server oder eine Fernsteuerungsplattform durch einen Cybervorfall oder technischen Fehler gestört, können lokale und manuelle Steuerungen einen degradierten Betriebsmodus für wesentliche Dienste ermöglichen. Diese Fähigkeiten ersetzen Cybersicherheit nicht, reduzieren aber das Risiko, dass der Ausfall eines einzelnen digitalen Systems den gesamten Betrieb stoppt. In kritischen Infrastrukturen sollten digitale Systeme Effizienz und Transparenz verbessern, ohne zum einzigen möglichen Weg zu werden, einen wesentlichen Prozess am Laufen zu halten.