„Messen & Monitoren“ steht auf dem Plakat der Berliner Wasserkonferenz. Mehr Daten sollen Wasserknappheit beherrschbar machen, Zisternen steuern, Leckagen entdecken und Städten durch Hitzeperioden helfen. Sicherheitspolitisch beginnt mit jedem zusätzlichen Messpunkt eine zweite Rechnung. Ein Sensor besitzt Firmware, eine digitale Identität, eine Funkverbindung, einen Updatepfad und häufig einen Zugang zu einer Plattform. Aus einem Wasserstand wird ein Datenstrom. Aus dem Datenstrom entsteht womöglich ein Steuerbefehl. Der Weg von der Regenwasserzisterne bis zur kritischen Infrastruktur ist kürzer, als die Verwaltungskarte vermuten lässt.
Bei der AFCEA-Fachausstellung in Bonn spricht Christine Skropke von secunet über das gesamtstaatliche Sicherheitsökosystem.
Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube.
Mehr erfahren
Auf der Handelsblatt-Konferenz „Wirtschaftsfaktor Wasser“ in Berlin beschreibt Georg Dornaus von intelliThings die Digitalisierung von Maschinen und Anlagen, von der Zisterne bis zur Müllsortierung. Skropke betrachtet das System von der staatlichen Sicherheitsarchitektur aus. Dornaus nähert sich ihm vom einzelnen Gerät, vom Kundenproblem und vom Geschäftsmodell. In der Mitte treffen sich beide Perspektiven: bei KRITIS, bei den Infrastrukturen, von denen das tägliche Leben abhängt. Dornaus ist Gründer und CEO von intelliThings; ein Schwerpunkt des Unternehmens liegt in der Digitalisierung des Wassermanagements.
Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von YouTube.
Mehr erfahren
Der Wasserhahn wird zum Endpunkt eines Netzes
Die Wasserwirtschaft verwandelt sich in ein cyberphysisches System. Sensoren messen Füllstände, Druck, Durchfluss, Temperatur oder Wasserqualität. Pumpen, Ventile und Dosieranlagen reagieren auf digitale Signale. Fernwartungszugänge verbinden den Betreiber mit Herstellern und Dienstleistern. Cloud-Plattformen sammeln Betriebsdaten. KI soll Anomalien erkennen, Wartungsbedarfe vorhersagen und Anlagen zunehmend autonom steuern.
Dornaus beschreibt die Fernwartung als einen typischen Ausgangspunkt. Bislang schaltet sich ein Techniker auf eine Maschine, sobald eine Störung auftritt. Der nächste Entwicklungsschritt nutzt die vorhandenen Daten dauerhaft: Aus der Reparatur aus der Ferne wird ein prädiktiver Service, aus dem Geräteverkauf ein wiederkehrendes Geschäftsmodell.
Mit diesem Fortschritt entsteht eine dauerhafte Vertrauensverbindung. Wer Daten lesen darf, erhält womöglich Einblick in Betriebszustände. Wer Parameter verändern kann, greift bereits in den physischen Prozess ein. Wer Updates verteilt, verfügt über einen besonders mächtigen Zugang. Die Verbindung, die dem Maschinenbauer neue Erlöse ermöglicht, kann einem Angreifer einen Weg in die Anlage eröffnen.
Internationale Sicherheitsbehörden warnen längst vor dieser Übersetzung digitaler Manipulation in physische Wirkung. Ungeschützte Bedienoberflächen industrieller Anlagen können fremden Nutzern erlauben, Echtzeitwerte einzusehen und Einstellungen zu verändern. In Wasser- und Abwassersystemen können solche Eingriffe Behandlungsprozesse stören, Pumpen und Ventile beschädigen oder Chemikaliendosierungen beeinflussen. CISA verweist zudem auf Angreifer, die unsichere industrielle Steuerungen manipulieren und damit physische Gefahren erzeugen können. Ein Cyberangriff endet im Wasserwerk daher bei Druck, Durchfluss, Füllstand und Qualität. Cybersicherheit wird zur Voraussetzung für Versorgungssicherheit, Gesundheitsschutz und öffentliche Ordnung.
Der physische Anschlag setzt die digitale Kaskade in Gang
Die Wirkung verläuft auch in der Gegenrichtung. Ein physischer Angriff auf eine Energieanlage kann zahlreiche digitale Sicherungssysteme gleichzeitig beeinträchtigen. Berlin erlebte innerhalb weniger Monate zwei Anschläge auf sein Stromnetz. Am 9. September 2025 verursachte eine Brandlegung an zwei Strommasten einen langanhaltenden Ausfall im Südosten der Stadt. Zeitweise waren rund 50.000 Privathaushalte und etwa 2.000 Gewerbebetriebe betroffen. Am 3. Januar 2026 wurde eine Kabelbrücke über den Teltowkanal in Lichterfelde angegriffen. Rund 45.000 Haushalte und 2.200 Gewerbekunden verloren zunächst ihre Versorgung. Erst nach rund 100 Stunden war der Strom überall wieder verfügbar.
Der Angriff traf Kabel und Strommasten. Seine Wirkungskette reichte weit über diese Anlagen hinaus. Ohne Energie geraten Router, Mobilfunkstationen, Serverräume, Zutrittssysteme, Pumpensteuerungen, digitale Leitstellen und Fernwartungsverbindungen unter Druck. Notstrom schafft Zeit, doch Batterien entladen sich, Treibstoff muss geliefert, Aggregate müssen gewartet und Umschaltungen von Fachkräften vorgenommen werden. Fällt zugleich die Telekommunikation aus, verliert der Betreiber womöglich den Blick auf seine Außenanlagen.
Die amerikanische Umweltbehörde hat genau diese Verbindung zum Gegenstand ihrer nationalen Cyberübung 2026 gemacht. Das Szenario geht von cyberbezogenen und physischen Vorfällen aus, die Telekommunikation und Internet beeinträchtigen. Wasserbetriebe müssen darin ohne verlässliche SCADA-Fernverbindung, Cloud-Dienste, E-Mail oder Internettelefonie weiterarbeiten.
Ein Angreifer braucht deshalb keinen direkten Zugang zum Leitsystem eines Wasserwerks, um dessen Betrieb zu erschweren. Er kann eine vorgelagerte Abhängigkeit treffen: Strom, Telekommunikation, Cloud, Identitätsdienst, Rechenzentrum oder Wartungsunternehmen. Umgekehrt kann ein kompromittiertes Leitsystem einen physischen Notfall auslösen. Beide Angriffsrichtungen bilden eine Rückkopplung. Der Ausfall in einer Sphäre schwächt die Verteidigungsfähigkeit in der anderen.
Gesetze ziehen Zuständigkeitslinien, die Krise ignoriert sie
Deutschland hat seine gesetzlichen Grundlagen inzwischen ausgebaut. Das KRITIS-Dachgesetz trat am 17. März 2026 in Kraft. Es schafft sektorübergreifende Vorgaben für die physische und organisatorische Resilienz kritischer Anlagen und ergänzt die Anforderungen an die IT-Sicherheit. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz adressiert die digitale Seite. Für IT-Vorfälle und physische Ereignisse ist ein vereinheitlichtes Meldewesen vorgesehen.
Diese Arbeitsteilung ist juristisch nachvollziehbar. Im Betrieb braucht es dennoch ein gemeinsames Risikomodell. Zwei getrennte Lagepläne, einer für Sabotage und einer für Cyberangriffe, werden der realen Abhängigkeit nicht gerecht. In eine belastbare Risikoanalyse gehören der Zaun und das Administratorkonto, die Kabeltrasse und der Cloud-Dienst, der Ersatztransformator und das Softwareupdate, das Notstromaggregat und der externe Fernwartungszugang.
Auch der Cyber Resilience Act verschiebt die Verantwortung. Seine allgemeinen Anforderungen gelten ab Dezember 2027. Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle greifen bereits ab dem 11. September 2026. Produkte mit digitalen Elementen sollen risikogerecht entwickelt, sicher vorkonfiguriert und über ihren Lebenszyklus betreut werden.
Das betrifft die Welt, über die Dornaus spricht: Sensoren, Gateways, Steuerungen, Plattformen und vernetzte Maschinen. Ein Meldeformular hält allerdings keine Pumpe am Laufen. Produktregulierung entfaltet ihren Wert erst, sobald Hersteller und Betreiber daraus eine belastbare Betriebsarchitektur machen.
Die Verkettungslücke zwischen Sensor und Entscheidung
Für das Sicherheitsökosystem 2030 lässt sich das zentrale Problem als Verkettungslücke beschreiben. Deutschland verfügt häufig über Daten, Institutionen, Rechtsgrundlagen und Spezialwissen. Der Übergang vom Erkennen über das Entscheiden bis zum Handeln bleibt anfällig.
Ein Sensor meldet eine ungewöhnliche Abweichung. Das Dashboard zeigt einen Druckverlust. Der Betreiber vermutet eine Manipulation. Die Kommune kennt gleichzeitig einen Stromausfall. Das BSI verfügt vielleicht über Hinweise auf eine laufende Angriffskampagne. Polizei und Feuerwehr untersuchen eine beschädigte Anlage. Jeder Akteur sieht einen Ausschnitt. Erst die Verkettung dieser Ausschnitte ergibt eine handlungsfähige Lage.
Skropke fordert deshalb sichere Kommunikation, eine bessere europäische Koordination und einen Ort, an dem Informationen zu einem gemeinsamen Lagebild zusammenlaufen. Nationale Fähigkeiten reichen in einem grenzüberschreitenden Gefahrenraum kaum aus. Daten müssen geteilt, Zuständigkeiten geklärt und Kommunikationswege vor der Krise erprobt werden.
Dornaus stellt aus der Sicht des Anlagenentwicklers eine ebenso wichtige Frage: Welche Daten werden überhaupt benötigt, welche Schlüsse sollen daraus gezogen werden und wer darf darauf zugreifen? Das ist zugleich eine Sicherheitsfrage. Zu viele exponierte Daten vergrößern die Angriffsfläche. Zu wenige Daten nehmen dem Betreiber die Sicht auf den Prozess.
Ein gemeinsames Lagebild muss daher auch die Vertrauenswürdigkeit seiner Daten ausweisen. Ein manipulierter Füllstandssensor kann eine technisch perfekte Plattform mit falschen Werten versorgen. Ein digitaler Zwilling kann die Lüge eines Angreifers mit großer Präzision darstellen. Plausibilitätsprüfungen, voneinander unabhängige Messpunkte, signierte Gerätekommunikation und Beobachtungen aus dem Feld gehören daher zusammen.
Übungen müssen die Übergänge prüfen
Skropke weist darauf hin, dass ein Warntag pro Jahr kaum genügt. Staatliche Stellen, Betreiber, Einsatzorganisationen und Bevölkerung brauchen Routinen. Die Kaskaden müssen von der Bundesebene über Länder und Kommunen bis in die Regionen geübt werden.
Eine anspruchsvolle KRITIS-Übung beginnt daher nicht mit einem einzelnen Ransomware-Fund auf einem Bürocomputer. Sie kombiniert einen kompromittierten Fernwartungszugang mit falschen Füllstandswerten, einem beschädigten Stromanschluss, instabilem Mobilfunk und Gerüchten über verunreinigtes Trinkwasser.
Dann zeigt sich, ob die Verantwortlichen ihre Befugnisse kennen. Darf der Betreiber die digitale Verbindung sofort trennen? Wer ordnet den Wechsel auf Handbetrieb an? Wie werden Messwerte vor Ort verifiziert? Welche Einrichtung erhält zuerst Notstrom? Wie erreicht die Warnung Krankenhäuser, Pflegeheime und Bevölkerung? Kann der Hersteller unterstützen, obwohl seine Cloud nicht erreichbar ist? Funktionieren die Notfallkonten unabhängig vom ausgefallenen Identitätsdienst?
Eine gute Übung misst daher Übergabezeiten, Entscheidungskompetenzen, Kommunikationsfähigkeit und den Betrieb unter eingeschränkten Bedingungen. Technik wird getestet, ebenso die Zusammenarbeit von Wasserbetrieb, Kommune, Feuerwehr, THW, Polizei, Gesundheitsamt, Telekommunikationsanbieter, Energieversorger, Cloud-Dienst und Anlagenhersteller.
Die Personalfrage entscheidet in der Fläche
Skropkes folgenreichster Beitrag betrifft die Ausbildung. Deutschland verfügt über ausgezeichnete Hochschulen und Forschungseinrichtungen. Die Ruhr-Universität Bochum zählt sie zu den weltweit führenden Standorten der Cybersicherheit. Spitzenforschung entwickelt Post-Quanten-Kryptografie, neue Analyseverfahren und Schutztechnologien.
Der tägliche Betrieb verlangt zusätzlich Tausende Fachkräfte, die Updates sicher einspielen, Netzwerke segmentieren, Benutzerrechte verwalten, Protokolle prüfen, Geräte konfigurieren und einen Notbetrieb aufrechterhalten können. Skropke setzt sich deshalb dafür ein, den Ausbildungsberuf Fachinformatiker erheblich um Cybersecurity-Inhalte zu erweitern. Langfristig hält sie einen eigenen Ausbildungsberuf für sinnvoll. Der Zugang würde damit auch jungen Menschen eröffnet, die keinen akademischen Bildungsweg einschlagen.
Cybersicherheit ist Spitzenforschung und Facharbeit. Ein Wasserwerk braucht Menschen, die Netzwerkprotokolle und hydraulische Prozesse verstehen. Ein Servicetechniker muss wissen, welche digitale Verbindung vertretbar ist und in welchen sicheren Zustand eine Pumpe bei Kommunikationsverlust wechseln soll. Ein Cyberanalyst muss einschätzen können, ob ein ungewöhnlicher Messwert auf einen Angriff, einen defekten Sensor oder eine reale Störung im Rohrnetz zurückgeht.
Damit verändert sich auch die berufliche Ausbildung von Elektronikern, Mechatronikern, Verfahrenstechnikern und Anlagenführern. OT-Sicherheit darf kein Spezialwissen weniger Berater bleiben. Sie gehört in Berufsschulen, IHK-Prüfungen, Meisterkurse und betriebliche Weiterbildung. Der Fachkräftemangel ist in diesem Bereich keine personalwirtschaftliche Randfrage. Er begrenzt unmittelbar die Sicherheitsfähigkeit des Landes.
Das Geschäftsmodell braucht ein Bedrohungsmodell
Dornaus besteht zu Recht darauf, dass ein IoT-Projekt ein reales Kundenproblem lösen muss. Automatisierte Dokumentation, vorausschauende Wartung und effizientere Betriebsführung können aus einer Maschine eine dauerhafte Dienstleistung machen. Fehlt der Nutzen, bleibt die Technik ein Ladenhüter.
Ein tragfähiges Geschäftsmodell braucht zugleich ein Bedrohungsmodell. Wer liefert nach sieben Jahren noch Sicherheitsupdates? Was geschieht, falls der Hersteller verkauft wird oder verschwindet? Kann die Anlage lokal weiterarbeiten, sobald die Cloud ausfällt? Lassen sich Schlüssel und Zertifikate austauschen? Welche Parameter darf eine KI verändern? Welche Funktionen benötigen überhaupt einen Fernzugriff? Wer untersucht gemeldete Schwachstellen? Wie lange reicht der zugesagte Support?
Diese Fragen gehören in die Kalkulation des Produktes. Sichere Voreinstellungen, signierte Updates, minimale Berechtigungen, getrennte Netze, nachvollziehbare Protokolle und ein manueller Rückfallbetrieb kosten Geld. Sie vermeiden zugleich Folgekosten, die den Preis der ursprünglichen Anlage weit übersteigen können.
Hier berührt sich Dornaus’ Geschäftslogik erneut mit Skropkes industriepolitischem Blick. Deutsche Cybersecurity-Start-ups brauchen neben Finanzierung vor allem Kunden. Der Staat kann als Ankerkunde auftreten und durch seine Beschaffung sichere europäische Lösungen skalieren.
Eine Vergabe, die hauptsächlich den niedrigsten Anschaffungspreis honoriert, kauft womöglich eine teure Abhängigkeit. Beschaffung für KRITIS muss Updatefähigkeit, Lieferketten, Supportdauer, Offenlegung von Softwarebestandteilen, Ersatzteilversorgung und Betrieb ohne externe Cloud bewerten. Sicherheit wird dadurch Teil der Produktqualität.
KI beschleunigt beide Seiten
Dornaus verweist auf den Übergang zu autonomen Maschinen. Dabei geht es kaum noch allein um Analyse. KI-Systeme sollen Parameter verändern, Anlagen ein- oder ausschalten und Prozesse selbständig optimieren. In einer Wasseranlage berührt jede solche Entscheidung die physische Sicherheit.
Zugleich beschleunigt KI die Angreiferseite. Die Europäische Kommission warnt in ihrem im Juli 2026 vorgelegten Aktionsplan davor, dass fortgeschrittene KI Schwachstellen identifizieren, Angriffe automatisieren und Umfang sowie Geschwindigkeit von Cybervorfällen erheblich erhöhen kann. Für kritische Sektoren sollen deshalb sichere Testumgebungen, bessere Risikoprüfungen und Security-by-Design-Verfahren aufgebaut werden.
Autonomie braucht folglich Grenzen, die technisch durchgesetzt werden. Eine KI darf nur freigegebene Parameter innerhalb definierter Korridore verändern. Sicherheitskritische Befehle benötigen zusätzliche Prüfungen. Ungewöhnliche Entscheidungen müssen erklärbar, protokolliert und widerrufbar bleiben. Bei Datenkonflikten oder Kommunikationsverlust muss die Anlage einen vorher festgelegten sicheren Zustand einnehmen.
Der Staat beginnt am Sensor
Skropke führt den Blick von der nationalen und europäischen Ebene hinunter zu Unternehmen, Mittelstand, Schulen, Kommunen und Familien. Dornaus folgt dem umgekehrten Weg: vom einzelnen Sensor über die Maschine und das Geschäftsmodell bis zur Wasserversorgung. Zusammengenommen ergibt sich eine neue Karte der Sicherheitspolitik.
Auf dieser Karte liegen der Schaltschrank eines kommunalen Betriebs, die Kabelbrücke über einen Kanal, das Wartungsnotebook eines Maschinenbauers, der Lehrplan einer Berufsschule, das Notstromaggregat eines Pflegeheims und das europäische Lagezentrum im gleichen Zusammenhang.
Physische Sicherheit und Cybersicherheit fließen dort zusammen, wo ein digitales Signal ein Ventil bewegt oder ein beschädigtes Kabel eine digitale Leitstelle abschaltet. Das Sicherheitsökosystem 2030 muss deshalb jede kritische Dienstleistung als Abhängigkeitskette verstehen. Es muss wissen, welche Komponenten ausfallen können, welcher sichere Betriebszustand vorgesehen ist, wer entscheiden darf, welche Ersatzwege bereitstehen und wer die Anlage unter erschwerten Bedingungen bedienen kann.
Der nächste große Versorgungsausfall kann mit einem gestohlenen Passwort, einem manipulierten Sensor oder einem Brandsatz an einer Kabeltrasse beginnen. Die Reaktion darf nicht mit einer Zuständigkeitsdebatte einsetzen.
Cybersecurity und KRITIS bezeichnen eine gemeinsame sicherheitspolitische Aufgabe: Wasser, Strom, Kommunikation, Verkehr und Verwaltung auch unter Angriff handlungsfähig zu halten. Wer den Wasserhahn schützen will, muss das Netz dahinter sichern – und die Menschen ausbilden, die es jeden Tag am Laufen halten.
