In Florida hat ein Computer-Hacker den Chlor-Hahn eines Wasserwerks so weit aufgedreht, dass die hundertfache Menge von Natriumhydroxid ins Trinkwasser zu strömen drohte. Der Anschlag konnte mit knapper Not verhindert werden. Bei der AWA in Herrsching ist Vorstandschef Maximilian Bleimaier jetzt zuversichtlich, dass Hacker am Mitterweg kaum eine Chance hätten: Das öffentliche Wasser- und Abwasser-Unternehmen ist nun auch im Bereich Informationssicherheit zertifiziert worden. Die Dekra hat die gesamte digitale Infrastruktur des Wasserversorgers untersucht und sogar Hackerangriffe simuliert. Die Bürger in Herrsching, Wörthsee, Seefeld, Inning, Andechs, Pähl und Wielenbach dürfen sicher sein: Das Wasser kommt auch künftig in gewohnt hoher Qualität aus dem Hahn.
Es wäre der blanke Horror: 48 Abwasserpumpen versagen auf Befehl eines fernen Verbrechers ihren Dienst, die unterirdischen Speicher laufen über, aus allen Rohren quillt eine stinkende Brühe. Noch schlimmer: 7 Trinkwasserbrunnen im Verbandsgebiet stellen ihren Dienst ein, weil ein Hacker alle Schieber verstellt oder die Stromleitung gekappt hat.
Maximilian Bleimaier, als 30-jähriger Ingenieur ein „Digital Native”, haben solche Horrorvisionen umgetrieben, seit er Chef der AWA ist: Seit 27 Monaten hat er deshalb die Zertifizierung im Bereich Informationssicherheit betrieben (für Nerds die DIN-Norm-Nummer: 27001).
Ein Dekra-Prüfer hat während dieses Verfahrens die gesamte elektronische Infrastruktur überprüft. Zum Prüfprogramm gehören auch „Penetrationsversuche” mit elektronischen Angriffen auf die IT-Netze der AWA. Den sogenannten „White Hackers” war es offensichtlich nicht gelungen, ins sensible Netz der Wasser- und Abwasserversorgung einzudringen. Die Prüfung zur Zertifizierung reicht bis in scheinbar banale Kleinigkeiten: Bleimaier: „Das geht soweit, dass hinterfragt wird, welchen Schmierzettel man wegwerfen und welchen man shreddern muss.”
Die AWA hat dieses vorbeugende Prüfverfahren der Zeritfizierung freiwillig geleistet: Das zuständige Bundesamt schreibt solche Verfahren nur für Wasserversorger vor, die über 22 Millionen Kubikmeter Wasser fördern oder verteilen und oder mehr als 500 000 Menschen versorgen. Davon ist die AWA mit ihren 36 600 Wasserkonsumenten weit entfernt. Bleimaier gibt denn auch freimütig zu, dass er „auf die freiwillige Zertifizierung stolz ist”.
Der Sicherheitsaufwand für die 7 Trinkwasserbrunnen ist extrem hoch: Alle „Gewinnungsanlagen” sind alarmgesichert. Bei Einbruchsversuchen, Brand oder Hochwasser wird die Zentrale am Mitterweg in Herrsching sofort alarmiert. Und wenn einmal der Strom für die Pumpen ausfallen sollte, übernehmen mobile Notstromaggregate den Job.
Die Hackergefahr, so Bleimaier, sei durch den Ukrainekrieg nicht kleiner geworden. In Sachsen-Anhalt hatten Kriminelle ein gesamtes Landratsamt lahmgelegt und dann mit der Feststellung Lösegeld gefordert: „Landkreis, you are fucked”. Die finsteren Gestalten hatten sich ganz harmlos ins Netz des Amtes geschlichen: Sie schickten einer ahnungslosen Sachbearbeiterin eine Phishingmail, in der sie eine Speicherplatzerweiterung versprachen, wenn die Dame ihre Zugangsdaten schicke. Sie schickte – und sie schickte das gesamte Amt in die elektronische Totallähmung.
