Datum der Veröffentlichung: 06. Juli 2026

DVGW Kongress: 

Mehr Automatisierung, mehr Skalierung, mehr Betrug? Cyberkriminalität entwickelt sich rasant. Ist die Energie- und Wasserbranche ein leichtes Ziel für Hacker?

Manuel 'HonkHase' Atug:

Natürlich nutzen Akteure wie organisierte Kriminelle und andere staatliche Akteure wie Geheimdienste und Militärs Vereinfachungen und Skalierungen bei Angriffen im Cyberraum, die eine Weiterentwicklung der Digitalisierung nun mal mit sich bringen. Alles andere wäre ja auch seltsam. Der entscheidende Punkt ist aber, dass die Energie- und Wasserbranche nur dann ein leichtes Ziel ist, wenn die Verantwortlichen in den Geschäftsleitungen die benötigten IT-Security-Maßnahmen über das gehörige Risikomanagement nicht vernünftig umsetzen und leben. Und das sind so banale Themen wie: Ein vollständiges Backup haben, welches auch Offline vorgehalten wird und wo die Wiederherstellung auch getestet wird. Oder eine Multifaktor-Authentisierung bei Fernzugriff und Fernwartung. Oder eben auch Systeme, die direkt am Internet hängen zeitnah mit Sicherheitsupdates zu versehen, statt diese auf einem Sicherheitsstand zu betreiben, der archäologisch wertvoll ist. Sowas ist einfach grob fahrlässig und das muss verstanden werden.

DVGW Kongress: 

Was bedeutet Digitale Souveränität für Versorgungsunternehmen? 

Manuel 'HonkHase' Atug:

Der Begriff der digitalen Souveränität ist nicht klar definiert. Daher sollten sich Versorgungsunternehmen erst mal klar machen, was sie für Defizite haben und wie diese behoben werden können.

Im Wesentlichen haben wir durch drei Entwicklungen aus der Vergangenheit die digitale Souveränität verloren:

1. Wir haben die Systeme (Hardware) in externe Rechenzentren ausgelagert.
2. Wir haben die Verarbeitung der Daten (also die Applikationen selbst) an externe Cloud-Konzerne ausgelagert.
3. Wir haben die Daten an externe KI-Konzerne ausgelagert.

Wenn einem das bewusst geworden ist, kann man sich Gedanken über die folgenden Kernaspekte der digitalen Souveränität machen:

1. Technologische Unabhängigkeit: Vermeidung von Vendor Lock-ins.
2. Datensouveränität: Volle Kontrolle darüber, wo Daten liegen und wer Zugriff hat.
3. Verarbeitungssouveränität. Volle Kontrolle darüber, wer die Daten wie verarbeiten kann.
4. Kompetenzsouveränität: Know-how, um interne Systeme zu verstehen, zu steuern und strategische Entscheidungen wissentlich zu treffen.
5. Gestaltungsfreiheit: Aus verschiedenen Lösungen die richtigen auszuwählen, zu kombinieren und an eigene Anforderungen anzupassen.
6. Kostensouveränität: Für Möglichkeiten der Kostenkontrolle.

Dann sollte schnell klar werden, welche wesentliche Bedeutung es für die Geschäftsleitungen von Versorgungsunternehmen haben sollte.

DVGW Kongress: 

Wo sehen Sie die größten Schwachstellen im Risikomanagement von KRITIS-Unternehmen?

Manuel 'HonkHase' Atug:

Darin, dass Geschäftsleitungen das Risikomanagement nicht als TOP-Management-Thema adressieren und daher an Informationssicherheitsbeauftragte und die IT-Leiter:innen auslagern und sich damit dann nicht mehr befassen.

Richtig wäre es, das Thema an Sicherheitsverantwortliche zu delegieren, so dass diese es mit den IT-Leiter:innen und den anderen Fachbereichen angehen können. Und dabei dann aber auch eine Steuerung, Überwachung und Kontrolle auszuüben, denn die Verantwortung bleibt bei der Geschäftsleitung!

Insofern müssten sie dafür beispielsweise ein angemessenes Reporting über die Risiken einfordern, welches oftmals aber nicht existiert oder ein kurzes IT-Reporting einmal im Jahr ist. So geht weder Kontrolle, noch Überwachung. Und so geht erst recht nicht Steuerung von Risiken.

Wichtig an der Stelle ist: Wer Cybersicherheit weiterhin als rein technisches Thema der IT-Abteilung behandelt, handelt nicht nur fahrlässig, sondern aufgrund von NIS2 Betroffenheit im BSI-Gesetz sogar rechtswidrig.

DVGW Kongress: 

Haben KRITIS-Unternehmen aktuell vor allem ein Technikproblem oder eher ein Verantwortungs- und Umsetzungsproblem?

Manuel 'HonkHase' Atug:

Es gibt zwei wesentliche Faktoren. Das Verantwortungsproblem haben wir ja gerade im Risikomanagement Thema adressiert. Das andere ist das Umsetzungsproblem. Es wird gerne ausführlich debattiert, wieso Cybersicherheit nicht umgesetzt werden kann, und welche anderen alle was zu tun haben. Oft genug wird gefordert, dass der Staat das alles zu bezahlen hat. Aber machen ist wie dran denken, nur krasser. Insofern kann ich nur empfehlen, pragmatisch dranzugehen, die Umgebung zu vereinfachen, denn Komplexität ist der Feind der Sicherheit und da dann pragmatische Lösungen zu etablieren und Stück für Stück zu verbessern.

Die digitale Souveränität kann dabei sogar nicht nur Geld sparen, sondern genau diesem Ziel beitragen, da mit freien und offenen Standards als auch mit Open Source Software viel einfacher Sicherheit und Portierbarkeit oder auch Automatisierung realisiert werden kann.

Insofern wundert mich, dass der Erkenntnisgewinn bei Geschäftsleitungen nicht ankommt, dass sie Geld sparen und resilientere Umgebungen erhalten können aber stattdessen lieber diskutieren oder immer noch Big Tech einkaufen bzw. mit teuren Abos nutzen.

DVGW Kongress: 

Welche Rolle spielt die Zusammenarbeit zwischen Unternehmen, Staat und Initiativen wie UP KRITIS für eine funktionierende Cyberabwehr?

Manuel 'HonkHase' Atug:

Sicherheit geht nur gemeinsam und nicht gegeneinander. So entsteht Austausch von Erfahrung und Lernen. Das ist die Voraussetzung für eine gute Resilienz. Allerdings nur, solange defensive Cybersicherheit wie oben genannt umgesetzt wird. Offensive Methoden und Maßnahmen der „aktiven Cyberabwehr“, wie sie in aktuellen Gesetzen adressiert wird, sorgt dafür, dass Schwachstellen durch staatliche Akteure ermittelt und ausgenutzt werden. Sie werden also offen gehalten und nicht den Herstellern gemeldet, damit diese geschlossen werden können. Und das bei genau den Systemen und Anwendungen, die auch die Versorgungsunternehmen einsetzen. Das ist keine aktive Cyberabwehr, sondern aktive Bedrohung von Cybersicherheit.

DVGW Kongress:

Welche Maßnahmen sollten Energie- und Wasserversorger jetzt priorisieren, um ihre Cybersicherheit und Resilienz nachhaltig zu stärken?

Manuel 'HonkHase' Atug:

Die Geschäftsleitungen müssen das Thema Cybersicherheit und zugehöriges Risikomanagement bei sich aufhängen und Schritt für Schritt die Risiken adressieren, denn es ist kein technisches Thema. Auch hier gilt: Wie isst man einen Elefanten? Nicht am Stück, sondern scheibchenweise.

DVGW Kongress:

Wie bewerten Sie in diesem Zusammenhang den vom DVGW mitentwickelten Resiliensstandard B3S WA für die physische Sicherheit von Wasserversorgungsunternehmen sowie die europäische Richtlinie NIS2?

Manuel 'HonkHase' Atug:

Da der B3S Wasser/Abwasser nicht öffentlich verfügbar ist, kann ich dazu keine Aussage treffen. Außer, dass das eine schlechte Idee ist, denn gute Sicherheit gelingt nicht durch Geheimhaltung (warum auch immer das hier der Fall ist), sondern durch ein Peer Reviewing und die kontinuierliche Weiterentwicklung durch Feedback. Freie und offene Standards sind daher immer zu bevorzugen.

NIS2 ist ein gutes Werk und hat gute Ziele, den europäischen Wirtschaftsraum und die europäischen Werte resilient für die Zukunft auszurichten. Allerdings haben der Gesetzgeber und das Innenministerium bei der deutschen Umsetzung dem BSI nicht genügend Stellen bereitgestellt, eine Rechtsdurchsetzung ausüben zu können. Und Gesetze, die nicht angemessene Aufsicht haben, neigen dazu, belanglos zu werden. Das ist ein hohes Risiko, welches dringend behoben werden sollte.

DVGW Kongress:

Wenn Sie den Versorgern in Deutschland heute nur eine einzige Maßnahme mit auf den Weg geben könnten, welche wäre das?

Manuel 'HonkHase' Atug:

Die Geschäftsleitungen sollten sich die Methodiken des IT-Risikomanagements aneignen und dann Risiken aktiv steuern, überwachen und kontrollieren.