Gleiche Risiken, weniger Ressourcen
Die Siedlungswasserwirtschaft, insbesondere mit ihren dezentralen Pumpwerken, Steuerzentralen und Kommunikationsnetzen zählt, in Deutschland zur Kritischen Infrastruktur (KRITIS) und ist zunehmend Angriffen auf Informations- und Leittechnik ausgesetzt. Die EU-Richtlinie NIS2 und das geplante nationale Umsetzungs- und Cybersicherheitsstärkungsgesetz verlangen von Betreibern ein systematisches Risikomanagement, Melde- und Notfallvorsorgepflichten. Für kleine Kommunen und Zweckverbände, die häufig über begrenzte IT- und OT-Sicherheitskompetenz, Legacy-Systeme und starke Abhängigkeit von Dienstleistern verfügen, bleibt die Umsetzung jedoch eine erhebliche Herausforderung. Sie tragen dieselben physischen Risiken wie große Betreiber, verfügen jedoch über deutlich weniger Ressourcen, um sich darauf vorzubereiten und im Ernstfall zu reagieren.
Physische Folgen von Cyberangriffen und fehlende Bewertungsgrundlagen
Die physischen Folgen eines Cybervorfalls werden bislang kaum ganzheitlich bewertet: Unautorisierter Zugriff, manipulierte Prozessdaten oder Fernwartungsangriffe können zu Fehlsteuerungen, Kapazitätsverlusten bis hin zum Totalausfall führen. Die hydraulische Kette reicht von Rückstau und Überstau im Kanalnetz über austretendes Schmutzwasser aus Schächten bis zur Oberflächenüberflutung mit unbehandeltem Abwasser. Die Konsequenzen sind Gesundheits- und Umweltrisiken für Anwohner und Einsatzkräfte, erhebliche Schadens- und Wiederherstellungskosten sowie betriebliche Einschränkungen. Bislang konzentrieren sich Schutzkonzepte überwiegend auf organisatorische und technische IT- und OT-Maßnahmen; belastbare, vorausschauende Analysen der physisch-hydraulischen Effekte erfolgreicher Angriffe fehlen weitgehend. Hinzu kommt, dass NIS2 und die KRITIS-Regelungen für kleinere Kommunen und Zweckverbände formal häufig nicht greifen, da Mitarbeiterzahlen und Jahresumsätze unterhalb der Anwendungsschwellen liegen. Über Fernwartungszugänge, geteilte Lieferketten und gemeinsame Infrastrukturen bleiben sie jedoch denselben Bedrohungen ausgesetzt und tragen im Schadensfall identische physische Folgen.
Modellierung der Ausfallkette und Entwicklung praxistauglicher Notfallpläne
Im Rahmen des Projekts CYSAN-N wird ein simulationsbasierter Ansatz entwickelt, der einen Sicherheitsvorfall an einem Pumpwerk mit seinen realen hydraulischen und gesundheitlichen Folgen verknüpft. Cyberbedingte Ausfallzustände (z. B. Pumpstopp, Kapazitätsreduktion, Sensor-Bypass) werden auf repräsentative Pumpwerke und Teilnetze in der Übergangsregion Lüneburg–Uelzen–Celle modelliert und über gekoppelte 1D/2D-Simulationen (SWMM für das Kanalnetz, TELEMAC-2D für den Oberflächenabfluss) quantifiziert. Ergänzend erfolgt eine Quantitative Microbiological Risk Assessment (QMRA) zur Bewertung gesundheitsrelevanter Expositionen sowie eine Vulnerabilitätsanalyse kritischer Infrastrukturassets. Die Ergebnisse werden unter anderem in praxistauglichen Notfallpläne und Standardarbeitsanweisungen mit klaren Schwellenwerten überführt und gemeinsam mit regionalen Partnern, dem Abwasserzweckverband Uelzen und der Stadtentwässerung Celle, validiert. CYSAN-N will so praktische Handreichungen und Best-Practices bereitstellen, den kleinen Betreibern helfen kritische Risikoschwerpunkte zu erkennen, verstehen und im Notfall schnell zu handeln.
Projektleitung und Förderung
Laufzeit: 01.09.2026 bis 30.08.2028
CYSAN-N wird von der Ostfalia Hochschule für angewandte Wissenschaften, Center for Hydrosystems and Health (CHH), geleitet und im Rahmen des EU-EFRE-Programms – Programmgebiet Übergangsregion (ÜR) – Förderperiode 2021–2027 – gefördert.
