Um zu erleben, dass Wasser keine Selbstverständlichkeit ist, reicht 2026 ein Blick auf die bayerische Gegenwart: Für Flüsse und Seen werden Niedrigwasserstände gemeldet, Kommunen rufen zum Wassersparen auf, sperren Brunnen, verbieten Bewässerung.
Nun wurde bekannt, dass in den USA Hacker kommunale Trinkwasserversorger etwa in Minnesota und Michigan angegriffen haben. Verantwortliche im ganzen Land seien wegen potenzieller Probleme bei verwundbaren Computern, die für die Überwachung und Anpassung von Wasserqualitäten zum Einsatz kommen, in hoher Alarmbereitschaft gewesen, so die „New York Times“ (externer Link, möglicherweise Bezahl-Inhalt).
Kleiner Angriff, große Wirkung?
Auch wenn wohl kein Trinkwasser wirklich verunreinigt wurde, zeigt sich: Nicht nur Behörden oder Unternehmen können ins Visier von Hackern geraten, die Geld erpressen oder Chaos verbreiten wollen. Auch kommunale Dienstleister sind mögliche Ziele, gerade wenn es um so lebenswichtige Ressourcen wie Wasser geht.
Die „Washington Post“ erinnerte daran, dass der Iran die Vereinigten Staaten seit dem Krieg Ende Februar mit Cyber-Attacken ins Visier genommen hat. Ein paar Cyber-Angriffe auf Kleinstadt-Wasserservices in Mittleren Westen der USA reichten den möglicherweise iranischen Hackern schließlich, um weltweite Berichte zu provozieren. Und wie ist die Lage bei uns? Ist Bayerns kommunale Trinkwasserversorgung flächendeckend für Cyberangriffe gerüstet?
Viele Anbieter kaum gerüstet
„Das können wir abkürzen: Nein“, sagt Manuel Atug von der „Arbeitsgruppe Kritische Infrastrukturen“ auf diese Frage. Die Organisation setzt sich für mehr IT-Sicherheit in Deutschlands Einrichtungen für die Grundversorgung der Bevölkerung ein.
Grundproblem ist laut Atug, dass für viele Wasserversorger letztlich keine Vorgaben gelten, was Cybersicherheit angeht. Als kritische Infrastruktur, für die es strenge Regeln gibt, werden laut der BSI Kritisverordnung (externer Link) nur Betriebe gewertet, die mehr als 500.000 Menschen mit Leistungen wie Strom, Wasser und Ernährung versorgen. In Deutschland werden rund 70 von 5.550 öffentlichen Wasserversorgern reguliert und müssen Cybersicherheit realisieren.
Seit Ende 2025 gilt laut IT-Sicherheitsaktivist Atug zudem eine neue Richtlinie zur Netzwerk- und Informationssicherheit (EU NIS2), die für alle Betriebe gilt, die mindestens 50 Mitarbeitende oder über 10 Millionen Euro Umsatz haben – und in als wichtig erachteten Branchen wie eben der Wasserversorgung arbeiten. Das betrifft in Deutschland etwa 30.000 Einrichtungen. Für sie gelten inzwischen ebenfalls klare IT-Sicherheitsvorgaben und Strafen.
Kaum Vorgaben für die Kleinen
Ein großer Teil der kommunalen Wasserversorger etwa in ländlichen Gebieten dürfte von diesen gesetzlichen Vorgaben allerdings nicht betroffen sein. Zur Einordnung das Beispiel des unterfränkischen 125.000-Einwohner-Landkreises Main-Spessart: Dort falle derzeit keine Trinkwasserversorgungs-Anlage unter die KRITIS-Verordnung, heißt auf BR-Anfrage vom Wasserwirtschaftsamt Aschaffenburg. Auch Betriebe mit mehr als 50 Mitarbeitern und 10-Millionen-Umsätzen dürften in der örtlichen Wasserversorgung sehr rar sein.
Maßnahmen zur IT-Sicherheit erfolgen bei den Wasserversorgungsunternehmen im Beispiel-Landkreis Main-Spessart laut Amt demnach primär eigenverantwortlich auf Grundlage technischer Standards. Auf übergeordneter Landkreisebene stünden zudem in den kommenden Jahren derzeit Planungen zur Trinkwassernotversorgung an, die auch eine Risikoanalyse zu Cyberangriffen beinhalten. Atug: „Kleinere Versorger können in Sachen IT quasi tun oder lassen, was sie wollen.“ Dabei würden auch die immer digitalisierter, etwa da Dienstleiter digitale Fernwartungssysteme einbauen, die ohne ausreichende Absicherung, Wartung, und Hardware zum Einfallstor werden könnten.
Basis-Sicherung wünschenswert
Da eine wirksame IT-Absicherung kleiner Betriebe das Wasser generell teurer machen würde, sieht Atug die Lösung nicht darin, die strengen Regeln für Großversorger auf alle anzuwenden. Grundregeln wie, dass die Systeme durch Zwei-Faktor-Authentifizierung gesichert, Updates aufgespielt und Backups erstellt werden, sollten aus seiner Sicht jedoch auch für sie gelten und stichprobenartig überprüft und im Notfall sanktioniert werden.
Denn um Angst zu verbreiten, bräuchten Akteure eben gar nicht große Anlagen für Hunderttausende von Menschen im Cyberraum zu attackieren. Schon ein paar kleine können genügen, wie der Fall aus den USA zeigt.
Dass es dort bisher glimpflich ausging, lag offenbar auch daran, dass Versorger dort mitgedacht haben: So berichtet zumindest der Bürgermeister des betroffenen Ortes Braham in Minnesota, dass der örtliche Betrieb – nachdem der Angriff offenbar wurde – den digitalen Teil der Wasserversorgung mit Hilfe eines Backups innerhalb von 90 Minuten neustarten konnte. Ob so ein Backup bei einem kommunalen Versorger in Bayern vorläge? Zumindest sicher ist das nicht.
