Vorgeschlagenes Bildkonzept: Eine klare, geteilte Bildschirmdarstellung oder Overlay-Visualisierung, die ein modernes Wasserwerk zeigt, überlagert mit einer hochtechnischen, aber übersichtlichen Netzwerkarchitekturkarte (Purdue-Modell-Ebenen, Firewalls und sichere Remote-Gateways), die den Übergang von physischen Rohren zu digitalen Bits darstellt, um sichere Konnektivität zu betonen.

Die digitale Transformation im Sektor der Wasser- und Abwassersysteme (WWS) hat zur Auflösung der traditionellen, physisch isolierten (Air-Gapped) Operational Technology (OT)-Netzwerke geführt. Während mit dem Internet verbundene Sensoren, Supervisory Control and Data Acquisition (SCADA)-Systeme und Fernbetriebsabläufe die kommunale Effizienz gesteigert haben, haben sie auch die Cyber-Angriffsfläche des Sektors drastisch vergrößert.

Wie der jüngste Vorfall bei Cal Water gezeigt hat, haben Bedrohungsakteure kritische Infrastrukturen im Visier und arbeiten gezielt daran, die mit ihnen verbundenen IT- und OT-Netzwerke zu kompromittieren und zu durchbrechen.

Die kürzlich veröffentlichte NIST Special Publication (SP) 1800-45 „Cybersecurity for the Water and Wastewater Sector: Build Architecture“ bietet einen entscheidenden Leitfaden zur Bewältigung dieser Krise. Diese Analyse bietet eine Bewertung der SP 1800-45 aus Management- und Engineering-Perspektive und untersucht deren zentrale Referenzarchitekturen, praktische Implementierungsherausforderungen sowie die strategische Ausrichtung auf die ISA/IEC 62443 und NIST SP 800-82 Rev. 3.

Die verwundbare Fluidität kritischer Infrastrukturen

Der Sektor der Wasser- und Abwassersysteme (WWS) steht vor beispiellosen Cybersecurity-Herausforderungen. Historisch durch mangelnde Bekanntheit (Security by Obscurity) und proprietäre serielle Protokolle isoliert, haben Wasserversorger in den letzten Jahren rasant kommerzielle Standardkomponenten (COTS), Cloud-Analysen und Fernwartungskanäle eingeführt. Diese IT/OT-Konvergenz hat den Sektor im Kern verwundbar gemacht. Staatliche Bedrohungsakteure und cyberkriminelle Gruppierungen nehmen gezielt Wasseraufbereitungsanlagen ins Visier und nutzen schwache Fernzugriffsmechanismen aus, um die chemische Dosierung zu verändern, die Verteilung zu stören und kritische öffentliche Infrastrukturen als Geiseln zu nehmen.

Die Verwundbarkeit des WWS-Sektors resultiert aus einem asymmetrischen Risikoprofil: Die Versorgungsbetriebe sind anlagenintensiv, aber chronisch ressourcenbeschränkt. Während ein großer Energieversorger über ein dediziertes Security Operations Center (SOC) verfügt, verlässt sich ein mittelgroßer kommunaler Wasserversorger oft auf einen einzigen Betriebsleiter, der sowohl für das chemische Gleichgewicht als auch für die IT-Fehlerbehebung zuständig ist. Böswillige Akteure kennen diese Diskrepanz. Fernzugriffsmechanismen – die hastig eingerichtet wurden, um den Herstellersupport oder die Wochenendüberwachung zu erleichtern – sind zum primären Einfallstor für moderne Angriffe auf kritische Infrastrukturen (KRITIS) geworden.

Vor diesem Hintergrund hat das National Cybersecurity Center of Excellence (NCCoE) des National Institute of Standards and Technology (NIST) die NIST SP 1800-45 veröffentlicht. Dieser Praxisleitfaden befasst sich direkt mit der dringendsten Schwachstelle des Sektors: dem Fernzugriff auf Operational Technology.

NIST SP 1800-45 entschlüsselt: Warum dieser Praxisleitfaden wichtig ist

Im Gegensatz zu abstrakten Framework-Dokumenten ist NIST SP 1800-45 ein technischer Praxisleitfaden, der in einer kollaborativen Laborumgebung zusammen mit Technologieherstellern und Branchenexperten entwickelt wurde. Er führt vom abstrakten „Was“ des NIST Cybersecurity Framework (CSF) 2.0 hin zu einem konkreten „Wie“.

Die Hauptbedeutung von SP 1800-45 liegt in der Konzentration auf demonstrierte, kommerziell verfügbare Technologien. Der Leitfaden erkennt an, dass Wasserversorger ihre bestehenden Speicherprogrammierbaren Steuerungen (PLC) oder Human-Machine Interfaces (HMIs) nicht einfach austauschen können, um moderne Sicherheit zu erreichen. Stattdessen zeigt er auf, wie eine schützende Architekturschicht um bestehende Systeme herum aufgebaut werden kann.

Architektonische Kernprinzipien

Das Dokument beschreibt grundlegende Prinzipien, die für das Erreichen eines resilienten Betriebs von Wasserversorgungsunternehmen erforderlich sind:

• Least Privilege Access (Prinzip der minimalen Rechtevergabe): Beschränkung interaktiver und System-zu-System-Verbindungen strikt auf die für eine bestimmte betriebliche Rolle oder Funktion erforderlichen Mindest-Assets.

• Kryptografische Segmentierung: Sicherstellung, dass jede Fernzugriffssitzung in einer sicheren DMZ (Demilitarized Zone) endet, anstatt direkt in das Prozesssteuerungsnetzwerk durchgeschleift zu werden.

• Kontinuierliche Transparenz und Auditierbarkeit: Protokollierung aller Remotesitzungen auf granularer Ebene sowie Aufzeichnung jedes Befehls, der an eine Engineering-Workstation oder SCADA-Konsole gesendet wird.

Dekonstruktion der drei Referenzarchitekturen

NIST SP 1800-45 definiert drei verschiedene Referenzimplementierungen, die zeigen, wie Versorgungsunternehmen den Fernzugriff über verschiedene Technologie-Stacks hinweg sicher ermöglichen können. Jedes Design adressiert spezifische betriebliche Einschränkungen und Risikoprofile.

Rollenbasierte, konsolenzentrierte Zugriffskontrollen

Diese Architektur konzentriert sich auf die Verwaltung interaktiver Sitzungen von Mitarbeitern, Auftragnehmern und Original Equipment Manufacturers (OEMs). Anstatt einem Benutzer eine breite VPN-Verbindung (Virtual Private Network) auf Netzwerkebene zu gewähren, nutzt dieses Design spezialisierte Konsolen-Managementsysteme (wie TDI ConsoleWorks), um Benutzeraktivitäten zu isolieren.

Benutzer authentifizieren sich über ein zentrales Access Gateway, wobei ihre Berechtigungen an spezifische Betriebsprofile gebunden sind. Ein externer Dienstleister kann nur die spezifische HMI oder den PLC-Regelkreis einsehen, für deren Wartung er vertraglich verpflichtet ist. Das System überwacht die interaktive Sitzung in Echtzeit und liefert einen lückenlosen Audit-Trail aller Konfigurationsänderungen und Tastatureingaben.

Zero Trust Access Management Plattform

Diese Architektur verabschiedet sich von traditionellen, perimeterbasierten Sicherheitskonzepten, indem sie eine Zero Trust Architecture (ZTA) für Remote-Endpunkte implementiert. Sie integriert fortschrittliche Multi-Faktor-Authentifizierungsplattformen (MFA) mit vereinheitlichtem Zugriff.

Der Zugriff wird niemals basierend auf dem Netzwerkstandort gewährt. Unabhängig davon, ob sich ein Ingenieur von zu Hause oder über einen Laptop innerhalb der Anlage verbindet, müssen strenge kryptografische Authentifizierungsprotokolle erfüllt werden. Das Zero Trust Gateway dient als strikter Policy Enforcement Point (PEP), der den Gerätezustand, die Benutzeridentität und den Echtzeitkontext überprüft, bevor eine temporäre, verschlüsselte Proxy-Verbindung direkt zum Ziel-OT-Asset hergestellt wird.

Hardware-erzwingbare Netzwerkverschlüsselung

Da Altsysteme und verteilte Assets – wie entfernte Pumpstationen, Hebeanlagen und Wasserspeicher – oft auf ungesicherte Funk- oder Mobilfunk-Backhaul-Netzwerke angewiesen sind, führt diese Architektur hardware-erzwingbare kryptografische Grenzen ein.

Durch den Einsatz dedizierter Hardware-Verschlüsselungsgeräte (wie den Produkten von Q-Net Security) etabliert dieses Design unveränderliche, verschlüsselte Enklaven für die System-zu-System-Kommunikation über große Distanzen. Selbst wenn ein physischer Kommunikationskanal oder ein Mobilfunkmast kompromittiert wird, bleiben die Telemetriedaten und Steuerbefehle zwischen dem Hauptaufbereitungswerk und den entfernten Assets verschlüsselt und vollständig vor Injection- oder Manipulationsangriffen geschützt.

Die strategische Matrix: Vergleich der Referenz-Frameworks

Um Entscheidungsträgern und Sicherheitsarchitekten in Versorgungsunternehmen die Auswahl des richtigen Wegs zu erleichtern, hebt die folgende Tabelle die spezifischen Merkmale jedes Referenzdesigns hervor:

Harmonisierung über Frameworks hinweg: Das einheitliche OT-Sicherheits-Ökosystem

NIST SP 1800-45 ersetzt bestehende Standards nicht, sondern dient als deren praktischer Durchsetzungsmechanismus. Für ein umfassendes Sicherheitsniveau müssen Organisationen verstehen, wie dieser Leitfaden mit übergeordneten Industriestandards harmoniert.

Ausrichtung auf die ISA/IEC 62443

Das grundlegende Konzept von „Zones and Conduits“ (Zonen und Kanälen) innerhalb des ISA/IEC 62443-Standards wird durch die Referenzarchitekturen von SP 1800-45 direkt umgesetzt. Durch die Implementierung dieser Remote Access Gateways etablieren Versorgungsunternehmen erfolgreich sichere Verbindungskanäle, die den Datenfluss über verschiedene Sicherheitszonen hinweg regulieren und überwachen und so unbefugte laterale Bewegungen verhindern.

Integration von NIST SP 800-82 Rev. 3

NIST SP 800-82 Rev. 3 bietet übergreifende Sicherheitsrichtlinien für industrielle Steuerungssysteme. SP 1800-45 greift die in SP 800-82 beschriebenen spezifischen Fernzugriffskontrollen (wie Jump-Hosts, Multi-Faktor-Authentifizierung und getrennte Datenebenen) auf und übersetzt sie in validierte, herstellerübergreifende Produktimplementierungen.

Zuordnung zum NIST CSF 2.0

SP 1800-45 lässt sich direkt den Funktionen Protect (PR) und Detect (DE) des NIST Cybersecurity Framework 2.0 zuordnen. Konkret liefert es konkrete Blaupausen für Identitätsmanagement und Zugriffskontrolle (PR.AA), Netzwerksicherheit (PR.IR) und kontinuierliche Sicherheitsüberwachung (DE.CM).

Praktische Umsetzung: Ein maßgeschneiderter Ansatz für jeden Versorger

Im Bereich der Wasser- und Abwassersicherheit gibt es keine Universallösung. Versorgungsunternehmen müssen ihre betriebliche Realität und Größenbeschränkungen bewerten, wenn sie eine Implementierung gemäß SP 1800-45 planen.

Kleine Versorgungsunternehmen (Versorgung von weniger als 10.000 Kunden)

• Die Realität: Begrenztes Budget, kein dediziertes Cybersecurity-Personal, hohe Abhängigkeit von externen Integrationspartneren.

• Der Ansatz: Konzentration auf ein Zero-Trust-Proxy-Modell. Vermeidung des Betriebs einer komplexen, lokalen Identitätsinfrastruktur. Nutzung von Cloud-basiertem MFA und Secure Access Service Edge (SASE)-Tools, um Legacy-Endpunkte zu schützen, ohne die lokalen Konfigurationen zu überfrachten.

Mittlere Versorgungsunternehmen (Versorgung von 10.000 bis 100,000 Kunden)

• Die Realität: Heterogene Umgebungen mit moderner COTS-Infrastruktur gepaart mit jahrzehntealten Legacy-PLCs; internes IT-Team vorhanden, jedoch begrenzte OT-spezifische Sicherheitsexpertise.

• Der Ansatz: Priorisierung von Netzsegmentierung und konsolenzentriertem Sitzungsmanagement. Sicherstellung, dass alle externen Partnerverbindungen strikt auf einem DMZ-Jump-Host terminieren, und Eliminierung aller Mobilfunkmodems mit direktem PLC-Zugang.

Große Versorgungsunternehmen (Versorgung von über 100.000 Kunden)

• Die Realität: Hochkomplexe, geografisch verteilte Architekturen; mehrere Aufbereitungswerke, dutzende entfernte Hebestationen; etablierte IT-Organisation im Unternehmen.

• Der Ansatz: Implementierung einer Hybridstrategie, die hardware-erzwungene kryptografische Enklaven für die verteilte System-zu-System-Telemetrie mit einer robusten Zero-Trust-Zugriffsplattform für internes und externes Personal kombiniert. Direkte Integration von Sitzungsprotokollen in ein zentrales Security Information and Event Management (SIEM)-System.

Zu vermeidende Fallstricke: Überwindung realer betrieblicher Hürden

Die Umsetzung von SP 1800-45 erfordert die Bewältigung spezifischer kultureller und betrieblicher Hürden im Wassersektor:

• Der Konflikt zwischen Betriebssicherheit (Safety) und Informationssicherheit (Security): OT-Teams priorisieren Prozessverfügbarkeit und Safety über alles andere. Wenn ein Multi-Faktor-Authentifizierungsmechanismus oder ein komplexer Anmeldeprozess einen Anlagenbediener daran hindert, zeitnah auf ein dringendes chemisches Ungleichgewicht oder einen Rohrbruch zu reagieren, werden Mitarbeiter unweigerlich Wege finden, diese Sicherheitsmaßnahme zu umgehen. Sicherheitsarchitekturen müssen nahtlos und intuitiv sein, um Akzeptanz und Compliance zu gewährleisten.

• Das Problem der Schatten-VPNs: Systemintegratoren und Drittanbieter installieren oft unüberwachte Mobilfunkmodems oder Consumer-Remote-Desktop-Software direkt in der Anlage, um die Fehlerbehebung zu vereinfachen. Sicherheitsteams müssen eine kontinuierliche Erkennung von Assets (Asset Discovery) durchführen, um diese unautorisierten Zugriffspfade zu identifizieren und zu eliminieren.

• Ignorieren der Asset-Inventory-Grundlagen: Ein sicheres Remote Access Gateway ist nur dann effektiv, wenn bekannt ist, welche Assets exakt im Netzwerk existieren. Der Versuch, den Zugriff auf ein Netzwerk ohne ein präzises Echtzeit-Inventar jeder PLC, HMI und jedes intelligenten Feldgeräts zu beschränken, führt unweigerlich zu Betriebsunterbrechungen.

Strategische To-dos für CISOs und Sicherheitsverantwortliche

Um die Prinzipien von NIST SP 1800-45 erfolgreich in Ihrer Organisation zu verankern, sollte das Management die folgenden fünf Schritte umsetzen:

• Sofortiges Audit aller Fernzugriffe durchführen: Identifizieren Sie jede interaktive und System-zu-System-Fernverbindung in Ihre OT-Umgebung. Setzen Sie ein sofortiges Verbot aller Single-Factor-Authentifizierungspfade durch.

• DMZ-Terminierung für alle Sitzungen erzwingen: Stellen Sie sicher, dass keine Remoteverbindung direkt auf einem System des Steuerungsnetzwerks endet. Jede Sitzung muss auf einem isolierten DMZ-Jump-Host oder Proxy-Gateway landen.

• Granulare Sitzungsprotokollierung vorschreiben: Implementieren Sie Logging-Mechanismen, die spezifische Befehlszeilen und Konfigurationsänderungen erfassen, anstatt nur einfache Verbindungszeitstempel.

• Sicherheit in Investitionspläne einbeziehen: Behandeln Sie Cybersecurity als Kernkomponente der Planung von Wasserinfrastrukturen und nicht als isolierte IT-Ausgabe. Integrieren Sie die Referenzdesigns der SP 1800-45 direkt in anstehende Anlagenmodernisierungen.

• Echte IT/OT-Zusammenarbeit fördern: Etablieren Sie funktionsübergreifende Teams, die IT-Ingenieure des Unternehmens mit erfahrenen Anlagenbedienern zusammenbringen. Dies stellt sicher, dass Sicherheitsarchitekturen mit den realen physikalischen Prozessen harmonieren.

Aufbau langfristiger Cyber-Resilienz

Regulatorische Vorgaben und Compliance-Anforderungen bieten eine solide Basis, aber echte Resilienz erfordert einen proaktiven architektonischen Ansatz. NIST SP 1800-45 weist dem Wasser- und Abwassersektor einen klaren Weg, um Cybersecurity von einem theoretischen Ziel in eine praktisch umsetzbare Ingenieursdisziplin zu überführen.

Durch die Abkehr von veralteten, perimeterbasierten Netzwerksicherheitsmodellen und die Einführung der von der NIST validierten, sicheren, rollenbasierten und Zero Trust-Architekturen können Wasserversorger ihre digitale Transformation sicher gestalten. Die Absicherung des Wassers unserer Gemeinden bedeutet den Schutz der digitalen Systeme, die dessen sicheren Fluss gewährleisten.

Sichern Sie Ihre kritischen Infrastrukturen mit Shieldworkz

Sind Sie bereit, Ihre Versorgungsanlagen von Altschwachstellen auf eine SP 1800-45-konforme Architektur umzustellen? Die KRITIS-Experten von Shieldworkz sind auf die Implementierung herstellerneutraler Zero Trust-Fernzugriffskonzepte spezialisiert, die speziell auf die betrieblichen Anforderungen des Wasser- und Abwassersektors zugeschnitten sind. Vereinbaren Sie hier ein kostenfreies Beratungsgespräch mit unseren Experten für OT-Sicherheit in Versorgungsbetrieben.   

Nutzen Sie unsere spezialisierten Engineering-Ressourcen unter Shieldworkz Regulatory Playbooks, um Ihre Implementierung zu beschleunigen.

Häufig gestellte Fragen (FAQs)

Was ist der Schwerpunkt von NIST SP 1800-45?

NIST SP 1800-45 ist ein technischer Praxisleitfaden des National Cybersecurity Center of Excellence (NCCoE). Er demonstriert praktische, herstellerübergreifende Referenzarchitekturen zur Absicherung von interaktiven und System-zu-System-Fernzugriffen im Sektor der Wasser- und Abwassersysteme (WWS).

Wie unterscheidet sich NIST SP 1800-45 von NIST SP 800-82?

NIST SP 800-82 bietet allgemeine, konzeptionelle Sicherheitsrichtlinien und Kontrollempfehlungen für industrielle Steuerungssysteme. Im Gegensatz dazu ist NIST SP 1800-45 ein praxisorientierter, umsetzungsorientierter Leitfaden, der konkrete Implementierungsdetails unter Verwendung kommerziell verfügbarer Produkte zur Erreichung dieser Sicherheitsziele liefert.

Können kleine kommunale Wasserversorger mit begrenztem Budget diese Architekturen implementieren?

Ja. Der Leitfaden enthält skalierbare Designs, einschließlich Proxy-basierter Zero Trust-Architekturen. Diese Modelle ermöglichen es kleineren Versorgungsunternehmen, sicheren Fernzugriff über Cloud-verwaltete Tools bereitzustellen und so den Bedarf an kostspieliger, lokaler Sicherheitsinfrastruktur zu minimieren.

Warum wird klassischer VPN-Zugriff für OT-Umgebungen nicht mehr empfohlen?

Klassische VPNs gewähren nach erfolgreicher Authentifizierung in der Regel einen weitreichenden Zugriff auf der Netzwerkebene. Wenn ein Angreifer oder ein kompromittiertes Gerät eines Dienstleisters Zugriff über ein Standard-VPN erhält, kann er sich häufig lateral im internen Netzwerk bewegen, um kritische PLCs und SCADA-Steuerungen anzugreifen. SP 1800-45 empfiehlt stattdessen identitätszentrierte, sitzungsisolierte Proxies.

Wie unterstützt diese Publikation die Einhaltung der ISA/IEC 62443?

SP 1800-45 orientiert sich direkt an den Architekturprinzipien der ISA/IEC 62443, indem verifizierte Konzepte für „Zones and Conduits“ etabliert werden. Der Leitfaden zeigt auf, wie kritische Prozesszonen effektiv isoliert und die Kommunikationskanäle, die sie mit der Außenwelt verbinden, sicher gesteuert werden können.

Zusätzliche Ressourcen

• ICS Ransomware Defense Playbook: https://shieldworkz.com/regulatory-playbooks/ics-ransomware-defense-playbook-ot-ics-cybersecurity-guide

• IEC 62443-Based Zoning Implementation and Validation Checklist: https://shieldworkz.com/regulatory-playbooks/iec-62443-based-zoning-implementation-and-validation-checklist

• Incident Response Plan for OT/ICS - A Practical Template to Build Resilience: https://shieldworkz.com/regulatory-playbooks/incident-response-plan-for-ot-icsa-practical-template-to-build-resilience

• Facility Cybersecurity Plan & Checklist: https://shieldworkz.com/regulatory-playbooks/facility-cybersecurity-plan-checklist

• Defense Cybersecurity Comprehensive Standards Checklist: https://shieldworkz.com/regulatory-playbooks/defense-cybersecurity-comprehensive-standards-checklist