Cybersicherheit bei Abwasserbetrieben

Noch vor wenigen Jahren konnte die Zukunft in sogenannten «Future-Häusern» bestaunt werden. Diese zeichneten sich durch die Vernetzung der Haustechnik und den darin verbauten Haushaltsgeräten aus. Rollläden, Heizung, Licht, alles konnte dank Vernetzung und mobiler Steuergeräte von jedem Punkt im Haus aus gesteuert werden. In Wohnhäusern hat sich diese Technologie noch nicht durchgesetzt. In Kläranlagen sind ähnliche Technologien heute meistens Stand der Technik: Sie werden zur Überwachung und Steuerung von Produktionsprozessen eingesetzt. Die Kläranlagenverantwortlichen sind heute in der Lage, die gesamten Anlagenteile von zu Hause oder ab einem anderen Ort aus zu steuern.

Ein Klick aufs Tablet und die Schneckenpumpe des Einlaufhebewerks ist gestoppt. Ein anderer Klick und ein Regenbecken wird entleert. Heutzutage geht alles ganz einfach und es läuft immer perfekt. Immer?
Neue Möglichkeiten bergen immer auch neue Risiken. Besteht ein Fernzugriff auf eine Anlage, um den Mitarbeitenden die Arbeit von überall aus der Welt zu ermöglichen, bedingt dies, dass auch Angreifer von überall aus der Welt versuchen können, diesen Fernzugriff zu missbrauchen.
IKT-Systeme (Informations- und Kommunikations-Technologie, z. B. Steuerungen, PC, Drucker usw.) sind nie zu 100% sicher. Cybersicherheit hat deswegen nicht zum Ziel, eine Anlage zu 100% sicher zu machen, da dies nicht möglich ist. Vielmehr geht es darum, die Risiken der eingesetzten Betriebsmittel und Technologien zu kennen und diese auf ein für den Betrieb verantwortbares Niveau zu senken (z. B. mit Schutz-Technologien wie Anti-Virus, Firewall usw.).
In traditionellen IT-Umgebungen (z. B. Büro) sind diese Risiken oft nur auf Daten bezogen. Geschäfts-Strategie, geistiges Eigentum, Kundendaten usw. müssen vor Zerstörung, Diebstahl und Manipulation ausreichend geschützt sein. Durch die in den letzten Jahren erfolgte Automatisation und Vernetzung der Kläranlagen (OT-Umgebung) beschränken sich diese Risiken heute leider nicht mehr rein auf die digitale Welt der IT-Umgebung.
Hacker-Angriffe haben zunehmend physische Auswirkungen [1], deren Konsequenzen oft nicht nur finanzieller Natur sind. Entsprechend muss der Betreiber von Kläranlagen die Risikoanalyse anpassen, um die physischen und digitalen Konsequenzen eines Ausfalls oder einer Störung von IKT-Betriebsmitteln möglichst zu verhindern.

SICHERHEIT: DER UMGANG MIT RISIKEN

Wir fühlen uns sicher, wenn es keine für uns unvertretbaren Risiken mehr gibt. Doch wie kann man feststellen, welche Risiken existieren und wie man mit unvertretbaren Risiken umgeht?

Risiken

Für den Begriff Risiko gibt es verschiedene Definitionen. Die bekannteste dürfte die Gleichung «Risiko = Eintretenswahrscheinlichkeit mal Schadenhöhe» sein. Leider ist diese Formel in der Praxis kaum anwendbar: Die Schadenhöhe lässt sich zwar in einigen Fällen berechnen, jedoch unterscheidet sich die Eintretenswahrscheinlichkeit je nach Anlage und ist aufgrund der geringen Anzahl Erfahrungswerte individuell zu bestimmen.
In der Cybersicherheit werden Risiken daher mit einer, auf den ersten Blick, komplizierteren Methode ermittelt. Dabei definiert sich das Risiko aus einem für den Betriebsprozess – hinsichtlich Informationsverarbeitung – wichtigen Wert und einem Gefahrenszenario, welches auf diesen Wert einwirkt.
Das Gefahrenszenario wird aus Bedrohung und Verwundbarkeit abgeleitet. Existiert für eine Bedrohung keine Verwundbarkeit auf der Anlage, ergibt sich daraus auch kein Gefahrenszenario.
Die Höhe des Risikos wird durch den Wert und das Gefahrenszenario beeinflusst. Mittels entsprechender Massnahmen lässt sich die Auswirkung auf ein für die Kläranlage akzeptables Mass reduzieren.

Risikoidentifikation

Zur Risikoidentifikation bei Kläranlagen können Analysen verschiedener Bundesämter zur kritischen Infrastruktur und zu Industriesteuerungen herangezogen werden. Das Bundesamt für Bevölkerungsschutz schätzt in seinem Factsheet zum kritischen Teilsektor Abwasser [2] die Auswirkung einer Störung, den Ausfall oder die Zerstörung der Abwasserentsorgung als «gross» ein und sieht Folgen für die Bevölkerung, die Wirtschaft sowie andere kritische Infrastrukturen. Cyberrisiken können zu einer Störung oder zum Ausfall der Anlage führen und müssen identifiziert und nach Möglichkeit minimiert werden.
Der erste Schritt der Risikoidentifikation liegt darin, zu erkennen, welche Prozesse durch Cybervorfälle verwundbar sind.

Verwundbarkeit in Prozessen der Abwasserreinigung 

Das Bundesamt für wirtschaftliche Landesversorgung BWL hat im Rahmen der nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) die Verwundbarkeit von Abwasserreinigungsprozessen beurteilt [3]. Es hat die Prozess­phasen Rechenanlage, Öl- und Sandfang, Vorklärung, biologische Reinigung und Filtration sowie die übergreifenden Kommunikations- und Steuerungsprozesse betrachtet und kam zum Schluss, dass die Steuerungsprozesse am verwundbarsten sind. Anhand einer Bedrohungsanalyse lässt sich nun klären, welche Gefahren­szenarien auf der Anlage bestehen.

Bedrohung für Kläranlagensteuerungen 

Ein Katalog mit Bedrohungen für Industriesteuerungen liefert das deutsche Bundesamt für Sicherheit in der Informationstechnik. Diese lassen sich problemlos auf Steuerungen in Kläranlagen übertragen. Es sieht folgende Bedrohungen als relevant an [4]:
– Einschleusen von Schadsoftware über Wechseldatenträger und externe Hardware
– Infektion mit Schadsoftware über Internet und Intranet
– Kompromittierung von Extranet und Cloud-Komponenten
– Social Engineering und Phishing
– (D)DoS-Angriffe (Angriff auf die Sys-temerreichbarkeit über das Internet)
– Internetverbundene Steuerungskomponenten
– Einbruch über Fernwartungszugänge
– technisches Fehlverhalten und höhere Gewalt
– Kompromittierung von Smartphones im Produktionsumfeld

Werden z. B. auf einer Kläranlage keine USB-Sticks oder andere Wechseldatenträger genutzt, besteht diese Bedrohung nicht, es gibt also auch kein gültiges Gefahrenszenario. Ist die Nutzung aber erlaubt und technisch möglich, gilt es abzuschätzen, wie durch deren Nutzung Schadsoftware eingeschleust werden könnte. Dies hängt stark von den mit USB-Sticks ausgeführten Datenübertragungen ab und ist daher anlagenspezifisch. Bei andern Bedrohungsszenarien wie Drittzugriffen usw. sind die Fragestellungen ähnlich.
Natürlich ist obige Liste nicht abschliessend. Anhand des Inventars der zu schützenden Werte lassen sich allenfalls weitere Bedrohungen mit der Frage «Was kann passieren, wenn ich XY damit anstelle?» individuell für jede Anlage ermitteln. Hier hilft es, sich in mögliche Täter hineinzuversetzen, oder einen Cybersicherheits-Experten beizuziehen, der diese Rolle übernimmt.

Risikobewältigung

Am Beispiel Strassenverkehr lässt sich anschaulich aufzeigen, wie Risiken vermieden oder bewältigt werden können:
– Indem die Strasse für bestimmte Verkehrsteilnehmer gesperrt wird.
– Sie lassen sich reduzieren, etwa durch das Tragen heller Kleidung.
– Sie lassen sich übertragen, beispielsweise an eine Unfallversicherung.
– Man kann ein Risiko tragen – durch bewusste Entscheidung wird es als vertretbares Risiko betrachtet und eingegangen.

Dieses Vorgehen lässt sich auch auf Kläranlagen übertragen. Die Bewältigungsstrategie richtet sich oft nach der Höhe des zu schützenden Wertes (beispielsweise Prozess, Objekt oder Anlageteil) und den Kosten, welche für Schutzmassnahmen anfallen. Schutzmassnahmen, die teurer als der zu schützende Wert sind, sind wirtschaftlich nicht sinnvoll. Allerdings können trotzdem Massnahmen, beispielsweise aufgrund gesetzlicher Vorgaben, notwendig sein.

VERANTWORTLICHKEITEN

Wer ist für die Cybersicherheit und das Risikomanagement verantwortlich? Die Verantwortlichkeiten lassen sich aus dem Modell der drei Verteidigungslinien (bekannt als: three lines of defense model) ableiten. Dieses Modell ist oft in grossen Unternehmen anzutreffen, es lässt sich aber auch auf Kläranlagen und kleinste Organisationen trans-
formieren.
Die erste Verteidigungslinie bilden die Betriebsprozesse. Die Prozesse sollten so gestaltet und umsetzbar sein, dass möglichst wenige Risiken entstehen. Die zweite Verteidigungslinie bildet das Risikomanagement-System, das neue Risiken erkennt und einschätzt und nicht tragbare Risiken mittels entsprechender Massnahmen vermeidet. Die dritte Verteidigungslinie bildet die objektiven Prüfungen, welche die Wirksamkeit der Risikomanagementmethode und der eingesetzten Massnahmen überwachen.
Die zweite und dritte Verteidigungslinie gibt dem Betreiber Auskunft über die Risikolage und die Wirksamkeitsnachweise ermöglichen ihm seine Verantwortung wahrzunehmen. Alle drei Verteidigungslinien sind notwendig, damit die Anlagenverantwortlichen auf Änderungen an der Risikolage angemessen reagieren können. In Kläranlagen werden diese drei Verteidigungslinien oft direkt durch die Betriebsleitung wahrgenommen.

Verantwortung des Betreibers

Die Gewässerschutzverordnung (GSchV) [5] verordnet in Art. 16 und 17 Massnahmen im Hinblick auf ausserordentliche Ereignisse: «Die Inhaber von Abwasserreinigungsanlagen, die Abwasser in ein Gewässer einleiten, und die Inhaber von Betrieben, die Industrieabwasser in eine Abwasserreinigungsanlage ableiten, müssen zur Verminderung des Risikos einer Gewässerverunreinigung durch ausserordentliche Ereignisse die geeigneten und wirtschaftlich tragbaren Massnahmen treffen.»
Da ausserordentliche Ereignisse auch aufgrund von Cyberrisiken entstehen können, ist klar, dass diese vom Betreiber beachtet werden müssen. Dieser muss definieren, wie der Betrieb mit Cyberrisiken umgehen soll. Er muss auch nachweisen können, dass er den Umgang mit Risiken angemessen überwacht. Typischerweise regelt er den erwarteten Umgang mit Cyberrisken mittels Schulung der Mitarbeitenden und in den Verträgen mit Dienstleistern, Dritten und Lieferanten.
Dazu legt er fest, welche Tätigkeiten im Riskmanagement von wem durchgeführt werden und unter welchen Bedingungen Risiken nicht mehr tragbar sind. Zusätzlich legt er minimale Verhaltensweisen und Massnahmen zum Schutz der Betriebsprozesse fest.
Der Kläranlagenbetreiber darf Aufgaben an die Betriebsleitung delegieren. Der IKT-Minimalstandard Abwasser hilft dem Betriebsleiter die Organisation wie die Basis für den Ablauf der Beurteilung des Cyberrisikos anzugehen [6]. Für die weiteren Schritte kann er einen unabhängigen Cybersicherheits-Experten beiziehen.

Verantwortung der Betriebsleitung 

Welche Aufgaben die Betriebsleitung übernimmt, muss für jede Kläranlage und von jedem Betreiber definiert werden. Typischerweise sind dies die Identifikation und Beurteilung von Risiken und die Überwachung der Sicherheitsmassnahmen. Die Betriebsleitung berichtet dem Betreiber periodisch, wie die Aufgaben ausgeführt werden, welche Risiken aktuell bestehen und wie der Stand der Massnahmenumsetzung ist.
In der Rolle des Vorgesetzten gewährleistet die Betriebsleitung die Cybersicherheit durch Umsetzung und Kontrolle von Massnahmen und ein der Cybersicherheit zuträgliches Arbeitsklima. Dieses sollte sich auch durch einen offenen Umgang mit Risiken und Fehlern und angemessener Arbeitszeit zum überlegten Handeln auszeichnen.
Die Gesamtverantwortung ist nicht delegierbar, sie verbleibt beim Betreiber.

Verantwortung der Mitarbeitenden 

Die Mitarbeitenden haben eine wichtige Rolle, um die Cybersicherheit zu gewährleisten. Sie arbeiten gewissenhaft und schützen die bearbeiteten Daten und Informationen gemäss den Vorgaben. Ausserdem unterstützen sie ihre Kollegen und melden Unregelmässigkeiten, Vorkommnisse und Missgeschicke. Die Aufrechterhaltung eines solchen gewissenhaften Arbeitsklimas ist das Fundament einer guten Cybersicherheit.

Verantwortung Dritter bei Fernzugriff 

Lieferanten und Dienstleister oder Gemeindemitarbeitende von OT- und IT-Systemen oder vernetzten Komponenten, wie z. B. Regenbecken, verfügen teilweise über Fernzugriffsmöglichkeiten, um Systeme zu optimieren oder Fehler zu beheben oder zur reinen visuellen Übersicht. Diese privilegierten Zugriffsmöglichkeiten nutzen Angreifer vermehrt, um über deren Netzwerke und Computer Zugriff auf die Systeme der Kläranlage zu erlangen [7]. Deswegen ist es für die Cybersicherheit zentral, dass die zugriffsberechtigten Personen sich ihrer Mitverantwortung bezüglich der Sicherheit ihrer Kunden bewusst sind und diese wahrnehmen. Der Kläranlagenbetreiber lässt im optimalen Fall keine Drittzugriffe zu oder regelt den Fernzugriff Dritter vertraglich und beschränkt diese mit geeigneten Massnahmen.