Bis vor Kurzem beruhte die Sicherheit der Wasserversorgung weitgehend auf dem Prinzip der Isolierung. Prozesssteuerungssysteme bestanden jahrzehntelang aus einer Reihe voneinander getrennter Systeme und Anwendungen, die weder mit anderen Computern noch mit dem Internet verbunden waren, sodass ein Eindringen von Cyberkriminellen von außen kaum möglich war.
In den letzten 20 Jahren haben Anbieter kritischer Infrastrukturen – einschließlich Wasser- und Abwassereinrichtungen – ihre Anlagen und Verteilungsnetze modernisiert und dabei IT-Ressourcen mit Betriebstechnologie (OT) und industriellen Steuerungssystemen (ICS) zusammengeführt. Die miteinander verbundenen Bereiche verfügen über vereinheitlichte Informations- und Steuerungsnetzwerke, die Vorteile wie zentralisiertes Management und Einblicke in die OT-Produktion und -Leistung bieten.
Auf der anderen Seite dauerte es nicht lange, bis Cyberkriminelle entdeckten, dass sie auf OT- und ICS-Netzwerke zugreifen können, indem sie sich Zugang zu IT-Systemen mit Internetzugang verschaffen und seitwärts in benachbarte angeschlossene OT-Anlagen eindringen. Damit wurde eine neue Ära der Cyberbedrohungen eingeläutet.
In der Wasser- und Abwasserindustrie sind Bedrohungsakteure in die IT-Systeme eingedrungen, um die Geschäftssysteme zu unterwandern. Noch alarmierender ist, dass Angreifer Geräte beschädigt, Abwässer in ökologisch sensible Gebiete eingeleitet und Ransomware eingeschleust haben, die den Betrieb unterbrochen hat.
Und dann kam die COVID-19-Pandemie. Als aufgrund der Pandemie nicht lebensnotwendige Unternehmen geschlossen wurden und Mitarbeiter begannen, von zu Hause aus zu arbeiten, mussten Unternehmen schnell und oft planlos Umgebungen mit dezentralem Zugriff einrichten. Den neuen Einrichtungen mit dezentralem Zugriff fehlte es oft an grundlegenden Schutzmaßnahmen wie der Multi-Faktor-Authentifizierung oder einem Identitäts- und Zugangsmanagement (IAM). Schnell überfluteten Cyberkriminelle ahnungslose Mitarbeiter im Homeoffice mit Phishing- und Ransomware-Angriffen – oft mit COVID-19-Themen als „Köder“.
