Die Region um Tampa in Florida ist knapp an einer Katastrophe vorbeigeschrammt. Unbekannte Hacker haben sich ins System einer Trinkwasser-Aufbereitungsanlage eingeloggt und den Anteil von Natriumhydroxid im Wasser mehr als verhundertfacht. Zum Glück hat ein Mitarbeiter des Werkes den Angriff rechtzeitig bemerkt.
Der Angriff geschah in Oldsmar, einer Stadt mit gegen 15’000 Einwohnern in der Nähe von Tampa. Wie Sheriff Bob Gualtieri berichtete, hatten die Hacker den Gehalt der Chemikalie von 100 Teilen pro Million auf 11’100 Teile erhöht. «Das ist eine signifikante und potenziell gefährliche Erhöhung», sagte Gualtieri. Denn in grossen Mengen kann die Chemikalie zu Verätzungen führen.
Hacker drangen zuerst zum Üben ein
Die Hacker drangen vergangenen Freitag – wohl zum Auskundschaften – zuerst um 8 Uhr kurz ins System ein und verliessen es wieder. Um 13.30 Uhr erfolgte der eigentliche Angriff, der nur gerade drei bis fünf Minuten dauerte. Ein Angestellter beobachtete auf seinem Monitor, wie sich plötzlich der Cursor von alleine bewegte und, wie von Geisterhand gesteuert, mehrere Programme der Wasseraufbereitung öffnete.
Umgehend senkte der Mitarbeiter den Anteil der Chemikalie wieder. Das verhinderte Schlimmes.
Wer hinter dem Hackerangriff steckt, ist unbekannt. Auch weiss man noch nicht, ob er aus dem In- oder Ausland stammte.
Natriumhydroxid wird zur Kontrolle des Säuregehalts des Wassers und zur Entfernung von Metallen aus dem Trinkwasser in einer Wasseraufbereitungsanlage verwendet. Auch wenn die Änderung nicht sofort bemerkt worden wäre, hätte es zwischen 24 und 36 Stunden gedauert, bis das aufbereitete Wasser ins Versorgungssystem gelangt wäre. Der Fall wird nun unter anderem von der Bundespolizei FBI untersucht.
Hackerangriffe in Ebikon LU
Auch in der Schweiz wurden schon Hackerangriffe auf die Trinkwasserversorgung verübt, wie Christos Bräunle, Kommunikationschef des Schweizerischen Vereins des Gas- und Wasserfaches (SVGW), gegenüber BLICK bestätigt. Bekannt ist der Fall von Ebikon LU 2018, als aus London und Korea mehrere Tausend bösartige Anfragen abgeschickt wurden. Das IT-System konnte die Angriffe jedoch abwehren.
Kaum Gefahr besteht in der Schweiz durch physische Angriffe auf Trinkwasser. Bräunle ist ein einziger Fall bekannt, als 2005 vermutlich ein Bauer aus dem Raum Ravensburg die Wasserversorgung zu erpressen versuchte. Bräunle: «Im Bodensee wurden in 60 Metern Tiefe zwei geöffnete Atrazin-Kanister mit je fünf Litern des Pflanzenschutzmittels entdeckt. Glücklicherweise hatte der Anschlag wegen der hohen Verdünnung des Atrazins mit dem Seewasser keine Auswirkungen auf die Trinkwasserqualität.»
Neue Sicherheitsstandards
Wegen der zunehmenden Digitalisierung hat die SVGW zusammen mit dem Bundesamt für wirtschaftliche Landesversorgung erst Ende 2020 einen Minimalstandard für die Sicherheit bei der Wasserversorgung erarbeitet. Das Dokument erlaubt es Wasserversorgern jeder Grösse, selbständig Cyber-Risiken anhand eines einheitlichen Branchen-Standards einzuschätzen und ihr Schutzniveau entsprechend ihrer Ressourcen, Risikobeurteilung und Versorgungsrelevanz anzupassen.
Die Herausgeber halten fest: «Ein grossflächiger Ausfall der Wasserversorgung durch Cyber-Angriffe hätte verheerende Konsequenzen für die betroffenen Bevölkerungsteile und die Wirtschaft.»
In den USA beobachtet man in den vergangenen Jahren einen Anstieg von Hackerangriffen vor allem auf kleine Firmen. Es scheint, als ob sich die Cyberkriminellen hier mit dem Ablauf der Systeme bekannt machen. Ihr Ziel könnte sein, zu einem späteren Zeitpunkt ein grösseres System anzugreifen, es zu manipulieren oder Lösegeld zu erpressen.