Der Bundesstaat New York weitet seine Sicherheitsanstrengungen für kritische Infrastruktur deutlich aus: Über 9 Millionen US-Dollar sollen dabei helfen, 153 Trink- und Abwasseranlagen besser gegen Cyberangriffe abzusichern. Die Förderung läuft über das Programm SECURE und zielt sowohl auf systematische Prüfungen als auch auf die Umsetzung konkreter Verbesserungen.
Damit will der Staat vor allem die Betreiber dabei unterstützen, neue Mindestanforderungen an den Cybersecurity-Schutz einzuhalten, die seit März eingeführt wurden. Parallel zu den Geldern erhalten die Empfänger auch kostenfreie technische Unterstützung durch die New York State Environmental Facilities Corporation (EFC).
Was die Cybersecurity Förderung Wasser konkret unterstützt
Im Rahmen der Cybersecurity Förderung Wasser sollen die Gelder unterschiedliche Bausteine abdecken. Vorgesehen sind zunächst Cybersecurity-Assessments, also strukturierte Bewertungen der aktuellen Sicherheitslage. Auf Basis dieser Ergebnisse folgen dann Implementierungen von Security-Verbesserungen in den jeweiligen lokalen Versorgern.
Wichtig ist: Die Förderung ist nicht nur auf einmalige Analysen beschränkt. New York setzt erkennbar auf einen durchgehenden Prozess – von der Bestandsaufnahme bis zur praktischen Nachrüstung.
Neue Mindeststandards für Betreiber in New York
Die Initiative hängt direkt mit gesetzlichen und regulatorischen Vorgaben zusammen. Der Staat macht deutlich, dass die Finanzierung helfen soll, Mindestanforderungen umzusetzen, die im März eingeführt wurden.
Dazu zählen unter anderem:
- Pflichtschulungen im Bereich Cybersecurity für zertifizierte Betreiber
- Meldepflichten bei Vorfällen und relevanten Ereignissen
- Risikobasierte Schutzmaßnahmen für kritische Abläufe sowie für sensible Informationen
- Die Benennung einer verantwortlichen Cybersecurity-Funktion in größeren Trinkwassersystemen
Gerade die Kombination aus Trainings, klaren Prozessen für Vorfallmeldungen und risikoorientierten technischen Maßnahmen soll den Schutz insgesamt stärken – nicht nur einzelne Systeme.
So war die Förderung im SECURE-Programm ursprünglich angelegt
Als das SECURE-Programm gestartet ist, nannte New York klare Größenordnungen. Demnach konnten Versorgungsunternehmen bis zu 50.000 US-Dollar für Cybersecurity-Assessments erhalten und bis zu 100.000 US-Dollar für die Umsetzung von Security-Updates.
Mit den nun angekündigten Mitteln steht offenbar erneut ein breiter Ausbau im Fokus: Die Zahl von 153 geförderten Anlagen zeigt, dass viele lokale Akteure adressiert werden.
Warum der Staat jetzt handelt: Angriffe auf Wassersysteme
Bei der Bekanntgabe verwies Gouverneurin Kathy Hochul darauf, dass Bedrohungen real seien und sich weiter zuspitzen. Hintergrund sind unter anderem Cyberangriffe, die in mehreren Staaten bereits Wasser- und Abwasseranlagen betroffen haben.
Zusätzlich kommt die Entscheidung in zeitlichem Zusammenhang mit einer koordinierten Cyberkampagne, die sich offenbar gegen Operational-Technology-Systeme richtete. Solche Systeme steuern typische Abläufe in Industrie- und Versorgungsumgebungen – vom Betrieb einzelner Anlagen bis hin zur Prozesssteuerung.
Beobachtete Auswirkungen und erste Gegenmaßnahmen
In den Berichten zu früheren Vorfällen wird beschrieben, dass es je nach Einrichtung zu Störungen bei automatisierten Kontrollfunktionen kommen kann. Dennoch konnten viele Anlagen den Betrieb in der Regel über Fallback- oder Notfallverfahren aufrechterhalten.
Einzelne Meldungen illustrieren, wie unterschiedlich die Auswirkungen ausfallen können: So wurde etwa berichtet, dass eine Stadt ihren Wasserbetrieb zeitweise offline nahm, nachdem Angreifer Betriebskontrollen außer Kraft gesetzt hatten. Andere betroffene Kommunen gaben dagegen an, dass das Trinkwasser weiterhin als sicher bewertet wurde und Dienstleistungen weiterliefen.
Unabhängig vom konkreten Einzelfall zeigt sich das Muster: Sobald Steuer- und Kontrollfunktionen kompromittiert werden, steigt der Druck auf schnelle Erkennung, saubere Abläufe und technisch wie organisatorisch robuste Schutzmaßnahmen.
Angriffsraum weit über einen Bundesstaat hinaus
Im Nachgang wurde die Kampagne laut Berichten in mindestens sieben Bundesstaaten mit Wasserinfrastruktur in Verbindung gebracht. Michigan bestätigte dabei eine böswillige Aktivität in einigen wenigen Gemeinden, während Rapid City in South Dakota einen Vorfall an einer Abwasserhebeanlage meldete. Auch Georgia wurde Berichten zufolge in die Liste der betroffenen Staaten eingeordnet.
Für New York selbst gibt es in der öffentlichen Darstellung bislang keine direkte Verknüpfung: Keine New-York-Einrichtung sei öffentlich mit der Kampagne in Verbindung gebracht worden.
Hinweise auf mögliche Akteure und Einschätzung der Lage
Auch wenn Bundesermittler die Angriffe nicht offiziell einer bestimmten Gruppe zuschrieben, wird eine mögliche Urheberschaft diskutiert. In diesem Kontext gilt Iran in Berichten als führender Verdacht, weil die Aktivität angeblich Ähnlichkeiten zu früheren Kampagnen aufweist, die mit bekannten Akteuren verknüpft wurden und insbesondere Industrial-Control-Umgebungen sowie Wasser-Utilitys anvisieren.
Wichtig ist: Solche Einschätzungen sind in der Regel vorläufig. Entscheidend bleibt in jedem Fall, wie Betreiber ihre Umgebungen kurzfristig härten können.
Empfehlungen der US-Behörde: OT aus dem Internet bringen
Als Reaktion auf die Vorfälle richtete die US Cybersecurity and Infrastructure Security Agency (CISA) klare Empfehlungen an Betreiber von Wasser- und Abwasseranlagen. Besonders prominent war der Hinweis, öffentlich erreichbare Steuerungs- und Automatisierungstechnik – etwa programmierbare Logiksteuerungen (PLCs) und weitere Operational-Technology-Komponenten – aus dem Internet zu entfernen.
Darüber hinaus empfahl die Behörde:
- Standardpasswörter durch sichere Passwörter ersetzen
- Notwendigen Fernzugriff über gesicherte Gateways oder virtuelle private Netze (VPNs) abwickeln
- Verbindungen auf vertrauenswürdige IP-Adressen beschränken
Diese Maßnahmen sind in der Praxis oft schnelle Hebel, um die Angriffsfläche zu reduzieren – besonders dann, wenn Systeme zuvor direkt erreichbar oder schlecht segmentiert waren.
Einbettung in größere Investitionen für Wasserinfrastruktur
Die 9 Millionen US-Dollar sind laut Ankündigung getrennt von einem deutlich größeren Paket: Im Haushalt für das Fiskaljahr 2027 ist eine fünfjährige Investition von 3,8 Milliarden US-Dollar für saubere Wasserinfrastruktur vorgesehen.
Der Staat betont, dass dadurch die Summe der Förderungen für Wasserinfrastruktur seit 2017 auf mehr als 10 Milliarden US-Dollar steigen werde. Die Cybersecurity-Förderung wirkt damit wie ein ergänzender Sicherheitsbaustein neben der technischen Erneuerung und Modernisierung.
Was Betreiber jetzt aus der Cybersecurity Förderung Wasser mitnehmen können
Für lokale Versorger ist die Botschaft klar: Cybersecurity ist kein „späteres Thema“. Die Kombination aus Assessments, umsetzbaren Upgrades und fachlicher Unterstützung soll helfen, in kurzer Zeit den Anschluss an neue Mindestanforderungen zu finden.
Zugleich macht der Blick auf frühere Vorfälle deutlich, wie wichtig das Zusammenspiel aus technischen Schutzmaßnahmen und klaren organisatorischen Abläufen ist – von Schulungen über Vorfallprozesse bis hin zur verantwortlichen Rolle innerhalb größerer Systeme.
Wenn Sie als Betreiber eines Trink- oder Abwassersystems betroffen sind, lohnt sich daher ein strukturierter Start: erst die Sicherheitslage bewerten, dann konkrete Verbesserungen priorisieren und schließlich den Fernzugriff sowie die Erreichbarkeit von Steuerungskomponenten konsequent prüfen.
Fazit: Mit der angekündigten Förderung setzt New York auf eine breit angelegte Stärkung der Cybersecurity für kritische Wasserinfrastruktur. Die Mittel für 153 Einrichtungen sollen helfen, Mindeststandards umzusetzen, Sicherheitslücken durch Assessments sichtbar zu machen und Verbesserungen nachweisbar zu realisieren – während Empfehlungen zur OT-Sicherheit den Rahmen für sofortige Risikoreduktion liefern.
