Millionen für mehr Cybersicherheit?

Kritische Infrastruktur Ein Bürgermeister nennt Kosten, die nach einer Prüfung des Bundesamts für Sicherheit in der Informationstechnik auf den Wasserversorger NOW zukommen – und wohl auf die Verbraucher.

Wenn eine Information von einem Bürgermeister in einer öffentlichen Gemeinderatssitzung bekannt gegeben wird, dann ist das wohl die amtlichste und öffentlichste Informationsquelle, die man sich nur vorstellen kann. Und wenn es um hohe Kosten geht, die auf die Gemeinde aus externen Verpflichtungen zukommen, dann besteht ein hohes öffentliches Interesse, denn am Ende kommen die Bürger für diese Kosten auf.

Regelmäßige Prüfungen

Die IT-Prozesse der NOW, dem Zweckverband Wasserversorgung Nordostwürttemberg, der viele Kommunen im Landkreis Schwäbisch Hall, Hohenlohekreis, Rems-Murr-Kreis und Main-Tauber-Kreis seit Jahren mit qualitativ hochwertigem Trinkwasser versorgt, seien demgemäß vom Bundesamt für Sicherheit in der Informationstechnik (BSI) geprüft worden. So hieß es in der öffentlichen Sitzung. Das wird von der NOW mit Sitz in Crailsheim auf Anfrage unserer Zeitung implizit bestätigt: „Es fand keine Prüfung durch das BSI statt. Standardmäßig finden regelmäßig Audits statt. Im letzten Audit, im Jahr 2025, gab es keine Beanstandungen.“ Ein Audit ist nichts anderes als eine systematische Prüfung von Prozessen im Hinblick auf Vorgaben.

Wasserversorgung sichern

Das BSI prüft präventiv die Cybersicherheit von Einrichtungen der kritischen Infrastruktur – dazu gehört die Trinkwasserversorgung – regelmäßig oder bei konkretem Anlass. Es ist nachvollziehbar, dass die Beteiligten keine detaillierten Informationen über interne Vorgänge herausgeben. „Kritische Infrastruktur ist nun mal kritisch“, betont ein Sprecher des BSI.

Beim BSI heißt es aber auch: „Die Lage der IT-Sicherheit in Deutschland war und ist besorgniserregend“, zuletzt im Rahmen des Jahresberichts 2024. Dieser Bericht benennt auch einen Vorfall aus den USA, wo schwache IT-Sicherheit Zugriff auf bestimmte Wasseraufbereitungsanlagen erlaubte.

„Wenden Sie sich an die NOW“

Ist man spitzfindig, geht aus der Formulierung der Antwort der NOW nicht hervor, ob 2025 ein standardmäßiger oder ein anlassbezogener Audit durchgeführt wurde. Sowohl das BSI als auch die NOW wollen sich über Inhalte und Anlass des Audits nicht äußern.

Stefan Neumann, Bürgermeister von Künzelsau und NOW-Verbandsvorsitzender, hat im Zusammenhang mit einem anonymen Brief, der den NOW-Geschäftsführer Dr. Jochen Damm belastete, Strafanzeige wegen Verstößen gegen das BDSG (Bundesdatenschutzgesetz) und wegen unberechtigter Weitergabe von Geschäftsgeheimnissen erstattet. Die konkrete Frage, ob diese Verstöße die Prüfung, auch Audit genannt, auslösten, wurde nicht beantwortet.

Dass die Kosten, von denen der Bürgermeister spricht, aufgrund der Umsetzung der sogenannten NIS-2-Richtlinie (Netzwerk- und Informationssicherheit) der EU in deutsches Recht entstehen, ist unwahrscheinlich, denn die Wasserversorgung gehörte bereits in den Bereich der kritischen Infrastruktur. NIS-2 erweitert die Kompetenzen des BSI, wenn das Gesetz wie geplant noch in diesem Jahr in Kraft treten wird, auf weitere etwa 30.000 Betriebe.

Mindestens ebenso spannend wie die Aussagen von BSI und NOW sind die Antworten von NOW-Mitgliedskommunen auf die Frage, ob ihnen bekannt ist, dass möglicherweise Kosten auf die Gemeinde zukommen und wie hoch diese Kosten sein könnten: Es gibt keine Antworten.

Aus Gaildorf heißt es: „Uns liegen noch keine Informationen, zu dem von Ihnen genannten Sachverhalt vor und können daher auch nicht mögliche Folgen abschätzen.“ Die Antwort aus Schwäbisch Hall: „Wir haben hierzu keine Informationen. Bitte wenden Sie sich an das BSI beziehungsweise NOW direkt.“ Nahezu wortgleich die Antwort aus Bad Mergentheim: „Über einen solchen Vorgang ist uns nichts bekannt, bitte wenden Sie sich direkt an die NOW.“

Eine Mauer des Schweigens

Die Gleichartigkeit der Antworten erscheint wie eine Mauer des Schweigens. Selbst aus Künzelsau schreibt man: „Der Zweckverband Wasserversorgung Nordwürttemberg (NOW) ist Teil der kritischen Infrastruktur und deshalb verpflichtet, Standards zu überprüfen und regelmäßig nachzuschärfen. Für weitergehende Informationen bitten wir Sie, sich mit der NOW in Verbindung zu setzen“ – und das wohlgemerkt zu einem Zeitpunkt, an dem die NOW, der der Künzelsauer Bürgermeister Stefan Neumann vorsteht, bereits wie zitiert geantwortet hatte. Bürgermeister Joachim Scholz aus Schöntal sieht schlicht „keinerlei Notwendigkeit“, die Fragen zu beantworten. Aus einigen Mitgliedskommunen der NOW wird gar nicht geantwortet. Ein Bürgermeister leitet die Anfrage direkt an Stefan Neumann weiter, da er selbst keine Kenntnis hat.

Nicht unmittelbar betroffen fühlt sich beispielsweise Gera­bronns Bürgermeister Christian Mauch: Seine Kommune ist der Hohenloher Wasserversorgungsgruppe (HWG) angeschlossen – jedoch ist auch die HWG, wie 15 weitere Zweckverbände, Mitglied der NOW.

50.000 Euro Kosten

Waldenburgs Bürgermeister Bernd Herzog bestätigt jedenfalls im Nachgang, was er in der Gemeinderatssitzung vom 24. September bekannt gegeben hat: Ja, er weiß von einer Prüfung. Und auf die rund 3000 Einwohner seines Städtchens könnten Kosten von 50.000 Euro zukommen. Er rechnet nicht damit, dass er diese durch Fördermittel kompensieren kann. Eine kurze Hochrechnung lässt bei 50 Kommunen, 16 Zweckverbänden und fünf Stadtwerken im Bereich der NOW Kosten in Millionenhöhe befürchten – zu finanzieren letztlich wohl über den Wasserzins.