Der KRITIS-Schwellenwert für Wasserversorger zählt versorgte Personen

Am 26. und 27. Juli 2026 traf ein koordinierter Angriff die Betriebstechnik von mehr als 30 kommunalen Wasserversorgern in Minnesota. Einen Verantwortlichen nennt die zuständige Landesbehörde bis heute nicht, und das Gesundheitsministerium des Bundesstaates sah keinen Anlass, an der Nutzung des Trinkwassers etwas zu ändern (Minnesota IT Services, 28. Juli 2026). Eike Kühl hat den Fall am 3. August 2026 unter dem Titel „Cyberangriffe auf US-Wasserversorgung: Hacker in der Wasserleitung“ für DIE ZEIT beschrieben. Wer danach wissen will, wie viele deutsche Werke überhaupt unter einer gesetzlichen IT-Sicherheitspflicht stehen, stößt auf eine Zahl, die aus einer ganz anderen Frage stammt.

Der KRITIS-Schwellenwert für Wasserversorger liegt bei 22 Millionen Kubikmetern im Jahr#

Anhang 2 der BSI-Kritisverordnung setzt für Gewinnung, Aufbereitung, Verteilung und Leitzentrale denselben Wert an: 22 Millionen Kubikmeter im Jahr (BSI-KritisV, Anhang 2 gesetze-im-internet.de ↗). Ausgerechnet ist er aus zwei Faktoren: 44 Kubikmeter Verbrauch je versorgter Person und Jahr, mal 500.000 versorgte Personen. Diese halbe Million steht auch hinter den Schwellen der anderen Sektoren: Anhang 1 rechnet Strom mit 1.815 Kilowattstunden je Person auf rund 908 Gigawattstunden hoch, Gas mit 10.380 Kilowattstunden auf 5.190 Gigawattstunden, Kraftstoff mit 0,84 Tonnen auf 420.000 Tonnen (BSI-KritisV, Anhang 1 gesetze-im-internet.de ↗). Solche Schwellen werden festgelegt, so wie der kritische Pegelstand am Rhein, der eine Norm ist und kein Naturwert¹.

Über der Schwelle stehen 68 Unternehmen, registriert sind 83 Betreiber#

22 Millionen Kubikmeter fördert hierzulande kaum ein Betrieb. Das Statistische Bundesamt zählte für 2022 insgesamt 5.599 Wasserversorger; 4.155 davon gewannen selbst Wasser, aus mehr als 15.200 Anlagen (Destatis, Pressemitteilung Nr. 304 vom 8. August 2024²). Der zugehörige Statistische Bericht gliedert diese 4.155 nach Gewinnungsmenge. In der obersten Klasse, die bei 10 Millionen Kubikmetern beginnt, stehen 68 Unternehmen, 720 liegen zwischen einer und zehn Millionen, 412 unter 10.000 Kubikmetern. Die gesetzliche Schwelle liegt noch mehr als doppelt so hoch wie die Untergrenze dieser obersten Klasse. Das BSI führte zum 30. Juni 2026 im Sektor Wasser 83 registrierte Betreiber mit 182 Anlagen, Trinkwasser und Abwasser darin zusammengefasst.

Seit Dezember 2025 gilt die Pflicht ab 50 Beschäftigten#

Am 6. Dezember 2025 trat das NIS2-Umsetzungsgesetz in Kraft und stellte eine zweite Schwelle daneben. Wichtige Einrichtung ist seither, wer einer Einrichtungsart der Anlage 1 angehört und mindestens 50 Beschäftigte hat oder je über 10 Millionen Euro Umsatz und Bilanzsumme ausweist; ab 250 Beschäftigten oder 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme wird daraus eine besonders wichtige Einrichtung (§ 28 BSIG gesetze-im-internet.de ↗). Anlage 1 führt unter 5.1.1 die Betreiber von Wasserversorgungsanlagen. Die Pflicht greift damit sehr viel weiter herunter, gezählt werden aber wieder Beschäftigte und Euro. Ausgelöst wird die Registrierung nicht von der Behörde: Nach § 33 BSIG hat sie „spätestens drei Monate“ nach dem erstmaligen Zutreffen zu erfolgen, spätere Änderungen „unverzüglich, spätestens jedoch binnen zwei Wochen“.

Die dokumentierten Angriffe liefen über offene Ports und Werkspasswörter#

Wie ein Zugriff auf eine Wasseranlage praktisch zustande kommt, haben FBI, CISA und mehrere weitere Behörden im Dezember 2023 aufgeschrieben. Die kompromittierten Unitronics-Steuerungen waren dem Internet zugewandt, nutzten das Werkspasswort oder gar keines und waren über den Standardport TCP 20256 erreichbar; die Angreifer stellten ihn anschließend auf 20257 um (Advisory AA23-335A ic3.gov ↗). Lange bekannt ist diese Geräteklasse als Angriffsziel: Für speicherprogrammierbare Steuerungen von Rockwell Automation verzeichnet das US-Schwachstellenregister seit dem 3. März 2021 eine Umgehung der Authentifizierung, bewertet mit 9,8 von 10 Punkten (CVE-2021-22681). Vom Netz nehmen lässt sich solche Technik nicht ohne Weiteres, denn kleine Werke überwachen Hochbehälter und Pumpen aus der Ferne. Bei Erzeugungsanlagen ist die Fernsteuerbarkeit sogar Vorschrift und keine Nachlässigkeit³.

Die Kritisverordnung zieht ihre Grenze bei 500.000 versorgten Personen, das BSIG seit Dezember 2025 zusätzlich bei 50 Beschäftigten oder je 10 Millionen Euro Umsatz und Bilanzsumme. Das Advisory nennt für den dokumentierten Zugriff keine Betriebsgröße, sondern den Standardport 20256 und ein Passwort, das seit der Auslieferung niemand geändert hatte. Ein Werk mit 20 Beschäftigten, drei Millionen Kubikmetern Förderung und wenigen Millionen Euro Umsatz liegt unter beiden Schwellen; an einem offenen Port ändert das nichts.

Anlass war Eike Kühls Artikel „Cyberangriffe auf US-Wasserversorgung: Hacker in der Wasserleitung“ für DIE ZEIT vom 3. August 2026. Der Schwellenwert und seine Herleitung stammen aus Anhang 2 gesetze-im-internet.de ↗ und Anhang 1 der BSI-KritisV gesetze-im-internet.de ↗, die Branchenzahlen aus der Pressemitteilung Nr. 304 vom 8. August 2024 destatis.de ↗ und die Größenverteilung aus Tabelle 32211-02 des Statistischen Berichts zur öffentlichen Wasserversorgung 2022, beides Statistisches Bundesamt, die Registrierungszahl aus KRITIS in Zahlen⁴ des BSI (Stand 30. Juni 2026), die Pflichtenschwellen aus § 28 gesetze-im-internet.de ↗ und § 33 BSIG gesetze-im-internet.de ↗, der Angriffsweg aus dem Advisory AA23-335A ic3.gov ↗ und dem NVD-Eintrag zu CVE-2021-22681⁵, der Stand zum Vorfall aus der Mitteilung von Minnesota IT Services⁶.