Trinkwasser – ein offenes System?

Zum Thema Perimeterschutz bei Wasserwerken erfolgt hier eine beispielhafte Betrachtung des Schutzes solcher Anlagen im Bereich Kritische Infrastrukturen. Hier kann es schnell zu weitreichenden Störungen kommen. Im November 2005 z. B. versenkte ein Landwirt aus dem Raum Ravensburg zwei geöffnete Kanister Pflanzenschutzmittel an der Wasserentnahmestelle im westlichen Bodensee bei Sipplingen; sein Motiv: „Rache an der Justiz“. – Ähnliche Beispiele lassen sich u. a. in den Jahren 1972 (New York), 1977 (North Carolina) und 1985 (Arkansas) jenseits des Atlantiks finden, wobei es sich in diesen Fällen nicht um Einzeltäter, sondern jeweils um eine extremistische und/oder radikale Gruppierung handelte.

Einen komplett anderen Ansatz verfolgte ein Anschlagsversuch aus den 1990er Jahren, bei dem ein Hacker in das SCADA-System des Roosevelt-Damms in Arizona (knapp 50 Meilen/75 km östlich von downtown Phoenix) eingebrochen war und möglicherweise die Steuerung der Fluttore hätte beeinflussen können. Gleichwohl stimmen die Untersuchungsinstanzen dahingehend überein, dass kein Zugang zu kritischen Steuerungskomponenten vorlag.

Ein drittes Beispiel einer „malevolenten“ (böswilligen) Manipulation im Bereich der kritischen Infrastruktur Trinkwasserversorgung findet sich im Jahr 2003 in Michigan, als Mitglieder der „Earth Liberation Front“ (ELF, ebenfalls eine radikale Gruppierung) vier Brandsätze im Bereich der Produktionsanlagen der Ice Mountain Water Company deponiert hatten; die „Anschuldigungen“ der ELF gegenüber Ice Mountain lauteten auf „Wasserdiebstahl zum Zwecke der Bereicherung“.

Diese kleine Zusammenstellung zeigt, dass die kritische Infrastruktur Trinkwasserversorgung einer breiten Palette an Bedrohungen ausgesetzt ist, welche sich einerseits mit den Bedrohungen bspw. gegenüber einem Stahlwerk vergleichen lässt (Anlieferung, Cyberangriff im Produktionsbereich, Auslieferung), andererseits ist Trinkwasser unser wichtigstes Lebensmittel (siehe CP 4/2016, S. 20 - 24) und kann somit bei einer malevolenten Manipulation die Versorgungssicherheit einer Gemeinde, eines Stadtteils oder – bei einer koordinierten Aktion – einer ganzen Region beeinflussen.

Wie kann sich ein Wasserwerk gegen derartige Angriffe schützen? 

Dieser Artikel behandelt den physischen Schutz der Anlagen mit speziellem Fokus auf die Zu- und Auslieferung des Produktes Trinkwasser. Eine explizite Betrachtung der Cyber Security (Firewalls, Stand-Alone-Rechner, etc.) – wie im zweiten Beispiel beschrieben – kann gleichwohl analog zu vielen anderen Betrieben der produzierenden Industrie erfolgen und entfällt deshalb hier. Aufgrund vorangegangener Forschungsaufenthalte im Ausland wird eine wechselweise vergleichende Betrachtung Deutschlands und der Vereinigten Staaten von Amerika (Schwerpunkt Arizona und Texas) vorgenommen.

Rohstoffgewinnung: Wasserwerke Berlin/San Antonio Water System in San Antonio, Texas

In den Wasserversorgungssystemen Berlins und San Antonios finden sich eine Reihe von Parallelen, die dem Schutz der Wasserversorgung der Bevölkerung dienen. In beiden Städten wird Trinkwasser aus Brunnen gewonnen, welche über das Stadtgebiet verteilt sind. In Berlin befinden sich die Wasserwerke und die zugehörigen Brunnen im Westen im Bereich der Havel, im Südosten im Bereich der Spree und der Dahme. San Antonio weist ein über das gesamte Stadtgebiet verteiltes Netz an meist artesischen Quellen auf, die aus dem Edwards-Aquifer gespeist werden.

Beide städtischen Wasserwerke prüfen kontinuierlich die Qualität des in die Wasserwerke eintretenden Rohwassers; sollte eine zu hohe Schadstoffbelastung/eine (möglicherweise beabsichtigte) Kontamination festgestellt werden, wird der betroffene Brunnen mechanisch vom Netz getrennt, es wird eine alternative Versorgung über nicht kontaminierte Stränge aufgebaut, und nach Beseitigung der Ursachen kann der Brunnen wieder dem Netz zugeschaltet werden.

Verteilung des fertigen Produktes

Anders stellt sich die Situation nach dem Austritt des Wassers aus dem Werk dar. In Experteninterviews wurde bestätigt, dass die Kontrolle der Trinkwasserqualität auf einem meist mehrwöchigen Zyklus beruht; an designierten Probeentnahmestellen (am Beispiel Berlin in Schulen, Kindergärten, Krankenhäusern, Behörden) wird in regelmäßigen Abständen eine Probe gezogen und dem angeschlossenen Labor für eine umfassende Analyse zugestellt. 

Zum zweiten setzen beide Wasserversorger, sowohl in Berlin als auch in San Antonio, auf eine aufmerksame, kritische Kundschaft: Sollte das gelieferte Trinkwasser Veränderungen in Farbe, Geruch und/oder Geschmack aufweisen, so melden sich die Verbraucher im Regelfall sehr schnell bei ihrem Wasserversorgungsunternehmen.

Hier findet sich letztlich die Schwachstelle im System, denn wenn es einer (wie auch immer gearteten) Gruppierung gelingen würde, ein farb-, geschmack- und geruchloses Gift in ausreichender Menge in das Wasserversorgungssystem nach Ausgang aus dem Wasserwerk einzubringen, so könnten die o.g. Bereiche (Gemeinde, Stadtteil, Region) dadurch beeinträchtigt werden.

Infrastrukturen zur Verteilung des fertigen Produktes: Wasserwerke Singen am ­Hohentwiel /Central Arizona Project (CAP) und Salt River Project (SRP) in Phoenix, Arizona

Die vorgenannten Schwachstellen sind die Zugänge zu den Was­ser­netzen sowie die Lagerungsstätten des aufbereiteten Trinkwassers. Physische Sicherheit der Trinkwasserbrunnen und der Trinkwasserhochbehälter wird in Deutschland in vielen Fällen durch eine geeignete Palette von Maßnahmen generiert. Hierzu gehören beispielsweise einfache Zäune, vergitterte Fenster, Zugangskontrollen in Form von Codekarten oder Schließsystemen, Videoüberwachung, Bewegungsmelder u.v. a.m. Diese Maßnahmen reichen generell aus, da in jedem System genügend Redundanzen in Form weiterer Lagerstätten vorhanden sind.

In den Vereinigten Staaten sind – im Gegensatz zu Deutschland – nur zwischen zwei Drittel und drei Viertel der Bevölkerung an ein örtliches Wasserversorgungsunternehmen (Community Water Service, CWS) angeschlossen. Dies eröffnet – bei böswilligen Absichten – deutlich gezieltere Möglichkeiten, individuelle Manipulationen vorzunehmen, z. B. am Pumpenhäuschen eines Wohnhauses oder einer kleinen Siedlung. 

Die größeren Wasserversorgungssysteme in den Vereinigten Staaten, so etwa das Central Arizona Project (CAP) und das Salt River Project (SRP) in Phoenix, Arizona, beinhalten ein weitverzweigtes Wasserver- und -entsorgungsnetz, welches jedoch – ähnlich wie das zumeist oberirdisch verlaufende Stromversorgungsnetz – aus genau diesem Grunde relativ anfällig für physische Angriffe/Manipulationen ist: Es verläuft oberirdisch, das Areal der Pumpstationen ist zumeist mit einem Kraftfahrzeug erreichbar, einziger Schutz sind oftmals einfache Zäune.

Mit nur wenigen wasserbau- und -versorgungstechnischen Grund­kenntnissen wäre eine Manipulation/Sabotage durchaus realisierbar; dies könnte eine Unterbrechung/physische Zerstörung der Anlagen ebenso beinhalten wie die gezielte Einbringung einer kontaminierenden Substanz. Die Folge des ersteren wäre ein Versorgungsengpass (der jedoch sofort von der Bevölkerung bemerkt werden würde), zweites würde – je nach Substanz – zu einer unbemerkten und schleichenden Vergiftung der Verbraucher im betroffenen Gebiet führen.

Betrachtung der potentiellen Täter(-gruppen)

Es stellt sich die Frage, wer als terroristischen Akt oder Sabotageakt diese Art eines Anschlags auf die Trinkwasserversorgung wählen würde.

Im Zuge des Dissertationsprojektes des Autors werden die psychologischen Aspekte eines Anschlags auf ein Wasserversorgungssystem betrachtet. Dabei wird die Herkunft eines Täters oder einer Tätergruppe aus dem Bereich des islamistischen Extremismus als sehr unwahrscheinlich bewertet, da deren Anschläge auf einen sehr kurzen Zeitraum, wenn möglich mit einer symbolischen Wahl des Anschlagstages, beschränkt ist und mit vielen, sofort verletzten bzw. getöteten Opfern einhergehen soll. 

Erheblich wahrscheinlicher für eine Kontamination der Trinkwasserversorgung würde etwa der frustrierte, aus seinem Blickwinkel zu Unrecht gekündigte Mitarbeiter eines Wasserwerkes in Frage kommen oder auch ein unterlegener Kandidat bei einer Ortsvorsteherwahl o. ä.; das Täterprofil eines psychisch gestörten Menschen, der ohne erkennbaren Zusammenhang das Trinkwasser kontaminiert, bleibt ohnehin für alle Anschlagsarten eine Herausforderung für Kriminalpsychologen. 

Eine weitere Möglichkeit stellt die koordinierte Aktion von Umweltaktivisten dar, siehe obiges Beispiel der Earth Liberation Front, die einen Anschlag mit für die Öffentlichkeit nicht oder nur extrem schwer nachvollziehbaren Argumenten begründen.

Fazit

Festzuhalten ist, dass die Möglichkeit, Trinkwasserversorgungssysteme zu manipulieren, zu sabotieren, zu kontaminieren, durchaus gegeben ist. Bei einem malevolenten Eingriff im Bereich des Rohwassers wird möglicherweise im Bereich der Gewinnung, spätestens jedoch im Wasserwerk selbst die Kontamination festgestellt und entsprechende Gegenmaßnahmen ergriffen werden. 

Für einen malevolenten Eingriff nach Austritt aus der Produktionsstätte (dem Wasserwerk), wenn sich das vermeintlich unbelastete Trinkwasser im Verteilungsnetz befindet, lassen sich verschiedene Szenarien kreieren, bei denen dieser Eingriff zum Erfolg führen könnte; dies gilt insbesondere für nur einfach gesicherte, oberirdische Lagerstätten, Pumpstationen etc. 

Gleichwohl hat es in der Vergangenheit nur sehr wenige Versuche gegeben, über die Kontamination des Trinkwassers einen terroristischen oder Sabotageakt durchzuführen. Dies bedeutet nicht, dass wir diese Bedrohung gänzlich negieren sollten, vielmehr soll dieser Artikel die Betreiber von Wasserwerken bzw. die Managerebenen von Wasserversorgungsunternehmen dazu anregen, die bestehenden Sicherheitsmaßnahmen und -mechanismen einer kritischen Überprüfung zu unterziehen.