Am Freitag gaben die National Rural Water Association und DEF CON Franklin ihre Partnerschaft für das Water Watch Center bekannt. Das Programm richtet sich an kleinere Wasserbetriebe, denen häufig Geld und eigenes Fachpersonal für Cybersicherheit fehlen. Ziel ist es, direkte Unterstützung zur Abwehr von Angriffen zu leisten.
Beteiligt sind fünf Anbieter für Managed Detection and Response: Rapid7, Defendify, Legato Security, L1 Secure und Sentinel Technologies. Sie arbeiten mit DEF CON Franklin und der NRWA zusammen, um Cyberdienste für Wasserversorger anzubieten, die weniger als 10.000 Menschen versorgen. Nach Angaben aus dem Quelltext gibt es in den USA mehr als 50.000 kommunale Wassersysteme, und 91 Prozent von ihnen liegen unter dieser Größenordnung.
Jake Braun, Mitgründer von DEF CON Franklin und früherer Cyber-Verantwortlicher in der Biden-Regierung, erklärte, führende Cybersicherheitsfirmen und die NRWA entwickelten ein skalierbares Bereitstellungsmodell, an dem Wasserbranche und nationale Sicherheitsverantwortliche bislang gescheitert seien. Braun sagte außerdem, freiwillige Helfer von Franklin sollten dazu beitragen, die Kosten für finanziell angespannte Versorger niedrig zu halten. Als Bedrohungen nannte er die iranische Revolutionsgarde und das chinesische Militär. Die ausgewählten Anbieter seien bewusst danach ausgesucht worden, dass sie bereits Wasserversorger unterstützen und die Besonderheiten von Cybersicherheit in dieser Umgebung kennen.
Die beteiligten Firmen sollen Bedrohungsinformationen und Daten zu Schwachstellen-Patches mit der NRWA teilen. Die Vereinigung übernimmt dabei die Rolle eines zentralen Knotens. Entstanden ist das Programm nur wenige Tage nach Berichten über Cyberangriffe auf Betriebstechnik von Wasserbetrieben in Minnesota, Michigan, Georgia, South Dakota und weiteren Bundesstaaten. Während der Umfang einer Kampagne, die laut Quelltext mutmaßlich mit iranischen Hackern in Verbindung steht, weiter wächst, meldeten sich am Freitag auch Versorger aus zwei Städten in New Jersey zu Wort und erklärten, ebenfalls gehackt worden zu sein.
DEF CON Franklin entstand vor zwei Jahren aus dem Umfeld der bekannten Sicherheitskonferenz. Die Organisation rekrutierte 450 freiwillige Cyberexperten und brachte viele von ihnen mit Wasser- und Abwasserbetrieben in Arizona, Indiana, Oregon, Utah, Vermont, Washington und Wyoming zusammen. Das Modell habe funktioniert, habe aber zugleich gezeigt, wie schwierig sich Cybersicherheitsdienste auf die landesweit 150.000 Wasser- und Abwassersysteme skalieren lassen. Dazu zählen den Angaben zufolge 50.000 kommunale Systeme und 100.000 öffentliche Wassersysteme für Schulen, Fabriken, Bürogebäude und Krankenhäuser. Hinzu kommen Tausende weitere Anlagen für zeitweise versorgte Bevölkerungsgruppen, etwa an Tankstellen oder auf Campingplätzen.
Nach Angaben der Initiatoren arbeitet das Water Watch Center bereits in Maryland daran, ländliche Wasserversorger mit Unterstützungsbedarf zu identifizieren, insbesondere solche zur Versorgung militärischer Einrichtungen. NRWA-Chef Matthew Holmes sagte, Wassersysteme seien wachsenden Cybersicherheitsrisiken ausgesetzt, und mit dem Water Watch Center stelle man ländlichen Systemen verlässliche Ressourcen zum Schutz der nationalen Wasserinfrastruktur bereit.
Außerdem arbeiten die Verantwortlichen nach eigenen Angaben mit der Vanderbilt University und dem US-Militär an digitalen Nachbildungen von Wasser- und Abwassersystemumgebungen. Diese sollen es Experten ermöglichen, automatisierte Verteidigungsansätze zu testen und weiterzuentwickeln.
Der Quelltext verweist zudem auf den politischen Hintergrund: Organisationen wie die NRWA hatten sich früher gegen Bestrebungen der Bundesregierung gewehrt, Cybersicherheitsvorgaben für Wasserversorger einzuführen. Ihre Begründung lautete, neue Regeln würden die Versorger dazu zwingen, die Kosten für Kunden zu erhöhen. Diese Bedenken haben mehrere Bundesstaaten, darunter New York, dazu veranlasst, Vorschriften zur Cybersicherheit im Wassersektor mit Förderprogrammen zu verknüpfen, die die erforderlichen Schutzsysteme finanzieren.