Wie die Stadtentwässerung Frankfurt mit HST SCADA V10 und modernen Sicherheitsstandards das KRITIS-Wiederholungsaudit besteht
Mitten in Frankfurt läuft das Abwasser – und niemand denkt daran. Bis etwas schiefgeht. Die Stadtentwässerung Frankfurt (SEF) ist für das unterirdische Nervensystem einer Großstadt verantwortlich: Kanäle, Pumpwerke, Regenüberlaufbecken, Stauraumkanäle – rund 90 Sonderbauwerke über das gesamte Stadtgebiet verteilt, die rund um die Uhr im Betrieb sind. Seit Jahren überwacht das HST SCADA V10-System diese Anlagen. Doch als das KRITIS-Wiederholungsaudit nahte, wurde klar: Überwachung allein reicht nicht mehr.
Kritische Infrastruktur – was das wirklich bedeutet
Die Stadtentwässerung Frankfurt gehört mit über 500.000 Einwohnerwerten zu den Betreibern kritischer Infrastruktur im Sinne des BSI-Gesetzes. Wasser und Abwasser sind einer der zwölf KRITIS-Sektoren – und das aus gutem Grund: Fällt die Kanalisation in einer Großstadt aus, drohen nicht nur überschwemmte Straßen, sondern auch hygienische Katastrophen. Ausfallende Krankenhäuser, kontaminiertes Grundwasser – die Konsequenzen wären gravierend.
Das erste KRITIS-Audit der SEF liegt bereits einige Jahre zurück. Seitdem hat sich die Bedrohungslage grundlegend verändert. Angriffe auf Wasserversorger und Abwasserbetriebe nehmen weltweit zu – der Hackerangriff auf eine Wasseraufbereitungsanlage in Oldsmar, Florida 2021, wurde zum Weckruf für die Branche. In Deutschland hat der Gesetzgeber reagiert: Mit dem KRITIS-Dachgesetz, in Kraft seit März 2026, und dem NIS2-Umsetzungsgesetz gelten verschärfte Anforderungen. Für die SEF bedeutete das Wiederholungsaudit: Nicht nur prüfen, was vorhanden ist – sondern nachweisen, dass die neuen Anforderungen vollständig umgesetzt wurden.
90 Sonderbauwerke, eine Verantwortung
Gerald Polzer, zuständiger Ansprechpartner bei der Stadtentwässerung Frankfurt, bringt es auf den Punkt:
„Wir steuern und überwachen täglich Anlagen, deren Ausfall unmittelbare Auswirkungen auf hunderttausende Frankfurter hätte. Das BSI-Audit ist für uns kein bürokratisches Pflichtprogramm – es ist ein professioneller Selbstanspruch. Die neuen Anforderungen haben uns gezwungen, genau hinzusehen. Und das war gut so.“
Gerald Polzer, Stadtentwässerung Frankfurt
90 Sonderbauwerke betreibt die SEF über das Stadtgebiet. Regenüberlaufbecken, die bei Starkregen überschüssiges Mischwasser zwischenspeichern. Pumpwerke, die das Abwasser durch das Höhenprofil der Stadt bewegen. Stauraumkanäle, die als Puffer dienen. Jedes dieser Bauwerke ist mit Sensoren, Aktoren und Kommunikationseinheiten ausgestattet – und all das läuft auf HST SCADA V10. Das System visualisiert Füllstände, Pumpenläufe, Alarme und Störungen in Echtzeit. Was bisher fehlte: eine Ebene, die auch überwacht, was im Datennetz dahinter passiert.
Systeme zur Angriffserkennung – der neue Standard
Das Herzstück der neuen KRITIS-Anforderungen ist das SzA – das System zur Angriffserkennung. Die Anforderung klingt technisch, ist aber im Kern simpel: Wer kritische Infrastruktur betreibt, muss nicht nur auf Angriffe reagieren können, sondern sie auch erkennen – am besten bevor sie Schaden anrichten. Für die SEF bedeutete das konkret: Einführung eines Netzwerk-Monitoring-Systems, das den Datenverkehr zwischen SCADA-Servern, Feldgeräten und Leitwarte lückenlos protokolliert und Anomalien automatisch meldet.
Zum Einsatz kommt dabei die HST-Produktreihe SECURA – ein modulares Sicherheitssystem, das je nach gesetzlichem Rahmen und betrieblichem Bedarf individuell zusammengestellt werden kann. Im Kern steht ein fest integrierter Baustein, der Echtzeit-Monitoring, Alarmierung und ein zentrales Dashboard bereitstellt. Darauf aufbauend wurden bei der SEF gezielt weitere Module aktiviert: Angriffserkennung, Bedrohungsdaten-Feeds, Protokollierung und Archivierung.
Begleitet wurde die SzA-Einführung durch einen zentralen Logserver: Sämtliche sicherheitsrelevanten Ereignisse aus dem SCADA-System, dem Netzwerk und den Feldgeräten laufen auf einem dedizierten Server zusammen. Die Logs sind manipulationssicher gespeichert, zeitlich synchronisiert und auswertbar – eine der expliziten Anforderungen des BSI.
Zeit als kritische Variable: GPS und GLONASS
Eine auf den ersten Blick unscheinbare, technisch aber entscheidende Neuerung: das lokale Zeitmanagementsystem. Im KRITIS-Kontext ist eine präzise, manipulationssichere Zeitbasis keine Selbstverständlichkeit – sondern Voraussetzung für forensische Auswertungen. Wann ein Sicherheitsereignis stattfindet, muss zweifelsfrei rekonstruierbar sein: Was passierte wann, in welcher Reihenfolge, an welchem Gerät?
Die SEF setzt auf einen GPS/GLONASS-Empfänger als Zeitquelle. Durch die Nutzung beider Satellitensysteme – des amerikanischen GPS und des russischen GLONASS – ist das System unabhängiger von Störungen oder Ausfällen einzelner Konstellationen. Die exakte UTC-Zeit wird im gesamten SCADA-Netz synchronisiert. Jeder Log-Eintrag, jeder Alarm, jedes Steuerereignis trägt eine rückverfolgbare, sekundengenau verlässliche Zeitmarke.
„Für das Audit war das ein wichtiger Punkt. Das BSI prüft nicht nur, ob Systeme vorhanden sind, sondern ob sie im Ernstfall auch nutzbar sind. Eine lückenlose, zeitlich kohärente Ereigniskette ist die Grundlage jeder forensischen Analyse. Das Zeitmanagementsystem war dafür der Schlüssel.“
Ralf Beckmann, HST Systemtechnik GmbH & Co. KG
Im laufenden Betrieb – kein Abschalten möglich
Eine der größten Herausforderungen bei der Umsetzung: Die SEF schläft nie. Kanalisation und Pumpwerke müssen 24 Stunden am Tag, 365 Tage im Jahr laufen. Ein kurzer Wartungsstopp, wie er in anderen Branchen selbstverständlich ist, kann hier fatale Folgen haben – insbesondere bei Starkregen-Ereignissen, die in Frankfurt keine Seltenheit sind.
Das HST-Projektteam um Ralf Beckmann und Robert Michel musste deshalb jeden Umbauschritt sorgfältig planen. Neue Netzwerkkomponenten wurden parallel zur bestehenden Infrastruktur aufgebaut und erst nach ausführlichen Tests umgestellt. Logserver und Zeitmanagementsystem wurden schrittweise in den Betrieb integriert – immer mit einem Rückfallpfad im Hintergrund. „Wir haben keinen einzigen Ausfall produziert“, sagt Beckmann. „Das ist bei einem laufenden Betrieb dieser Größenordnung keine Selbstverständlichkeit – und das Team der SEF hat dabei hervorragend mitgezogen.“
„HST hat verstanden, dass bei uns Theorie und Praxis zwei verschiedene Dinge sind. Sie haben nicht nach Lehrbuch gearbeitet, sondern nach unserer Betriebsrealität. Das hat den Unterschied gemacht.“
Gerald Polzer, Stadtentwässerung Frankfurt
Managed Security – Sicherheit als Dauerbetrieb
Mit der technischen Umsetzung allein ist es nicht getan. Sicherheit ist kein Zustand, sondern ein Prozess – das hat der Gesetzgeber erkannt, und HST Systemtechnik lebt es. Im Rahmen eines kontinuierlichen Managed Security Service begleitet HST die SEF weit über die Projektphase hinaus.
Im Zentrum stehen die SzA-Systeme, die zweimal täglich automatisierte Updates durchführen. Dabei werden unter anderem aktuelle Bedrohungsinformationen direkt vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bezogen – Angriffsszenarien, Schwachstellen-Signaturen und aktualisierte Erkennungsregeln fließen automatisch in das Monitoring ein. Was morgens neu im BSI-Lagebild steht, ist mittags bereits in der Angriffserkennung der SEF aktiv.
Jedes dieser automatischen Updates wird lückenlos protokolliert – mit Zeitstempel und Versionsinformation. Die Meldung geht automatisch an zwei Stellen: an die SEF selbst, damit der Betrieb stets im Bild ist, und an HST Systemtechnik, wo das Service-Team die Updates im Blick behält. Transparenz ist dabei kein Nebenprodukt – sie ist Systembestandteil.
Alle zwei Wochen schaut das HST-Serviceteam tiefer hin: Alle Protokolle der SzA-Systeme, des Logservers und der SCADA-Infrastruktur werden gesichtet und ausgewertet. Gleichzeitig werden sämtliche Softwaremodule auf den aktuellen Patch-Stand gebracht – planbar, dokumentiert, ohne Betriebsunterbrechung.
Taucht zwischenzeitlich eine akute Schwachstelle in einem der betriebenen Systeme auf – sei es eine neu veröffentlichte CVE in einem Netzwerkdienst oder eine kritische Lücke in einem SCADA-Modul – wird außer der Reihe und unverzüglich gepatcht. Keine Wartezeit bis zum nächsten Wartungsfenster. Sicherheitslücken mit Relevanzbezug zur SEF-Infrastruktur werden als das behandelt, was sie sind: dringlich.
Über jeden Schritt – reguläres Update, Protokollsichtung, Patch, Notfall-Eingriff – wird vollständiges Protokoll geführt. Revisionssicher, auditfähig, jederzeit abrufbar. Für das nächste BSI-Audit ist die Dokumentation damit nicht Vorbereitung, sondern Selbstläufer.
„Das gibt uns ein gutes Gefühl. Wir wissen, dass unsere Systeme nicht nur heute sicher sind, sondern dass jemand aktiv dafür sorgt, dass das auch morgen so bleibt. Das ist Partnerschaft.“
Gerald Polzer, Stadtentwässerung Frankfurt
Ergänzt wird der digitale Dauerbetrieb durch persönliche Präsenz: Zweimal im Jahr kommt das HST-Serviceteam für zwei Tage persönlich zur SEF. Auf dem Programm steht dann die Hardwarewartung aller Komponenten nach Herstellervorgaben – von den Sensoren an den Sonderbauwerken bis zu den Servern in der Leitwarte. Doch mindestens genauso wichtig ist das gemeinsame Gespräch: Was lief in den vergangenen Monaten gut? Welche Themen haben sich verändert? Welche neuen gesetzlichen Anforderungen oder technischen Entwicklungen stehen an? Diese halbjährlichen Vor-Ort-Termine sind mehr als Routine-Wartung – sie sind der Rahmen, in dem Betreiber und Dienstleister gemeinsam planen, Prioritäten setzen und vorausdenken. Partnerschaft, die man anfassen kann.
Das Audit – und was danach kommt
Das KRITIS-Wiederholungsaudit ist bestanden. Die neuen Anforderungen sind dokumentiert, technisch umgesetzt und vom Prüfer abgenommen. Für die SEF ist das kein Endpunkt – sondern ein Etappenziel. Die KRITIS-Landschaft entwickelt sich weiter: Das KRITIS-Dachgesetz, das seit März 2026 in Kraft ist, bringt zusätzliche Anforderungen an physische Resilienz. NIS2 verpflichtet zur regelmäßigen Meldung von Sicherheitsvorfällen beim BSI. Trotz aller digitaler Technik und Überwachung braucht es immer einen Notfallplan, in dem man festlegt, wie die Schmutzwasserableitung zum Beispiel bei flächendeckendem Stromausfall aufrechterhalten wird. Die Bedrohungslage bleibt angespannt.
HST Systemtechnik begleitet die SEF auch auf diesem Weg. Das SCADA V10-System bildet die technische Grundlage – und wird mit jeder Anforderungsrunde weiterentwickelt. Was heute Standard bei der SEF ist, wird morgen Vorlage für andere KRITIS-Betreiber in der Wasserwirtschaft sein.
