USA modellierten den Worst-Case: Cyberangriff auf 5000 Wasserversorger würde Infrastruktur und Versicherer zusammenbrechen lassen

Geheimübungen, die in New York für Versicherungsgesellschaften durchgeführt wurden, zeigten, dass die kritische Infrastruktur der USA und der Versicherungsmarkt nicht auf einen Cyberangriff vorbereitet sind, der gleichzeitig Tausende von Wasserversorgungsanlagen außer Gefecht setzt. Die Simulation, die ein hypothetisches Juli 2027 in den Mittelpunkt des Szenarios stellte, demonstrierte, wie eine in die Lebenserhaltungssysteme eingebettete „digitale Bombe' eine Kaskade von Zerstörungen auslösen kann – von Stromnetzen und Telekommunikation bis hin zu Krankenhäusern und der pharmazeutischen Produktion. Organisator des Exercises war Joshua Korman, ehemaliger Stratege der US-Behörde für Cybersecurity und Infrastruktur-Schutz (CISA), der absichtlich eine Situation knapper Ressourcen schuf, um zu prüfen, wie Versicherungs-Algorithmen, die normalerweise als Erste die Beseitigung der Folgen von Cybervorfällen finanzieren, in einer nationalen Notlage funktionieren.

Szenario der „digitalen Bombe': Was in New York modelliert wurde

Grundlage der Simulation war ein Szenario, in dem Hacker vor dem Hintergrund wachsender geopolitischer Spannungen um Taiwan gleichzeitig 5000 Wasserversorger der USA angreifen. Nach dem Konzept der Organisatoren führt dies nicht zu einer einfachen Abschaltung der Pumpen, sondern zu physischen Schäden an der Ausrüstung und zum Bruch von Wasserleitungen – also zu Folgen, die sich nicht durch einen einfachen Neustart der Software rückgängig machen lassen. Dieser Ansatz spiegelt die Taktik wider, die, wie Sicherheitsexperten berichten, von der chinesischen Hackergruppe Volt Typhoon angewandt wird: Im Gegensatz zum klassischen Spionagetreiben liegt das Ziel hier nicht darin, Daten zu stehlen, sondern unauffällig schädliche Software in das System einzuschleusen, um im entscheidenden Moment gleichzeitig den Betrieb von Stromnetzen, Wasserversorgern und Telekommunikation zu untergraben.

Kaskadierender Ausfall: von den Wasserversorgern bis zu den Krankenhäusern

Bereits am zweiten Tag des simulierten Konflikts begannen benachbarte Branchen auszufallen, was den Kettenreaktionseffekt eindrucksvoll verdeutlichte. Der Ausfall der Wasserkühlungssysteme führte zu massiven Störungen in Rechenzentren und Cloud-Diensten. Im Gesundheitswesen blieben Tausende von Krankenhäusern ohne funktionierende Lüftungs- und Klimaanlagen (HVAC), was bei der Sommerhitze eine sofortige Evakuierung der Patienten erforderte. Parallel dazu stoppte die Unterbrechung der Wasserversorgung die Herstellung pharmazeutischer Präparate und führte zu einem Mangel an lebenswichtigen Medikamenten, insbesondere an Insulin. Bei der Verteilung der begrenzten Zahl von Einsatzkräften für die Störungsbeseitigung standen die Teilnehmer vor der Wahl zwischen der Rettung menschlichen Lebens, der Stützung der Wirtschaft und der Deckung militärischer Bedürfnisse.

Der Versicherungsmarkt war nicht vorbereitet

Zentrale Erkenntnis der Übungen: Der anfängliche Versuch, Kunden nach Umsatzgröße zu priorisieren, demonstrierte die Unbrauchbarkeit standardmäßiger kommerzieller Ansätze in einer nationalen Notlage. Darüber hinaus beleuchteten die Übungen das Hauptproblem auf juristischer und finanzieller Ebene: Solche großflächigen Cyberangriffe sind faktisch nicht versicherbar. Das bedeutet, dass selbst bei Vorliegen von Policen die Deckung kaskadierender Verluste, die mehrere Branchen und Regionen gleichzeitig betreffen, unzureichend oder gar nicht verfügbar sein kann, was die Last der Folgen auf Staat und Privatsektor abwälzt, die nach Abschluss der Simulation auf ein solches Szenario nicht vorbereitet waren.

Volt Typhoon: Verborgene Bedrohung ohne aktiven Sabotageakt

Obwohl derzeit keine aktiven destruktiven Handlungen seitens Volt Typhoon festgestellt wurden, bestätigen Sicherheitsexperten: Die Gruppe drang seit mehr als drei Jahren in zivile und militärische Objekte der USA ein und festigt sich unauffällig in den Netzen sowohl kleiner als auch großer US-Städte und behält das Potenzial für eine großangelegte Destabilisierung. Genau diese „stille' Präsenz, und nicht das hypothetische Szenario des Jahres 2027, ist im Wesentlichen der eigentliche Grund für die Besorgnis: Die Bombe ist bereits gelegt, und die Übungen zeigten lediglich, wie verwundbar die Mechanismen der Reaktion und der Versicherung sind, wenn sie zur Detonation gebracht wird.