Verdorbene Tiefkühlkost, warme Fleischtheken und enorme Schäden: In mehreren europäischen Ländern – und auch in Deutschland – haben Unbekannte gewerbliche Kühlanlagen per Cyberangriff manipuliert. Wie liefen die Attacken ab und warum hängen die Geräte überhaupt am Netz? Die wichtigsten Fragen und Antworten.
Was genau ist bei den Angriffen passiert?
In Hunderten europäischen Supermärkten – zunächst vor allem in Frankreich, später auch in Belgien, den Niederlanden, Schweden und schließlich auch Deutschland – fielen die Kühlsysteme aus. Die Angreifer schalteten die Anlagen aus der Ferne nicht bloß ab, sondern aktivierten gezielt den Abtau- oder Heizmodus. Dadurch kletterten die Temperaturen in Kühlregalen und Tiefkühltruhen teils auf bis zu 50 Grad. Fleischwaren, Milchprodukte und Tiefkühlkost verdarben massenhaft. In einzelnen Fällen überhitzten Einheiten so stark, dass es zu Schwelbränden kam. Verlässliche Schätzungen zur genauen Höhe der Schäden gibt es bislang nicht.
Warum sind Kühlanlagen überhaupt aus dem Internet erreichbar?
Moderne Supermärkte betreiben hochkomplexe Kältekreisläufe, deren lückenlose Überwachung gesetzlich vorgeschrieben ist. Um nicht für jede Einstellungsänderung oder Störungsmeldung einen Techniker vor Ort schicken zu müssen, setzen Betreiber und externe Dienstleister auf Fernzugriff. Das spart Personal- und Anfahrtskosten: Serviceunternehmen können Abtautakte programmieren, Alarme empfangen und den Energieverbrauch zentral aus der Ferne optimieren. Aus Bequemlichkeit oder technischer Nachlässigkeit wurden diese Steuerungsmodule bei der Installation jedoch oft direkt an das Firmennetzwerk oder gar ohne zwischengeschaltete Schutzschilde ans offene Internet angebunden – statt sie in isolierte Spezialnetze einzubinden.
Leergeräumte Kühltheken in einem Supermarkt. Nach den jüngsten Hacker-Angriffen auf Kühlanlagen in europäischen Supermärkten ist auch Nordrhein-Westfalen betroffen.
Copyright: AWO Ennepe-Ruhr/dpa
Wie gelang den Cyberkriminellen der Zugriff auf die Systeme?
Das Einfallstor war die vernetzte Betriebstechnik. Betroffen waren dem Vernehmen nach vor allem Steuerungsmodule von Herstellern wie Danfoss. Viele dieser Einheiten waren ungeschützt über das öffentliche Internet auffindbar. Die Angreifer nutzten offenbar automatisierte Suchprogramme, um offene Systeme im Netz aufzuspüren, und verschafften sich über bekannte Schwachstellen veralteter Software oder unveränderte Standard-Passwörter den Zugriff.
Welches Motiv steckt hinter den Taten?
Bislang gibt es kein Bekennerschreiben und auch keine Erpressungsversuche – die Täter forderten kein Lösegeld, wie es bei typischen Ransomware-Attacken der Fall ist. Reine Sabotage scheint das Ziel gewesen zu sein. Sicherheitsexperten diskutieren zwei Szenarien: Zum einen könnte es sich um staatlich gelenkte oder geduldete Akteure handeln, die gezielt kritische Infrastrukturen testen und die Lebensmittelversorgung verunsichern wollen. Zum anderen könnten sogenannte „Script Kiddies“ oder kriminelle Hackergruppen am Werk sein, die schlicht ausprobieren, welche Schäden sich mit öffentlich verfügbaren Werkzeugen anrichten lassen.
Wie reagieren Sicherheitsbehörden und der Handel?
Europäische Cybersicherheitsbehörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) haben dringende Warnungen herausgegeben. Supermärkte und Betreiber industrieller Anlagen wurden aufgefordert, sämtliche Steuerungsgeräte sofort vom öffentlichen Netz zu trennen. Fernwartungen dürfen nur noch über abgesicherte, verschlüsselte Verbindungen (VPN) und mit Zwei-Faktor-Authentifizierung erfolgen. Zudem wird geprüft, ob Standards für die digitale Gebäude- und Logistiktechnik gesetzlich strenger reguliert werden müssen. (dpa)