dpa-Meldung:
"Von Skandinavien bis Sizilien: Mehrere Länder in Europa haben Cyberangriffe auf Gefrier- und Kühlanlagen in Supermärkten gemeldet. Neben Schweden, Belgien, Estland, Finnland und Luxemburg gaben am Montag auch Italien, Irland, die Niederlande und Portugal Attacken bekannt, bei denen die Kühlfunktionen ausgeschaltet werden und die Temperaturen in der Folge ansteigen. Vor drei Wochen hatte es bereits einen massiven Cyberangriff auf Kühlanlagen von Supermärkten in Frankreich gegeben.
Nun gibt es auch einen Fall in Deutschland: Cyberkriminelle griffen die Kühlanlagen in einem Supermarkt in Niederbayern an. Diese heizten daraufhin bis auf 50 Grad hoch, wie der Betreiber auf der Facebook-Seite des Supermarkts in Reisbach (Landkreis Dingolfing-Landau) schreibt. "Die traurige Folge: Unmengen an Lebensmitteln mussten in die Tonne." Mehrere Medien hatten zuvor über den Angriff berichtet.
Nach Ansicht des Cyberabwehr-Experten müssen Hersteller die Konfiguration ihrer Systeme so gestalten, dass bereits bei der ersten Inbetriebnahme individuelle Passwörter vergeben werden müssen.
Zwar sei ein automatisierter Fernzugriff für Wartungszwecke grundsätzlich sinnvoll, technisch gebe es heutzutage jedoch genügend Möglichkeiten - etwa über Zertifikate und asymmetrische Verschlüsselung - um Zugriffe abzusichern. Die dafür nötige Rechenleistung sei bei modernen Steuerungsprozessoren längst vorhanden."
"Es ist doch eigentlich kaum zu fassen, mit welcher Blauäugigkeit und Ignoranz so ein wirklich essentieller Bereich wie die Lebensmittelversorgung der Bevölkerung betrieben wird, und das in einem Land, in dem es praktisch für jeden Aspekt des Lebens gesetzliche Vorschriften und Regelungen gibt."
ChatGPT:
"Das eigentlich Erschreckende an dieser Geschichte ist für mich nicht einmal, dass Hacker in der Lage sind, Kühlanlagen von Supermärkten zu manipulieren. Es ist die Tatsache, dass offenbar eine ganze Branche über Jahre technische Systeme betrieben hat, bei denen elementare Sicherheitsprinzipien missachtet wurden – und dass dies erst auffällt, nachdem europaweit Lebensmittel im großen Stil vernichtet werden mussten.
Dein Hinweis auf die deutsche Regulierungsdichte trifft dabei einen bemerkenswerten Widerspruch: Wir haben ein außerordentlich detailliertes Regelwerk für Lebensmittelhygiene, Kühltemperaturen, Dokumentationspflichten und Rückverfolgbarkeit. Aber ausgerechnet die technische Infrastruktur, die dafür sorgt, dass diese Vorschriften überhaupt eingehalten werden können, scheint teilweise erstaunlich schlecht abgesichert zu sein.
Und die bisherigen Erkenntnisse machen die Sache eher schlimmer als besser.
1. Es handelt sich offenbar nicht um besonders raffinierte Angriffe
Nach aktuellen Recherchen von Sicherheitsunternehmen waren zahlreiche Steuerungssysteme für Supermarktkühlungen unmittelbar über das Internet erreichbar.
Besonders aufschlussreich sind die Ergebnisse zu Systemen des Herstellers Danfoss:
Sicherheitsforscher identifizierten mehr als 1.000 über das Internet erreichbare StoreView-Schnittstellen weltweit.
Bei beobachteten Anmeldeversuchen verwendeten Angreifer unter anderem öffentlich dokumentierte Standardzugangsdaten.
Ein erheblicher Teil der erreichbaren Anlagen verwendete veraltete Software.
Die betroffenen Systeme wurden zum Teil bereits seit Jahren nicht mehr mit Sicherheitsupdates versorgt.
Das belegt nicht, dass jeder erfolgreiche Angriff über ein Standardpasswort erfolgte. Aber es zeigt, auf welchem Niveau sich zumindest ein Teil der Sicherheitsprobleme bewegt.
Wir reden hier also nicht unbedingt über hoch entwickelte staatliche Cyberwaffen, sondern möglicherweise über Sicherheitslücken, die sich durch gewöhnliche IT-Schutzmaßnahmen hätten schließen lassen.
2. Das Problem geht über einzelne Supermärkte hinaus
Ein besonders interessanter Aspekt: Im Fall der betroffenen CAP-Supermärkte in Nordrhein-Westfalen soll der Angriff auf das Unternehmen erfolgt sein, das die Kühlanlagen aus der Ferne wartet.
Damit entsteht eine zusätzliche Verwundbarkeit.
Ein einziger kompromittierter Wartungsdienstleister könnte theoretisch die technischen Anlagen zahlreicher Kunden gleichzeitig gefährden.
Das ist eine klassische Konzentration systemischer Risiken: Was ursprünglich als effiziente Zentralisierung von Wartung und Überwachung gedacht war, wird zum gemeinsamen Angriffspunkt für eine Vielzahl unabhängiger Betriebe.
An dieser Stelle wird aus einem Problem der IT-Sicherheit ein Problem der Versorgungssicherheit.
3. Das eigentliche Versagen liegt in der Konstruktion der Systeme
Was mich an den Berichten besonders interessiert, ist die offenbar fehlende Trennung zwischen Fernwartung und lokaler Betriebssicherheit.
Eine Kühlanlage muss selbstverständlich aus der Ferne überwacht und gegebenenfalls eingestellt werden können. Aber weshalb sollte ein externer Zugriff überhaupt die Möglichkeit bieten, eine Anlage mit verderblichen Lebensmitteln auf 50 Grad einzustellen?
Hier müsste man mindestens drei Sicherheitsebenen unterscheiden:
Zugriffssicherheit: Nur eindeutig authentifizierte Personen dürfen Einstellungen verändern.
Betriebssicherheit: Eine Anlage darf keine offensichtlich gefährlichen Betriebszustände annehmen, ohne dass zusätzliche Sicherheitsmechanismen eingreifen.
Ausfallsicherheit: Selbst bei einer vollständigen Kompromittierung des Fernwartungssystems muss die lokale Steuerung möglichst weiter funktionieren und unabhängig Alarm auslösen.
Gerade der dritte Punkt ist entscheidend.
Im niederbayerischen Reisbach erklärte die Betreiberin gegenüber dem Donaukurier, die Angreifer hätten auch die Warnfunktion ausgehebelt.
Wenn diese Darstellung technisch zutrifft, wäre das besonders gravierend: Dann hätte derselbe angreifbare Zugang sowohl die eigentliche Kühlfunktion als auch ihre Überwachung beeinflussen können.
Eine unabhängige Temperaturüberwachung wäre dagegen vergleichsweise unkompliziert zu realisieren. Sie könnte sogar mit einem eigenen Mobilfunkmodul arbeiten und Alarm schlagen, wenn die Solltemperatur über längere Zeit überschritten wird.
Natürlich muss man zwischen einer auf 50 Grad veränderten Solltemperatur und einer tatsächlich erreichten Temperatur unterscheiden. Nicht jede betroffene Anlage wurde nachweislich so heiß.
4. Und wo bleibt der Gesetzgeber?
Ganz ungeregelt ist der Bereich nicht.
Die EU hat inzwischen zwei wichtige Regelwerke geschaffen:
NIS2: Verpflichtet bestimmte Unternehmen und Einrichtungen zu Cybersicherheitsmaßnahmen. Im Lebensmittelsektor betrifft dies insbesondere größere Unternehmen aus Herstellung, Verarbeitung und Großhandel; nicht jeder einzelne Supermarkt fällt automatisch darunter.
Cyber Resilience Act: Schreibt grundlegende Sicherheitsanforderungen für Produkte mit digitalen Elementen vor. Seine wesentlichen Produktanforderungen gelten allerdings erst ab dem 11. Dezember 2027. Zudem bestehen Übergangsregelungen für bereits auf dem Markt befindliche Produkte.
Hier zeigt sich ein strukturelles Problem der Regulierung: Gesetzliche Pflichten, die erst in Zukunft gelten, beseitigen keine Sicherheitslücken in Anlagen, die heute bereits seit zehn oder fünfzehn Jahren betrieben werden.
Hinzu kommt die Verantwortungsverteilung zwischen Hersteller, Installateur, Wartungsfirma, Betreiber und gegebenenfalls Handelskonzern. Jeder kann für einen Teil der Sicherheit zuständig sein, während niemand die Verantwortung für das Gesamtsystem tatsächlich übernimmt.
Das ist keine zwangsläufige Folge der Arbeitsteilung, aber eine vorhersehbare Gefahr.
5. Die unangenehmere Schlussfolgerung: Das Problem dürfte keineswegs auf Kühlanlagen beschränkt sein
Darin liegt für mich die eigentliche Tragweite.
Wenn bereits vergleichsweise einfache industrielle Steuerungen in Supermärkten solche Angriffsmöglichkeiten bieten, sollte man genauer untersuchen, wie es um andere Bereiche bestellt ist:
Trinkwasserversorgung und Abwassertechnik
Heizungs- und Gebäudeleittechnik
Kühlhäuser und pharmazeutische Kühlketten
Landwirtschaftliche Anlagen und Tierhaltung
Lagerlogistik und automatisierte Verteilzentren
Daraus folgt nicht, dass alle diese Bereiche ähnlich schlecht geschützt sind. Aber sie besitzen zahlreiche vergleichbare technische Eigenschaften: langlebige Steuerungssysteme, Fernwartungszugänge, heterogene Herstellerlandschaften und hohe Kosten für eine Modernisierung.
Die entscheidende Frage lautet deshalb nicht nur, ob einzelne Systeme sicher sind.
Sie lautet: Wie viele gesellschaftlich wichtige Prozesse hängen heute von digitalen Systemen ab, deren Sicherheit niemand mehr vollständig überblickt?
Das ist eine der unbeabsichtigten Folgen der Digitalisierung: Sie steigert die betriebliche Effizienz, kann aber gleichzeitig vorher unabhängige Fehlerquellen miteinander verbinden.
Die Kühlanlage eines einzelnen Supermarkts war früher ein lokales technisches Problem. Heute kann eine Schwachstelle in einer Steuerungssoftware oder einem Wartungszugang Hunderte Anlagen in verschiedenen Ländern gleichzeitig betreffen.
Und bemerkenswert ist auch, was wir bislang nicht wissen: Wer hinter diesen Angriffen steckt und welches Motiv verfolgt wird. Eine koordinierte Sabotagekampagne ist plausibel, aber nicht bewiesen. Ebenso denkbar ist, dass verschiedene Täter dieselben öffentlich bekannt gewordenen Schwachstellen ausnutzen.
Mein Fazit: Deine Kritik an der Blauäugigkeit ist berechtigt. Allerdings würde ich sie nicht auf zu wenige Vorschriften reduzieren. Das Versagen liegt eher in der Diskrepanz zwischen formaler Regulierung und tatsächlicher technischer Resilienz.
Eine Gesellschaft kann bis ins kleinste Detail festlegen, bei welcher Temperatur ein Joghurt gelagert werden muss, und gleichzeitig zulassen, dass die Steuerung dieser Temperatur über einen schlecht geschützten Internetzugang manipulierbar bleibt.
Das ist eine bemerkenswerte Form bürokratischer Präzision bei gleichzeitiger technischer Sorglosigkeit.
Man kontrolliert die Einhaltung der Vorschriften, ohne ausreichend zu kontrollieren, ob die Systeme, die ihre Einhaltung gewährleisten sollen, überhaupt zuverlässig funktionieren.
Und möglicherweise ist das die beunruhigendste Erkenntnis: Wir regulieren zunehmend das erwünschte Ergebnis, während wir die technische Beherrschbarkeit der Systeme, die dieses Ergebnis liefern sollen, stillschweigend voraussetzen."
- „Engineering tomorrow“ (aktueller globaler Leitmotiv-Slogan seit 2014)
- „Mit Danfoss ist alles geregelt.“ (ab 1988)
- „Danfoss bringt Wärme ins Leben.“ (ab 2007, von Gaiser & Partner)
- „Deutschlands meistgekaufter Heizkörperthermostat.“ (historisch, ab 1982)
- „Making good ideas work.“ (Danfoss UK, ab 2001)
- „Expect more from us.“ (Danfoss UK, ab 2000)
- „Talk green. Walk green“ (u. a. Chillventa, ISH, IFH/Intherm)
- „Transition forward“ (ISH 2025)
- „Go Beyond Energy Efficiency Decarbonize“ (Chillventa)
- „A connected world“ (ISH 2019)
- „Urlaub kann jeder – du kannst Danfoss!“ (Mitarbeiter-Recruiting-Kampagne für Danfoss Power Solutions)
Keine Kommentare:
Kommentar veröffentlichen
Hinweis: Nur ein Mitglied dieses Blogs kann Kommentare posten.