Verdorbene Tiefkühlkost, warme Fleischtheken und enorme Schäden: In mehreren europäischen Ländern haben Unbekannte gewerbliche Kühlanlagen per Cyberangriff manipuliert. Wie liefen die Attacken ab und warum hängen die Geräte überhaupt am Netz? Die wichtigsten Fragen und Antworten.

Was genau ist bei den Angriffen passiert?

In hunderten europäischen Supermärkten – zunächst vor allem in Frankreich, später auch in Belgien, den Niederlanden, Schweden und schliesslich auch Deutschland – fielen die Kühlsysteme aus. Die Angreifer schalteten die Anlagen aus der Ferne nicht bloss ab, sondern aktivierten gezielt den Abtau- oder Heizmodus. Dadurch kletterten die Temperaturen in Kühlregalen und Tiefkühltruhen teils auf bis zu 50 Grad. Fleischwaren, Milchprodukte und Tiefkühlkost verdarben massenhaft. In einzelnen Fällen überhitzten Einheiten so stark, dass es zu Schwelbränden kam. Verlässliche Schätzungen zur genauen Höhe der Schäden gibt es bislang nicht.

Gibt es keine automatischen Alarmmeldungen?

In der Theorie ja, in der Praxis wurden die Sicherheitsmechanismen jedoch ausgehebelt oder wirkten verzögert. Die Reglerprotokolle sahen das Abtauen als regulären, manuell ausgelösten Wartungsbefehl an, weshalb die Software zunächst keinen Fehler meldete. Zudem passierten die Angriffe in der Regel gezielt nachts, als die Filialen geschlossen waren. Zwar sendeten manche Systeme schliesslich Temperaturwarnungen an externe Notfallleitstellen oder Bereitschaftsdienste, doch bis Techniker reagierten oder vor Ort eintrafen, war die Kühlkette in vielen Fällen bereits seit Stunden unwiderruflich unterbrochen.

Warum sind Kühlanlagen überhaupt aus dem Internet erreichbar?

Moderne Supermärkte betreiben hochkomplexe Kältekreisläufe, deren lückenlose Überwachung gesetzlich vorgeschrieben ist. Um nicht für jede Einstellungsänderung oder Störungsmeldung einen Techniker vor Ort schicken zu müssen, setzen Betreiber und externe Dienstleister auf Fernzugriff. Das spart Personal- und Anfahrtskosten: Serviceunternehmen können Abtautakte programmieren, Alarme empfangen und den Energieverbrauch zentral aus der Ferne optimieren.

Aus Bequemlichkeit oder technischer Nachlässigkeit wurden diese Steuerungsmodule bei der Installation jedoch oft direkt an das Firmennetzwerk oder gar ohne zwischengeschaltete Schutzschilde ans offene Internet angebunden – statt sie in isolierte Spezialnetze einzubinden.

Der Karlsruher IT-Sicherheitsexperte Christoph Fischer hält einen automatisierten Fernzugriff für Wartungszwecke zwar grundsätzlich für sinnvoll. Er betont jedoch, dass sich solche Zugänge technisch längst besser absichern liessen, etwa durch Zertifikate und asymmetrische Verschlüsselung. Die dafür erforderliche Rechenleistung sei bei modernen Steuerungsprozessoren vorhanden.

Wie gelang den Cyberkriminellen der Zugriff auf die Systeme?

Das Einfallstor war die vernetzte Betriebstechnik. Betroffen waren dem Vernehmen nach vor allem Steuerungsmodule von Herstellern wie Danfoss. Viele dieser Einheiten waren ungeschützt über das öffentliche Internet auffindbar. Die Angreifer nutzten offenbar automatisierte Suchprogramme, um offene Systeme im Netz aufzuspüren, und verschafften sich über bekannte Schwachstellen veralteter Software oder unveränderte Standardpasswörter den Zugriff.

Gerade bei den Standardpasswörtern sieht Fischer auch die Hersteller in der Verantwortung. Dass Steuerungsanlagen mit unveränderten Werkseinstellungen und Standardpasswörtern ausgeliefert und betrieben werden könnten, sei ein gravierendes Versäumnis. «Das ist völlig unverzeihlich», sagte er der dpa. Hersteller hätten längst Updates bereitstellen müssen, die Nutzer bei der Inbetriebnahme zwingend zur Vergabe individueller Passwörter verpflichten.

Welches Motiv steckt hinter den Taten?

Bislang gibt es kein Bekennerschreiben und auch keine Erpressungsversuche – die Täter forderten kein Lösegeld, wie es bei typischen Ransomware-Attacken der Fall ist. Reiner Sabotage scheint das Ziel gewesen zu sein. Sicherheitsexperten diskutieren zwei Szenarien: Zum einen könnte es sich um staatlich gelenkte oder geduldete Akteure handeln, die gezielt kritische Infrastrukturen testen und die Lebensmittelversorgung verunsichern wollen. Zum anderen könnten sogenannte «Script Kiddies» oder kriminelle Hackergruppen am Werk sein, die schlicht ausprobieren, welche Schäden sich mit öffentlich verfügbaren Werkzeugen anrichten lassen.

Besteht ein Risiko für die Verbraucher?

Eine direkte Gefahr durch verdorbene Lebensmittel im Verkauf ist gering. Betroffene Filialen bemerkten die Temperaturanstiege in der Regel bei Schichtbeginn; die Waren wurden entsorgt und kamen nicht in den Umlauf. Kurzfristig führte dies mancherorts zu leeren Regalen und vorübergehenden Schliessungen von Frischabteilungen. Es gibt keine Hinweise darauf, dass gehackte Filialen versucht haben, verdorbene Lebensmittel noch zu verkaufen.

Kommen Versicherungen für solche Schäden auf?

Das hängt stark von der individuellen Police ab und führt im Handel oft zu Rechtsunsicherheiten. Klassische Betriebsinhalts- und Kühlgutversicherungen decken meist Schäden durch technischen Defekt oder Stromausfall ab, schliessen reine Cybervorfälle jedoch häufig aus. Reine Cyberversicherungen wiederum decken zwar oft Betriebsunterbrechungen und IT-Wiederherstellungskosten ab, verlangen aber vertraglich definierte Mindestsicherheitsstandards. Wenn eine Anlage grob fahrlässig mit Standard-Passwörtern direkt ans öffentliche Netz angebunden war, können Versicherer die Regulierung verweigern oder kürzen.

Wie reagieren Sicherheitsbehörden und der Handel?

Europäische Cybersicherheitsbehörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) haben dringende Warnungen herausgegeben. Supermärkte und Betreiber industrieller Anlagen wurden aufgefordert, sämtliche Steuerungsgeräte sofort vom öffentlichen Netz zu trennen. Fernwartungen dürfen nur noch über abgesicherte, verschlüsselte Verbindungen (VPN) und mit Zwei-Faktor-Authentifizierung erfolgen. Zudem wird geprüft, ob Standards für die digitale Gebäude- und Logistiktechnik gesetzlich strenger reguliert werden müssen.

Fischer warnt zugleich davor, das Problem auf Supermärkte zu beschränken. Vernetzte Technik komme inzwischen in zahlreichen Bereichen zum Einsatz, etwa bei Photovoltaikanlagen und Wärmepumpen sowie zunehmend bei privaten Haushaltsgeräten. «Es muss nicht alles ins Internet», mahnte der Cyberabwehr-Experte. Wo ein Netzzugang notwendig sei, müssten wirksame Schutzmechanismen vorgeschrieben sein.

Ebenso fordert Fischer strengere Prüfungen vernetzter Produkte. Verbraucherschutzorganisationen wie die Stiftung Warentest sollten verbindliche Mindestanforderungen an die IT-Sicherheit als festes Kriterium in ihre Bewertungen aufnehmen. (dpa)