Vor einer Woche haben wir über die Kühlanlagen am Internet geschrieben. Damals war offen, wie die Angreifer an die Steuerungen kamen. Die französische Cyberbehörde nannte keinen Weg, nur den Rat, die Geräte vom Netz zu nehmen. Inzwischen ist mehr bekannt.
Wie die Angreifer hineinkamen
Laut Handelsblatt, über das heise berichtet, haben automatisierte Programme gezielt nach offenen Kühlsystemen im Internet gesucht. Sie nutzten bekannte Lücken in veralteter Software oder Standardpasswörter, die nie geändert worden waren.
Und in mindestens einem Fall lief der Angriff gar nicht über den Supermarkt selbst. In Wetter an der Ruhr sagte eine Verantwortliche der Arbeiterwohlfahrt, die dort einen der betroffenen Märkte betreibt, gegenüber der Nachrichtenagentur dpa, der eigentliche Angriff habe dem Unternehmen gegolten, das die Kühlanlagen aus der Ferne wartet. Wer den Wartungsdienst übernimmt, erreicht alle Anlagen, die dieser betreut.
Es geht nicht mehr um Vandalismus
Die Liste der betroffenen Länder ist länger geworden. Neben Frankreich, Belgien, Luxemburg und Schweden sind Irland, Estland, Finnland und die Niederlande dazugekommen, in Frankreich zudem eine Blutbank. In Deutschland gibt es Fälle in Nordrhein-Westfalen, Niedersachsen und Bayern.
Das Bundesamt für Verfassungsschutz bestätigt, dass die Vorfälle Gegenstand nachrichtendienstlicher Ermittlungen sind. Auch das gemeinsame Zentrum gegen hybride Bedrohungen, in dem Polizei, Bundesnachrichtendienst und Militärischer Abschirmdienst zusammenarbeiten, befasst sich damit. Wer dahintersteckt, ist offen, das Bundesinnenministerium sieht keine Belege für eine eindeutige Zuordnung.
In den USA warnen das FBI, die Cybersicherheitsbehörde CISA und drei Ministerien davor, dass Supermärkte und Gesundheitseinrichtungen weltweit ins Visier geraten könnten. Ihr Rat ist kurz: Systeme vom Internet trennen, Passwörter ändern, veraltete Geräte austauschen.
Aus der Schweiz ist weiterhin kein Fall bekannt.
Die eigentliche Lehre
Ein Kleinbetrieb kann seine Kühlsteuerung vom Internet nehmen. Er kann aber kaum beurteilen, wie gut sein Kältetechniker die Zugänge schützt, über die er Dutzende Kunden aus der Ferne betreut. Genau dort sitzt das grössere Risiko: Ein einziger Zugang beim Dienstleister öffnet viele Betriebe auf einmal.
Das ist kein Grund, auf Fernwartung zu verzichten. Sie verhindert verdorbene Ware, weil Störungen früh auffallen. Es ist aber ein Grund, die Fragen zu stellen, die bisher niemand gestellt hat. Wir haben dasselbe Muster im Oktober bei Daten beschrieben, die beim Lieferanten liegen, und letzte Woche bei einer Sicherheitssoftware, deren Update-Kanal übernommen wurde.
Was jetzt zu tun ist
Standardpasswort ändern lassen. Die einfachste Frage an den Kältetechniker: Ist auf unserer Steuerung noch das Passwort ab Werk gesetzt? Wenn er es nicht sicher weiss, ist die Antwort ja.
Nach dem Weg der Fernwartung fragen. Wie greift der Dienstleister auf unsere Anlage zu: direkt über das Internet, über ein VPN oder über eine Plattform des Herstellers? Und wer bei ihm hat diesen Zugang?
Nach dem Schutz beim Dienstleister fragen. Melden sich die Techniker mit einem zweiten Faktor an? Was passiert, wenn bei ihm eingebrochen wird, und wie würden wir davon erfahren?
Eine unabhängige Kontrolle einrichten. Ein einfacher Temperaturfühler mit eigenem Alarm, der nicht an der Steuerung hängt, meldet einen Ausfall auch dann, wenn die Steuerung selbst manipuliert wurde.
Alte Geräte ersetzen. Steuerungen, für die es keine Updates mehr gibt, gehören vom Internet getrennt oder erneuert. Daran hat sich seit letzter Woche nichts geändert.