Mitte Oktober haben Angreifer in Hunderten französischen Supermärkten die Kühlung verstellt. Die Steuerungen wurden in den Abtaumodus geschaltet, in den Kühlregalen stieg die Temperatur über Stunden auf 50 Grad. Inzwischen gibt es Fälle in Belgien, Luxemburg und Schweden. In Belgien wurde in einer Metzgerei die Solltemperatur auf 70 Grad gesetzt.
Betroffen sind Steuerungen des dänischen Herstellers Danfoss und von Copeland und Dixell. Die französische Cyberbehörde CERT-FR geht davon aus, dass die Angriffe weiterlaufen.
Warum eine Kühlsteuerung im Internet hängt
Eine moderne Kühlanlage hat eine Steuerung mit eigener Weboberfläche. Darüber stellt man Temperaturen und Abtauzeiten ein, und darüber verschickt sie Alarme, wenn etwas nicht stimmt. Damit der Kältetechniker eingreifen kann, ohne anzufahren, wird diese Oberfläche häufig aus dem Internet erreichbar gemacht. Das ist bequem und spart Geld. Es heisst aber auch, dass jeder sie aufrufen kann.
Laut Danfoss waren die meisten betroffenen Geräte alte Modelle, die keine Updates mehr bekommen, eines davon seit 2021. Bei solchen Geräten hilft auch kein Zurücksetzen auf Werkseinstellungen: Die Lücke bleibt, und das Gerät kann wieder übernommen werden.
Wir haben im Oktober über 8547 Anlagensteuerungen geschrieben, die offen im Internet stehen. Das war eine Zählung. Jetzt ist es ein Angriff.
Nicht nur Supermärkte
Das deutsche Bundesamt für Sicherheit in der Informationstechnik hat sich nach den französischen Fällen ausdrücklich an Betreiber kleiner Anlagen gewandt, etwa zur Kühlung von Lebensmitteln. Es fürchtet Nachahmer. Aus der Schweiz ist bisher kein Fall bekannt.
Eine fernüberwachte Kühlung steht auch in Metzgereien, Bäckereien, Restaurants, Hofläden und Lagern. Wer dort fragt, ob die Steuerung aus dem Internet erreichbar ist, bekommt meistens die Antwort: Das weiss der Kältetechniker. Eingerichtet hat er die Verbindung, und niemand im Betrieb hat sie je gesehen. Es ist dieselbe Lage wie bei allem, was beim Lieferanten liegt.
Ein Hinweis, der in den Meldungen fehlt
CERT-FR empfiehlt, die Steuerungen vom Internet zu trennen, und schreibt dazu einen Satz, den man leicht überliest: Vorher die Versicherungsbedingungen prüfen. Der Grund: Die Fernüberwachung durch den Kältetechniker kann Teil der Versicherungsbedingungen sein. Wer die Verbindung einfach kappt, hat dann zwar eine sicherere Anlage, aber womöglich keinen Versicherungsschutz mehr, wenn die Ware verdirbt.
Darum ist die Reihenfolge wichtig: zuerst mit dem Kältetechniker und der Versicherung reden, dann umbauen.
Was jetzt zu tun ist
Beim Kältetechniker nachfragen. Ist unsere Steuerung aus dem Internet erreichbar? Welches Modell ist es, und bekommt es noch Updates? Eine gute Antwort ist kurz und konkret.
Fernzugriff über VPN statt offen. Die Wartung aus der Ferne muss nicht wegfallen. Sie gehört nur hinter einen gesicherten Zugang statt direkt ins Internet. Eine Beschränkung auf die Adressen des Technikers ist laut CERT-FR nur eine Notlösung.
Versicherung klären. Was verlangt die Police zur Überwachung der Kühlung? Das sollte geklärt sein, bevor sich etwas an der Verbindung ändert.
Einstellungen prüfen. Stimmen Solltemperaturen und Abtauzeiten noch mit dem überein, was eingerichtet wurde? CERT-FR nennt die Abtauzeiten ausdrücklich, weil genau darüber die Ware in Frankreich verdorben wurde.
Alte Steuerungen ersetzen. Ein Gerät ohne Updates bleibt verwundbar. Es gehört entweder ganz vom Internet getrennt oder erneuert.