BSI warnt nach Angriff auf Supermarktkühlung

Nach dem Cyberangriff auf Kühlsysteme in französischen Märkten warnt das Bundesamt für Sicherheit in der Informationstechnik vor ähnlichen Attacken auf weitere vernetzte Anlagen. Die Behörde richtet sich nicht mehr nur an den Handel, sondern auch an Betreiber kleiner technischer Systeme, die über das Internet erreichbar sind. Die französische IT-Sicherheitsbehörde ANSSI hat ihre Hinweise zudem auf Steuerungen von Copeland, Danfoss und Dixell ausgeweitet, wie heise security berichtet.

Warnung geht über den Einzelhandel hinaus

Das BSI hat am Dienstag Empfehlungen für Betreiber kleiner vernetzter Industrieanlagen veröffentlicht. Gemeint sind nicht nur Kühlanlagen in Märkten. Die Behörde nennt auch vernetzte Solarwechselrichter, einzelne Windkraftanlagen, Anlagen zur Trinkwasserversorgung und vergleichbare technische Einrichtungen.

Viele dieser Systeme fallen nicht automatisch unter besondere Vorgaben für kritische Infrastruktur. Für Betreiber bleibt ihre Absicherung dennoch zentral, weil Ausfälle oder Manipulationen den Betrieb direkt treffen können. Das BSI verweist darauf, dass solche Anlagen oft dauerhaft laufen und von außen gewartet werden. Genau diese Fernzugänge können zum Risiko werden, wenn sie ungeschützt oder nur schwach geschützt sind.

BSI-Präsidentin Claudia Plattner sagte laut heise security: „Dieser Angriff hätte jedes Land treffen können und kann auch jetzt jederzeit Nachahmer finden.“ Sie warnte zudem, solche offenen Zugänge könnten Sabotage erleichtern.

Offene Steuerungen als Einfallstor

Bei den Vorfällen in Frankreich wurden nach Angaben des BSI massenhaft Kühlsysteme manipuliert, die ungepatcht und aus dem Internet erreichbar waren. Die Behörde stellt ihre aktuellen Empfehlungen zwar unabhängig von den konkreten Fällen dar, nutzt den Angriff aber als Anlass, auf grundlegende Schutzmaßnahmen hinzuweisen.

Der wichtigste Schritt ist aus Sicht der Behörde, Steuerungen nicht direkt mit dem Internet zu verbinden. Wo Fernzugriff nötig ist, sollen Betreiber abgesicherte Verbindungen nutzen. Dazu zählen VPN-Zugänge, eine Anmeldung mit mehreren Faktoren und klare Positivlisten, die festlegen, wer auf welche Systeme zugreifen darf. Regelmäßige Updates sollen bekannte Schwachstellen schließen.

Das BSI weist außerdem auf Werkzeuge hin, mit denen frei erreichbare Steuerungssysteme für betriebliche Technik gefunden werden können. Solche Suchmöglichkeiten können Betreiber nutzen, um eigene Risiken zu erkennen, bevor Angreiferinnen oder Angreifer sie ausnutzen.

Deutschland offenbar kaum betroffen

Für deutsche Lebensmittelmärkte gibt es derzeit keine Hinweise auf größere Auswirkungen. Eine Sprecherin des Bundesverbands des Deutschen Lebensmittelhandels sagte auf Anfrage von heise security, es seien „keine Fälle bekannt“, in denen Märkte in Deutschland von dem Angriff auf Danfoss-Software in Kühlsystemen betroffen gewesen seien. Die Versorgung sei nicht gefährdet.

Heise security fand zwar auch in Deutschland potenziell anfällige Systeme im Netz, allerdings nur in kleiner Zahl. Eine Prüfung, ob diese Systeme tatsächlich ausnutzbar sind, erfolgte dabei nicht.

Ein BSI-Sprecher verwies gegenüber dem Portal auf ein weiteres Problem: Die Steuerungen seien nach bisherigem Kenntnisstand bereits bei der Auslieferung nicht ausreichend durch Passwörter geschützt gewesen. Solche Schwächen sollen künftig stärker über europäische Vorgaben adressiert werden.

Neue EU-Regeln ab 2027

Ab Dezember 2027 gelten mit dem Cyber Resilience Act strengere Pflichten für Hersteller vernetzter Geräte. Sie müssen dann bereits beim Inverkehrbringen ein höheres Sicherheitsniveau gewährleisten. Ziel ist, dass Geräte nicht mit leicht vermeidbaren Schwächen ausgeliefert werden.

Der Angriff in Frankreich zeigt, dass klassische Betriebstechnik längst Teil der digitalen Angriffsfläche ist. Kühlanlagen, Energieanlagen oder Wassersysteme sind zwar oft weniger sichtbar als Büro-IT, können aber bei Manipulation unmittelbar reale Betriebsabläufe stören. Für Handel und andere Betreiber kleiner Anlagen wird damit entscheidend, ob vernetzte Steuerungen konsequent begrenzt, aktualisiert und überwacht werden.