Angriffe auf Supermärkte
In den letzten Wochen gab es mehrere Berichte von Cyberangriffen auf Supermärkte. Bei betroffenen Märkten wurde die digitale Temperatursteuerung gehackt und damit die Kühlung deaktiviert. In Folge mussten große Mengen an Lebensmitteln entsorgt werden. Inzwischen sind mehrere europäische Länder betroffen.
Letzte Woche nahmen die Angriffe eine weitere Eskalationsstufe. In Frankreich wurden die Kühlsysteme einer Blutbank angegriffen. Diese Angriffsversuche gelten als besonders kritisch. Blutprodukte sind sehr wertvoll und können bereits nach kurzer Zeit mit falscher Temperatur unbrauchbar werden. Glücklicherweise bemerkte ein Techniker die Manipulation und konnte den Angriff noch verhindern.
Laut mehrerer Berichte sind inzwischen auch Geheimdienste wie der Bundesnachrichtendienst (BND) in die Untersuche der Vorfälle involviert. Die Angriffe reihen sich ein in eine Serie destruktiver Sabotageakte.
Anfällige Steuerungssysteme
In allen bekannten Fällen wurden aus dem Internet anfällige Steuerungssysteme angegriffen. Die Angriffe waren durch eine Kombination an Sicherheitsproblemen leicht möglich. Einerseits waren die Systeme ohne erkennbaren Grund mit dem Internet verbunden. Außerdem hatten viele Systeme veraltete Softwarestände. In einigen Fällen werden die betroffenen Systeme überhaupt nicht mehr mit Updates versorgt.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im Oktober eine umfangreiche Empfehlung zum Thema Betriebstechnik veröffentlicht. Das BSI sieht ein hohes Gefahrenpotenzial, da digitale Betriebstechnik in vielen lebenswichtigen Bereichen eingesetzt wird, aber oft nicht etablierten Sicherheitsstandards entspricht.
Sicherheit eingebetteter Systemen
Sogenannte “Embedded Systems” (deutsch: eingebettete Systeme) gelten schon länger als die Achillesferse vieler technischer Anlagen. Solche Systeme sind weltweit milliardenfach in kritischen Anlagen, Produktionstechnik und Betriebsstätten verbaut. Sicherheitsexperten waren seit Jahren, dass solche Geräte nicht den üblichen Sicherheitsansprüchen entsprechen. Dafür gibt es mehrere Gründe:
Fehlende Priorität: Die Sicherheit vernetzter Anlagen war lange Zeit kein besonderer Verkaufsgrund. Es gab wenig Regulatorik und Angriffe waren für Cyberkriminelle zu aufwendig und nicht besonders attraktiv.
Aufwendige Updates: Viele eingebettete Systeme haben keine Mechanismen für automatische Updates. Oft sind diese Komponenten auch Teil weiterer Produkte. Der Weg eines Updates führt daher über mehrere Hersteller. Viele Betreiber scheuen den Aufwand und das Risiko für manuelle Updates in ihren Anlagen. Daher gelten viele Systeme technisch als stark verwaltet.
Fehlende Updates: Viele eingebettete Systeme sind viele Jahre, manchmal Jahrzehnte alt. Viele Hersteller stellen den Support vergleichsweise schnell nach der Veröffentlichung eines Produktes ein. Oft auch um neue Produktversionen zu verkaufen. Damit sind viele Anlagen in Betrieb, die schon lange überhaupt keine Updates mehr bekommen.
Fehlerhafte Vernetzung: Viele Anlagen sind sicherheitstechnisch nicht dazu ausgelegt, dauerhaft mit dem Internet verbunden zu sein. Zwar gibt es auch gute Gründe z. B. aufgrund einer Fernwartung allerdings bleiben viele Systeme unkontrolliert am Netz oder werden aufgrund unzureichender Netzwerkkonfiguration unbewusst mit dem Internet verbunden. Ohne Sicherheitsprüfungen fällt das oft nicht auf.
Hohe Kosten: Viele Anlagen sind teuer und werden daher nicht ausgetauscht. Die Anlagen laufen deutlich länger, als sie vom Hersteller unterstützt werden. Teilweise wird auch die Wartung vernachlässigt.
Veränderte Bedrohungslage
Betriebstechnik und industrielle Anlagen gelten als komplex. Der Angriff auf solche Systeme erforderte früher viel Vorbereitung, technisches Know-how und versprach nur wenig lukrative Einnahmequellen. Viele vergangene Angriffe wurden mutmaßlich von staatliche Akteuren und Geheimdiensten begangen.
Besondere Berühmtheit erreichte der Stuxnet-Angriff im Jahr 2010. Ein hochkomplexer Computervirus zerstörte damals Industrieanlagen im Iran, die dem iranischen Atomprogramm zugerechnet wurden. Der Angriff wird amerikanischen und israelischen Geheimdiensten zugeschrieben. Die Operation erforderte mutmaßlich Jahre an Vorbereitung und kostete geschätzt eine zweistellige Millionensumme.
KI verändert jedoch das Spielfeld. Das BSI warnt explizit, dass es mit öffentlich verfügbaren Werkzeugen sehr einfach ist, verwundbare Anlagen auf der ganzen Welt zu finden. Leistungsfähige KI-Werkezeuge können anfällige Ziele leicht analysieren, Informationen im Internet suchen und daraus funktionierende Exploits bauen. Ohne dass Akteure dafür tiefes technisches Know-how haben müssen und ohne Millionenkosten. Früher Geheimdienstoperation in Zukunft vielleicht Erpressung globaler Cyberkrimineller.
Gegenmaßnahmen?
Die Angst scheint inzwischen groß genug zu sein, dass selbst die EU in den letzten Jahren reagiert hat. Mit NIS-2 und dem Cyber Resilience Act (CRA) hat die EU gleich zwei umfangreiche Regulierungspakete verabschiedet, die genau das verhindern sollen.
NIS-2 ist Ende 2025 in Kraft getreten und soll die Widerstandsfähigkeit von Unternehmen aus der kritischen Infrastruktur stärken. Diese sind erstmals verpflichtet, ihr individuelles Risiko zu erfassen und gezielte Maßnahmen zum Schutz zu ergreifen. Cybersicherheit wird damit zur gesetzlichen Pflicht inkl. möglicher Strafen.
Der CRA tritt bis Ende 2027 vollständig in Kraft. Im Fokus stehen dabei vernetzbare digitale Produkte. Alle digitalen Produkte, die ab Ende 2027 auf den EU-Markt kommen, müssen umfangreiche Sicherheitsvorgaben erfüllen. Hersteller sind erstmals zu deutlich längerer Unterstützung Ihrer Produkte verpflichtet. Der CRA ist allerdings kein neuer Wurf für die IT-Sicherheit. Im Kern verpflichtet er nur Maßnahmen, die in der professionellen Softwareentwicklung schon lange der Standard sein sollten.
Fraglich ist auch, ob die Gesetze ihren Zweck erfüllen können. Trotz abgelaufener NIS-2 Frist sind viele Unternehmen ihren Registrierungspflichten bisher nicht nachgekommen. Ursachen scheinen besonders die komplizierten Betroffenheitskriterien und die schlechte Verbreitung von Informationen zu sein. Auch der CRA ist nicht ohne Kritik. Die neuen Regeln gelten explizit nur für neue Produkte ab Ende 2027. Bestehende Produkte am Markt sind nicht betroffen. Der CRA ändert unmittelbar nichts an der schlechten Sicherheitslage vieler vernetzter Produkte. Offenbar hat im Hintergrund Lobbyismus eine rückwirkende Pflicht erfolgreich verhindert. Gut für die Hersteller, schlecht für die Sicherheit.
Und so ist unklar, ob IT die nächsten Jahre sicherer wird oder ob beide EU-Vorgaben am Ende Papiertiger und Dokumentationsmonster bleiben.
Was sollten Sie tun?
Falls Sie digitale Produkte herstellen oder zur kritischen Infrastruktur zählen, sollten Sie sich unmittelbar mit NIS-2 und dem CRA beschäftigen. Unabhängig davon sollten Sie sich konstant und regelmäßig um Ihrer IT-Sicherheit kümmern. Schon mit wenigen Maßnahmen können Sie sich langfristig erfolgreich absichern. Die Bedrohungslage wird jedenfalls nicht weniger werden. Das ist sicher.
Im Newsbereich finden Sie tagesaktuelle Meldungen zu Sicherheitslücken und wichtigen Updates bekannter Software. Schauen Sie regelmäßig rein, um nichts zu verpassen. Sie haben leider immer weniger Zeit, um zu reagieren. Unter Analysen finden Sie regelmäßig umfangreiche Betrachtungen zu aktuellen IT-Themen.