Supermarkt-Kühlanlagen gehackt: Fragen und Antworten

Viele Supermarkt-Kühlanlagen werden über das Internet überwacht, damit Störungen auch nachts bemerkt und rasch behoben werden können. Über schlecht geschützte Fernzugänge können jedoch auch Unbefugte Einstellungen verändern. Die Angriffe zeigen, warum solche Zugänge besonders gut abgesichert werden müssen.

1. Sind die Angriffe auf Supermarkt-Kühlanlagen wirklich passiert?

Ja. Die französische Cybersicherheitsbehörde CERT-FR bestätigt unerlaubte Zugriffe auf Kühlanlagen-Steuerungen von Danfoss sowie Copeland/Dixell. Bereits in der Nacht auf den 12. Oktober wurden in Frankreich zahlreiche Geschäfte getroffen. Anfang November meldeten Händler in weiteren europäischen Ländern manipulierte Anlagen und unbrauchbar gewordene Lebensmittel. Carrefour bestätigte beispielsweise Angriffe auf 15 belgische Geschäfte; in Irland waren 13 SuperValu-Märkte betroffen.

2. Warum braucht eine Kühlanlage überhaupt Internet?

Für das Kühlen selbst ist kein öffentlicher Internetzugang nötig. Die Verbindung dient vor allem dazu, die Anlage aus der Ferne zu überwachen und zu warten. Fachleute können Temperaturen kontrollieren und Fehlermeldungen auslesen, ohne jedes Mal zum Geschäft fahren zu müssen. Diese Möglichkeiten beschreibt etwa das Sicherheitsunternehmen Claroty für die untersuchten Danfoss-Steuerungen.

Das ist besonders nachts und am Wochenende nützlich: Wird ein Kühlraum zu warm, kann eine Warnmeldung die zuständigen Personen erreichen. Ein Techniker kann dann prüfen, was los ist, und je nach Fehler auch aus der Ferne helfen. Der Kältetechnik-Dienstleister Sabcobel beschreibt diese Fernbetreuung als Teil seines Wartungsangebots.

3. Muss deshalb jeder im Internet auf die Anlage zugreifen können?

Nein. Ein Fernzugang soll nur berechtigten Personen offenstehen. Fachleute empfehlen dafür einen geschützten Zugang, etwa über ein sogenanntes VPN. Vereinfacht gesagt wird dabei eine abgesicherte Verbindung zum Firmennetz hergestellt. Die französische Behördenwarnung fordert ausdrücklich, Kühlanlagen-Steuerungen nicht offen aus dem Internet erreichbar zu lassen. Die Fernwartung kann über geschützte Zugänge weiter möglich bleiben.

4. Wie kann ein Kühlgerät plötzlich warm werden?

Viele gewerbliche Kühlanlagen haben eine automatische Abtaufunktion. Damit wird Eis entfernt, das sich an Teilen der Anlage bildet. Dafür können diese Teile vorübergehend erwärmt werden.

Bei den Angriffen wurde unter anderem diese Funktion missbraucht. Wird die Abtauphase unerlaubt verlängert, können Kühlräume und die darin gelagerten Lebensmittel zu warm werden. Diesen Ablauf beschreibt auch die italienische Cybersicherheitsbehörde. Die vorhandene Technik kann also durch veränderte Einstellungen anders arbeiten als vorgesehen.

5. Wie kommen die Angreifer in die Steuerung hinein?

Das ist nicht für jeden Fall geklärt. Bei den betroffenen niederländischen Anlagen spielten laut Hersteller Danfoss ungesicherte Netzwerkverbindungen und unveränderte Standardpasswörter eine Rolle. Das berichtete NOS. Ein Standardpasswort ist das Passwort, mit dem ein Gerät ursprünglich ausgeliefert wird. Bleibt es unverändert, kann es Unbefugten den Zugang erleichtern. Danfoss hatte seinen niederländischen Kunden am 13. Oktober zu Schutzmaßnahmen geraten. Nach Darstellung des Unternehmens setzte die Mehrheit diese um; ein kleiner Teil jedoch nicht.

Auch Fehler in der Software können einen Zugriff ermöglichen. Claroty hat solche Sicherheitslücken bei bestimmten Danfoss-Steuerungen untersucht; der Hersteller stellte Korrekturen bereit. Einer der untersuchten Fehler konnte die normale Passwortprüfung umgehen. Ob genau diese Lücken bei den aktuellen Angriffen ausgenutzt wurden, ist damit noch nicht nachgewiesen.

6. Warum haben die Warnsysteme die Schäden nicht verhindert?

Das ist für die einzelnen Geschäfte bislang nicht vollständig bekannt. Wer die Steuerung übernimmt, kann unter Umständen auch verändern, ab welcher Temperatur eine Warnung ausgelöst wird oder wer sie erhält. Darauf weist die italienische Behördenwarnung hin. Dass bei allen aktuellen Vorfällen Warnmeldungen abgeschaltet wurden, ist damit nicht belegt.

7. Warum reicht ein Softwareupdate manchmal nicht?

Manche älteren Steuergeräte erhalten vom Hersteller keine Sicherheitsupdates mehr. Ein bekanntes Sicherheitsproblem lässt sich dann nicht einfach durch eine neue Software beheben. Das Sicherheitsunternehmen Forescout empfiehlt, solche Geräte zu ersetzen. Bis dahin müssen ihre Zugänge besonders eingeschränkt und geschützt werden. Auch bei neueren Geräten gehören verfügbare Updates und abgesicherte Fernzugänge zusammen.

8. Tragen die Supermärkte eine Mitschuld an den Schäden?

Für die absichtlichen Manipulationen sind die Angreifer verantwortlich. Ob daneben Sicherheitsmaßnahmen versäumt wurden und wer dafür zuständig war, muss für den jeweiligen Betrieb geklärt werden. Aus einem erfolgreichen Angriff allein lässt sich keine pauschale Mitschuld aller betroffenen Supermärkte ableiten.

Auch externe Fachfirmen betreuen solche Anlagen. Beim CAP-Markt in Wetter-Volmarstein erklärte die zuständige Bereichsleiterin laut WDR, der eigentliche Angriff sei auf die Firma erfolgt, welche die Kühlanlagen aus der Ferne warte. Auch diese Aussage belegt für sich genommen noch kein Verschulden der Wartungsfirma.

Entscheidend ist, wer den Fernzugang eingerichtet und betreut hat und welche Schutzmaßnahmen vereinbart waren. Die bisher geprüften Quellen belegen keine pauschale „grobe Fahrlässigkeit“ sämtlicher betroffener Supermarktbetreiber. Konkrete Sicherheitsmängel und mögliche Versäumnisse müssen trotzdem untersucht werden.

9. Sind die Kühlanlagen wirklich überall auf 50 Grad erhitzt worden?

Nein, die Folgen waren unterschiedlich. Ein Händler im schwedischen Böda berichtete SVT von 55 Grad im Tiefkühler. In anderen Meldungen geht es um eine auf 50 Grad veränderte Einstellung. Eine Einstellung zeigt zunächst, was das Gerät tun soll; sie beweist noch nicht, welche Temperatur tatsächlich erreicht wurde.

Bei Selver in Estland wurde eine Einstellung auf plus 50 Grad geändert. Weil rasch eingegriffen wurde, stieg die tatsächliche Temperatur laut dem zuständigen Kühltechnikunternehmen aber nur um zwei bis drei Grad. Die Lebensmittel blieben dort unbeschädigt, berichtet ERR. Eigene Messprotokolle aus den betroffenen Geschäften liegen uns nicht vor.

10. Sind auch Geschäfte in Deutschland betroffen?

Ja. Edeka Ernst in Reisbach bestätigte dem Bayerischen Rundfunk, dass Kühlanlagen auf „50 Grad Heizen“ umgestellt worden seien. Lebensmittel mussten entsorgt werden. Der WDR berichtet außerdem über betroffene CAP-Märkte in Wuppertal und Wetter-Volmarstein sowie einen Rewe-Markt in Raesfeld. Der Rewe-Markt bestätigte dem Sender einen Cyberangriff.

Auch aus Italien sind Fälle bekannt. Rai News berichtet etwa von betroffenen Supermärkten auf Sizilien. Ob alle diese Fälle zusammengehören, wird noch untersucht.

11. Wer steckt dahinter, und warum wird von Sabotage gesprochen?

Die Täter sind bisher nicht öffentlich identifiziert. Auch eine öffentliche Verantwortungsübernahme ist bislang nicht bekannt, berichtet The Record.

Sicherheitsforscher Tom Hegel hält Sabotage für möglich, weil bislang keine finanziellen Forderungen bekannt sind. Er äußerte diese Einschätzung gegenüber Reuters. Sicherheitsforscher Pilling diskutiert staatliche Machtdemonstration oder persönlich motivierte Einzeltäter.

Das sind Hypothesen über die Täter und ihr Motiv. Aus dem Fehlen öffentlich bekannter Lösegeldforderungen lässt sich das Motiv nicht sicher ableiten. Ein politischer Auftrag oder reine Zerstörungsabsicht sind damit ebenso wenig belegt wie eine gemeinsame Täterschaft bei sämtlichen Vorfällen.

12. Wurde bei den Angriffen künstliche Intelligenz eingesetzt?

Dafür gibt es bisher keinen öffentlich bestätigten Nachweis. Die belgische Cybersicherheitsbehörde warnte zwar allgemein vor zunehmendem KI-Einsatz bei Cyberangriffen. Ob bei den Supermarkt-Fällen KI verwendet wurde, wusste sie nach eigener Aussage nicht. Das berichtete The Record.

13. Drohen jetzt überall leere Supermarktregale?

In einzelnen betroffenen Geschäften waren Kühlregale leer oder das Angebot eingeschränkt. Das belegt keine allgemeine Lebensmittelknappheit. EU-Agrarkommissar Christophe Hansen erklärte laut ANSA, die Lebensmittelversorgung in der EU sei derzeit nicht gefährdet.

Wie schnell sich die Lage normalisiert, hängt vom Geschäft ab. Musgrave meldete bereits am 2. November, dass der Vorfall bei SuperValu behoben sei und die Sortimente wieder aufgefüllt würden, berichtet The Journal. Das ist keine Aussage darüber, wann jeder andere betroffene Markt wieder vollständig versorgt ist.

14. Kann ich am Geruch erkennen, ob gekaufte Ware noch sicher ist?

Nicht zuverlässig. Krankmachende Keime müssen den Geruch und das Aussehen eines Lebensmittels nicht verändern. Darauf weist das Bundesinstitut für Risikobewertung hin. Wer befürchtet, konkret betroffene Ware gekauft zu haben, sollte beim jeweiligen Geschäft nachfragen und dessen Hinweise beachten.

Dass die Kühlanlage inzwischen wieder kalt ist, macht zuvor zu warm gelagerte Lebensmittel nicht automatisch sicher. Entscheidend ist, wie die Ware während der Störung aufbewahrt wurde.

15. Welche wichtigen Fragen sind noch offen?

Es fehlen eine verlässliche Gesamtzahl der aktuell betroffenen Geschäfte und eine vollständige Schadensbilanz. Auch der genaue Zugangsweg ist nicht für jeden Vorfall bekannt.

Zahlen müssen deshalb genau gelesen werden: Wenn ein Wartungsunternehmen etwa 20 betroffene Anlagen aus seinem Kundenbestand nennt, ist das keine Gesamtzahl für das Land. Sabcobel bezog seine Angabe laut The Record ausdrücklich auf die eigenen betreuten Anlagen. Ebenso muss bei jeder gemeldeten Störung erst geklärt werden, ob tatsächlich ein Angriff dahintersteckt.

Auch Zahlen aus technischen Untersuchungen brauchen eine genaue Erklärung. Forescout erfasste in einer am 22. Oktober veröffentlichten Untersuchung weltweit knapp 13.000 öffentlich erreichbare Dienste zur Anlagensteuerung. Ein Gerät kann mehrere solche Dienste anbieten, und eine Steuerung kann mehrere Kühlanlagen bedienen. Das ist weder eine Zählung einzelner Kühlgeräte noch eine Zahl gehackter Supermärkte.