Nun sind auch deutsche Supermärkte von Cyberangriffen auf Kühlsysteme betroffen. Die Vorfälle weisen auf Sicherheitslücken hin – Handelsketten und Hersteller haben es den Angreifern offenbar leicht gemacht.
Vor drei Wochen gab es in Frankreich einen groß angelegten Cyberangriff auf Kühlanlagen in Supermärkten – jetzt hat es deutsche Händler getroffen. Dabei haben es die Produzenten der Kühltruhen und die Handelsketten selbst den Angreifern offenbar leicht gemacht: Die Kühlgeräte eines oder auch mehrerer Märkte lassen sich per Software zentral einstellen. Die Steuerung dafür steht ganz ohne Firewall – bildlich gesprochen – ungesichert draußen vor der Ladentür.
„Die Supermärkte selbst haben diese unsicheren Systeme, die auch so einen kleinen Webserver drin haben, einfach direkt ans Internet gehangen, unkontrolliert“, sagt der Informatiker Manuel Atug von der Arbeitsgruppe Kritische Infrastrukturen. „Und dann kann natürlich jeder, der im Internet darauf zugreift, auch entsprechend das Ganze manipulieren.“
Die Arbeitsgruppe Kritische Infrastrukturen engagiert sich für mehr IT-Sicherheit. Handelsketten gehören laut Gesetz immer dann zur Kritischen Infrastruktur, wenn sie mindestens 500.000 Menschen versorgen. „Wenn man weniger als 500.000 Menschen versorgt, dann kann man immer noch aus der Gesetzgebung zu den wichtigen oder besonders wichtigen Einrichtungen gehören und muss Cybersicherheit umsetzen“, erklärt Atug.
Nicht einmal Ministerien erfüllen Sicherheitsstandards
Bei Kritischer Infrastruktur denken die meisten an Stromversorgung, Finanzsysteme oder den Gesundheitsbereich. Andere lebenswichtige Anlagen seien bisher nicht erfasst, sagt Haya Schulmann, Professorin für Cybersicherheit an der Goethe-Universität Frankfurt:
Es gibt viele Lieferketten, Dienstleister, Organisationen, von denen wir sehr abhängig sind und die nicht darunter fallen. Baufirmen sind ein Beispiel. Es gibt andere Zulieferer für Kritische Infrastruktur, die wichtig sind. Und dann kann der Cyberangriff den Bau oder die Reparatur wichtiger Verkehrswege und Versorgungsanlagen verzögern. Deshalb ist es wichtig, dass der Schutz der Gesamtlieferkette und Dienstleisterkette einbezogen wird.
Einer Studie des Nationalen Forschungszentrums für angewandte Cybersicherheit zufolge erfüllen nicht mal die Bundesministerien die nötigen Sicherheitsstandards. Die Forschenden stießen dort auf veraltete Geräte am Netz, bekannte, aber nicht geschlossene Sicherheitslücken und fehlende Vorgaben für Dienstleister. Defizite, die oft auch in den Lageberichten des Bundesamtes für Sicherheit in der Informationstechnik fehlen.
„Unsere Untersuchung hat gezeigt, dass tatsächlich selbst diese Lageberichte einen großen Teil der IT im Bund und auch in Deutschland übersehen“, sagt Schulmann. „Die Sicherheitsorganisationen, die dafür verantwortlich sind, müssen wissen, was man alles hat.“
Forschung soll Systeme widerstandsfähiger machen
Mit Blick auf die rasant wachsenden Fähigkeiten Künstlicher Intelligenz sollte das schnell verbessert werden. Hacker können Sicherheitslücken mit KI-Tools schneller als früher und mit weniger IT-Kenntnissen aufspüren. Aber KI hilft auch dabei, die Lücken schneller zu schließen.
Cybersicherheitsexperte Loui Al Sardy von der Friedrich-Alexander-Universität Erlangen-Nürnberg bleibt deshalb gelassen: Hundertprozentige Sicherheit habe es in der Cybersicherheit noch nie gegeben, sagt er. „Und daran wird auch KI bzw. Künstliche Intelligenz nichts ändern.“
Es war und ist unmöglich, jeden einzelnen Angriff zu vereiteln. In der Forschung geht es deshalb darum, Computersysteme widerstandsfähiger zu machen, damit sie auch nach einer Attacke weiter funktionieren. Auch dabei kann KI helfen – wenn sie vertrauenswürdig ist.
Erstens muss das KI-System zuverlässig funktionieren, auch wenn es mit unbekannten oder manipulierten Daten konfrontiert wird. Zweitens müssen auch die KI-Systementscheidungen ausreichend nachvollziehbar sein. Drittens müssen wir die Grenzen solcher Systeme kennen. Also KI kann Fehlalarme erzeugen oder letztlich auch Angriffe übersehen. Und viertens müssen Sicherheit, Datenschutz und menschliche Kontrolle gewährleistet sein.
Vor allem aber sollten Handelsketten ihre Kühltruhensteuerung mindestens per Firewall schützen.
