Verdorbene Tiefkühlkost, warme Fleischtheken und enorme Schäden: In mehreren europäischen Ländern - und auch in Deutschland - haben Unbekannte gewerbliche Kühlanlagen per Cyberangriff manipuliert. Auch in Bayern wurde eine Edeka-Filiale wahrscheinlich auf diese Weise angegriffen. Wie liefen die Attacken ab und warum hängen die Geräte überhaupt am Netz? Die wichtigsten Fragen und Antworten. 

Was genau ist bei den Angriffen passiert? In hunderten europäischen Supermärkten - zunächst vor allem in Frankreich, später auch in Belgien, den Niederlanden, Schweden und schließlich auch Deutschland - fielen die Kühlsysteme aus. Die Angreifer schalteten die Anlagen aus der Ferne nicht bloß ab, sondern aktivierten gezielt den Abtau- oder Heizmodus. Dadurch kletterten die Temperaturen in Kühlregalen und Tiefkühltruhen teils auf bis zu 50 Grad. Fleischwaren, Milchprodukte und Tiefkühlkost verdarben massenhaft. In einzelnen Fällen überhitzten Einheiten so stark, dass es zu Schwelbränden kam. Verlässliche Schätzungen zur genauen Höhe der Schäden gibt es bislang nicht. 

Warum die Kühlsoftware keine Fehler meldete

Gibt es keine automatischen Alarmmeldungen? In der Theorie ja, in der Praxis wurden die Sicherheitsmechanismen jedoch ausgehebelt oder wirkten verzögert. Die Reglerprotokolle sahen das Abtauen als regulären, manuell ausgelösten Wartungsbefehl an, weshalb die Software zunächst keinen Fehler meldete. Zudem passierten die Angriffe in der Regel gezielt nachts, als die Filialen geschlossen waren. Zwar sendeten manche Systeme schließlich Temperaturwarnungen an externe Notfallleitstellen oder Bereitschaftsdienste, doch bis Techniker reagieren oder vor Ort eintreffen konnten, war die Kühlkette in vielen Fällen bereits seit Stunden unwiderruflich unterbrochen.

Warum sind Kühlanlagen überhaupt aus dem Internet erreichbar? Moderne Supermärkte betreiben hochkomplexe Kältekreisläufe, deren lückenlose Überwachung gesetzlich vorgeschrieben ist. Um nicht für jede Einstellungsänderung oder Störungsmeldung einen Techniker vor Ort schicken zu müssen, setzen Betreiber und externe Dienstleister auf Fernzugriff.

Das spart Personal- und Anfahrtskosten. Serviceunternehmen können Abtautakte programmieren, Alarme empfangen und den Energieverbrauch zentral aus der Ferne optimieren. Aus Bequemlichkeit oder technischer Nachlässigkeit wurden diese Steuerungsmodule bei der Installation jedoch oft direkt an das Firmennetzwerk oder gar ohne zwischengeschaltete Schutzschilde ans offene Internet angebunden - statt sie in isolierte Spezialnetze einzubinden. 

Staatlich gelenkter Sabotageakt nicht auszuschließen

Wie gelang den Cyberkriminellen der Zugriff auf die Systeme? Das Einfallstor war die vernetzte Betriebstechnik. Betroffen waren dem Vernehmen nach vor allem Steuerungsmodule von Herstellern wie Danfoss. Viele dieser Einheiten waren ungeschützt über das öffentliche Internet auffindbar. Die Angreifer nutzten offenbar automatisierte Suchprogramme, um offene Systeme im Netz aufzuspüren, und verschafften sich über bekannte Schwachstellen veralteter Software oder unveränderte Standard-Passwörter den Zugriff. 

Welches Motiv steckt hinter den Taten? Bislang gibt es kein Bekennerschreiben und auch keine Erpressungsversuche - die Täter forderten kein Lösegeld, wie es bei typischen Ransomware-Attacken der Fall ist. Reine Sabotage scheint das Ziel gewesen zu sein. Sicherheitsexperten diskutieren zwei Szenarien: Zum einen könnte es sich um staatlich gelenkte oder geduldete Akteure handeln, die gezielt kritische Infrastrukturen testen und die Lebensmittelversorgung verunsichern wollen.