Kühlanlage im Visier: Warum das BSI auch kleine Betriebe warnt
Was gemeldet wurde und warum es uns betrifft
Nach Angaben von heise online hat es einen Angriff auf die Kühlsystemsteuerung französischer Supermärkte gegeben. Das Bundesamt für Sicherheit in der Informationstechnik, also Deutschlands IT-Sicherheitsbehörde, reagiert darauf mit einer Warnung: Vergleichbare Attacken seien auch hierzulande denkbar. Die Mahnung richtet sich ausdrücklich nicht nur an große Konzerne, sondern auch an die Betreiber kleinerer vernetzter Anlagen.
Mehr Details aus der Meldung brauchen wir für die Einordnung gar nicht. Entscheidend ist die Botschaft dahinter: Angreifer interessieren sich nicht nur für Daten, sondern auch für Dinge, die in der physischen Welt etwas bewegen. Eine Kühlung, die ausfällt oder falsch geregelt wird, ist kein abstraktes IT-Problem. Sie bedeutet verdorbene Ware, Stillstand und im Zweifel einen Schaden, der innerhalb weniger Stunden entsteht.
Für Mittelständler ist das eine unbequeme Erkenntnis. Viele haben in den letzten Jahren ihre Büro-IT einigermaßen ordentlich aufgestellt: Virenschutz, Backups, vielleicht eine Firewall. Die Anlagen im Keller, im Lager oder auf dem Dach laufen dagegen oft völlig getrennt von dieser Welt, zumindest in der Wahrnehmung. In der Praxis hängen sie längst am selben Netz, am selben Router oder am selben Internetanschluss.
Warum Kühlung, Heizung und Steuerungen so attraktive Ziele sind
Für Angreifer ist eine vernetzte Anlage aus mehreren Gründen interessant. Der erste ist der Druck, den ein Ausfall erzeugt. Wer sein Büronetz verschlüsselt bekommt, kann notfalls einige Tage mit Papier und Handys arbeiten. Wer dagegen eine Kühlkette verliert, hat nur kurze Zeit, bevor Ware nicht mehr verkäuflich ist. Dieser Zeitdruck macht Erpressung wirksam, und Angreifer wissen das.
Der zweite Grund ist die Verwundbarkeit. Steuerungen für Kälte, Lüftung, Heizung oder Tore wurden meist nicht mit dem Gedanken entwickelt, dass jemand aus dem Internet darauf zugreifen könnte. Sie sind auf Zuverlässigkeit und lange Laufzeit ausgelegt, nicht auf regelmäßige Sicherheitsupdates. Ein Kältesteuergerät, das zehn oder fünfzehn Jahre läuft, ist aus Betreibersicht ein Erfolg. Aus Sicherheitssicht ist es ein Gerät, das in dieser Zeit vermutlich kaum eine Aktualisierung gesehen hat.
Der dritte Grund ist die Nachlässigkeit durch Bequemlichkeit. Damit der Hersteller oder der Servicetechniker nicht jedes Mal anreisen muss, wurde irgendwann ein Fernzugang eingerichtet. Dieser Zugang ist praktisch, aber er ist eben auch eine Tür von außen. Ob diese Tür gut verschlossen ist, weiß in vielen Betrieben niemand mehr genau, weil die Einrichtung Jahre zurückliegt und die zuständige Person längst woanders arbeitet.
Hinzu kommt: Die Anlagen sind für Angreifer oft leicht zu finden. Geräte, die direkt aus dem Internet erreichbar sind, lassen sich mit automatisierten Suchwerkzeugen aufspüren. Das ist keine Handarbeit gegen ein bestimmtes Opfer, sondern ein Massenverfahren, das alles einsammelt, was offen herumsteht. Kleine Betriebe werden dabei nicht gezielt ausgesucht, sondern einfach mitgenommen.
Welche Anlagen in einem normalen Mittelständler hängen
Beim Wort „vernetzte Anlage" denkt man schnell an Fabrikhallen und Leitwarten. Gemeint ist aber viel mehr, und die Liste im typischen Betrieb ist länger, als die meisten vermuten:
- Kühl- und Tiefkühlräume, Kühltheken und Kälteanlagen im Lebensmittelhandel, in der Gastronomie, bei Bäckern und Metzgern
- Lüftungs-, Klima- und Heizungssteuerungen, oft mit eigenem Web-Zugang des Herstellers
- Zutrittskontrolle, Schranken, Tore und Alarmanlagen
- Videoüberwachung und Netzwerkkameras
- Photovoltaik-Wechselrichter, Speicher und Wallboxen
- Produktionsmaschinen, Druckluft, Abfüll- oder Verpackungsanlagen mit Fernwartungszugang
- Messgeräte und Sensoren, die Temperatur oder Feuchtigkeit melden
Nicht jede dieser Anlagen ist gleich kritisch, aber jede ist ein Gerät mit Netzwerkanschluss und einer Software, die jemand pflegen müsste. Und häufig weiß im Betrieb niemand genau, wer das ist: Der Haustechniker sagt, das sei Sache des Herstellers. Der Hersteller sagt, der Kunde sei für das Netz zuständig. Die IT sagt, die Haustechnik gehöre nicht zu ihrem Bereich. Am Ende fühlt sich keiner verantwortlich, und genau diese Lücke ist es, die ausgenutzt wird.
Typische Schwachstellen in der Praxis
Aus unserer Arbeit mit Betrieben kennen wir ein paar Muster, die sich ständig wiederholen. Sie sind nicht spektakulär, aber sie erklären, warum solche Angriffe überhaupt funktionieren.
Werkseinstellungen bleiben bestehen. Viele Geräte werden mit einem Standardpasswort oder gar ohne Passwort ausgeliefert. Ist die Inbetriebnahme einmal abgeschlossen, ändert niemand mehr etwas, weil „es ja läuft". Solche Standardzugänge sind für Angreifer die einfachste Eintrittskarte.
Alles hängt in einem Netz. In kleinen und mittleren Betrieben läuft häufig alles über denselben Router: Büro-PCs, Kassensystem, WLAN für Gäste, Kameras, Kühlsteuerung. Gelingt es jemandem, an einer Stelle hineinzukommen, ist der Weg zu allen anderen Geräten kurz. Das gilt in beide Richtungen: Ein infizierter Büro-Rechner kann die Anlage erreichen, und eine schlecht gesicherte Anlage kann zum Sprungbrett ins Büronetz werden.
Der Fernzugriff ist zu offen. Dauerhaft geöffnete Zugänge, geteilte Passwörter für alle Servicetechniker, Fernwartungssoftware ohne zweiten Faktor: Das alles ist weit verbreitet. Dabei ist ein Fernzugriff nicht per se schlecht. Er muss nur kontrolliert, nachvollziehbar und möglichst nur bei Bedarf aktiv sein.
Updates gibt es nicht, oder niemand spielt sie ein. Bei Büro-Software ist das Einspielen von Updates inzwischen Routine. Bei Steuerungen herrscht oft die Haltung, ein laufendes System solle man nicht anfassen. Das ist menschlich nachvollziehbar, weil ein fehlgeschlagenes Update eine Anlage lahmlegen kann. Es führt aber dazu, dass bekannte Lücken über Jahre offen bleiben.
Es gibt keinen Überblick. Wer nicht weiß, welche Geräte im Netz hängen, kann sie nicht schützen. Viele Betriebe haben keine aktuelle Liste ihrer vernetzten Anlagen, geschweige denn von Firmware-Ständen und Zugangsdaten.
Was ein Ausfall konkret kosten kann
Es lohnt sich, das Risiko einmal durchzurechnen, statt es abstrakt zu lassen. Nehmen wir ein fiktives Beispiel: Ein Lebensmittelbetrieb mit mehreren Kühlräumen verliert nachts die Kontrolle über seine Kältetechnik. Wird das erst am Morgen bemerkt, ist ein Großteil der Ware möglicherweise nicht mehr verwertbar. Dazu kommen Lieferverpflichtungen gegenüber Kunden, die nicht erfüllt werden können, und je nach Lage Dokumentations- und Meldepflichten aus der Lebensmittelsicherheit.
Das Beispiel ist bewusst allgemein gehalten, denn jeder Betrieb hat andere Zahlen. Aber die Rechnung sieht fast immer ähnlich aus: Der direkte Warenschaden ist nur ein Teil. Hinzu kommen Umsatzausfall, Aufräumarbeiten, Zeit der Mitarbeitenden, Gespräche mit Versicherung und Behörden und nicht zuletzt der Vertrauensverlust bei Kunden. Wer das einmal für seinen eigenen Betrieb aufschreibt, versteht schnell, warum ein paar Stunden Vorsorge deutlich günstiger sind als ein einziger Vorfall.
Auch außerhalb des Lebensmittelbereichs lässt sich das übertragen. Eine Praxis oder ein Labor, das temperaturempfindliche Materialien lagert, ein Handwerksbetrieb mit zentral gesteuerter Heizung und Lüftung, ein Hotel mit vernetzter Zimmer- und Gebäudetechnik: Überall gibt es Systeme, deren Ausfall nicht nur ärgerlich ist, sondern unmittelbar Geld und Reputation kostet.
Die wichtigsten Basismaßnahmen, die sofort helfen
Die gute Nachricht: Man braucht kein Millionenbudget, um das Risiko deutlich zu senken. Die folgenden Maßnahmen sind überschaubar, und sie wirken gegen genau die Muster, die oben beschrieben sind.
1. Bestandsaufnahme: Was hängt eigentlich im Netz?
Beginnen Sie mit einer einfachen Liste. Jede Anlage mit Netzwerkanschluss kommt hinein: Name, Standort, Hersteller, Zweck, zuständige Person, Art des Zugriffs von außen. Das klingt banal, ist aber der Schritt, an dem die meisten scheitern. Gehen Sie dafür ruhig einmal gemeinsam mit Haustechnik und IT durch den Betrieb. Oft tauchen dabei Geräte auf, von denen niemand mehr wusste.
2. Netzsegmentierung: Anlagen vom Büronetz trennen
Das wichtigste Prinzip lautet: Was nicht miteinander sprechen muss, soll es auch nicht können. Technisch bedeutet das, die Anlagen in ein eigenes Netzsegment zu legen, getrennt vom Büronetz, vom Kassensystem und vom Gäste-WLAN. Eine Firewall dazwischen erlaubt nur genau die Verbindungen, die wirklich nötig sind. Das ist keine Raketenwissenschaft, aber es verlangt, dass jemand die Netzstruktur versteht und sauber umsetzt. Der Nutzen ist enorm: Selbst wenn ein Rechner im Büro kompromittiert wird, kommt der Angreifer nicht ohne Weiteres an die Kühlsteuerung. Umgekehrt gilt dasselbe.
3. Fernzugriff absichern oder abschalten
Prüfen Sie jeden Zugang von außen. Braucht es ihn wirklich? Wenn ja: Dann nicht als offener Port am Router, sondern über einen gesicherten Weg wie ein VPN, mit persönlichen Zugängen statt geteilter Passwörter und mit einem zweiten Faktor. Idealerweise ist der Zugang nur dann aktiv, wenn gerade ein Servicetermin läuft, und wird danach wieder geschlossen. Wenn Sie Dienstleister mit Fernwartung beauftragen, lohnt sich ein Blick darauf, wie Fernwartung sauber und nachvollziehbar organisiert werden kann, statt dass jeder Techniker seinen eigenen Weg ins Netz hat.
4. Passwörter ändern, Standardzugänge entfernen
Alle Werkspasswörter raus, überall. Jedes Gerät bekommt ein eigenes, langes Passwort, abgelegt in einem Passwortmanager, nicht auf einem Zettel am Schaltschrank. Nicht benötigte Benutzerkonten werden gelöscht oder deaktiviert. Das ist eine Stunde Arbeit pro Anlage, die erstaunlich viele einfache Angriffe ins Leere laufen lässt.
5. Updates planen statt vermeiden
Fragen Sie bei Herstellern und Wartungsfirmen aktiv nach: Gibt es für dieses Gerät aktuelle Firmware? Wird es noch mit Sicherheitsupdates versorgt? Wenn nein, ist das ein Warnsignal, und die Anlage gehört in eine besonders streng abgeschottete Zone oder auf die Liste für den Austausch. Updates an Steuerungen sollten abgestimmt, getestet und zu einem passenden Zeitpunkt eingespielt werden, nicht mitten in der Hochsaison, aber eben auch nicht nie.
6. Überwachung und Alarmierung
Eine Anlage, die ausfällt, sollte nicht erst durch die Nase des ersten Mitarbeiters am Morgen auffallen. Temperaturalarme per SMS oder Anruf, unabhängig von der Hauptsteuerung, sind ein bewährtes Mittel. Genauso wichtig ist es, ungewöhnliche Zugriffe bemerken zu können: Wer hat sich wann angemeldet, und passt das zu einem Servicetermin?
7. Ein Notfallplan ohne IT
Überlegen Sie vorab, was passiert, wenn die Steuerung nicht mehr vertrauenswürdig ist. Gibt es eine manuelle Betriebsart? Wer darf sie auslösen? Wo liegen die Telefonnummern von Kältetechniker, Versicherung und Ansprechpartnern? Und wie sieht der Plan aus, wenn Ware oder Material kurzfristig ausgelagert werden muss? Ein einseitiger Ablaufplan, der im Ernstfall tatsächlich gefunden wird, ist mehr wert als ein langes Konzept in der Schublade.
Verantwortung klären: Hersteller, Dienstleister, Betreiber
Ein Punkt, der in der Praxis häufig untergeht, ist die Verantwortung. Wenn eine Anlage von einem externen Servicepartner betreut wird, sollte im Vertrag stehen, wer für Updates zuständig ist, wie der Fernzugriff geregelt ist und wie schnell im Störungsfall reagiert wird. Fehlt das, bleibt es bei einer stillschweigenden Annahme, und die ist im Ernstfall meist falsch.
Sprechen Sie Ihre Dienstleister ruhig direkt an. Gute Partner haben darauf Antworten und freuen sich eher über die Frage, als dass sie sie als Misstrauen verstehen. Wer dagegen ausweicht oder nicht erklären kann, wie der eigene Zugang abgesichert ist, hat gerade etwas Wichtiges über sich verraten.
Auch intern lohnt es sich, eine Person zu benennen, die für vernetzte Anlagen den Hut aufhat. Das muss kein IT-Spezialist sein, aber jemand, der die Liste pflegt, Fragen sammelt und bei Änderungen mit der IT spricht. Wo kein interner Ansprechpartner existiert, kann ein externer IT-Dienstleister diese Rolle übernehmen, zum Beispiel im Rahmen eines regionalen IT-Service in Friesland, der den Betrieb vor Ort kennt und im Zweifel schnell erreichbar ist.
Einordnung: Regulierung, Versicherung und Haftung
Neben der rein technischen Seite gibt es eine regulatorische. Die Warnung einer Behörde wie dem BSI ist kein Gesetz, aber sie ist ein deutliches Signal, dass das Thema ernst genommen wird. Wer später nach einem Vorfall erklären muss, warum er nichts unternommen hat, obwohl die Behörde öffentlich gewarnt hat, steht schlechter da.
Hinzu kommt die europäische Regulierung. Je nach Branche und Größe können Betriebe unmittelbar oder mittelbar unter Anforderungen fallen, etwa als Zulieferer oder Dienstleister größerer Unternehmen, die ihrerseits Nachweise von ihren Partnern verlangen. Wer sich dazu einen ersten Überblick verschaffen will, findet bei NIS2 & IT-Sicherheit eine verständliche Einordnung, was auf mittelständische Unternehmen zukommen kann. Ob Ihr Betrieb tatsächlich betroffen ist, sollten Sie anhand Ihrer Branche und Ihrer Kundenbeziehungen prüfen, nicht pauschal annehmen.
Auch bei Versicherungen lohnt der Blick ins Kleingedruckte. Cyberpolicen enthalten oft Bedingungen zu Mindestmaßnahmen, und nicht jede Police deckt Schäden an Betriebstechnik oder Folgeschäden durch verdorbene Ware ab. Fragen Sie Ihren Versicherer konkret, ob ein Angriff auf eine Kühl- oder Gebäudetechnik versichert wäre und welche Voraussetzungen dafür gelten.
Was das für den Mittelstand bedeutet
Die Meldung aus Frankreich ist kein Grund zur Panik, aber ein guter Anlass, einmal ehrlich auf die eigene Technik zu schauen. Hier ist ein Vorgehen, das sich in der Praxis bewährt hat und das Sie in wenigen Wochen umsetzen können.
In den nächsten zwei Wochen:
1. Eine Liste aller vernetzten Anlagen anlegen, mit Verantwortlichen und Art des Fernzugriffs.
2. Alle Standard- und geteilten Passwörter ändern, Zugänge in einem Passwortmanager ablegen.
3. Prüfen, welche Anlagen direkt aus dem Internet erreichbar sind, und diese Zugänge schließen oder absichern.
4. Temperatur- oder Störungsalarme einrichten, die unabhängig von der Hauptsteuerung funktionieren.
Innerhalb eines Monats:
5. Anlagen in ein eigenes Netzsegment auslagern und Verbindungen per Firewall auf das Nötige begrenzen.
6. Bei Herstellern und Servicepartnern den Stand der Firmware und die Update-Politik erfragen.
7. Fernwartung neu ordnen: persönliche Zugänge, zweiter Faktor, Zugriff nur bei Bedarf, Protokollierung.
8. Einen einseitigen Notfallplan erstellen und mit den Beteiligten einmal durchsprechen.
Laufend:
9. Die Liste pflegen, sobald etwas Neues angeschafft oder umgebaut wird. Bei Neuanschaffungen von Anfang an fragen, wie Sicherheitsupdates und Fernzugriff geregelt sind.
10. Einmal im Jahr prüfen, ob Segmentierung, Zugänge und Notfallplan noch zur Realität passen.
Wenn Sie diese Schritte nicht allein gehen wollen oder können: Genau dafür gibt es Unterstützung. Eine unabhängige Bestandsaufnahme der Netzstruktur, eine saubere Trennung der Bereiche und die Absicherung von Zugängen gehören zu den Bausteinen, die wir unter IT-Sicherheit für Betriebe aus dem Mittelstand umsetzen. Wichtig ist uns dabei, dass die Lösung zum Betrieb passt und im Alltag funktioniert, denn eine Maßnahme, die das Team umgeht, schützt niemanden.
Häufige Fragen
Ist mein kleiner Betrieb überhaupt ein Ziel für solche Angriffe?
Ja, auch wenn Sie nicht gezielt ausgesucht werden. Viele Angriffe laufen automatisiert und erfassen alles, was erreichbar und schlecht gesichert ist. Die Größe des Betriebs spielt dabei eine geringere Rolle als die Frage, ob Anlagen offen im Netz stehen oder mit schwachen Passwörtern betrieben werden.
Reicht es, wenn mein Hersteller sich um die Anlage kümmert?
Nicht automatisch. Entscheidend ist, was vertraglich vereinbart ist: Wer spielt Updates ein, wie ist der Fernzugriff abgesichert, wer reagiert im Störungsfall? Fragen Sie das schriftlich nach. Verantwortlich für die Sicherheit im eigenen Netz bleiben Sie als Betreiber trotzdem.
Was ist die wirksamste Einzelmaßnahme?
Wenn man nur eine Sache wählen müsste, wäre es die Trennung der Anlagen vom restlichen Netz, kombiniert mit einem abgesicherten Fernzugang. Sie begrenzt den Schaden, selbst wenn an anderer Stelle etwas schiefgeht. Ersetzen kann sie die übrigen Maßnahmen wie Passwörter und Updates aber nicht.
Was tun, wenn die Anlage keine Updates mehr bekommt?
Dann sollte sie so streng wie möglich abgeschottet werden: eigenes Segment, kein direkter Zugang aus dem Internet, enge Firewall-Regeln. Parallel lohnt es sich, den Austausch einzuplanen. Eine Anlage ohne Sicherheitsupdates ist ein dauerhaftes Restrisiko, das man bewusst managen muss.
Was mache ich, wenn ich einen Angriff vermute?
Ziehen Sie die betroffene Anlage vom Netz und schalten Sie, wenn möglich, auf manuellen Betrieb. Informieren Sie Ihren IT-Dienstleister und den Hersteller, dokumentieren Sie, was Sie beobachtet haben, und klären Sie mit Ihrer Versicherung die Meldewege. Ein vorab durchdachter Notfallplan spart dabei die kostbarsten Minuten.