Ungesicherte Kühlsysteme: Warum deutsche Supermärkte zum leichten Ziel für Cyberangriffe werden

Die Steuerung der Kühltruhen steht, bildlich gesprochen, ungesichert vor der Ladentür. So beschreibt die Tagesschau den Kern der Angriffe, die nun auch deutsche Supermärkte getroffen haben. Die Kühlgeräte eines oder mehrerer Märkte lassen sich per Software zentral einstellen, und die dafür nötige Steuerung hängt ohne Firewall im Netz.

Vor drei Wochen hatte es in Frankreich einen groß angelegten Cyberangriff auf Kühlanlagen in Supermärkten gegeben. Jetzt sind deutsche Händler betroffen. Nach Darstellung des Berichts haben es ihnen sowohl die Hersteller der Kühltruhen als auch die Handelsketten selbst offenbar leicht gemacht.

Der Informatiker Manuel Atug von der Arbeitsgruppe Kritische Infrastrukturen sagt, die Supermärkte hätten diese unsicheren Systeme, die selbst einen kleinen Webserver enthalten, einfach unkontrolliert direkt ans Internet gehängt. Damit könne jeder, der über das Netz darauf zugreift, die Anlagen manipulieren. Die Arbeitsgruppe setzt sich für mehr IT-Sicherheit ein.

Rechtlich spielt die Größe der Händler eine Rolle: Handelsketten zählen laut Gesetz zur Kritischen Infrastruktur, wenn sie mindestens 500.000 Menschen versorgen. Atug weist darauf hin, dass auch kleinere Anbieter als wichtige oder besonders wichtige Einrichtungen unter die Gesetzgebung fallen können und dann Cybersicherheit umsetzen müssen.

Bei Kritischer Infrastruktur denken die meisten an Strom, Finanzsysteme oder Gesundheit. Haya Schulmann, Professorin für Cybersicherheit an der Goethe-Universität Frankfurt, sagt, andere lebenswichtige Bereiche seien bisher nicht erfasst. Sie nennt Lieferketten, Dienstleister und Zulieferer, etwa Baufirmen. Ein Angriff könne den Bau oder die Reparatur wichtiger Verkehrswege und Versorgungsanlagen verzögern. Deshalb müsse der Schutz die gesamte Liefer- und Dienstleisterkette einbeziehen.

Auch der Staat selbst steht nicht gut da. Einer Studie des Nationalen Forschungszentrums für angewandte Cybersicherheit zufolge erfüllen nicht einmal die Bundesministerien die nötigen Sicherheitsstandards. Die Forschenden fanden veraltete Geräte am Netz, bekannte, aber nicht geschlossene Sicherheitslücken und fehlende Vorgaben für Dienstleister. Diese Mängel fehlen oft auch in den Lageberichten des Bundesamtes für Sicherheit in der Informationstechnik. Schulmann sagt, selbst diese Berichte übersähen einen großen Teil der IT im Bund und in Deutschland. Die zuständigen Organisationen müssten wissen, was sie alles haben.

Der Handlungsdruck steigt auch durch Künstliche Intelligenz: Hacker spüren Sicherheitslücken mit KI-Tools schneller und mit weniger IT-Kenntnissen auf. KI hilft aber auch, Lücken schneller zu schließen. Loui Al Sardy von der Friedrich-Alexander-Universität Erlangen-Nürnberg bleibt daher gelassen: Hundertprozentige Sicherheit habe es nie gegeben, und daran ändere auch KI nichts.

Weil sich nicht jeder Angriff verhindern lässt, zielt die Forschung darauf, Systeme widerstandsfähiger zu machen, damit sie nach einer Attacke weiterlaufen. Dafür muss KI vertrauenswürdig sein: zuverlässig auch bei unbekannten oder manipulierten Daten, in ihren Entscheidungen nachvollziehbar, in ihren Grenzen bekannt (sie kann Fehlalarme erzeugen oder Angriffe übersehen) und unter Wahrung von Sicherheit, Datenschutz und menschlicher Kontrolle. Die naheliegendste Forderung bleibt schlicht: Handelsketten sollten ihre Kühltruhensteuerung mindestens mit einer Firewall schützen.