Cyberangriffe auf Supermärkte: Kühlanlagen im Visier

Cyberangriffe müssen keine Daten verschlüsseln oder IT-Systeme lahmlegen, um erhebliche wirtschaftliche Schäden anzurichten. Das zeigen aktuelle Vorfälle in europäischen Supermärkten, bei denen Unbekannte die Temperatursteuerung vernetzter Kühlanlagen manipulierten. In Deutschland mussten mehrere betroffene Märkte daraufhin große Mengen Lebensmittel entsorgen. In mindestens einem Fall soll der Angriff über einen externen Wartungsdienstleister erfolgt sein.

Die Vorfälle verdeutlichen ein grundlegendes Problem vernetzter Betriebstechnik (Operational Technology, OT): Fernwartungszugänge ermöglichen Dienstleistern zwar eine effiziente Überwachung und Steuerung technischer Anlagen, eröffnen bei unzureichender Absicherung aber auch Angreifern einen Zugang zu geschäftskritischen Systemen. Der eco – Verband der Internetwirtschaft fordert deshalb eine konsequente Überprüfung externer Zugriffe und der Sicherheitsmaßnahmen für OT-Umgebungen.

Wenn Fernwartung zum Einfallstor wird

Besonders kritisch sind Anlagen, deren Betrieb unmittelbar von digitalen Steuerungssystemen abhängt. Werden beispielsweise Sollwerte einer Kühlanlage unbemerkt verändert, können Waren verderben, obwohl die technische Infrastruktur weiterhin funktioniert. Ein Angriff muss somit keinen vollständigen Systemausfall verursachen, um beträchtliche Schäden anzurichten.

Hinzu kommt die Abhängigkeit von externen Dienstleistern. Deren Fernwartungszugänge schaffen zusätzliche Angriffsmöglichkeiten, die Betreiber häufig nicht vollständig selbst kontrollieren. Werden solche Zugänge kompromittiert, können die Auswirkungen bis in die angeschlossenen Anlagen reichen.

Norbert Pohlmann, Vorstand IT-Sicherheit bei eco, warnt deshalb davor, Cybersicherheit allein daran zu messen, ob sich unbefugte Zugriffe verhindern lassen. Unternehmen müssten auch in der Lage sein, „Manipulationen frühzeitig erkennen, Schäden begrenzen und ihre Betriebsabläufe auch im Ernstfall aufrechterhalten“ zu können.

Drei Maßnahmen für widerstandsfähigere Anlagen

Um technische Systeme besser abzusichern und bei Angriffen handlungsfähig zu bleiben, empfiehlt eco drei Maßnahmen:

1. Fernwartungszugänge konsequent absichern: Betreiber sollten sämtliche von außen erreichbaren Anlagen identifizieren und überprüfen. Externe Verbindungen benötigen geschützte Kommunikationswege, starke Authentifizierungsverfahren und klar begrenzte Zugriffsrechte. Nicht mehr benötigte Zugänge sollten deaktiviert werden.
2. Dienstleister in die Sicherheitsstrategie einbeziehen: Verantwortlichkeiten für Zugriffsberechtigungen, Sicherheitsupdates und die Reaktion auf Sicherheitsvorfälle müssen verbindlich geregelt sein. Dazu gehören auch gemeinsame Notfallverfahren, damit Betreiber und Dienstleister bei einem Angriff koordiniert handeln können.
3. Angriffe erkennen und Betriebsfähigkeit sichern: Kritische Betriebswerte sollten möglichst unabhängig von der zentralen Anlagensteuerung überwacht werden. Zusätzlich sind funktionierende Alarmierungs- und Notfallprozesse erforderlich. Betreiber müssen Möglichkeiten vorsehen, betroffene Anlagen sicher weiterzubetreiben oder wiederherzustellen. Die entsprechenden Verfahren sollten regelmäßig getestet werden.

Gerade die unabhängige Überwachung kritischer Betriebsparameter ist von Bedeutung: Werden Steuerungswerte manipuliert, können getrennte Kontrollmechanismen Abweichungen erkennen, die innerhalb des angegriffenen Systems möglicherweise unbemerkt bleiben. Bei Kühlanlagen betrifft dies insbesondere die tatsächlichen Temperaturen im Verhältnis zu den vorgegebenen Sollwerten.

Cyber Resilience Act nimmt Hersteller in die Pflicht

Neben den Betreibern rücken auch die Hersteller vernetzter Technik stärker in die Verantwortung. Der europäische Cyber Resilience Act (CRA) verlangt für betroffene Produkte mit digitalen Elementen Sicherheitsvorkehrungen über den gesamten Produktlebenszyklus hinweg.

Die wesentlichen Anforderungen gelten ab Dezember 2027, bestimmte Meldepflichten bereits seit September 2026. Damit soll Cybersicherheit künftig stärker in der Produktentwicklung und bei der Bereitstellung von Sicherheitsupdates berücksichtigt werden.

Für Betreiber bestehender Anlagen ist der CRA allerdings kein Ersatz für eigene Schutzmaßnahmen. Sie müssen verfügbare Updates, mögliche Schwachstellen und externe Zugänge bereits heute überprüfen.

Die Risiken beschränken sich keineswegs auf Supermärkte. Auch Unternehmen mit vernetzter Produktions-, Gebäude- oder Betriebstechnik können von vergleichbaren Angriffen betroffen sein.

Pohlmann fordert deshalb einen umfassenderen Sicherheitsansatz: „Cyberresilienz muss künftig von Anfang an mitgedacht werden“ – bei Entwicklung und Beschaffung ebenso wie im laufenden Betrieb. Ziel ist eine Infrastruktur, die nicht nur Angriffe abwehrt, sondern Manipulationen erkennt, Schäden begrenzt und kritische Betriebsprozesse auch nach einem erfolgreichen Angriff absichern kann.