70 Grad im Kühlregal OT-Sicherheitslehren aus dem Supermarkt

Hackerangriffe auf Kälteanlagen im Einzelhandel zeigen OT-Risiken: Unsichere Fernwartung und veraltete Controller sind das Einfallstor. Schutz bieten Netzwerkisolation, Virtual Patching und Cyberhygiene.

Die Lebensmittelsicherheit rückt unerwartet in den Fokus der kritischen Infrastruktur: In mehreren Bundesländern – darunter Bayern, Niedersachsen und Nordrhein-Westfalen – wurden Kälteanlagen in Filialen von Edeka, Rewe und CAP nachts massiv manipuliert und auf eine Heizleistung von bis zu 70 Grad Celsius umgestellt.

Die Folge war ein immenser Verlust an Lebensmitteln, der drastisch aufzeigt, dass kritische Infrastrukturen weit über den Energiesektor oder die Schwerindustrie hinausreichen. Diese Vorfälle in Deutschland verdeutlichen eine wachsende Gefahr für die Operational Technology (OT) und reihen sich in eine europaweite Angriffswelle ein, die kürzlich bereits Supermärkte in Ländern wie Frankreich, Schweden und Belgien traf.

Das Einfallstor: Externe Fernwartung trifft auf veraltete Hardware

Was diese jüngsten Fälle in Deutschland besonders brisant macht, ist der Angriffsvektor: Ersten Berichten zufolge nutzten die Täter teilweise die Zugänge externer Dienstleister, die für die Fernwartung der Kühlanlagen zuständig sind. Treffen solche kompromittierten Drittanbieter-Schnittstellen auf verwundbare Hardware, entsteht ein massives Risiko.

Das Kernproblem vieler Betreiber sind dabei die eingesetzten Kälteanlagen-Controller. Diese lassen sich in den bestehenden Netzwerken oft nur schwer oder gar nicht zeitnah patchen. Eine besondere Gefahr geht von sogenannten End-of-Life-Modellen aus: Obwohl sie im operativen Betrieb weiterhin unverzichtbar sind, stellen die Hersteller für diese Systeme keine Sicherheitsupdates mehr bereit. Erleichtert wird den Angreifern ihr Vorhaben zusätzlich dadurch, dass der Management-Zugriff bei einigen dieser Geräte unverschlüsselt über HTTP stattfindet, was sie zu leichten Zielen macht.

Kompensierende Maßnahmen: Netzwerkisolation und Virtual Patching

Lassen sich Systeme nicht mehr aktualisieren und sind gleichzeitig durch externe Zugänge verwundbar, müssen Betreiber dringend kompensierende Schutzmaßnahmen ergreifen. Gefährdete Controller sollten vom restlichen Netzwerk getrennt oder Zugriffe von außen strikt gefiltert werden.

Aus Sicht der OT-Security bewähren sich hierfür vor allem Inline-Netzwerksicherheitslösungen. Sie fungieren als einziger Netzwerkpfad zum Controller und können Verbindungen strikt auf autorisierte Quellen limitieren sowie unbefugte Fernwartungszugriffe blockieren. Ebenso unerlässlich in solchen Szenarien ist das sogenannte „Virtual Patching“. Diese Methode schirmt bekannte, kritische Schwachstellen direkt auf der Netzwerkebene ab, sodass die Firmware der Endgeräte selbst unangetastet bleiben kann.

Cyberhygiene als Fundament

Ein rein netzwerkbasierter Schutz der Endgeräte greift jedoch zu kurz, wenn die Angreifer über legitimierte Einfallstore – wie etwa kompromittierte Fernwartungsfirmen – in die Systeme gelangen. Technische Maßnahmen müssen daher stets mit grundlegender Cyberhygiene einhergehen. Dazu zählen die konsequente Absicherung und Auditierung von Dienstleister-Schnittstellen, die sofortige Änderung von Passwörtern sowie die rigorose Überprüfung bestehender Benutzerkonten. Flankierend bedarf es einer langfristigen strategischen Planung, um Firmware-Upgrades durchzuführen oder veraltete Systeme vollständig auszutauschen.

Die Angriffe auf den deutschen Einzelhandel sind ein Weckruf für alle Betreiber von Kälte- und Klimatechnik: OT-Sicherheit darf kein Nachgedanke sein. Sie erfordert proaktive, mehrschichtige Verteidigungsstrategien – ganz besonders dann, wenn die verbaute Hardware selbst keine Updates mehr zulässt.

(ID:51008944)