„Der Angriff auf die Kühlanlagen hunderter französischer Supermärkte markiert eine Verschiebung, die viele Unternehmen noch immer unterschätzen. Hier ging es nicht um gestohlene Daten oder Lösegeld, sondern um die direkte Manipulation physischer Prozesse. Angreifer schalteten vernetzte Kühl- und Gefriersteuerungen aus der Ferne in den Abtaumodus, teils über Stunden, bis Temperaturen von 50 Grad Celsius erreicht waren, Lebensmittel vernichtet werden mussten und Berichten zufolge in einzelnen Filialen sogar Brände ausbrachen. Die physischen Folgen von Cyberangriffen sind für den Verbraucher damit deutlich sichtbar geworden.
Der eigentliche Schwachpunkt liegt nicht in der klassischen IT, sondern in der Betriebstechnik. Die Kühlanlagen werden von zentralen Steuergeräten verwaltet, die zur Fernwartung über das Internet erreichbar sind, damit Dienstleister Einstellungen aus der Ferne vornehmen können. Genau dieser Fernzugang ist ein mögliches Einfallstor. Dass ausgenutzte Schwachstellen der häufigste technische Ausgangspunkt solcher Angriffe sind, belegt auch der aktuelle „Sophos State of Ransomware in Retail“: Demnach begannen 30 Prozent der Ransomware-Angriffe auf Einzelhändler über ausgenutzte Schwachstellen, im dritten Jahr in Folge die häufigste technische Angriffsursache. Solche OT-Systeme wurden oft vor Jahren installiert, nie für eine offene Vernetzung ausgelegt und laufen anschließend mit Standardkonfigurationen, selten geänderten Passwörtern und ohne die Protokollierung, die in der IT selbstverständlich ist. Dass sich der Angriff parallel gegen mehrere Handelsketten richtete, deutet zudem darauf hin, dass nicht ein einzelnes Unternehmen das Ziel war, sondern eine gemeinsame technische Grundlage, dieselbe Art von vernetzter Steuerungstechnik, oft über denselben Hersteller oder dieselben Wartungswege erreichbar.
Für Unternehmen mit vernetzter Betriebstechnik, vom Einzelhandel über die Produktion bis zur kritischen Infrastruktur, ergeben sich daraus klare Prioritäten.
Das ist ebenso sehr eine Frage der Resilienz wie des Patchens. Ein sinnvoller Ausgangspunkt ist, zunächst die Transparenz zu erhöhen und dann die unnötige Angriffsfläche zu reduzieren. Einzelhändler sollten ein genaues Inventar ihrer Kühlsteuergeräte führen, der darauf laufenden Firmware, der Frage, ob diese noch unterstützt wird, und ob ihre Verwaltungsschnittstellen aus dem öffentlichen Internet erreichbar sind. Die direkte Erreichbarkeit über das Internet sollte überall dort reduziert werden, wo es praktikabel ist. Wo ein Fernzugang betrieblich notwendig ist, sollte er auf vertrauenswürdige Management-Netze oder abgesicherte Fernzugriffsdienste beschränkt werden, gestützt auf starke Authentifizierung und eine angemessene Netzsegmentierung.
Unterstützte Systeme sollten gemäß den Vorgaben des Herstellers aktualisiert werden, während veraltete Steuergeräte möglichst isoliert und in einen geordneten Austauschplan überführt werden sollten. Einzelhändler sollten zudem erwägen, Zugriffsprotokolle, Administratorkonten, Alarmeinstellungen, Abtaupläne und Temperatur-Sollwerte auf unerwartete Änderungen zu überwachen. Idealerweise sollte diese Überwachung ein gewisses Maß an Unabhängigkeit vom Steuergerät selbst aufweisen, damit auffällige Temperaturen oder Steuerungsänderungen auch dann einen Alarm auslösen können, wenn das primäre Management-System kompromittiert ist.
Das kann Investitionen erfordern, insbesondere wenn ein Einzelhändler über einen großen Bestand älterer Geräte verfügt, die identifiziert, isoliert oder ersetzt werden müssen. Doch nicht jede Verbesserung verlangt ein großes Transformationsprogramm. Einige der wichtigsten Maßnahmen sind grundlegend: zu wissen, was verbunden ist, unnötige Internet-Zugänge zu entfernen, verfügbare Updates einzuspielen, wo es machbar ist, administrative Zugriffe zu beschränken und klar festzulegen, wer für die Überwachung und Wartung jedes Systems verantwortlich ist. Selbst wenn sich etwas nicht patchen oder ersetzen lässt, ist es entscheidend, es aus dem Internet zu nehmen. Man muss den Angreifer von der Angriffsgelegenheit trennen. Das mag nicht einfach sein, ist aber weit besser als die Alternative.
Es wäre verfrüht, allein aus diesem Vorfall zu schließen, dass der französische Lebensmitteleinzelhandel generell hinter anderen Ländern zurückliegt. Vergleichbare, über Jahre gewachsene und aus dem Internet erreichbare Betriebstechnik findet sich in vielen Ländern und Branchen, und industrielle Steuerungssysteme bleiben ein anhaltendes Sicherheitsthema. Die nüchternere Schlussfolgerung lautet, dass französische Einzelhändler nun einen klaren Beleg für die möglichen Folgen haben und die Chance, ihre Behebungsmaßnahmen zu beschleunigen. Organisationen anderswo sollten den Vorfall als nützliche Warnung verstehen, dass dieselben grundlegenden Risiken auch in ihren eigenen Umgebungen bestehen könnten.“
#Sophos
