Kühltechnik-Angriff trifft 700 französische Supermärkte

Die Kühlung großer Supermärkte hängt an vernetzten Steuerungen. Werden deren Einstellungen verändert, müssen Filialleitungen entscheiden, welche gekühlten und tiefgekühlten Lebensmittel noch sicher verkauft werden können. Genau das geschah am Wochenende in Frankreich: Wirtschaftsminister Roland Lescure sagte am 13. Oktober vor der Nationalversammlung, etwa 700 von rund 10.000 Lebensmittelgeschäften seien betroffen gewesen. Der Angriff habe zunächst Sorgen um die Versorgung ausgelöst, zu einem landesweiten Engpass sei es aber nicht gekommen (Dailymotion, BFMTV).

Betroffen zu sein heißt nicht, dass Lebensmittel verdorben sind. Lescures Zahl erfasst die angegriffenen Geschäfte, nicht jene, die Ware entsorgen mussten. Bei einem Intermarché in Gradignan bezifferte ein Gerichtsvollzieher den verdorbenen Bestand zum Einkaufspreis auf 21.000 Euro (Le Monde). Über die Schäden der ersten Nacht haben wir bereits berichtet (To Brief); inzwischen ist die offizielle Zahl gestiegen, und auch Geräte eines zweiten Herstellers wurden angegriffen.

Eine Steuerung mit Weboberfläche

In einem großen Supermarkt wird nicht jede Kühltruhe wie ein Haushaltskühlschrank einzeln gesteuert. Eine zentrale Regelung funktioniert eher wie das Thermostatfeld eines Bürogebäudes: Techniker überwachen darüber Temperaturen und Alarme der gesamten Anlage, oft über eine Weboberfläche, auf die sie aus der Ferne zugreifen können. Zu den Routineaufgaben gehört das Abtauen. Dabei werden die Kühlschlangen kurz erwärmt, damit sich angesammeltes Eis löst.

Einzelhändler erklärten, die Angreifer hätten die Abtaueinstellungen verändert; als Werte seien bis zu 50 °C gemeldet worden (BFMTV). Die Zahl bezeichnete den im Steuergerät eingegebenen Wert; die tatsächliche Temperatur eines Joghurtbechers ließ sich daraus nicht ablesen. Nach der Manipulation konnten die Geschäfte nicht mehr sicherstellen, dass die Kühlkette eingehalten worden war. Die Ware musste geprüft und teils entsorgt werden.

Das französische Cyberwarnteam CERT-FR bestätigte, dass zahlreiche Danfoss-Steuerungen der Modelle AK-SM und AK-SC kompromittiert worden seien. Die Verwaltungsoberflächen direkt über das öffentliche Internet erreichbar zu machen, sei schlechte Praxis (CERT-FR). In der Thermostat-Analogie wäre das, als hinge das Bedienfeld des Gebäudes außen an der Straße.

Der dänische Hersteller Danfoss erklärte, bei den meisten betroffenen Geräten handele es sich um ältere, inzwischen ausgemusterte Modelle. Eine Produktreihe sei 2016, die andere 2021 eingestellt worden; die eigenen Netze seien nicht betroffen gewesen (Cooling Post). Ermittler haben bislang nicht veröffentlicht, wie die Angreifer eingedrungen sind.

In der Nacht vom 12. auf den 13. Oktober meldeten auch Geschäfte mit Steuerungen des zweiten Herstellers Dixell ähnliche Manipulationen (Le Monde). In einem Supermarkt in der Gironde bemerkte das Personal die veränderten Einstellungen, bevor Ware entsorgt werden musste. Ob hinter den Dixell-Fällen dieselben Angreifer stecken, ist noch unklar.

Leere Regale in Belgien hatten eine andere Ursache

Ein anderer Vorfall jenseits der Grenze beeinträchtigte den Warenfluss über die Logistik, nicht über die Kühlung. Ahold Delhaize, Eigentümer von Albert Heijn und Delhaize, entdeckte am Sonntag, dem 11. Oktober, ein Sicherheitsproblem im eigenen Netzwerk und nahm vorsorglich Systeme vom Netz (Ahold Delhaize). Die Filialen blieben geöffnet, doch Online-Bestellungen und Lieferungen fielen aus. In einigen der sieben großen niederländischen Verteilzentren der Kette sei die Arbeit vollständig zum Erliegen gekommen, sagte der Vorstandschef von Albert Heijn (NOS).

Die belgischen Albert-Heijn-Filialen sind auf eines dieser Zentren in Tilburg angewiesen (VRT). Kurz darauf berichteten belgische Medien von leeren Regalen in einer Filiale in Roeselare. Der zeitliche Zusammenhang legt eine Verbindung zu Frankreich nahe, doch Ahold zufolge gebe es dafür keine Hinweise. Auch das niederländische Zentrum für Cybersicherheit sehe derzeit keinen Grund, von einem Zusammenhang auszugehen (Security.NL).

Die in Frankreich offengelegte Schwachstelle gibt es auch anderswo. Das dänische Technikmedium Ingeniøren fand 51 ältere Danfoss-Kälteanlagen in Dänemark, die aus dem öffentlichen Internet erreichbar waren; bei keiner wurde eine Kompromittierung gemeldet (Ingeniøren). Die Zahl belegt offene Zugänge; für einen Einbruch gibt es in diesen Fällen keinen Bericht. CERT-FR warnt, dass ein zurückgesetztes, nicht mehr unterstütztes Gerät erneut angreifbar bleibt, solange es öffentlich erreichbar ist (CERT-FR). Einzelhändler und ihre Kältetechnik-Dienstleister müssen nicht abwarten, bis der Angriffsweg in Frankreich öffentlich bekannt ist. Eine Steuerung, die vom offenen Internet getrennt oder ersetzt wurde, ist für Außenstehende deutlich schwerer zu erreichen.