Ein Cyberangriff hat in der Nacht auf Montag die online gesteuerten Kühlanlagen in hunderten französischen Supermärkten lahmgelegt. In einigen Märkten begann der Angriff laut französischen Medien gegen Mitternacht. Am Montagmorgen kam aus den Kühlregalen Wärme statt Kälte; Tiefkühltruhen und Kühlregale waren warm, teilweise kam es laut Pariser Staatsanwaltschaft sogar zu kleineren Bränden.

Die Hacker sollen die Systeme aus der Ferne so umprogrammiert haben, dass sie dauerhaft in den Abtaumodus wechselten. Die Temperaturen stiegen dabei auf bis zu 50 Grad Celsius. Frische, gekühlte und tiefgekühlte Waren mussten in vielen Filialen entsorgt werden – Lebensmittelverlust im großen Stil, und für die Märkte ein ziemlich bitterer Start in den Tag.

Bis zu 200 Intermarché-Filialen betroffen

Bei Intermarché sind laut AFP etwa 150 bis 200 Filialen betroffen. Die Handelskette erklärte, in bis zu 200 Märkten seien sämtliche frischen, gekühlten und tiefgekühlten Waren entsorgt worden. Einzelne Filialen meldeten Schäden von mehreren hunderttausend Euro. Intermarché geht davon aus, dass Versicherungen diese Schäden nicht abdecken.

Auch die Coopérative U bestätigte Störungen, allerdings in weniger als 100 Verkaufsstellen. Die Kooperative der Super-U-Filialen bestätigte ebenfalls den Cyberangriff. Medien berichteten zudem über eine mögliche Betroffenheit von Leclerc, Carrefour, Carrefour Market und Monoprix. Diese Ketten haben dies bislang nicht bestätigt. Genaue Angaben zur gesamten Schadenshöhe liegen noch nicht vor.

Alte Software, vernetzte Kühltechnik

Im Mittelpunkt stehen vernetzte Anlagen des dänischen Herstellers Danfoss. Moderne Supermärkte steuern Temperaturen, Abtauzyklen und Alarme über zentrale Systeme. Für die Fernwartung durch Kältetechniker sind diese Anlagen häufig über das interne Netzwerk erreichbar. Wer Zugriff erlangt, kann Sollwerte verändern und Abtauvorgänge auslösen – digital ein paar Befehle, in der Filiale warme Luft und verdorbene Ware.

Betroffen waren laut französischen Medien Steuerungen von Danfoss, offenbar nur ältere Softwareversionen. Das Sicherheitsunternehmen Claroty hatte im Sommer drei Schwachstellen im Web-Interface des Systemmanagers AK-SM 800A veröffentlicht. Eine Lücke im sogenannten „Code des Tages“-Mechanismus ermöglicht laut Claroty, die Anmeldung zu umgehen und eigenen Code auszuführen. Danfoss schloss die Sicherheitslücken mit der Firmware R4.3.1.

Claroty fand ähnliche Schwachstellen im Konkurrenzprodukt XWEB Pro von Copeland. Ob die Angreifer tatsächlich eine dieser Lücken ausnutzten, ist bislang nicht bestätigt. Danfoss äußerte sich bisher nicht öffentlich; für Montag war ein Treffen mit Kältetechnikfirmen geplant. Industrielle Steuerungen laufen häufig jahrelang mit veralteter Software, weil Updates den laufenden Betrieb beeinträchtigen können. Das ist praktisch – bis plötzlich niemand mehr weiß, warum die Truhen auftauen.

Ermittlungen nach Verlusten und Bränden

Die Pariser Staatsanwaltschaft leitete Ermittlungen ein, unter anderem wegen der Lebensmittelverluste und einzelner Brände. Die französische Agentur für die Entwicklung von Cyberkriminalität hat die Ermittlungen übernommen. Hinweise auf die Täter gibt es bislang nicht; die Verantwortlichen sind unbekannt.

Parallel bestätigte der niederländisch-belgische Handelskonzern Ahold Delhaize einen Sicherheitsvorfall in seinem Netzwerk. Bei Albert Heijn und Delhaize waren Websites und Apps offline, mehrere Verteilzentren standen still. Hinweise auf einen Zusammenhang mit den Angriffen in Frankreich gibt es bislang nicht.

Was industrielle IT-Sicherheit leisten muss

Das Fraunhofer IOSB arbeitet aktuell in drei Schwerpunktbereichen der industriellen Kommunikation und Cybersicherheit. Dazu gehört die Anomalie-Erkennung auf Feldebene: Beim Condition Monitoring werden Prozessgrößen analysiert, um Systemzustände und Veränderungen zu erkennen – auch ohne exaktes Vorwissen über den jeweiligen Prozess.

Solche Anomalien können auf Änderungen im Prozessablauf, defekte oder alternde Produktionsanlagen, versehentliche oder beabsichtigte Eingriffe in die Prozessführung oder Angriffe auf die Produktions-IT hindeuten. Werden Kommunikationsverbindungen überwacht, lassen sich Eingriffe im besten Fall erkennen, bevor sich der Prozess sichtbar verändert. Bei einer Kühlanlage wäre das der Moment, in dem noch niemand vor einer warmen Tiefkühltruhe steht.

Ein zweiter Schwerpunkt ist die Produktionssteuerung und -überwachung. Zunehmend kommen herstellerunabhängige, standardisierte Kommunikationsprotokolle auf Basis von Internet-Protokollen zum Einsatz. Sie ermöglichen weltweiten Zugriff auf Produktionssysteme. OPC UA dient dabei als Framework für die weltweite Vernetzung im Rahmen von Industrie-4.0-Anwendungen.

Das Fraunhofer IOSB bewertet die Sicherheitsfunktionen der OPC-UA-Standards, entwickelt Empfehlungen für deren Einsatz und Umsetzung und untersucht konkrete Implementierungen auf Schwachstellen. Außerdem erarbeitet das Institut Sicherheitsrichtlinien für die Auslagerung von Funktionen an externe Dienstanbieter und für die Nutzung von Public-Cloud-Umgebungen.

Der dritte Bereich ist die Vulnerability-Analyse. Untersucht werden Schwachstellen in Konfigurationen und Fehler in Software-Implementierungen von Komponenten und Geräten – etwa Fehler in Firewall-Konfigurationen, Schwächen bei Authentifikations- und Verschlüsselungsverfahren oder Design-Schwächen in Kommunikationsprotokollen.

Für Tests können Ressourcen einer Private Cloud gebündelt werden, um verteilte Denial-of-Service-Angriffe auf reale Systeme und Komponenten durchzuführen oder mit Fuzzing-Werkzeugen Implementierungsfehler zu finden. Virtuelle Umgebungen helfen dabei, das Verhalten von Malware zu untersuchen und Abwehrstrategien zu entwickeln. Die IT-Sicherheitslabore werden außerdem für Ausbildung und Training genutzt; Schulungen behandeln den Einsatz von OPC-UA-Mechanismen sowie die Planung und den Aufbau sicherer Produktionsnetze.