Wenn Kühlschränke und Tiefkühler ohne Weiteres gehackt werden können, läuft etwas schief. Schuld sind aber nicht nur die Supermärkte.

Wenn Supermarkt-Tiefkühler mit dem Internet verbunden sind, öffnet das potenzielle Schwachstellen. (Foto: ElasticComputeFarm/Pixabay)

Letzten Montagmorgen waren in einigen „Delhaize“-Supermärkten in Luxemburg keine gekühlten Nahrungsmittel vorhanden. Über Nacht hatten sich die Kühlschränke und Tiefkühler aufgeheizt. Nachdem Mitte Oktober französische Supermärkte Opfer einer sogenannten „Cyberattacke“ geworden waren, erwischte es diese Woche solche in anderen europäischen Ländern, darunter eben auch Luxemburg. Soweit nachvollziehbar, waren die Fernsteuerungssysteme der Geräte unzureichend gesichert: Über das Internet erreichbar, waren deren Zugangsdaten zudem leicht zu erraten. Ein Kinderspiel also, sie in den Auftau-Modus zu versetzen und Tonnen Lebensmittel ungenießbar zu machen.

Dabei müssen sich die Supermärkte die Frage gefallen lassen, warum sie nicht aus dem Vorfall in Frankreich gelernt und den Internetzugriff auf ihre Tiefkühler und Kühlschränke nicht sofort gekappt hatten. Das „Computer Incident Response Center Luxembourg“ (Circl), das unter anderem Firmen dabei helfen soll, auf solche Bedrohungen vorbereitet zu sein, hatte am 14. Oktober, wenige Tage nach dem ersten Vorfall in Frankreich, eine lange Liste an möglichen Maßnahmen zur Absicherung vernetzter Geräte in der Industrie veröffentlicht. Die hat wohl niemand gelesen – oder es war zu teuer und umständlich, sie umzusetzen. „Ahold Delhaize“ wird das zwischen 200 und 250 Millionen kosten, wie der international tätige Supermarktkonzern schätzt.

Was machen Kühlschränke eigentlich im Internet? Ja, die Geräte im Supermarkt sind etwas komplexer als jene, die wir zu Hause stehen haben. Dass sie möglichst effizient eingestellt werden, dient nicht nur der Profitmaximierung, sondern auch dem Energiesparen. Womöglich ist es auch sinnvoll, dies per Fernzugriff einstellen und überwachen zu können – aber dann muss die Sicherheit gewährleistet sein. Trotz aller Warnungen scheint es, dass inzwischen in allen Bereichen des Lebens vernetzte, fernsteuerbare Geräte eingesetzt werden. Fraglich ist, ob das wirklich so sein muss: Neben einer ordentlichen Absicherung der Verbindungen könnte die Steuerung in vielen Fällen auch lokal durchgeführt werden.

Was machen Kühlschränke eigentlich im Internet?

Auch in Privathaushalte ziehen immer mehr vernetzte Geräte ein. Sei es der „smarte“ Fernseher, die neuste Waschmaschine mit Update-Funktion oder eine Kamera, mit der das Wohlergehen von Hund oder Katze überprüft werden kann, während man selbst unterwegs ist. Jedes Gerät, das mit dem Internet verbunden ist, stellt eine potenzielle Schwachstelle dar. Oft genug gibt es für sogenannte „Internet of Things“-Geräte nach wenigen Jahren bereits keine Updates mehr, zum Teil lassen sich nicht einmal Passwörter ändern. Diese Geräte werden – für ihre Besitzer*innen unbemerkt – übernommen und als Teil eines „Botnetzes“ zum Versenden von Spam, Denial-of-service-Attacken und andere kriminelle Machenschaften genutzt.

Der EU-Kommissar für Landwirtschaft und Ernährung, Christophe Hansen (CSV) nannte die Angriffe auf die Supermärkte einen „bewussten Versuch, unsere Lebensmittelkette zu unterbrechen und das Vertrauen der Verbraucher in sie zu untergraben.“ Die Luxemburger Regierung äußerte sich bisher nicht, auch die staatliche Cyber-Krisenzelle (Cerc) kam nicht zusammen – anders als bei der Lücke in der Programmiersprache PHP, die Websites und nicht Kühlschränke betraf. Eine Erklärung lieferte die Cerc der woxx bis zu Redaktionsschluss nicht. Dass auf solche Fälle niemand vorbereitet war, obwohl das Schlagwort „Cybersicherheit“ in jeder Sonntagsrede fällt und auch immer öfters in militärischen Kontexten genannt wird, deutet auf erhebliche Lücken beim Schutz kritischer Infrastruktur hin.

Dabei gibt es durchaus Möglichkeiten, wie solche Gefahren gemindert werden könnten. Neben Organisationen wie dem Circl, die sich an Profis richtet, sollte auch die breite Bevölkerung besser sensibilisiert werden. Seit dem 1. Oktober gibt es durch eine neue EU-Richtlinie das „Recht auf Reparatur“, das Herstellerfirmen verpflichtet, viele Geräte auch nach Ablauf der Gewährleistung zu einem angemessenen Preis zu reparieren. Ähnlich könnte man ein „Recht auf Updates“ einführen – damit Nutzer*innen ihre Geräte so lange wie möglich benutzen können. Auch sollte es eine garantierte Möglichkeit geben, alternative Software auf Geräte aufzuspielen, denn oft genug finden sich Enthusiast*innen, die weiterhin Updates für ältere Geräte programmieren wollen. Vielleicht interessiert sich ja dann auch jemand für Supermarkt-Kühlschränke.