Hacker tauen Supermarkt-Kühlanlagen auf: OT-Sicherheit verstehen

Stellen Sie sich vor, Sie sind Nachtschichtleiter in einem Supermarkt in Lyon. Um 3 Uhr morgens bemerkt das Nachtteam, dass Frost von den Tiefkühlregalen abtaut. Dann schlagen die Alarme der Verdichter an, nicht nur in einem Gang, sondern im ganzen Markt. Bis jemand begreift, was passiert, wurden die Kühlräume per Fernsteuerung in den Abtaumodus geschickt, und Tausende Euro an Tiefkühlware erwärmen sich langsam auf die gesetzliche Entsorgungsgrenze zu. Genau so ähnlich lief es dieses Jahr bei Angriffen auf Kühlsteuerungen französischer Supermarktketten ab, und es ist ein nützlicher Weckruf für alle, die glauben, Sicherheit von Operational Technology sei das Problem anderer.

Der Angriff war keine Hollywood-reife Exploit-Kette. Berichten zufolge lösten Angreifer automatische Abtauzyklen auf interneterreichbaren Kühlsteuerungen aus, handelsübliche Geräte eines großen Industrieherstellers, und der Schaden breitete sich über Filialen in mehreren Ländern aus. Etwa zur gleichen Zeit zwang ein separater Vorfall eine belgisch-niederländische Lebensmittelgruppe, Teile ihrer IT offline zu nehmen, was Distribution und Belieferung störte. Zufall oder Koordination, das Ergebnis war dasselbe: Die physische Welt wurde über die digitale gehackt.

Warum hängt eine Tiefkühltruhe überhaupt am Internet?

Die häufigste Reaktion auf diese Geschichte, und sie flutete überall die Kommentare, war irgendeine Variante von „Warum um alles in der Welt verbindet man eine Kühltruhe mit dem Internet?“ Das klingt rhetorisch, hat aber eine echte Antwort, und so zu tun, als gäbe es keine, ist der Grund, warum wir dieses Gespräch alle paar Jahre wieder führen.

Gewerbliche Kühlung ist keine Kühltruhe. Ein mittelgroßer Supermarkt betreibt ein verteiltes thermisches System: Dutzende Kühlvitrinen, Kühl- und Tiefkühlräume, Verdichterracks und Verflüssiger, koordiniert von Steuerungen, die Temperatur gegen Energiekosten abwägen. Der Business-Case für Fernanbindung ist echt:

• Ferndiagnose. Ein Kältetechnik-Dienstleister, der Hunderte Filialen betreut, erkennt ein sich anbahnendes Verdichterproblem Tage vor dem Ausfall. Einen Techniker vorbeizuschicken, nur um für einen routinemäßigen Abtauvorgang einen physischen Knopf zu drücken, kostet echtes Geld; ein Fernbefehl kostet nichts.
• Energieoptimierung. Supermärkte gehören pro Quadratmeter zu den energiehungrigsten Gebäuden. Ketten justieren Vitrinentemperaturen und Abtauzeitpläne im gesamten Filialnetz, und manche nehmen an Demand-Response-Programmen teil, bei denen der Versorger sie bezahlt, wenn sie bei Netzengpässen Last abwerfen.
• Compliance-Protokollierung. Lebensmittelrecht verlangt lückenlose Temperaturaufzeichnungen. Vernetzte Steuerungen erzeugen automatisch einen Audit-Trail: kein Klemmbrett, keine gefälschten Papierprotokolle.
• Flottenvergleich. Wer 2.000 Filialen betreibt, sieht, dass eine Filiale 15 % mehr Strom zieht als vergleichbare, und findet so Kältemittellecks, bevor daraus Reparaturrechnungen im fünfstelligen Bereich werden.

Die Vernetzung ist also nicht dumm. Dumm ist die Umsetzung. Erste Berichte deuten darauf hin, dass viele dieser Steuerungen direkt über das Internet erreichbar waren, manche mit eigenem Mobilfunkmodem und SIM-Karte, auf öffentlichen IP-Adressen ohne VPN, ohne Gateway und ohne Allow-List. Und die Authentifizierung war laut einem vielfach geteilten Bericht ein Benutzername admin mit einem Passwort, das aus dem aktuellen Datum abgeleitet war. Das ist keine Angriffsfläche, sondern eine offene Tür mit Willkommensmatte.

So sieht ein OT-Angriff tatsächlich aus

Softwareentwickler stellen sich Cyberangriffe meist als Datendiebstahl vor: abgeflossene Datenbanken, geleakte Zugangsdaten, Ransomware-Hinweise. OT-Angriffe unterscheiden sich nicht nur im Grad, sondern der Art nach. Das Ziel sind nicht Informationen, sondern ein physischer Prozess. Die Nutzlast ist keine Verschlüsselung, sondern ein legitim aussehender Befehl an ein Gerät, das jedem vertraut, der sich meldet.

Man beachte, wie elegant der Abtau-Angriff war. Die Angreifer mussten keine Malware schreiben, keine Rechte eskalieren und das Protokoll nicht einmal vollständig verstehen. Ein Abtauzyklus ist eine normale, autorisierte Funktion der Steuerung. Er existiert, weil sich Frost auf den Verdampferlamellen bildet und periodisch geschmolzen werden muss. Der Angreifer hat ihn einfach außer der Reihe ausgelöst, und das in großem Maßstab. Keine Sicherheitsverriegelung griff, denn aus Sicht der Steuerung wurde nichts Abnormales angefordert. Das ist das OT-Pendant zum Problem des verwirrten Stellvertreters: Das Gerät führt treu Befehle aus, die es nie hätte erhalten dürfen.

Dieses Muster lässt sich erschreckend gut verallgemeinern. Wasseraufbereitungsanlagen wurden „angegriffen“, indem jemand einen Dosierregler für Chemikalien verschob. Gebäudeleittechnik wurde über den Fernzugang des HLK-Lieferanten übernommen. Fast immer ist die gefährliche Fähigkeit kein Bug, sondern ein Feature, erreichbar für Leute, die nie hätten dorthin gelangen sollen. Deshalb hilft die Lösung nicht mehr Code-Review. Sie heißt Architektur.

Die gefährlichsten OT-Schwachstellen sind keine Speicherkorruptionsfehler. Es sind legitime Funktionen, die illegitimen Aufrufern offenliegen.

Der Patch, den niemand eingespielt hat

Hier ist das Detail, bei dem jedem Security-Engineer die Knie weich werden sollten: Die zugrundeliegende Schwachstelle dieser Steuerungen war Monate zuvor öffentlich gemacht worden, in einem koordinierten Prozess mit dem Hersteller. Sicherheitsforscher veröffentlichten eine detaillierte Beschreibung. Patches gab es zumindest für einige Modelle. Und der Angriff passierte trotzdem.

Das ist das schmutzige Geheimnis des industriellen Patchens. In der Unternehmens-IT sind wir verwöhnt: Eine kritische CVE erscheint, und binnen Tagen hat das Flottenmanagement den Fix gemeldet, vorbereitet und ausgerollt. In der OT funktioniert das nicht. Die Steuerung in einer Tiefkühlvitrine kann fünfzehn Jahre laufen. Sie gehört dem Markt, wird von einem externen Kältetechnik-Dienstleister gewartet, stammt von einem Hersteller und wurde von einem Installateur konfiguriert, der vor sechs Jahren die Firma verlassen hat. Wer genau ist dafür verantwortlich, ein Firmware-Update an 2.400 Standorten in neun Ländern einzuspielen? In der Praxis: niemand.

Schlimmer noch: Der Hersteller hat den Fix offenbar ausgeliefert, ohne ihn klar als sicherheitskritisch zu kennzeichnen. Für einen Wartungsdienstleister mit einem Stapel echter Defekte liest sich „Firmware-Update verfügbar“ wie optionale Fleißarbeit. Das ist ebenso ein Kommunikationsversagen wie ein technisches. Wenn Sie einen Patch für eine Lücke ausliefern, durch die Fremde die Lebensmittel eines ganzen Landes auftauen können, sollten die Release Notes das in Worten sagen, die ein Facility Manager nicht übersehen kann. Die Lücke zwischen Spezifikation und Implementierung erzeugt nicht nur Bugs, sondern ganze Flotten ungepatchter Geräte, deren Betreiber nicht wissen, dass sie verwundbar sind.

Fail-Safe-Standards: Design für den schlimmsten Tag

Reden wir darüber, wie gutes Design aussieht, denn die Prinzipien sind nicht exotisch. Es sind dieselben defensiven Designideen, die wir in sicherheitskritischer Software anwenden, nur in der OT-Welt kaum durchgesetzt. Ich habe bereits über defensives Engineering, das Katastrophen widersteht, geschrieben, und Kühlsteuerungen sind dafür ein Musterbeispiel.

Gefährliche Zustandsänderungen ratenbegrenzen

Ein Abtauzyklus ist physisch unbedenklich, wenn er gelegentlich läuft, und zerstörerisch, wenn er ständig läuft. Also muss man die Physik in der Firmware erzwingen: Nach Abschluss eines Abtauvorgangs wird ein weiterer für ein Mindestintervall abgelehnt, egal welcher Fernbefehl eintrifft. Wer eine Abtauanforderung senden kann, kann tausend senden; das Gerät sollte nicht mehr akzeptieren, als die Physik erlaubt. Das kostet ein paar Zeilen Code und einen Timer und begrenzt den Schaden jeder Kompromittierung der Steuerungsebene.

Lokale Verriegelungen schlagen Fernautorität

Liegt die Kühlraumtemperatur bereits über einer Schwelle oder melden die Produktsensoren Wärme, sollte ein Fern-Abtaubefehl abgelehnt und laut protokolliert werden. Die Steuerung hat die Sensordaten, um zu erkennen, dass ein Befehl unsinnig ist. Also soll sie diese nutzen. Ein Befehl, der ein System in einen bekannt schlechten Zustand treiben würde, ist kein Befehl, sondern ein Fehler.

Signierte Befehle statt Passwörter

Passwörter auf Embedded-Geräten sind ein verlorener Kampf: Sie bleiben Standardwerte, werden geteilt, auf Haftnotizen notiert oder aus dem Datum abgeleitet. Das bessere Modell ist asymmetrisch. Steuerungen prüfen bei jedem Fernbefehl eine Signatur gegen einen öffentlichen Schlüssel des Herstellers oder Betreibers, der bei der Bereitstellung hinterlegt wurde. Ein gestohlenes Passwort hilft dann nichts; man braucht den Signierschlüssel, der in einem HSM in der Leitstelle liegt, nicht auf 2.400 Kühlvitrinen. Ja, das bedeutet Schlüsselverwaltung, Rotation und Sperrinfrastruktur. Ja, es lohnt sich. Für Software-Updates haben wir dieses Problem vor einem Jahrzehnt gelöst; Befehlskanäle verdienen dieselbe Behandlung.

Das Netz als feindlich annehmen

Wenn ein Gerät mit Mobilfunkmodem und Standardzugangsdaten ausgeliefert wird, landet es innerhalb weniger Wochen nach Inbetriebnahme in einer Suchmaschine für exponierte Geräte. Die einzig dauerhafte Lösung ist, so zu entwerfen, als sei das garantiert: Eingehende Verbindungen standardmäßig ablehnen, Telemetrie nur ausgehend an einen Broker senden, die Managementebene ausschließlich über einen gegenseitig authentifizierten Tunnel erreichbar machen. „Nicht ins Internet exponieren“ ist ein Rat; „Exposition überlebbar machen“ ist Engineering.

Isolation ist keine Option: Segmentierung richtig gemacht

Jedes OT-Sicherheitsframework (IEC 62443, die Leitlinien des NIST, das klassische Purdue-Modell) sagt dasselbe: Steuerungssysteme gehören nicht in flache Netze. Trotzdem ist das Mobilfunkmodem in der Tiefkühlvitrine das Anti-Pattern in Reinform. Es umgeht die Unternehmensfirewall komplett und schafft Tausende unüberwachter, einzeln adressierbarer Einstiegspunkte, von denen das Security-Team vielleicht nicht einmal weiß.

Die Architektur, die tatsächlich funktioniert, sieht so aus:

1. Steuerungen leben in einem dedizierten OT-VLAN ohne Route ins Internet und ohne Route in die Unternehmens-IT. Nur ein einziges Gateway darf mit ihnen sprechen.
2. Das Gateway erzwingt Protokoll-Allow-Lists: Die Steuerung spricht mit dem Gateway Modbus oder das Herstellerprotokoll und sonst nichts. Auffälligkeiten hier sind aussagekräftige Alarme, weil legitimer Verkehr langweilig und vorhersehbar ist.
3. Fernzugriff läuft über einen Jump Host mit MFA, Sitzungsaufzeichnung und zeitlich begrenzten Zugangsdaten. Der Kältetechnik-Dienstleister bekommt ein Vierstundenfenster für eine bestimmte Filiale, keinen dauerhaften VPN-Zugang zum gesamten Netz.
4. Nur ausgehende Telemetrie. Braucht die Cloud des Herstellers Temperaturdaten, schiebt das Gateway sie hinaus. Von innen wird nichts abgerufen.
5. Alles inventarisieren. Man kann nichts segmentieren, von dem man nichts weiß. Das Mobilfunkmodem in der Tiefkühlvitrine ist genau die Art Schatten-Konnektivität, die Inventare übersehen, bis Shodan sie für Sie findet.

Keiner dieser Schritte ist im Vergleich zur Alternative hypothetisch oder teuer. Der schwierige Teil ist organisatorisch, nicht technisch: Facility-Team, IT-Security-Team und Hersteller müssen sich darauf einigen, wer was verantwortet. In den meisten Einzelhandelsunternehmen fällt OT zwischen diese Teams: zu physisch für die IT, zu vernetzt für das Facility Management. Diese Unklarheit ist die eigentliche Schwachstelle, und sie ist dieselbe, die Authentifizierungslücken in der Cloud zu unsichtbaren Einbrüchen macht, wie wir bei den blinden Flecken der Authentifizierungsprotokollierung in der Cloud gesehen haben: Wenn niemand die Telemetrie besitzt, sieht niemand den Angriff.

Was Softwareentwickler daraus mitnehmen sollten

Vielleicht fassen Sie nie eine Kühlsteuerung an, aber die Fehlermodi hier sind die jeder vernetzten Anwendung, und sie werden zunehmend Ihr Problem. Die Grenze zwischen IT und OT löst sich laufend auf: Ihre Lagerroboter, die Bürolüftung, Laborgeräte und das smarte Gebäude laufen alle auf eingebettetem Linux und sprechen mit Clouds. Manche Laborgeräte in Krankenhäusern weigern sich inzwischen, Tests durchzuführen, solange das Abo-Konto nicht aufgeladen ist. Ein Abrechnungsausfall oder ein Einbruch in ein internetverbundenes System kann also medizinische Diagnostik stoppen. Wir haben diese Welt gebaut, Komfortfunktion für Komfortfunktion.

Die Lehren lassen sich direkt übertragen. Inventarisieren Sie Ihre Exposition: Wer nicht weiß, was lauscht, den findet jemand anderes. Behandeln Sie gefährliche Operationen als privilegiert, auch wenn sie „normale Features“ sind, denn wer die Steuerungsebene erreicht, nutzt Ihre Features gegen Sie. Signieren Sie, was zählt, und lassen Sie alles andere verfallen. Machen Sie den Fehlerzustand zum sicheren Zustand: Eine Steuerung, die die Verbindung verliert, sollte weiter kühlen und nicht jeden Befehl in der Warteschlange für vertrauenswürdig halten. Und wenn Sie einen Sicherheitsfix ausliefern, sagen Sie es laut, denn ein Patch, den niemand einspielt, ist von gar keinem Patch nicht zu unterscheiden.

Der Abtau-Angriff auf Supermärkte wird vor allem wegen seiner Absurdität in Erinnerung bleiben: Hacker gegen Tiefkühlerbsen. Aber der nächste wird nicht Eiscreme ins Visier nehmen. Er wird dieselbe Klasse exponierter, ungepatchter, schwach authentifizierter Steuerungen treffen, etwa in einem pharmazeutischen Kühllager, einer Kältezentrale eines Rechenzentrums oder einem kommunalen Wasserwerk. Die Hardware ist dieselbe, die Zugangsdaten sind genauso schlecht. Die einzige Variable ist, was auftaut, überflutet oder abschaltet, wenn jemand das Passwort des Tages eintippt.