Wer hat eigentlich den Schlüssel zu Ihrer Kühltruhe? – Wie Sie smarte Geräte sicher betreiben

Montag, 5:40 Uhr. Ein Metzgermeister schließt wie jeden Morgen seinen Laden in einer Kleinstadt auf. Schon an der Tür riecht es falsch. Im Kühlhaus zeigt das Display 48 Grad, die Anlage steht im Abtaumodus. Wurst, Fleisch, Käse für die ganze Woche: Alles verdorben, ein Schaden im fünfstelligen Bereich. Dabei hat er sein Kühlhaus nie ans Internet angeschlossen. Dachte er. Vor Jahren hat der Kältetechniker einen Fernzugang eingerichtet, damit er Störungen von unterwegs beheben kann. Das Passwort steht bis heute auf Werkseinstellung. In der Nacht hat sich jemand anderes eingeloggt. Diese Situation ist kein Einzelfall.

Was in den letzten Wochen passiert ist

In der Nacht zum 12. Oktober manipulierten Unbekannte die Kühlanlagen von rund 700 Supermärkten in Frankreich. Kühl- und Gefriergeräte liefen auf bis zu 50 Grad hoch, Waren im Wert von mehreren Millionen Euro wurden vernichtet, in einzelnen Filialen brannte es. Die französische Cybersicherheitsbehörde ANSSI fand zahlreiche kompromittierte Steuerungen der Hersteller Danfoss, Copeland und Dixell. Die Geräte waren direkt aus dem Internet erreichbar und liefen teils mit veralteter Firmware oder waren vom Hersteller bereits abgekündigt.

Besonders aufschlussreich ist eine Aussage des Chefs der Handelskette Coopérative U: Seine Märkte seien gar keine Kunden von Danfoss. Die Anlagen hatten Kältetechnik-Dienstleister installiert und gewartet, samt Fernzugang. Der Markt selbst wusste oft gar nicht, was da im Netz hing.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte am 13. Oktober ausdrücklich auch Betreiber kleiner Anlagen vor Nachahmern. In der Nacht zum 2. November kam die zweite Welle: Belgien, Schweden, Irland, Estland und Deutschland. Betroffen waren unter anderem ein Rewe-Markt in Raesfeld, ein Edeka-Markt im niederbayerischen Reisbach und ein CAP-Markt in Wuppertal. Der Rewe-Betreiber ist nach eigenen Angaben nicht versichert.

Der Mythos: „Das ist doch nur ein Kühlschrank!“

Kaum ein Unternehmer zählt seine Kühltruhe, die Heizungssteuerung oder die Kamera am Hoftor zur IT. Was dabei oft vergessen wird: In jedem dieser Geräte steckt ein kleiner Computer mit Betriebssystem, Weboberfläche und Benutzerkonto. Und für Angreifer ist es völlig egal, ob dahinter ein Konzern oder ein Familienbetrieb steht. Automatisierte Werkzeuge durchsuchen das Internet rund um die Uhr nach erreichbaren Geräten. Allein von den Danfoss-Steuerungen fand das Sicherheitsunternehmen Claroty im Sommer 2.765 Stück offen im Netz.

Smarte Geräte sind überall im Mittelstand: Zutrittssysteme, Videokameras, Photovoltaik-Wechselrichter, Gebäudetechnik, Drucker, Netzwerkspeicher, Laborgeräte in der Praxis. Sie werden einmal eingerichtet und dann vergessen. Genau das macht sie so gefährlich.

Typische Fehler in kleinen Betrieben

• Der unbekannte Fernzugang: Ein Dienstleister richtet bei der Installation einen Zugang aus dem Internet ein. Dokumentiert wird das nirgends, und Sie erfahren davon erst im Ernstfall.
• Das Werkspasswort: Der Zugang läuft über das Standardkonto des Herstellers, dessen Passwort in jedem Handbuch steht.
• Das Sammelkonto: Techniker, Hausmeister und Chef nutzen dasselbe Login. Wer was wann geändert hat, lässt sich nicht nachvollziehen.
• Der Zugang für immer: Der Wartungsvertrag ist längst gekündigt, der Mitarbeiter ausgeschieden. Ihre Zugänge funktionieren trotzdem weiter.
• Das Gerät am Lebensende: Der Hersteller liefert keine Updates mehr, die Steuerung läuft aber unverändert weiter, weil sie ja funktioniert.
• Alles in einem Netz: Kamera, Kühlung und Buchhaltungs-PC hängen im selben Netzwerk und können sich gegenseitig erreichen.
• Kein unabhängiger Alarm: Die einzige Temperaturüberwachung läuft über dieselbe Steuerung, die gerade manipuliert wurde.

Die gute Nachricht: Die Tür lässt sich schließen

Die Angriffe waren keine Meisterleistung. Die Täter nutzten bekannte Lücken und offene Zugänge. Das BSI bezeichnet die nötigen Schutzmaßnahmen in seiner Empfehlung BSI-CS 154 ausdrücklich als „leicht umsetzbar“. Es geht weniger um teure Technik als um Ordnung und klare Zuständigkeiten.

So betreiben Sie smarte Geräte sicher

1. Bestand aufnehmen. Erstellen Sie eine Liste aller vernetzten Geräte: Was ist es, wo steht es, wer hat es installiert, wer betreut es? Fragen Sie dafür auch Ihre Dienstleister. Ein Netzwerkscanner wie Nmap, den ich Ihnen in dieser Ausgabe als Tool der Woche vorstelle, zeigt Ihnen, was tatsächlich im Netz hängt.
2. Nichts direkt ins Internet. Lassen Sie prüfen, ob die Geräte von außen erreichbar sind. Steuerungen gehören nicht offen ins Netz. Ist ein Fernzugriff nötig, dann nur über eine verschlüsselte VPN-Verbindung mit zweitem Faktor bei der Anmeldung. Das ist die wichtigste Empfehlung des BSI.
3. Eigene Konten statt Werkspasswort. Ändern Sie alle Standardpasswörter und geben Sie jeder Person einen eigenen Zugang. Dann wissen Sie, wer was geändert hat, und können einzelne Zugänge gezielt sperren.
4. Dienstleister-Zugänge regeln. Vereinbaren Sie schriftlich, wie Ihr Dienstleister zugreift. Am besten wird der Zugang nur bei Bedarf freigeschaltet und danach wieder geschlossen. Endet die Zusammenarbeit, endet auch der Zugang. Wie sich die Fernwartung sicher gestalten lässt, habe ich in Ausgabe 25/10 ausführlich beschrieben.
5. Updates und Lebensende im Blick behalten. Spielen Sie Herstellerupdates zeitnah ein oder lassen Sie es vertraglich regeln. Liefert der Hersteller keine Updates mehr, planen Sie den Austausch oder schotten Sie das Gerät konsequent ab.
6. Netze trennen. Smarte Geräte gehören in ein eigenes Netzsegment, getrennt von Büro-PCs und Servern. Warum das so wichtig ist, lesen Sie in meinem Beitrag zur Netzwerk-Segmentierung in Ausgabe 26/04.
7. Unabhängig überwachen und Notfall planen. Ein einfacher Temperaturalarm, der nicht über die Steuerung läuft, hätte vielen Märkten die Ware gerettet. Legen Sie fest, wer nachts informiert wird und was dann passiert. Und prüfen Sie, ob Ihre Versicherung einen solchen Schaden überhaupt abdeckt.

Checkliste: Wer kommt an Ihre Geräte?

1. Haben Sie eine aktuelle Liste aller vernetzten Geräte im Betrieb?
2. Wissen Sie, welche davon aus dem Internet erreichbar sind?
3. Sind alle Werkspasswörter geändert?
4. Hat jede Person, die zugreift, ein eigenes Konto?
5. Ist schriftlich geregelt, wie Dienstleister zugreifen dürfen?
6. Wurden Zugänge ehemaliger Dienstleister und Mitarbeiter gelöscht?
7. Bekommen Ihre Geräte noch Updates vom Hersteller?
8. Hängen smarte Geräte in einem eigenen Netz?
9. Gibt es einen Alarm, der unabhängig vom Gerät funktioniert?

Fazit

Die Angriffe auf die Kühlanlagen zeigen, wie schnell ein unscheinbares Gerät zum Einfallstor wird. Nicht weil die Technik unbeherrschbar wäre, sondern weil niemand genau wusste, wer eigentlich Zugriff hat. Im Alltag entstehen die größten Risiken weniger durch die Technik selbst als durch falsche Annahmen und mangelnde Überprüfung. Wer seine Geräte kennt und die Schlüssel bewusst verteilt, nimmt Angreifern genau diese Gelegenheit.

Die Frage ist nicht mehr, ob jemand Ihre smarten Geräte im Internet findet, sondern, ob er dort eine verschlossene Tür vorfindet.