Cybersecurity: Experten warnen: Kühlregale sind erst der Anfang – Hacker zielen auf den Mittelstand

Die Zahl der Cyberangriffe steigt stetig, Künstliche Intelligenz verschärft das Problem. Doch nach wie vor sind viele Unternehmen nicht ausreichend geschützt. Dabei wäre das durchaus möglich.

Hacker haben weltweit verschiedene kritische Anlagen angegriffen, darunter Windkraft- und Solaranlagen in Polen sowie Industrieanlagen in den USA mit Steuerungsgeräten von Siemens.

Eine Studie von PwC zeigt, dass elf Prozent der Mittelständler in diesem Jahr Cyberangriffe erlitten, ein Drittel davon hatte Produktions- oder Serviceausfälle.

Der Digitalverband Bitkom beziffert die Schäden durch Cyberkriminalität bei deutschen Firmen auf bis zu 200 Milliarden Euro jährlich, Cyberangriffe können für Unternehmen existenzgefährdend sein.

Experten verweisen darauf, dass Künstliche Intelligenz die Geschwindigkeit von Cyberangriffen erhöht, weshalb viele Mittelständler mit der Absicherung hinterherhinken und grundlegende Sicherheitsmaßnahmen oft fehlen.

Düsseldorf. Kaum ein Bereich ist vor den Tätern sicher. Im vergangenen Winter wurden Windkraft- und Solaranlagen in Polen lahmgelegt, auch ein Heizkraftwerk wurde angegriffen. Ein Blackout konnte nur knapp vermieden werden. Dann zielten Angreifer auf Industrieanlagen in den USA, eine Steuerungsanlage von Siemens war als Einfallstor gedacht. Vor wenigen Tagen kaperten Hacker eine Lagerstätte für Blutkonserven.

Es geht längst schon nicht mehr nur darum, Kühlanlagen in Supermärkten lahmzulegen. Überall dort, wo Anlagen über das Netz steuerbar sind, versuchen sich Hacker unerlaubt Zugang zu verschaffen. „Das ist komplett übertragbar auf andere Branchen, auf das Smart Home, auf verschiedenste Geräte, die mit dem Internet vernetzt sind“, erklärt Marc Dönges, Projektleiter an der Transferstelle für Cybersicherheit im Mittelstand. Denn in vielen Fällen wird es den Tätern leicht gemacht.

Das Ziel sind häufig kleine und mittelständische Unternehmen, denn die sind besonders verwundbar. „Wir klären seit Jahren darüber auf, aber nach wie vor werden in vielen Fällen die Basismaßnahmen für Cybersicherheit nicht umgesetzt, vor allem bei kleinen und mittleren Unternehmen“, sagt Dönges.

Einer Studie der Unternehmensberatung PwC zufolge erlebten bereits elf Prozent aller Mittelständler in diesem Jahr einen Cyberangriff. Ein Drittel von ihnen erlitt dadurch Produktions- oder Serviceausfälle. „Die eigenen Fähigkeiten in der Cyberabwehr werden systematisch überschätzt“, urteilt PwC-IT-Sicherheitsexperte Nial Moore. Die Sicherheitsbudgets der Mittelständler seien in vielen Fällen zu niedrig.

Die Auswirkungen sind bedrohlich. Der Digitalverband Bitkom schätzt die Schäden durch Cybercrime bei deutschen Unternehmen auf bis zu 200 Milliarden Euro pro Jahr. „Ein erfolgreicher Cyberangriff kann für Unternehmen das wirtschaftliche Aus bedeuten“, warnt Bitkom-Präsident Ralf Wintergerst.

Wie drastisch die Folgen sein können, haben die jüngsten Angriffe von Hackern auf Tausende von Kühlgeräten in europäischen Supermärkten gezeigt. Weil die Angreifer die Temperatur der Geräte über Nacht auf bis zu 50 Grad Celsius hochgeregelt hatten, mussten tonnenweise verderbliche Lebensmittel entsorgt werden.

Einzelne große Supermärkte in Frankreich meldeten Schäden von mehr als 50.000 Euro. Damit dürfte der Gesamtschaden bei mehreren Hundert betroffenen Geschäften in den zwei Wellen in zehn europäischen Ländern in die Millionen gehen. Zahlreiche deutsche Supermärkte waren betroffen, darunter Kaufleute von Rewe und Edeka, aber auch sogenannte CAP-Märkte, die einen großen Teil ihrer Stellen mit Menschen mit Behinderung besetzen.

Frankreich macht den Iran für den Hackerangriff auf die Kühlanlagen im Oktober verantwortlich. Die zerstörerischen Aktionen ließen sich einer Einheit der iranischen Revolutionswächter zuordnen, erklärte die französische Cybersicherheitsbehörde ANSSI. Zudem registrierten die Ermittler zeitgleich Angriffe auf Anlagen von Schneider Electric, die in kleinen Wasserkraftwerken eingesetzt werden, jedoch mit moderaten Auswirkungen.

In den USA hat sich bereits das FBI in die Vorfälle der vergangenen Monate eingeschaltet. Nach den Angriffsversuchen auf Siemens-Steuergeräte bei Wasserwerken und weiteren kritischen Infrastrukturanbietern gab es in einer gemeinsamen Mitteilung mit den nationalen Sicherheitsbehörden detaillierte Hinweise und die Warnung: „Das ist kein theoretisches Risiko, das ist eine aktive Bedrohung.“

Auch Jannik Stuckstätte hält es für unwahrscheinlich, „dass das ein eher unbedarfter Angreifer war“. Der Cybercrime-Experte von Stoïk sagt: „Auffällig ist bei den aktuellen Angriffen die zeitliche Orchestrierung.“ Jemand habe sich die Mühe gemacht, diese Systeme erst einmal zu sammeln und dann gebündelt zu einem gewissen Zeitpunkt den Angriff flächendeckend über verschiedene Märkte an verschiedenen Standorten durchzuführen.

Stoïk bietet Versicherungen gegen Cyberrisiken an – und erlebt eine deutliche Häufung der Angriffe bei seinen Kunden. „Ereignisse, die wir früher vielleicht einmal im Jahr gesehen haben, treten jetzt jeden Monat auf“, berichtet Stuckstätte, der bei Stoïk das Team leitet, das auf IT-Sicherheitsvorfälle reagiert. Der Versicherer habe über die vergangenen Monate in seinem Portfolio einen Anstieg der Schadenfrequenz von mehr als 50 Prozent beobachtet.

Grundsätzlich sind die Gefahren durch vernetzte Geräte, das sogenannte Internet of Things (IoT), seit Langem bekannt. Ahmad-Reza Sadeghi erforscht seit mehr als 20 Jahren Schwachstellen – auch in cyber-physischen Systemen, in denen Software unmittelbar physische Vorgänge steuert: die Temperatur einer Kühltruhe, die Stellung einer Turbine, die Elektronik eines Autos.

Schon 2017 zeigte Sadeghis Team am System Security Lab der TU Darmstadt mit Kollegen aus den USA eine Schadsoftware für Industriesteuerungen, die in einem Testnetz die Steuerbefehle manipulierte und dem Bedienpersonal zugleich falsche Messwerte vorspielte. 2019 fanden die Forscher in einem verbreiteten Saugroboter eine Lücke, über die sich aus der Ferne alle Geräte des Modells ansteuern und die Grundrisse der Wohnungen abrufen ließen.

Neu sei jedoch das Tempo, sagt Sadeghi: „Die Dynamik hat sich enorm beschleunigt, es wird mehr und mehr Angriffe geben.“ Den Grund sieht der Informatikprofessor in Werkzeugen mit Künstlicher Intelligenz (KI). Sie beschleunigten jeden Arbeitsschritt von Hackern: von der Identifikation von Schwachstellen bis zum Programmieren des Schadcodes. Auch die Suche nach falsch konfigurierten Geräten wie etwa den Kühlschränken kann automatisiert werden.

Viele Mittelständler, die vernetzte Geräte nutzen, kämen bei diesem Tempo nicht hinterher, beobachten Fachleute. „Wir vernetzen unsere Welt aktuell deutlich schneller, als wir sie absichern“, sagt Experte Dönges. Er organisiert Cybersecurity-Workshops für kleine Firmen und kennt deshalb die Probleme in der Praxis sehr genau.

„Das ist ein sehr unterschätztes Risiko und das reiht sich leider ein in eine ganze Reihe von unterschätzten Risiken“, sagt er. Oft würden nötige Updates nicht installiert, es lägen keine Datensicherungen und Backups vor. Auch würden die Geschäftsführungen nicht ihre Verantwortung erkennen für das Thema, Mitarbeitende würden nicht sensibilisiert.

Bei vielen der angegriffenen Kühlgeräte hatte es sich um ältere Modelle gehandelt, für die es keine Software-Updates mehr gab. „Wenn es keine Sicherheits-Updates für ein Gerät gibt, dann muss man es aussortieren“, sagt Dönges. „Wenn sie weiter im Einsatz bleiben, muss man natürlich sicherstellen, dass Fernzugriff ausschließlich über einen VPN-Kanal, also verschlüsselt, möglich ist.“ Wenn nicht, seien Angreifern Tür und Tor geöffnet.

Auch wenn eine Fernwartung in vielen Fällen sehr sinnvoll sein könne, gelte das nicht für jede digitale Funktion. „Vielleicht ist manchmal auch die digitale Funktion, die man gar nicht aktiviert, die sicherste“, sagt Dönges. Wichtig sei auf jeden Fall, dass das in Wirtschaft und Gesellschaft ankommt: Cybersicherheit müsse mitgedacht werden, sonst vernetze man sich nicht nur, sondern schaffe zugleich neue Angriffsflächen.

Forscher Sadeghi nimmt deshalb auch die Hersteller in die Pflicht. Er beobachtet zwar seit einigen Jahren Verbesserungen, insbesondere bei den großen Technologiekonzernen. Immer noch gebe es jedoch viele unsicher entworfene Produkte. Ein einfaches Beispiel seien fest einprogrammierte Passwörter: Werden sie bekannt, können Angreifer auf alle Geräte zugreifen, die davon betroffen sind.

Besonders ausgeprägt sei das Problem bei Betriebstechnik, etwa in der Industrie, im Fachjargon Operational Technology genannt. Sadeghi warnt: „Viele dieser Systeme wurden ursprünglich für isolierte Umgebungen entwickelt und später mit dem Internet verbunden, ohne ihre Sicherheitsarchitektur entsprechend anzupassen.“