Ein Wartungszugang darf nicht den ganzen Betrieb gefährden

Unternehmen müssen wissen, welche Funktionen sie unter Angriff aufrechterhalten können und was einen Angreifer davon abhält, an ihren geschäftskritischen Kern zu kommen.

Eine manipulierte Kühlanlage ist für einen Lebensmittelhändler ein Wettlauf gegen die Zeit. Während die Techniker noch den Zugriff untersuchen, steigt die Temperatur. Die Ware muss geprüft, gegebenenfalls gesperrt und entsorgt werden. Bis die Steuerung wieder zuverlässig läuft, ist der Schaden oft längst entstanden.

In Frankreich mussten Händler Lebensmittel wegwerfen, nachdem Täter ihre Kühlanlagen manipuliert hatten. Für IT-Verantwortliche ist dabei vor allem eines wichtig: Dafür muss niemand das gesamte Unternehmensnetz verschlüsseln. Der Zugriff auf die richtige Steuerung reicht.

Die französische Sicherheitsbehörde CERT-FR meldet kompromittierte Steuerungen der Produktfamilien Danfoss AK-SM und AK-SC sowie Copeland XWEB und Dixell XWEB. In ihrer Warnung, die am 16. Oktober aktualisiert wurde, nennt sie öffentlich erreichbare Verwaltungsoberflächen als Problem und geht davon aus, dass die Angriffskampagnen wahrscheinlich weiterlaufen.

Deutsche Betreiber sollten daher prüfen lassen, welche ihrer Anlagen vergleichbare Zugriffe zulassen. An der technischen Verwundbarkeit ändert die Landesgrenze nichts.

Die Anlage gehört zum Sicherheitskonzept

Ich beginne immer mit der Frage, welche Prozesse nicht ausfallen dürfen und woran sie konkret hängen. Erst danach lässt sich beurteilen, ob die Sicherheitsarchitektur die entscheidenden Systeme wirklich schützt.

Bei einer Kühlanlage zählen die Steuerung, ihre Benutzerkonten, die Überwachung und die Wartungszugänge dazu. In die Bestandsaufnahme gehört sie auch dann, wenn das Gebäudemanagement sie beschafft hat und ein Kältetechniker sie betreut. Einem Angreifer ist diese Aufteilung egal.

Der Betreiber dagegen muss genau wissen, wer wofür zuständig ist: Wer bekommt die Sicherheitsmeldungen des Herstellers? Wer bewertet sie? Wer veranlasst das Update, und wer prüft danach, ob die Anlage noch funktioniert? Der Wartungsvertrag sollte diese Aufgaben ausdrücklich regeln oder sie klar von den Pflichten des Betreibers trennen.

Besonders heikel sind Anlagen, für die es keine Sicherheitsupdates mehr gibt. Dass eine Maschine mechanisch noch Jahre läuft, rechtfertigt nicht, ihre Steuerung ungeschützt weiterzubetreiben. Hier muss entschieden werden, ob man sie austauscht oder zusätzlich absichert, und zwar von jemandem, der dafür geradesteht, mit einem festen Termin.

Wie weit reicht ein einzelner Zugriff?

Ein Fernzugang soll die Aufgabe erledigen, für die er eingerichtet wurde. In der Praxis reichen die Berechtigungen aber oft weiter, als ein einzelner Wartungsauftrag es verlangt. Diese Reichweite sollten Betreiber prüfen.

Erreicht ein Konto mehrere Standorte? Kann er Einstellungen jederzeit ändern? Ist der Zugang einer bestimmten Person zugeordnet, und wird er nach der Arbeit wieder gesperrt? Die Antworten entscheiden, ob ein gekaperter Zugang eine einzelne Anlage gefährdet oder einen großen Teil des Unternehmens.

Auch eine erfolgreiche Anmeldung beweist nichts. Mit gestohlenen Zugangsdaten sieht der Zugriff zunächst völlig regulär aus. Man muss deshalb nachvollziehen können, was danach geändert wird. Kritische Eingriffe sollten überwacht werden und, wo es technisch geht, zusätzlich freigegeben werden müssen.

Das BSI beschreibt Angriffswege, die über Fernwartungszugänge und aus Büronetzen bis in Produktionsnetze führen. Solche Verbindungen zu begrenzen, schützt also unmittelbar den Betrieb. Ein übernommener Arbeitsplatz darf nicht freien Zugang zu den wichtigsten Anlagen eröffnen.

Eine Meldung stoppt keinen Angriff

Erkennung ist nötig, schützt den Prozess aber erst, wenn rechtzeitig die passende Reaktion folgt.

Sicherheitsverantwortliche und Anlagenbetrieb sollten deshalb gemeinsam festlegen, was bei einem verdächtigen Zugriff passiert. Wird die Sitzung beendet, das Konto gesperrt oder die Verbindung gekappt? Was bedeutet das für die lokale Steuerung? Und bleibt die Alarmierung erhalten?

Bei einer Kühlanlage sollte sich der Fernzugang sperren lassen, ohne dass die lokale Regelung ausfällt. Ist das nicht gewährleistet, muss man das vor dem Vorfall klären. Wer unter Zeitdruck zwischen offenem Zugang und ausgefallener Kühlung wählen muss, steckt in einer schlechten Lage.

Automatische Reaktionen können wertvolle Zeit sparen, aber ihre Folgen müssen vorher getestet sein. Regeln aus der Büro-IT lassen sich nicht ungeprüft auf Betriebstechnik übertragen.

Und auch nach einem Vorfall reicht es nicht, die Steuerung zurückzusetzen und unverändert wieder anzuschließen. CERT-FR warnt ausdrücklich, dass ein Reset bei weiterhin verwundbaren, öffentlich erreichbaren Geräten keinen dauerhaften Schutz bringt.

Die Geschäftsleitung muss wissen, was noch läuft

Beim niederländischen Handelskonzern Ahold Delhaize, zu dem die Supermarktkette Albert Heijn gehört, führte ein Sicherheitsvorfall dazu, dass Systeme vorsorglich abgeschaltet wurden. Das Unternehmen bestätigte Einschränkungen für Kunden und Partner. Die Geschäfte blieben geöffnet. Ein Zusammenhang mit den Angriffen in Frankreich ist nicht bestätigt.

Wie gut die Reaktion war, lässt sich von außen nicht sagen. Andere Unternehmen sollten aber beantworten können, welche Leistungen bei einer solchen Abschaltung erhalten blieben.

Das gilt auch angesichts hybrider Bedrohungen. Dass hinter den Angriffen in Frankreich ein Staat steht, ist nicht belegt. Betreiber müssen trotzdem mit Tätern rechnen, denen es um den Stillstand selbst geht. Auf ein Verhandlungsangebot kann sich keine Notfallplanung stützen.

Mein Maßstab ist daher die Betriebsfähigkeit während des Angriffs. Cybersecurity und Business Continuity sollten gemeinsam durchspielen, welche Funktionen geschützt bleiben, wer über Eingriffe entscheidet und wie lange ein Notbetrieb durchhält.

Ein Wiederherstellungstest zeigt, ob sich Systeme zurückholen lassen. Die Geschäftsleitung muss darüber hinaus wissen, welche Lieferzusagen das Unternehmen bis dahin noch einhalten kann. Kosten, Verpflichtungen und Abläufe im Betrieb warten nicht, bis die technische Wiederherstellung abgeschlossen ist. Der geschäftskritische Kern muss vorher gesichert sein.