In der Nacht zum 2. November stellten Angreifer in Dutzenden belgischen Supermärkten Kühl- und Gefrieranlagen aus der Ferne auf Abtauen – Solltemperatur: 50 Grad.
Lernt denn niemand aus den Vorfällen?
Heiße Kühlregale, stille Pipelines: Angreifer nutzen seit Jahren dieselbe Schwachstelle
Eine Filiale verlor allein rund 100.000 Euro, europaweit geht es um Millionen. Nur kurze Zeit davor traf es Hunderte französische Märkte, teils brannte es.
Das Muster ist alt: Oldsmar 2021 – Fernwartungszugriff, manipulierte Chemikaliendosierung im Wasserwerk. Colonial Pipeline 2021 – ein VPN-Konto ohne zweiten Faktor legte die größte Pipeline der USA lahm. 2024 – eine Welle von Angriffen auf Fernzugriffe mit schwachen Passwörtern bei Wasserbetrieben. Polen 2025 – Einstieg über einen fehlkonfigurierten Mobilfunk-APN ins OT-Netz eines Heizkraftwerks. Sommer 2026 – internet-exponierte SPS in US-Wasserversorgern, sieben Bundesstaaten, Druckverluste, Überschwemmungen.
Fünf Jahre, ein Befund: keine brillanten Zero-Days, sondern offene Türen und ungeschützte Identitäten. Angriffspunkte sind Konten ohne MFA, Standardpasswörter, nie deaktivierte Wartungszugänge und Steuerungstechnik direkt aus dem Internet erreichbar. BSI, CISA und FBI empfehlen seit Jahren dasselbe: keine direkte Internet-Exposition, Fernzugriff nur über Gateways mit Multi-Faktor-Authentifizierung, minimale Rechte und lückenlose Protokolle. „Unkompliziert umzusetzen“, sagt das BSI.
Es stellt sich die Frage, ob niemand aus den Vorfällen lernt? Die Antwort: Doch – allerdings die falsche Seite. Angreifer recyceln und skalieren: Was 2021 ein Einzeltäter in Florida war, ist 2026 eine Kampagne über sieben Länder. Genau davor warnte BSI-Präsidentin Claudia Plattner – vier Wochen später war es so.
Was jede Organisation diese Woche beginnen sollte, ist erstens: Bestandsaufnahme – welche Fernzugriffe gibt es auf die Steuerungstechnik? Wer die Liste nicht nennen kann, weiß, wo der nächste Angriff landet. Zweitens: eine Identitätsschicht vor jeden OT-Zugriff mit SSO, MFA, rollenbasierten Rechte und Sitzungsprotokollen. Eine SPS kann kein Identitätsmanagement, die Kontrolle muss vorgelagert werden. Drittens: NIS2 als Architektur begreifen, nicht als Compliance-PDF, denn Geschäftsführungen haften auch persönlich.
MFA und Zugriffssteuerung gehören zu den günstigsten und wirksamsten Sicherheitsmaßnahmen überhaupt; Colonial bezahlte für das Gegenteil Milliarden. Es wird Zeit, dass die Verteidiger aus den Vorfällen lernen und Schlüsse ziehen.
