Kühlregale auf 50 Grad, stillstehende Pipelines, manipulierte Wasserpumpen: Seit fünf Jahren laufen Angreifer durch dieselbe offene Tür. Es wird Zeit, sie zu schließen.
Bildquelle: AnnessaAdellia/Shutterstock.com
In der Nacht auf den 2. November stellten Angreifer in Dutzenden belgischen Supermärkten die Kühl- und Gefrieranlagen aus der Ferne auf Abtaumodus – Solltemperatur: 50 Grad Celsius. Eine einzige Filiale verlor Ware im Wert von rund 100.000 Euro, landesweit und darüber hinaus in Schweden, Irland, Estland und den Niederlanden dürfte der Schaden in die Millionen gehen. Ein Dreivierteljahr zuvor traf es Hunderte französische Filialen, dort kam es sogar zu Bränden.
Wer die Sicherheitslage in den letzten fünf Jahren verfolgt hat, erkennt an dieser Stelle kein neues Muster – nur das alte, wiederholt. Oldsmar 2021: Fernwartungszugriff auf ein Wasserwerk, die Chemikaliendosierung wurde manipuliert. Colonial Pipeline 2021: Ein einziges VPN-Konto ohne Multi-Faktor-Authentifizierung genügte, um die größte Pipeline der USA mehrtagelang stillzulegen. Aliquippa 2023: eine internetexponierte Steuerung mit schwachem Passwort. 2024: eine koordinierte Welle pro-russischer Hacker auf Wasser- und Abwasserbetriebe über VNC-Fernzugriffe mit schwachen Passwörtern. Polen 2025: erstmals dokumentiert, wie Angreifer über einen fehlkonfigurierten privaten Mobilfunk-APN in das OT-Netz eines Heizkraftwerks eindrangen und eine Dampfturbine abschalteten. Sommer 2026: Internet-SPS in US-Wasserversorgern in mindestens sieben Bundesstaaten, mit Druckverlusten und Überschwemmungen als Folge.
Fünf Jahre, ein Befund, der sich nicht ändert: Das waren keine brillanten Zero-Day-Ketten und keine unberechenbaren Meisterangreifer. Es waren offene Türen und ungeschützte Identitäten. Konten ohne zweiten Faktor. Standardpasswörter. Wartungszugänge, die nie deaktiviert wurden. Steuerungstechnik, direkt und ohne Identitätsschicht aus dem Internet erreichbar.
Die Angreifer lernen. Die Verteidiger auch?
„Lernt denn niemand aus den Vorfällen?“ Diese Frage stellt sich spätestens seit dem Angriff auf Frankreichs Supermärkte, und es ist zu befürchten, dass die Antwort lautet: Doch, gelernt wird. Nur leider auf der falschen Seite.
Die Angreifer lernen hervorragend. Sie recyceln, was funktioniert, und sie skalieren es. Was 2021 ein Einzeltäter in Florida war, ist 2026 eine industrialisierte Kampagne über sieben europäische Länder. Genau davor hat BSI-Präsidentin Claudia Plattner nach dem Frankreich-Angriff gewarnt: Dieser Angriff hätte jedes Land treffen können und kann jederzeit Nachahmer finden. Vier Wochen später war es so.
Die Verteidigung hingegen wiederholt eine Übung, die wir alle aus der Schule kennen: Das Thema wird durchgesessen, aber nicht verstanden. Die Empfehlungen liegen seit Jahren auf dem Tisch – vom BSI, von CISA, vom FBI – und sie sind überall identisch: keine Steuerungssysteme direkt ins Internet, Fernzugriff nur über abgesicherte Gateways mit Multi-Faktor-Authentifizierung, rollenbasierte minimale Rechte, lückenlose Protokollierung. Das Bundesamt nannte diese Maßnahmen ausdrücklich „unkompliziert umzusetzen“. Trotzdem stehen bis heute SPS in Wasserwerken offen im Netz und Kühlmöbel-Steuerungen in Wartungs-Clouds mit Konten, die ein einzelnes schwaches Passwort vom erfolgreichen Hackerangriff trennt.
Warum geschieht so wenig?
Drei Erklärungen, und keine davon ist eine Ausrede. Erstens: Steuerungstechnik wird beschafft wie eine Waschmaschine, nicht wie ein IT-System. Der Betreiber glaubt, der Installateur sei zuständig; der Installateur glaubt, der Hersteller; der Hersteller verweist auf den Betreiber. In dieser Lücke leben die Fernzugänge, von denen oft nicht einmal der Betreiber weiß, dass es sie gibt. Zweitens: Fernwartung ist bequem und billig. Jede Absicherung fühlt sich an wie ein Eingriff in Verfügbarkeit und Kosteneffizienz – bis das Kühlregal auf 50 Grad steht und die Ware im Wert einer Jahresprämie entsorgt wird. Drittens: Es trifft immer die anderen. Bis es die eigenen Filialen sind.
Unbequem, aber wahr
Die Bilanz ist eindeutig: In nahezu allen dokumentierten Fällen der letzten fünf Jahre war der entscheidende Mangel eine nicht durchgesetzte Identitätskontrolle. Kein zweiter Faktor. Keine rollenbasierten Rechte. Keine Protokolle, die einem nächtlichen Änderungen von Solltemperaturen nach drei Sekunden hätten auffallen müssen. Multi-Faktor-Authentifizierung, Zugriffssteuerung und Protokollierung gehören zu den günstigsten Sicherheitsmaßnahmen, die es gibt und zu den wirksamsten. Colonial hat für das Gegenteil mehrere Milliarden Dollar bezahlt.
Was also ist zu tun? Drei Schritte, die jeder Betreiber, vom Wasserwerk bis zur Supermarktkette, diese Woche beginnen kann. Erstens: Bestandsaufnahme. Welche Fernzugriffe existieren tatsächlich auf Ihre Steuerungstechnik? Installer-APNs, TeamViewer- und VNC-Konten, Hersteller-Clouds, alte Wartungsverträge? Wer diese Liste nicht komplett benennen kann, hat schon die Antwort auf die Frage, wo der nächste Angriff landet. Zweitens: vor jeden OT-Fernzugriff eine Identitätsschicht. Ein Gateway mit Single Sign-On, Multi-Faktor-Authentifizierung, rollenbasierten Rechten, Sitzungsprotokollen und zeitlich begrenztem Just-in-time-Zugriff.
Denn so unbequem es ist: Eine SPS oder eine Kühlmöbel-Steuerung kann kein modernes Identitätsmanagement – diese Kontrolle muss vorgelagert werden, dort, wo Standards wie bspw. OpenID Connect oder Protokolle für Maschinenidentitäten (Non-Human-Identities) sie erzwingen können. Drittens: NIS2 als Architektur verstehen, nicht als Compliance-PDF. Die Richtlinie schreibt genau das vor, was die Vorfälle seit Jahren lehren. Wer sie als Dokumentationsübung abtut, hat die Hausaufgaben vor dem nächsten Vorfall nicht gemacht – und dafür haften künftig auch Geschäftsführungen persönlich.
Die Frage ist also nicht, ob der nächste Angriff kommt. Er kommt bereits in Wellen, und er wird dort erfolgreich sein, wo dieselben Türen offen stehen wie 2021 in Florida. „Lernt denn niemand aus den Vorfällen?“ – Die Angreifer schon, sehr gut sogar. Es wird Zeit, dass die Verteidiger es ihnen gleichtun.
