Frankreich macht eine Einheit der iranischen Revolutionsgarde für die Angriffe auf Kühlanlagen verantwortlich und hat Haftbefehle beantragt. Hersteller und Sicherheitsforscher beschreiben seit Oktober, was den Angreifern geholfen hat: alte Software, Standardpasswörter, Fernzugänge über das offene Internet. Dieser Teil liegt bei den Betreibern.
Am 9. November hat die französische Regierung die Angriffe auf Supermarkt-Kühltruhen einem Staat zugeschrieben. Außenminister Jean-Noël Barrot sagte in Paris, er könne „bestätigen, dass die Verantwortung für diesen Angriff bei der Revolutionsgarde der Islamischen Republik Iran liegt“ 1 6. Die Pariser Staatsanwaltschaft nennt eine Einheit namens „Shahid Kaveh“ und hat internationale Haftbefehle gegen deren Leiter und seine beiden Stellvertreter beantragt 2 10. Der iranische Botschafter wurde einbestellt, Barrot kündigte Sanktionen auf europäischer Ebene an 2 6. Teheran nennt das einen „verantwortungslosen und lächerlichen Schritt“ 11.
Über die Zuschreibung wird nun in Paris, Brüssel und Berlin gestritten werden. Für Unternehmen, die Kälteanlagen oder andere ferngewartete Technik betreiben, steht das Wichtigere in zwei älteren Berichten, die mit Iran nichts zu tun haben.
Was Danfoss und eine Forscherin im Oktober sagten
Der erste stammt vom 12. Oktober, dem Tag nach dem Angriff. Die betroffenen Regler liefert der dänische Hersteller Danfoss, und das Unternehmen erklärte, die Anlagen hätten veraltete Firmware betrieben; man dränge Kunden seit Langem zu Updates und zum Wechsel alter Systeme 4. Fünf Tage später berichtete die Sicherheitsforscherin Marta Rybczyńska, viele Anlagen liefen mit Standardpasswort und seien über das offene Internet erreichbar, weil Wartungsfirmen sie aus der Ferne betreuen 5 8.
Nach Darstellung der Staatsanwaltschaft kamen die Täter über Web-Oberflächen an die Regler, lösten „endlose, anormale Abtauzyklen“ aus und schalteten die Alarme ab, die bei steigender Temperatur warnen sollen 3. In französischen Truhen stieg die Temperatur in der Nacht zum 12. Oktober von bis zu minus 27 auf über 50 Grad. Eine Intermarché-Filiale in Issy-les-Moulineaux bei Paris meldete 62 Grad, ein Markt in der Normandie 80 2 5. Rund 20 Brände zählt die Staatsanwaltschaft, die Ermittler gehen von 700 betroffenen Verkaufsstellen aus 3. Aufgefallen ist es am Morgen, als Beschäftigte die Regale öffneten 5.
Die Zuschreibung ändert an der Lage der Händler wenig
Dass Paris einen Absender nennt, ist keine Nebensache. Die Regierung spricht vom „ersten groß angelegten Cyberangriff zu Sabotagezwecken auf französischem Staatsgebiet“ 6, und von der Zuschreibung hängt ab, ob der Fall bei Strafverfolgern bleibt oder die Außenminister beschäftigt. Sicher ist sie nicht. Die Staatsanwaltschaft stützt sich auf die Vorgehensweise, auf die Verwendung von Farsi und auf IP-Adressen, die auf Geräte in Iran zurückführen 2 6; wie die Regierung zu ihrer Bewertung gelangt ist, hat sie nicht im Einzelnen erläutert 1. Die Bundesregierung legt sich bislang nicht fest. Außenminister Johann Wadephul sagte, er habe keine eigenen Erkenntnisse, nehme die Aussagen seines französischen Kollegen aber sehr ernst 6.
Für einen Marktbetreiber macht es allerdings keinen Unterschied, ob am anderen Ende ein Geheimdienst sitzt oder jemand anderes, solange der Regler mit dem Passwort des Herstellers im Internet steht. Das zeigte sich drei Wochen nach Frankreich. Am 2. November traf eine zweite Welle Märkte in Belgien, Luxemburg, Schweden, Irland, den Niederlanden, Finnland und Estland 9, in der Nacht darauf auch in Deutschland: zwei CAP-Märkte in Wuppertal und Wetter-Volmarstein, einen Rewe-Markt in Raesfeld, Edeka-Märkte in Lilienthal bei Bremen und im niederbayerischen Reisbach 7. In Lilienthal maß der Inhaber 70 Grad in der Frischetheke und musste einen Container Lebensmittel entsorgen 7. In Reisbach waren die Anlagen nach Angaben des Betreibers über Nacht auf „50 Grad heizen“ umgestellt worden 7. Die Hinweise von Danfoss und Rybczyńska waren zu diesem Zeitpunkt seit gut zwei Wochen veröffentlicht.
Was der Handel dazu sagt
Der Bundesverband des Deutschen Lebensmittelhandels spricht von „Einzelfällen“ ohne nennenswerte Schäden und verweist darauf, dass die Technik in deutschen Märkten nach der ersten Welle vielfach überprüft worden sei 8. Fünf betroffene Märkte in einer Nacht sprechen dafür, dass diese Prüfung nicht jeden erreicht hat.
Warum, lässt eine Auskunft von Edeka ahnen. Wegen der genossenschaftlichen Struktur mit rund 3.200 selbstständigen Kaufleuten gebe es „keine einheitlichen Kühlsysteme“ 8. Das begrenzt den Schaden, den ein einzelner Angriff anrichten kann. Es bedeutet aber auch, dass niemand für alle entscheidet, welcher Regler ein Update bekommt und wer das Passwort ändert; die Frage landet bei jedem Kaufmann einzeln, und bei der Firma, die seine Kälteanlage wartet.
Auf der politischen Seite ist der Ton ein anderer. Bundesinnenminister Alexander Dobrindt nannte die Attacken einen hybriden Angriff „next level“ und kündigte an, Deutschland schaffe die gesetzlichen Voraussetzungen, um „zurückzuschlagen im Cyberraum“ 11. Das ist eine Antwort an den Absender.
Was Betreiber jetzt klären sollten
Intermarché-Chef Thierry Cotillard beziffert die Verluste seiner Gruppe auf einen „zweistelligen Millionenbetrag“. Die Handelsunternehmen rechnen nach eigener Darstellung nicht damit, dass die Versicherung dafür aufkommt 5.
Dennis-Kenji Kipker vom Cyberintelligence Institute in Frankfurt nennt als Erstes: „die Steuerungen vom offenen Internet zu nehmen und den Fernzugang nur noch über eine gesicherte Verbindung zuzulassen“. Geräte, die keine Updates mehr bekommen, müssten ausgetauscht werden und bis dahin abgeschottet laufen 8. Das FBI gibt Betreibern von Kälteanlagen denselben Rat 3, Danfoss verweist auf aktuelle Firmware 4. Mirko Ross vom Anbieter Asvin erinnert daran, dass die betroffenen Thermostate weltweit verbaut sind 8.
Bevor ein Unternehmen das umsetzen kann, muss es wissen, wem die Anlage gehört. Steht die Kältetechnik auf der Liste der IT, oder gehört sie dem Haustechniker und seinem Dienstleister? In den französischen Märkten lief der Fernzugang über Wartungsfirmen 5 8. Wer diese Frage in der eigenen Firma nicht in fünf Minuten beantworten kann, hat seit dem 12. Oktober einen Grund, sie zu stellen.
Ähnliche Artikel
