// HEISE ONLINE — CYBERSECURITY
Cyberangriffe auf Kühlsysteme: Hersteller in der Kritik
Vernetzte Technik kann Angriffsflächen bieten. Ein IT-Experte fordert strengere Prüfungen – was sich aus seiner Sicht ändern muss.
Nach den Cyberangriffen auf Kühlsysteme in Supermärkten in mehreren europäischen Ländern, darunter Deutschland, sieht der Karlsruher IT-Sicherheitsexperte Christoph Fischer vor allem die Hersteller vernetzter Geräte in der Pflicht. Dass Steuerungsanlagen mit unveränderten Werkseinstellungen und Standardpasswörtern ausgeliefert und betrieben werden, sei für ihn ein gravierendes Versäumnis. „Das ist völlig unverzeihlich“, sagte Fischer der Deutschen Presse-Agentur (dpa).
Betroffene Betreiber hätten vom Hersteller längst Updates erhalten müssen, die eine zwingende Änderung solcher Standardzugänge vorschreiben. Bei ähnlichen Angriffen in Frankreich Mitte Oktober hatten die Täter Sicherheitslücken in älteren, ans Internet angeschlossenen Steuergeräten von Danfoss ausgenutzt. Ob die neuen Fälle dieselbe Ursache haben, ist noch nicht bestätigt.
Nach Ansicht des Cyberabwehr-Experten müssen Hersteller die Konfiguration ihrer Systeme so gestalten, dass bereits bei der ersten Inbetriebnahme individuelle Passwörter vergeben werden müssen. Zwar sei ein automatisierter Fernzugriff für Wartungszwecke grundsätzlich sinnvoll, technisch gebe es heutzutage jedoch genügend Möglichkeiten – etwa über Zertifikate und asymmetrische Verschlüsselung –, um Zugriffe abzusichern. Die dafür nötige Rechenleistung sei bei modernen Steuerungsprozessoren längst vorhanden.
Fischer warnte davor, das Problem auf den Lebensmitteleinzelhandel zu beschränken. Vernetzte Technik finde sich mittlerweile in zahllosen Bereichen – von Photovoltaikanlagen bis hin zu Wärmepumpen. Auch private Haushaltsgeräte seien zunehmend unnötig vernetzt. „Es muss nicht alles ins Internet“, mahnte Fischer. Wenn ein Netzzugang unumgänglich sei, müssten wirksame Absicherungsmechanismen greifen.
Zudem brachte der Sicherheitsexperte schärfere Prüfungen ins Spiel: Verbraucherschutzorganisationen wie die Stiftung Warentest sollten verbindliche Mindestanforderungen an die IT-Sicherheit als festes Kriterium in ihre Bewertungen aufnehmen. Ab Dezember 2027 gelten unter dem Cyber Resilience Act (CRA) für Hersteller vernetzter Geräte verschärfte Sorgfaltspflichten. Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle müssen sie bereits seit dem 11. September 2026 melden.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.