Pro-russische Gruppen bekennen sich zu Supermarkt-Kühlangriffen in Europa

Gruppen bekennen sich zu den Angriffen

Die pro-russischen Gruppen Noname057(16) und Z-Pentest Alliance bekannten sich in einem auf sozialen Netzwerken veröffentlichten Video zu den Angriffen, wie Tg1 am 4. November berichtete. In der Botschaft heißt es, es sei keine Schadsoftware nötig gewesen, man habe ausschließlich in den Systemen verbaute Funktionen ausgenutzt; zudem behaupten sie, ihre Reichweite erstrecke sich auf Wasserversorgung, Kraftwerke, Industrieanlagen und Lebensmittellager. Zum Beleg veröffentlichten sie laut De Morgen und 7sur7 2.500 Zeilen aus einer Danfoss-Datenbank auf Telegram, darunter Zugangsdaten und Passwörter. Ihre Telegram-Kanäle sind inzwischen offline genommen und die Beiträge gelöscht worden, sodass die Behauptungen nicht unabhängig überprüft werden können.

Wie sich die Angriffe ausbreiteten

Laut De Morgen und 7sur7 sollen Hacker die Verdampfer von Kälteanlagen aus der Ferne in den Abtaumodus geschaltet und so Kühlräume und Kühlregale erwärmt haben. Die Schwachstelle liege in den von dem dänischen Hersteller Danfoss gelieferten Temperaturregelungssystemen. Adnkronos berichtet, die Temperaturen hätten bis zu 50 Grad erreicht. Am Montag, 2. November, wurden Kühlsysteme in Supermärkten in Belgien, den Niederlanden, Luxemburg, Schweden, Finnland, Estland und Irland getroffen. Am Dienstag, 3. November, kamen laut Deutsche Welle Deutschland, Rumänien und das Vereinigte Königreich hinzu. Der Sender erinnert zudem daran, dass im Oktober in Frankreich Hunderte Supermärkte wegen Kühlausfällen verderbliche Waren entsorgen mussten – offenbar eine ähnliche Hackeraktion.

Behörden und die Auswirkungen

In Italien erklärte Palazzo Chigi nach einem Treffen zwischen Staatssekretär Alfredo Mantovano und Landwirtschaftsminister Francesco Lollobrigida, an dem auch der Chef der nationalen Cybersicherheitsbehörde und die Direktoren der Geheimdienste teilnahmen, es gebe keinen Alarm, aber höchste Aufmerksamkeit. Die Regierung erklärte, die Auswirkungen in Italien seien stark begrenzt und beträfen nur wenige gewerbliche Einheiten von Tausenden im ganzen Land, zumeist mit veralteten Sicherheitssystemen und direkt ins Internet exponierten Schnittstellen. Erste Berichte hatten laut Deutsche Welle 20 betroffene Betriebe genannt. In Großbritannien sagte Paul Chichester, Direktor für Operationen beim National Cyber Security Centre, die Fleischverarbeitungsindustrie sei betroffen gewesen, die Auswirkungen seien minimal. Der Direktor des Zentrums, Richard Horne, sagte der BBC, das Problem betreffe die gesamte britische Lebensmittelversorgungskette, und Teams hätten die Nacht durchgearbeitet, um gefährdete Unternehmen zu warnen.

Deutschland, Rumänien und Belgien

In Deutschland wurde die Kühlung eines Supermarkts der Wohlfahrtsorganisation Arbeiterwohlfahrt in Wetter-Volmarstein in Nordrhein-Westfalen angegriffen. In den Kühlregalen und Außenlagern stiegen die Temperaturen, und der Markt musste große Mengen Lebensmittel wegwerfen. Das Ausmaß des Schadens ist noch unklar. Sandrae Salten, Leiterin der Organisation, sagte, das eigentliche Ziel der Hacker scheine das Unternehmen zu sein, das die Fernwartung der Kühlsysteme durchführt. Laut Behörden und Unternehmensvertretern zählt Deutsche Welle vier betroffene Supermärkte in Deutschland und sechs in Rumänien. In Belgien meldeten Dutzende Filialen mehrerer Ketten Kühlausfälle, und die Bundesanwaltschaft leitete Ermittlungen ein.

Wer dahintersteckt

Forscher mehrerer Unternehmen analysieren Daten aus Honeypots – Ködersystemen, die verwundbar wirken sollen, um Angreifer anzulocken. Laut BBC setzten drei Firmen Köder für gefälschte Gefrierschrank-Software ein, und Experten schließen russische Gruppen nicht aus, nennen aber auch iranische Hacktivisten, staatliche Hacker oder Jugendliche als Möglichkeiten. Die in Strathclyde ansässige Firma Lupovis verzeichnete Aktivitäten auf ihren Honeypots ab zehn Tage vor der zweiten Welle, und ihre weltweit verteilten Köder wurden ausschließlich aus Europa angegriffen. Ryan Dewhurst von der spanischen Firma Previdian sagte, die gleichzeitigen Treffer deuteten auf Planung hin.

Die Tatsache, dass all diese Kühl- und Gefriergeräte gleichzeitig getroffen wurden, spricht für Planung und Koordination.

Eric Schouten, ehemaliger Mitarbeiter des niederländischen Inlandsgeheimdienstes AIVD, sagte dem AD, die Behauptungen könnten durchaus zutreffen, angesichts der bisherigen Angriffe der Gruppen auf Kläranlagen, Energieversorgung und industrielle Steuerungssysteme. Er fügte hinzu, die Täter seien bislang nicht unabhängig identifiziert, was nicht bedeute, dass der russische Staat die Angriffe angeordnet habe.

Die Ursache

Christoph Fischer, IT-Sicherheitsexperte aus Karlsruhe, sieht die Hauptverantwortung bei den Herstellern vernetzter Geräte. Es sei ein schwerwiegendes Versäumnis, dass Steuerungssysteme mit Werkseinstellungen und Standardpasswörtern ausgeliefert würden, und die Betreiber hätten Hersteller-Updates erhalten müssen, die das Ändern dieser Standardzugangsdaten verlangen. Er warnte zudem davor, das Problem auf den Lebensmitteleinzelhandel zu begrenzen: Vernetzte Technik stecke auch in Photovoltaikanlagen und Wärmepumpen, und private Geräte würden zunehmend ohne Not vernetzt.

„Das ist schlicht unverzeihlich“, sagte Fischer über die Standardeinstellungen.

Es muss nicht alles im Internet hängen.

Der Sprecher der Europäischen Kommission, Thomas Regnier, sagte, die EU-Agenturen stünden mit den nationalen Behörden in Kontakt, um eine koordinierte Reaktion vorzubereiten, und die Vorfälle seien nicht isoliert. Die belgische Bundesanwaltschaft hat Ermittlungen eingeleitet, die Täter sind bislang nicht unabhängig identifiziert.