BSI gemahnt auch Betreiber kleiner vernetzter Anlagen

Nach dem Angriff auf Kühlsysteme warnt das deutsche Bundesamt für Sicherheit in der Informationstechnik nicht nur den Einzelhandel vor Attacken_ „Dieser Angriff hätte jedes Land treffen können und kann auch jetzt jederzeit Nachahmer finden“, sagt BSI-Präsidentin Claudia Plattner. „Derartige Einfallstore laden regelrecht zu Sabotage ein.“ Das BSI fordere Betreiber solcher Anlagen auf, ihre Systeme sicher zu betreiben.

Dazu hat die IT-Sicherheitsbehörde des Bundes in einer am Dienstag veröffentlichten Empfehlung praxisnahe Empfehlungen für „Betreiber kleiner und kleinster industrieller Anlagen“ veröffentlicht, also etwa Energieerzeugungsanlagen wie vernetzte Solarwechselrichter, Kühlsysteme, einzelne Windkraftanlagen, Trinkwasserversorgungsstellen oder vergleichbare Einrichtungen. Soweit diese nicht als Kritische Anlagen oder anderweitig als Kritische Infrastruktur klassifiziert sind, unterliegen sie grundsätzlich keinen speziellen IT-Sicherheitsvorschriften; allerdings liegt es im Interesse der Betreiber, sie funktionsfähig und fehlerfrei betreiben zu können.

Ausdrücklich betont das BSI, dass diese Maßnahmen unabhängig von den konkreten Vorfällen in Frankreich empfohlen würden, wo ungepatchte, von außen erreichbare Kühlsysteme massenhaft manipuliert wurden. Vielmehr warnt das Amt in seiner Empfehlung vor „rein destruktiven Sabotageakten“, die „einfach vermeidbar“ gewesen wären, weshalb das BSI nun noch einmal die Basics darlegt: „Der wichtigste und zugleich einfachste Schutz ist es, die Anlagen vom Internet zu trennen.“ VPN-Tunnel, Multifaktor-geschützter Zugriff sowie Positivlisten für Zugriffsberechtigungen und natürlich Updates würden Angreifern das Vorgehen bereits deutlich erschweren, so die Kernbotschaft der Behörde. Das BSI verlinkt auf Lösungen, mit denen aus dem Netz erreichbare, vernetzte Steuerungen für „Operational Technology“ (OT) aufgefunden werden können.

Deutschland von Kühlschrankdesaster wohl kaum betroffen

Die Erreichbarkeit der Steuerungsanlagen aus dem Internet hätte durch die Betreiber angemessen abgesichert oder vermieden werden müssen, sagt ein BSI-Sprecher auf Anfrage von heise security. „Allerdings wurden die Passwörter für die Steuerungsanlagen nach derzeitigem Kenntnisstand offenbar bereits bei Auslieferung unzureichend abgesichert“, so der Sprecher weiter. „Das sollte idealerweise bei einer Konformitätsbegutachtung im Rahmen des Cyber Resilience Acts auffallen.“ Ab Dezember 2027 gelten unter dem Cyber Resilience Act (CRA) für Hersteller vernetzter Geräte verschärfte Sorgfaltspflichten, die bereits im Auslieferungszustand ein hohes Maß an IT-Sicherheit garantieren sollen.

Das französische BSI-Pendant ANSSI (Agence nationale de la sécurité des systèmes d'information) hat derweil seine Warnung für Copeland-, Danfoss- und Dixell-Steuerungen aktualisiert. „Uns sind nach bisherigen Erkenntnissen keine Fälle bekannt, in denen Märkte in Deutschland vom gestrigen Cyberangriff in Frankreich auf die Danfoss-Software in Kühlsystemen betroffen waren“, sagt eine Sprecherin des Bundesverbands des Deutschen Lebensmittelhandels auf Anfrage von heise security. „Die Versorgung der Bevölkerung ist zu keinem Zeitpunkt gefährdet und völlig uneingeschränkt möglich.“

Das dürfte stimmen: heise security hat im Internet zwar ebenfalls potenziell verwundbare Systeme in Deutschland gefunden, allerdings nur in geringer Zahl. Ob sie tatsächlich verwundbar sind, wurde redaktionsseitig nicht geprüft.