Angriffe auf Kühlsteuerungen: Britische Fleischlieferanten in europaweiter Welle betroffen

Die Angriffe in der aktuellen Welle erfolgten in den frühen Morgenstunden des Montags. AIMS-Sprecher Tony Goodger bezeichnete die betroffenen Mitglieder als „Kollateralschaden", da sie dieselbe Software einsetzten. Fleisch sei bei keinem der betroffenen Mitglieder verdorben. Der Vorfall „muss allen in der Lebensmittelbranche, an welcher Stelle der Lieferkette auch immer, als Erinnerung dienen, dass ihre Unternehmen von manchen als Ziel gesehen werden können", sagte Goodger.

Ein Sprecher von Copeland bestätigte, dass bestimmte XWEB-Überwachungslösungen von der gemeldeten Schwachstelle betroffen sind. „Wir prüfen die Umstände weiterhin und haben auf Grundlage der jeweils betroffenen Produkte die angemessenen Maßnahmen ergriffen", hieß es in einer Stellungnahme. „Als Teil unserer Reaktion haben wir die empfohlenen Patch- und Sicherheitsvorgaben erneut kommuniziert, damit Kunden über die aktuellen Hinweise zum Schutz vor den identifizierten Bedrohungen verfügen."

Auch der britische Obst- und Gemüsegroßhändler Langridge Organic erklärte, angegriffen worden zu sein. Geschäftsführer Alex Pearce sagte, es sei „erstaunlich, wie viele Parameter" die Angreifer nach dem Zugriff auf die Steuerungen verändert hätten. Er sei sich „ziemlich sicher, dass ich einen laufenden Hackerangriff unterbrochen habe": Nachdem er beobachtet hatte, wie ein Kühlgerät aus der Ferne in den Abtaumodus versetzt wurde, trennte er es physisch vom Internet. Durch die physischen Eingriffe seines Teams sei keine Ware verdorben.

Alle betroffenen britischen Lieferanten nutzten den Angaben zufolge verwundbare Temperatursteuerungen, für die bereits seit August eine Firmware-Aktualisierung bereitstand. Laut einem unter AIMS-Mitgliedern verbreiteten Sicherheitshinweis enthält die Firmware für Copeland XWEB in Version 1.12.1 und älter „schwere Schwachstellen zur Umgehung der Authentifizierung, die es Angreifern erlauben, ohne Passwort die Kontrolle zu übernehmen". Im August hatten Forscher des Industrie-Sicherheitsunternehmens Claroty knapp zwei Dutzend Schwachstellen in Copelands XWEB-Pro-Steuerungen offengelegt.

Bislang hat sich niemand zu den Angriffen bekannt. Britische Behörden erklärten, sie hätten die Vorfälle keiner Gruppe zugeordnet. Ein Sprecher der belgischen Cybersicherheitsbehörde sagte, es sei „möglicherweise nie feststellbar", wer dahintersteckt.

Das britische National Cyber Security Centre (NCSC) teilte am Dienstag mit, es sei über die Angriffe auf Kühlanlagen informiert und unterstütze betroffene Organisationen. Mitarbeiter hätten die Nacht durchgearbeitet, um proaktiv Unternehmen zu kontaktieren, bei denen verwundbare, aus dem Internet erreichbare Systeme festgestellt worden waren.

Bei der Vorstellung des Jahresberichts der Behörde sagte Operations-Direktor Paul Chichester, die Auswirkungen seien bislang „minimal". NCSC-Chef Richard Horne ergänzte: „Auch wenn die Auswirkungen auf nationaler Ebene minimal sind — wenn Sie das betroffene Unternehmen führen, ist das ein riesiges Problem für Sie, Ihre Beschäftigten und alle anderen."

Der Jahresbericht des NCSC warnt vor dem „Versäumnis, auch nur grundlegende Cyber-Schutzmaßnahmen umzusetzen". Horne sprach von der „realen Aussicht auf einen beispiellosen Anstieg der Zahl von Cybervorfällen" in den kommenden Monaten. Die von den Kühlangriffen betroffenen Unternehmen passen in dieses Bild, da sie Firmware einsetzten, deren Fehler bekannt waren.

Mit Blick auf die erste Angriffswelle in Frankreich erklärte das NCSC, die Angriffe seien nicht ausgefeilt gewesen. „Hier werden Schwachstellen genutzt, die schon sehr lange bekannt sind", sagte Chichester. Horne bezeichnete die Angriffe auf Gefrieranlagen als „eigentlich nur das Vorgebirge" der Bedrohung, vor der die Behörde in ihrem Bericht warne: „Es gibt so viele Schwachstellen da draußen, von denen man in gewisser Weise sagen könnte, dass sie nur darauf warten, ausgenutzt zu werden." Technikchef Ollie Whitehouse sagte, er und seine Kollegen seien „überrascht, dass einige dieser Dinge im Jahr 2026 immer noch mit dem Internet verbunden sind, trotz der Warnungen, die wir in den vergangenen Jahren veröffentlicht haben".

AIMS fordert die Regierung auf, dem Lebensmittelsektor einen stärkeren Platz in der britischen Einstufung kritischer nationaler Infrastruktur einzuräumen. Derzeit ist keine einzelne Anlage des Lebensmittelsektors nach geltendem Recht als kritisch eingestuft. Der Sektor fällt auch nicht unter das geplante Cyber Security and Resilience Bill, das Betreiber wesentlicher Dienste zu angemessenen Sicherheitsmaßnahmen verpflichten würde — etwa zum zügigen Patchen verwundbarer Systeme — und bei schweren Versäumnissen Bußgelder von bis zu 17 Millionen Pfund (22 Millionen Dollar) oder 4 Prozent des weltweiten Umsatzes vorsieht.

Das EU-Pendant NIS2 erfasst Lebensmittelproduktion und -vertrieb. Dessen Reichweite steht jedoch in der Kritik, weil sie potenziell auch „Eiscremehersteller, Hersteller von Weihnachtsbeleuchtung und deutsche Vermieter" einbeziehe.