Jemand hackt Europas Kühlschränke – diesmal ging es ans Blut

Der Angriff kam in der Nacht auf Montag, und er sah nicht nach einem Datenleck aus. Laut der französischen Blutbank EFS und dem Gesundheitsministerium drangen Unbekannte in die Mess- und Regeltechnik von Kühlräumen an drei regionalen EFS-Standorten ein und setzten „Temperatur- und Abtau-Schwellen auf übermäßig hohe Werte“. In den Anlagen lagerten Plasmapackungen für Transfusionen und Plasma für die Arzneimittelherstellung.

Was es stoppte, war keine Firewall, sondern ein Schichtplan. Die EFS hat rund um die Uhr Personal im Dienst, weil Blut zu jeder Stunde gebraucht werden kann; die Alarme schlugen an, und die Mitarbeitenden brachten die Bestände in nicht vernetzte Kühlschränke oder nahmen die kompromittierten Geräte ganz vom Netz. „Es gingen keine Blutprodukte verloren“, erklärte die EFS, gesundheitliche Folgen seien nicht festgestellt worden. Frankreichs Cyberbehörde ANSSI und das Gesundheitsministerium ermitteln, der Fernzugriff auf die betroffenen Anlagen wurde abgeschaltet.

In derselben Nacht traf derselbe Trick den europäischen Lebensmittelhandel. Rund 40 Delhaize-Märkte in Belgien und Luxemburg, 13 SuperValu-Supermärkte in Irland, 15 Carrefour-Filialen in Belgien, sieben der 800 Coop-Märkte in Schweden plus mehrere ICA-Filialen, K-Märkte in Finnland, ein Selver in Estland. Danfoss sagte dem niederländischen Rundfunk, die Kühlanlagen von mindestens 17 Unternehmen in den Niederlanden – Metzgereien, Nachbarschaftsläden – seien betroffen gewesen. In einzelnen Märkten sollen Tiefkühler auf 50 °C gestiegen sein. Eine Delhaize-Filiale im flämischen Hoeilaart bezifferte ihren eigenen Verlust auf 100.000 Euro Ware, ohne die Kosten der Schließung.

Der Mechanismus, wie ihn Stephan Moelans, CEO des belgischen Herstellers Sabcobel, beschreibt, ist fast banal: Die Verdampfer der Geräte wurden in den Abtaumodus gezwungen. Es brauchte keine exotische Schadsoftware – nur die Möglichkeit, über das Internet eine Wartungsfunktion zu erreichen und einen Kühlschrank anzuweisen, sich selbst zu erwärmen.

Dass das weiterhin funktioniert, ist der unangenehme Teil. Moelans sagte, sein Unternehmen habe seit der vorigen Welle versucht, die Kühlschränke der Kunden gegen genau diese Schwachstelle zu härten, die Geräte benötigten aber eine physische Modifikation, keinen Software-Patch. „Die einfachste Lösung ist, die Kühlschränke über eine sichere Internetverbindung zu verwalten“, sagte er – die meisten Kunden hätten nach dem französischen Vorfall umgestellt. Offenbar nicht alle.

Wegen dieses früheren Vorfalls behandeln die Behörden die Sache als Kampagne und nicht als Vandalismus. Anfang Oktober hatten Hacker nach Polizeiangaben die Kühlanlagen Hunderter Supermärkte in Frankreich übernommen, mit Bränden und – laut lokalen Medien – Lebensmittelverlusten in Millionenhöhe. Gleiche Methode, gleiche physische Wirkung. Die Urheberschaft ist offen: Niemand hat sich bekannt, und wer hinter den beiden Wellen steckt, ist öffentlich nicht belegt. Belgien und Schweden beobachten die Lage, das britische NCSC erklärte, mit internationalen Partnern zusammenzuarbeiten; im Vereinigten Königreich seien keine Fälle gemeldet worden.

Die Spur, die Ermittler am meisten beunruhigt, führt aus Europa hinaus. US-Behörden untersuchen Kühlausfälle in mehreren amerikanischen Militärstützpunkten im August und prüfen gemeinsam mit französischen Stellen einen möglichen Zusammenhang. Wenn dieselbe Zugriffsklasse einen Stützpunktmarkt und eine Blutbank erreicht, ist die Zielmenge nicht „Supermärkte“ – sondern alles mit einem vernetzten Thermostat und etwas Verderblichem dahinter.

Die EU kreist seit Jahren um dieses Problem. Vernetzte Gebäudetechnik – Klima, Kühlung, Zutrittskontrolle – wird von Anlagenbauern installiert, einmal konfiguriert und dann ein Jahrzehnt lang mit Standardzugangsdaten online gelassen, weil Ferndiagnose billiger ist als ein Techniker vor Ort. Sicherheitsforscher warnten im Abstrakten davor; in diesem Monat hat es leere Regale in sieben Ländern produziert und einen Beinaheunfall in einer Plasmalieferkette.

Der Beinaheunfall ist die Geschichte. Eine Krankenhausblutbank ist ein System, in dem die falsche Temperatur keine Unannehmlichkeit ist, sondern ein stiller Fehlermodus: Plasma, das in Ordnung aussieht und es nicht ist. Was in Frankreich die Linie hielt, war keine raffinierte Verteidigung, sondern langweilige Resilienz – überwachte Alarme, handlungsfähiges Personal und unvernetzte Reservekapazität, in die man Ware umlagern kann. Die drei billigsten Kontrollen im Katalog – und der einzige Grund, warum dies ein Schrecken und kein Skandal ist.

Was als Nächstes zu beobachten ist: ob eine nationale Behörde die Kampagne öffentlich einem Akteur zuordnet; ob Brüssel von Empfehlungen zu verpflichtenden Sicherheitsgrundlagen für gewerbliche Kühlregler übergeht; und wie viele der betroffenen Händler den Rat zur „sicheren Verbindung“ tatsächlich befolgt hatten, den sie vor fünf Wochen bekamen.