Das US-Verteidigungsministerium untersucht, ob Kühlungsausfälle in Militärläden im August auf einen Cyberangriff zurückgehen. Anlass ist ein Vorfall in Frankreich, bei dem Supermarkt-Kühlsysteme aus der Ferne manipuliert wurden: Lebensmittel verdarben, an einigen Standorten brachen Brände aus. Die eingesetzte Technik und die Ausfallmuster ähneln sich, doch bislang gibt es keine Belege für einen Zusammenhang. Auch für die US-Vorfälle ist ein Hackerangriff nicht bestätigt.
Ein Ausfall kann mehr als den Betrieb der Anlagen beeinträchtigen. Verdorbene Lebensmittel lassen sich nicht wiederherstellen. Militärläden versorgen zudem Soldatinnen und Soldaten sowie deren Familien mit Waren des täglichen Bedarfs. Längere Störungen könnten daher die Versorgung auf den Stützpunkten treffen.
Kühlungsausfälle an mindestens sieben US-Standorten
Die gemeinsame Untersuchung wird vom Criminal Investigative Service des Verteidigungsministeriums geführt, der zum Büro des Generalinspekteurs gehört. Das Pentagon lehnte eine Stellungnahme mit Verweis auf die laufenden Ermittlungen und Sicherheitsbedenken ab.
Im August gab es Probleme mit Kühlanlagen in Geschäften an mindestens sieben Militärstandorten: Fort Irwin in Kalifornien, Holloman Air Force Base in New Mexico, Naval Station Newport in Rhode Island, Little Rock Air Force Base in Arkansas, F.E. Warren Air Force Base in Wyoming, Robins Air Force Base in Georgia und Fort Huachuca in Arizona.
Militärläden verkaufen Waren an Angehörige des Militärs und ihre Familien meist zu subventionierten Preisen. Diese liegen in der Regel rund 25 Prozent unter denen ziviler Supermärkte. Längere Ausfälle können Reparaturkosten, verdorbene Ware und Störungen bei der Versorgung auf dem Stützpunkt nach sich ziehen. Öffentlich bekannte Angaben zu den Schäden in den USA oder zu möglichen unbefugten Zugriffen auf die Anlagen gibt es bislang nicht.
Christopher White, außerordentlicher Professor für Homeland Security und Notfallvorsorge an der Virginia Commonwealth University, hält die ähnlichen Ausfälle in französischen Supermärkten und US-Militärläden innerhalb von etwa zwei Monaten für prüfenswert. Ähnlichkeiten allein belegten jedoch weder einen gemeinsamen Angreifer noch, dass die US-Vorfälle überhaupt Cyberangriffe waren.
Französische Supermärkte melden 270.000 Euro Schaden
Im Oktober wurden Kühl- und Gefriersysteme in Hunderten französischen Supermärkten über Nacht manipuliert. Die Temperaturen stiegen auf mehr als 122 Grad Fahrenheit. Lebensmittel verdarben, an einigen Standorten wurden Brände gemeldet. Betroffen waren unter anderem 80 Carrefour-Filialen, rund 24 Monoprix-Märkte und 150 Intermarché-Filialen. Die Pariser Staatsanwaltschaft bezeichnete den Vorfall als Angriff „großen Ausmaßes“; ähnliche Ausfälle wurden auch aus anderen Teilen Europas gemeldet.
Intermarché und E.Leclerc bezifferten ihre gemeinsamen Warenverluste auf geschätzt 270.000 Euro beziehungsweise rund 300.000 US-Dollar. White zufolge sind verdorbene Lebensmittel ein direkter und kaum umkehrbarer Schaden, anders als viele indirekte Kosten eines Cybervorfalls: Eine Reparatur der Anlage kann Ware, die durch falsche Temperaturen beschädigt wurde, nicht retten.
Ein Sicherheitshinweis französischer Behörden nannte Fernsteuerungen für Kühlsysteme, darunter Geräte der Danfoss-Reihen AK-SM und AK-SC sowie Copeland-Geräte der Serien xweb und Dixell xweb. Die betroffenen Anlagen liefen mit veralteter Firmware. Möglicherweise nutzten Angreifer Sicherheitslücken, um über das Internet darauf zuzugreifen. Frankreich und die USA arbeiten auch bei den Ermittlungen zu den Supermarktvorfällen zusammen. Der Austausch von Informationen über Technik und Vorgehensweisen kann Ermittlungen unterstützen, belegt aber keine Verbindung zu den US-Ausfällen.
Vernetzte Steuerungen können Angriffsflächen bieten
Nadia Kostiuk, Assistenzprofessorin am Institute for Strategy and Technology der Carnegie Mellon University, sagte, vernetzte Geräte erhielten zunehmend zusätzliche Funktionen, während Sicherheitskonzepte nicht immer Schritt hielten. Kühlsteuerungen könnten zum Einfallstor werden, wenn Firmware nicht zeitnah aktualisiert werde oder der Zugriff unzureichend abgesichert sei. Hersteller sollten Sicherheit bereits bei der Produktentwicklung berücksichtigen; Betreiber müssten mögliche Angriffswege bei installierten Anlagen regelmäßig neu bewerten.
White verwies darauf, dass Handelsketten häufig an vielen Standorten ähnliche Kühltechnik einsetzen. Finden Angreifer eine ungeschützte Stelle in einem Systemtyp, könnten sie dieselbe Methode möglicherweise andernorts anwenden. Weil Ausfälle Waren vernichten und die Versorgung stören können, könnten solche Anlagen für Akteure interessant sein, die konkrete Folgen erzielen wollen.
Gregory Winger, Assistenzprofessor für Internationale Beziehungen und Cybersicherheit an der University of Maryland, Baltimore County, sagte, staatlich verbundene Akteure aus Ländern wie Russland, China, Iran und Nordkorea führten mitunter Cyberoperationen aus, die zunächst unabhängig wirkten, aber miteinander verbunden sein könnten. Der Austausch technischer Details und sogenannter Indikatoren zwischen Verbündeten sei wichtig, um solche Aktivitäten zu erkennen. Selbst wenn sich unterschiedliche Täter hinter den Ausfällen in den USA und Frankreich herausstellten, könne die gemeinsame Untersuchung den Informationsaustausch erleichtern.
Versorgungssicherheit gehört zum Cyberrisiko
Das Center for Strategic and International Studies registrierte allein im September mehr als zehn größere Cybervorfälle. Cybersecurity Ventures schätzt, dass Cyberkriminalität die Weltwirtschaft in diesem Jahr 10,8 Billionen US-Dollar kosten könnte. Das wäre mehr als das Dreifache der für 2015 veranschlagten drei Billionen US-Dollar. Die rasche Entwicklung künstlicher Intelligenz und die wachsende Zahl vernetzter Geräte in Haushalten und Industrie erweitern sowohl die Angriffsmöglichkeiten als auch die Zahl potenzieller Ziele.
Auch die Militärlogistik ist auf eine verlässliche Versorgung mit Lebensmitteln, Hygieneartikeln und anderen Gütern angewiesen. Der Flugzeugträger USS Abraham Lincoln kehrte in diesem Monat nach einem 265-tägigen Einsatz nach San Diego zurück. Während des Einsatzes im Zusammenhang mit dem Iran-Krieg waren Besatzungsmitglieder unter anderem mit Engpässen bei Lebensmitteln und Hygieneartikeln konfrontiert, was sich auf die Moral und psychische Gesundheit auswirkte. Diese Erfahrungen verdeutlichen die Bedeutung verlässlicher Versorgung; einen Hinweis auf eine Verbindung des Flugzeugträgers zu den Ermittlungen über die Kühlungsausfälle gibt es nicht.
Das Pentagon hat bislang weder Untersuchungsergebnisse veröffentlicht noch die Ursache der Ausfälle an den US-Standorten bestätigt. Offen ist, ob es zu Zugriffen auf Netzwerke kam, ob die Anlagen aus der Ferne ausnutzbare Schwachstellen aufwiesen und ob zwischen den Fällen in den USA und Frankreich eine technische oder operative Verbindung besteht.