BETON DER WOCHE: Kühlschrank gehackt. Überraschung!

Seit Jahren erklären Sicherheitsleute:

Ändert Standardpasswörter.

Patcht eure Geräte.

Hängt Steuerungen nicht direkt ins Internet.

Trennt Produktionsnetze.

Tauscht alten Kram aus.

Gebt nicht jedem Gerät eine öffentliche IP, nur weil es einen Ethernet-Port besitzt.

2026:

„Hilfe. Jemand hat unseren Kühlschrank auf 50 Grad gestellt.“

Da sind wir also.

Seit dem 11. Oktober wurden in mehreren EU-Staaten gewerbliche Kühlsysteme angegriffen. Die erste große Welle traf rund 700 Supermärkte in Frankreich. Anfang November folgte die nächste Runde in mindestens zehn weiteren europäischen Ländern. Mehr als hundert weitere Standorte waren betroffen. Selbst Kühlsysteme medizinischer Einrichtungen gerieten ins Visier.

Teilweise wurden Temperaturen bis auf 50 Grad hochgedreht.

Lebensmittel weg.

Ware weg.

Teilweise Brände.

Und plötzlich bekommt „Internet of Things“ eine wunderbar wörtliche Bedeutung:

Das Internet macht jetzt Dinge mit deinem Kühlschrank.

Die konkrete erste Einbruchsmethode ist bislang nicht abschließend bestätigt. Genau das sollte man sauber sagen.

Aber Sicherheitsforscher fanden kurz danach mehr als 5.000 Geräte der betroffenen Hersteller offen im Internet.

Nicht automatisch verwundbar.

Nicht automatisch gehackt.

Aber:

offen erreichbar.

Bei industriellen Steuerungen.

2026.

Und diskutiert werden genau die üblichen Verdächtigen:

alte Software.

ungepatchte Schwachstellen.

schwache Konfiguration.

Standardzugänge.

öffentlich erreichbare Verwaltungsoberflächen.

Also kein Quantencomputer.

Keine außerirdische Super-KI.

Kein Hacker mit zwölf Monitoren, schwarzem Hoodie und grünen Matrix-Zeichen an der Wand.

Ein Gerät hängt im Netz.

Es ist schlecht abgesichert.

Jemand findet es.

Revolutionär.

Die US-Behörden warnen inzwischen ebenfalls ausdrücklich vor Angriffen auf vernetzte Kühltechnik und raten Betreibern unter anderem dazu, solche Controller nicht öffentlich erreichbar zu machen, sie von anderen Netzen zu isolieren und Updates einzuspielen.

Das sind übrigens dieselben Hinweise, die wir bei Routern haben.

Bei Kameras.

Bei Heizungssteuerungen.

Bei Alarmanlagen.

Bei Türsystemen.

Bei Industrieanlagen.

Bei Smart-Home-Kram.

Seit Jahren.

Und trotzdem läuft dieselbe Veranstaltung immer wieder.

Hersteller baut Netzwerkanschluss ein.

Kunde freut sich über Fernwartung.

Installateur steckt Kabel rein.

Irgendwo existiert noch das Passwort admin.

Software bekommt drei Updates und danach gar nichts mehr.

Das Gerät läuft aber noch 15 Jahre.

Alle glücklich.

Bis Kevin aus Kasachstan plötzlich die Kühltheke administriert.

Das eigentliche Problem ist nicht, dass Kühlschränke gehackt werden können.

Alles Vernetzte kann angegriffen werden.

Das ist kein Skandal.

Das ist die Grundbedingung.

Der Beton beginnt da, wo wir seit Jahrzehnten so tun, als wäre Vernetzung eine Komfortfunktion und Sicherheit optionales Zubehör.

Fernzugriff?

Klar.

Cloud?

Klar.

App?

Klar.

Webinterface?

Klar.

Lebenszyklus für Sicherheitsupdates?

Äh.

Wie lange eigentlich?

Wer ist zuständig?

Kann man das Gerät überhaupt noch patchen?

Wo hängt es im Netz?

Hat jemand das Standardpasswort geändert?

Sandra, hast du noch die Anleitung?

Und dann kommt der nächste Cyberangriff.

Große Aufregung.

Expertenrunde.

Warnmeldung.

PDF.

„Unternehmen müssen Cybersecurity ernster nehmen.“

Zwei Wochen später hängt der nächste Controller direkt im Internet.

Man möchte fast applaudieren.

Reuters berichtet, dass Router mehr als drei Viertel der beobachteten Angriffe auf vernetzte Geräte ausmachen. Smart Locks, Alarmanlagen, Thermostate und Haushaltsgeräte gehören ebenfalls zur Angriffsfläche.

Das heißt:

Der Kühlschrank ist nicht das Problem.

Er ist nur die derzeit lustigste Form des Problems.

Ein Kühlschrank mit Internetanschluss klingt eben absurd genug, damit plötzlich alle hinschauen.

Bei einem Router akzeptieren wir denselben Mist seit Jahren.

„Ist halt alt.“

„Läuft doch noch.“

„Firmware gibt's keine mehr.“

„Müssten wir austauschen.“

„Machen wir nächstes Jahr.“

Und dann steht das Ding weiter da.

Natürlich online.

Denn ohne Netz wäre die Sicherheitslücke ja vollkommen nutzlos.

Besonders schön wird es bei Industrie- und Gebäudetechnik.

Die wird oft für viel längere Lebenszyklen gebaut als normale IT.

Ein Laptop ist nach fünf Jahren alt.

Eine Kühlanlage?

Kann 15, 20 Jahre laufen.

Die Steuerung dazwischen altert technisch aber genauso.

Nur wird sie nicht automatisch ersetzt, weil die Kompressoren noch funktionieren.

Also hängt irgendwann ein vollkommen brauchbarer Kühlschrank an einer Softwareplattform aus einer Zeit, in der Windows 10 noch modern war.

Nachhaltigkeit mit CVE-Nummer.

Und jedes Mal lautet die politische und wirtschaftliche Reaktion:

Wir müssen resilienter werden.

Secure by Design.

NIS2.

Cyber Resilience Act.

Meldepflicht.

Risikomanagement.

Noch mehr Rahmenwerke.

Alles sinnvoll.

Nur wäre gelegentlich auch diese hochkomplexe Maßnahme hilfreich:

Kein ungepatchtes Steuergerät mit Standardzugang direkt ins Internet hängen.

Ich weiß.

Radikal.

Die EU verlangt künftig stärker Security-by-Design und Sicherheitsunterstützung über den Produktlebenszyklus. Die zentralen Cyber-Resilience-Anforderungen greifen ab Dezember 2027.

Gut.

Wirklich.

Nur habe ich bei solchen Regeln immer dieselbe Sorge:

Wir schreiben irgendwann hervorragende Sicherheitsanforderungen für Geräte, die technisch längst in Gebäuden hängen.

Seit zwölf Jahren.

Mit Firmware von 2018.

Und Passwort:

1234.

Cybersecurity scheitert nicht immer an fehlendem Wissen.

Oft scheitert sie daran, dass alle genau wissen, was nötig wäre.

Es kostet nur Geld.

Oder Zeit.

Oder nervt.

Also bleibt es liegen.

Bis etwas passiert.

Dann wird das Incident-Budget plötzlich fünfmal so groß wie das Budget, mit dem man das Problem vorher hätte verhindern können.

Prävention ist teuer.

Ein Großausfall offenbar besser budgetierbar.

Das ist der Beton.

Nicht der Hacker.

Nicht der Kühlschrank.

Nicht einmal die Sicherheitslücke.

Sondern diese unfassbare Fähigkeit, seit Jahren dieselben Fehler zu dokumentieren, dieselben Empfehlungen zu veröffentlichen und danach überrascht zu sein, wenn dieselben Fehler wieder ausgenutzt werden.

Das nächste Gerät wird dann vielleicht keine Kühlanlage.

Vielleicht Heizung.

Türsteuerung.

Kamera.

Parkhaus.

Ladestation.

Irgendwas mit „smart“ davor.

Und danach heißt es wieder:

Damit konnte niemand rechnen.

Doch.

Jeder konnte damit rechnen.

Genau deshalb reden wir seit zwanzig Jahren darüber.

Das war der Beton der Woche.

Kalt.

Schwer.

Und diesmal leider nicht einmal zuverlässig gekühlt.