- Angriff am 12.10.: Kühlanlagen Hunderter Supermärkte in Abtaumodus geschaltet
- BSI-CS 154 vom 13.10.: vier Schutzschritte in fester Reihenfolge
- Priorität 1: kein direkter Internetzugriff auf Steuerungen
- Offen erreichbare OT-Systeme laut BSI grundsätzlich pflichtwidrig
- Fernzugänge, Netztrennung, Updates gehören in die MSR-Planung
In der Nacht zum 12. Oktober haben Unbekannte in Hunderten französischer Supermärkte die Kühlanlagen über deren Steuerung in den Abtaumodus geschaltet. Gekühlte und tiefgekühlte Ware musste entsorgt werden, die Pariser Staatsanwaltschaft ermittelt. Einen Tag später hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Cybersicherheitsempfehlung zu internetverbundenen OT-Systemen veröffentlicht. Sie richtet sich ausdrücklich an Betreiber kleiner industrieller und vergleichbarer Anlagen, etwa zur Kühlung von Lebensmitteln. Für KMU und Industriebetriebe ist das kein Randthema der IT, sondern eine Frage, wie ihre Mess-, Steuer- und Regelungstechnik geplant und betrieben wird.
Was das BSI fordert
Die Empfehlung BSI-CS 154 nennt vier Schritte in fester Reihenfolge: direkten Zugriff aus dem Internet unterbinden, notwendige Zugriffe absichern, Systeme aktuell halten und die Maßnahmen zur Routine machen. Konkret heißt das: keine Portweiterleitungen auf Steuerungen, Bedienoberflächen oder Industrieprotokolle, Router und Firewalls nur aus dem lokalen Netz verwalten, Fernzugriff mindestens über VPN, Zugänge zu Steuerungen mit Passwort und idealerweise Mehrfaktor-Anmeldung, Standardzugänge abschalten. Ungewöhnlich deutlich wird das Amt bei der Verantwortung: Wer OT-Systeme ohne ausreichenden Schutz offen im Internet erreichbar macht, handelt nach BSI-Bewertung grundsätzlich pflichtwidrig.
Aufschlussreicher als die Maßnahmenliste sind die Praxisbefunde. Bei Angriffen auf Energieanlagen in Polen im Dezember 2025 reichten unveränderte Werkszugangsdaten und mehrfach verwendete Passwörter, über eine Mobilfunk-Fernanbindung gelangten die Angreifer von Anlage zu Anlage. Fernwartungszugänge, so das BSI, sind oft nicht dokumentiert und dem Betreiber teils gar nicht bekannt; im Zweifel müsse jeder Schaltschrank nach Gateways und Mobilfunkmodems abgesucht werden. Ausgehende Verbindungen sollen nur gezielt freigegeben werden, alles andere bleibt gesperrt. Auch Hersteller-Clouds nimmt das BSI in den Blick: Betreiber sollen prüfen, ob die Verbindung dauerhaft nötig ist, und Produkte, die zwingend auf Herstellerdienste angewiesen sind, nur mit Bedacht beschaffen.
Einordnung aus Sicht der MSR-Fachplanung
Aus Sicht unseres Ingenieurteams entstehen genau diese Lücken selten im laufenden Betrieb, sondern bei Planung, Vergabe und Inbetriebnahme. Jedes Gewerk richtet seinen eigenen Fernzugang ein, die Netztrennung fehlt im Leistungsverzeichnis, die Dokumentation endet mit der Abnahme. So hängen Kälte, Lüftung, Heizung und Druckluft eines Standorts an verschiedenen Zugängen, die niemand zentral überblickt. Eine MSR-Planung, die Netzsegmente, einen gemeinsamen abgesicherten Fernzugang, Update-Fähigkeit und Alarmierung bereits in der Ausschreibung festlegt, verhindert das, bevor es entsteht. Dazu gehört auch die Beschaffungsfrage, ob eine Anlage für ihre Grundfunktion überhaupt eine Cloud braucht oder lokal betrieben werden kann. Für Kühlung in der Lebensmittelindustrie oder in Klinikküchen gehört das ebenso in die Kälteplanung wie die Wahl des Kältemittels.
Für Bestandsanlagen empfehlen wir drei Schritte: ein Inventar aller Steuerungen und Zugänge, die Prüfung der Erreichbarkeit von außen und danach klare Anforderungen an Anlagenbauer und Dienstleister. Das BSI-Papier versteht sich ausdrücklich als Grundlage, um Maßnahmen bei Systemintegratoren einzufordern. Entscheidend ist der vierte BSI-Schritt: Sicherheit ist kein Einmalprojekt, sondern Teil der Betriebsführung, genauso wie Monitoring und Wartung. Ergänzende Hinweise für die Gebäudeautomation liefert der Leitfaden zur Cybersicherheit in der Gebäudeautomation. Wer ohnehin eine Energieberatung oder ein Messkonzept plant, sollte die Fernzugänge gleich mit erfassen lassen.
Quellen & weiterführende Informationen
Wissen Sie, welche Steuerungen an Ihrem Standort von außen erreichbar sind? Unser Ingenieurteam erfasst Ihre MSR-Landschaft gewerkeübergreifend, plant sichere Fernzugänge und begleitet Ihre Anlagen dauerhaft im technischen Monitoring. Vereinbaren Sie jetzt Ihr kostenfreies Auftaktgespräch.
