Ein Kühlschrank kann angegriffen werden, ohne dass ein Hacker die Tür öffnen muss: In französischen Supermärkten führten Cyberangriffe dazu, dass die Temperatur von Kühlgeräten anstieg und Lebensmittelbestände gefährdet wurden. Der Vorfall gibt einen konkreten Einblick in ein weiter reichendes Risiko: Sobald ein Gerät von Software oder einer Verbindung abhängt, kann seine Sicherheit materielle Folgen haben.
Am 11. und 12. Oktober wurden laut AFP Hunderte französische Supermärkte angegriffen. Die Temperaturen in Kühlschränken und Gefriergeräten stiegen, sodass Geschäfte verderbliche Waren wegwerfen mussten. Frankreich schrieb die Angriffe dem iranischen Korps der Islamischen Revolutionsgarden zu. Juhan Lepassaar, Exekutivdirektor der Europäischen Agentur für Cybersicherheit ENISA, kommentierte diese Zuschreibung nicht. Er warnte jedoch, dass Haushaltsgeräte nach den Kühlanlagen in Geschäften zu Zielen werden könnten.
Ein vernetztes Gerät ist mehr als nur ein Gerät
Ein Gerät mit Software kann Daten mit einem Telefon, einer App oder einem Onlinedienst austauschen. Je nach Produkt ermöglicht diese Verbindung, das Gerät aus der Ferne zu steuern, eine Warnmeldung zu erhalten oder auf Einstellungen zuzugreifen. Sie schafft auch digitale Zugangswege, die geschützt werden müssen: das Gerät, das Netzwerk, mit dem es verbunden ist, die App und die zugehörigen Dienste.
Diese Elemente bilden eine Kette. Eine Schwachstelle in einer Software oder einem Dienst kann ein Gerät gefährden, selbst wenn der Nutzer seine Einstellungen nicht geändert hat. Umgekehrt bedeutet die Vernetzung eines Produkts nicht, dass es für jeden Angriff anfällig ist oder zwangsläufig zum Ziel wird. Das Risiko hängt unter anderem von seiner Konstruktion, seiner Wartung und davon ab, wie lange der Hersteller entdeckte Schwachstellen behebt.
In einem Geschäft kann das Problem über den Schutz der Daten hinausgehen. Ein System, das die Temperatur überwacht oder reguliert, trägt zur Konservierung von Lebensmitteln bei. Wird sein Betrieb gestört, kann dies wirtschaftliche und materielle Folgen haben. Der Vorfall in Frankreich zeigt diese Möglichkeit in einem bestimmten Kontext; er lässt nicht den Schluss zu, dass Haushaltsgeräte in gleicher Weise gefährdet sind oder dass ein Angriff zwangsläufig einen Ausfall oder einen Sicherheitsvorfall verursacht.
Updates gehören zum Produkt
Eine Schwachstelle kann entdeckt werden, nachdem ein Gerät verkauft wurde. Sein Schutz hängt dann davon ab, ob der Hersteller einen Patch veröffentlichen kann und ob der Eigentümer ihn installiert. Ein Produkt, das keine Updates mehr erhält, kann daher mit der Zeit schwieriger zu schützen sein, auch wenn es noch normal funktioniert.
Eines der Probleme, denen die europäische Verordnung über Cyberresilienz, der Cyber Resilience Act (CRA), entgegenwirken soll, ist genau dies. Sie gilt für Hardware- und Softwareprodukte mit digitalen Komponenten, von Smartwatches bis zu Apps. Der Text verpflichtet Hersteller in verschiedenen Phasen zu Cybersicherheitsanforderungen: Planung, Konzeption, Entwicklung und Wartung. Außerdem sieht er Verpflichtungen zum Umgang mit Schwachstellen während des gesamten Produktlebenszyklus vor.
Die Umsetzung erfolgt schrittweise. Der CRA trat am 10. Dezember 2024 in Kraft. Seine wichtigsten Verpflichtungen gelten ab dem 11. Dezember 2027, während die Meldepflichten seit dem 11. September 2026 gelten. Die CE-Kennzeichnung wird die Konformität mit den Anforderungen der Verordnung anzeigen; die Kontrolle obliegt den nationalen Marktüberwachungsbehörden. Dieser Rahmen soll die Anforderungen an die betroffenen Produkte erhöhen; er ist keine Garantie dafür, dass jeder Angriff verhindert wird.
Vor dem Kauf über die Funktionen hinausblicken
Wer ein vernetztes Gerät auswählt, sollte sich in der Praxis fragen, wie lange es Sicherheitsupdates erhalten wird. Außerdem ist es sinnvoll zu prüfen, wie diese installiert werden, ob das Gerät auch ohne bestimmte Onlinefunktionen nutzbar bleibt und welche Daten oder Berechtigungen die App verlangt. Diese Punkte sind bei einem ferngesteuerten Kühlschrank ebenso wichtig wie bei einer Kamera oder einem Thermostat: Sie bestimmen, welche digitalen Abhängigkeiten das Produkt schafft.
Eine dauerhafte Verbindung ist für den gewünschten Gebrauch nicht immer erforderlich. Wenn eine Fernsteuerungsfunktion im Alltag keinen Nutzen bietet, kann man prüfen, ob sie sich deaktivieren lässt, ohne die Hauptfunktion des Geräts zu beeinträchtigen. Bei der Installation sind das Ändern der Standard-Zugangsdaten, sofern diese Option verfügbar ist, und das Aktualisieren des Geräts und der App grundlegende Maßnahmen zur Risikominderung, die keinen absoluten Schutz garantieren.
Die Verantwortung liegt jedoch nicht allein beim Nutzer. Er kann eine Schwachstelle in der Software des Herstellers nicht selbst beheben und auch den Support für ein aufgegebenes Produkt nicht verlängern. Genau deshalb legt der CRA den Schwerpunkt auf Konzeption und Wartung und nicht nur auf die Einstellungen zum Zeitpunkt des Kaufs.
Von Geräten zu wesentlichen Diensten
Für ENISA reicht die Bedeutung des Themas über Haushaltsgeräte hinaus. Juhan Lepassaar weist darauf hin, dass viele Dienste, auf die Bürger angewiesen sind, eine digitale Komponente enthalten. Eine Störung kann sich dann auf konkrete Aktivitäten auswirken, vom Verkehr über die Gesundheitsversorgung bis zu Notdiensten. Die Agentur fordert Hersteller auf, Sicherheit von Anfang an in die Konzeption einzubeziehen, statt sie erst nachträglich hinzuzufügen.
Die Warnung bedeutet nicht, dass ein vernetzter Toaster oder ein Haushaltskühlschrank heute mit Sicherheit Ziel eines Angriffs ist. Vielmehr regt sie dazu an, Software, Updates und Supportdauer als Produkteigenschaften zu betrachten. Für Hersteller bedeutet das eine Verantwortung, die über den Verkauf hinaus andauert. Käufern liefert es ein hilfreiches Kriterium: Der Wert einer vernetzten Funktion hängt auch davon ab, unter welchen Bedingungen sie gewartet und geschützt werden kann.
Quellen
- RTL Today, „After fridge hacks, home appliances could be next, warns EU cyber chief“
- Europäische Kommission, Cyber Resilience Act
Ein Netatmo-Thermostat in Prag. Symbolbild für vernetzte Geräte.
