Beim aktuellen Angriff wurde ein Kühlanlagenlieferant kompromittiert und die Einstellung der Temperatur an drei Standorten manipuliert. Infolgedessen waren die dort gelagerten Blutprodukte und Blutplasma zeitweise gefährdet. Zwar wurden keine Blutprodukte beschädigt, doch die potenziellen Folgen dieses Vorfalls sollten als Warnsignal gesehen werden.
Nachdem im Oktober ein Angriff auf die Kühlsysteme von Supermärkten vorausgegangen war, zeigt der jüngste Vorfall erneut, wie schnell Cyberangriffe auf sogenannte Operational Technology (OT), also Betriebstechnologie, von einer digitalen Störung zu einer Bedrohung für lebenswichtige Versorgungsgüter und die öffentliche Sicherheit werden können. Zugleich legt der Cyberangriff einen entscheidenden „blinden Fleck“ frei: Der Modernisierungsdrang führt häufig dazu, dass Verbindungen zu Drittanbietern nicht ausreichend abgesichert werden. Allzu oft verschafft ein unzureichend verwalteter Fernzugriff auf IT-Systeme Angreifern den direkten Zugang zu einer sensiblen OT-Umgebung.
Das verrät eine anhaltende Schwachstelle bei der Absicherung kritischer Infrastrukturen: Unternehmen treiben die Modernisierung ihrer Systeme schnell voran, versäumen es jedoch, die Drittanbieter, Softwarelösungen und Fernzugriffsmöglichkeiten ausreichend abzusichern. Diese Art der Bedrohung nimmt weiter zu. Die jüngste Warnung des britischen National Cyber Security Centre (NCSC), wonach es sehr wahrscheinlich sei, dass KI bis 2028 für einen Angriff auf kritische Infrastrukturen in einem G20-Staat eingesetzt wird, verstärkt diese Sorge.
Mit zunehmender Automatisierung und Vernetzung der Infrastruktur werden die Folgen eines mangelhaften Zugriffsmanagements und unzureichender Sicherheitsmaßnahmen bei Zulieferern immer gravierender sein. Die NIS2-Richtlinie trägt dieser Herausforderung Rechnung, indem sie die Sicherheit der Lieferkette ausdrücklich als zentrale Anforderung an das Risikomanagement im Bereich Cybersicherheit festlegt. Unternehmen müssen daher über die Grenzen ihrer eigenen Netzwerke hinausblicken und die Sicherheit sämtlicher Zulieferer überprüfen, die Zugriff auf kritische Systeme haben.
Dazu gehören die konsequente Durchsetzung des Least-Privilege-Prinzips, die Beschränkung von Drittanbieterzugriffen auf klar definierte Aufgaben und Zeiträume, die Protokollierung privilegierter Sitzungen und Zugriffe sowie eine lückenlose Transparenz über sämtliche Identitäten (human und non-human), die auf Betriebstechnologie zugreifen. Die Widerstandsfähigkeit kritischer Infrastrukturen hängt zunehmend davon ab, dass die Sicherheitsarchitektur nach dem Zero-Trust-Prinzip auf die gesamte Lieferkette ausgeweitet wird, anstatt lediglich die Netzwerkgrenzen einzelner Unternehmen zu schützen.
