Am 5. November warnten fünf US-Behörden vor Angriffen auf industrielle Kühl- und Kühlkettensteuerungen. Die gemeinsame Mitteilung folgte auf einen Vorfall, der am 2. November Anlagen an drei Standorten des französischen Blutdienstes Établissement français du sang (EFS) betroffen hatte. EFS zufolge wurden dabei keine Blutprodukte verloren und keine gesundheitlichen Folgen festgestellt.
Der Vorfall bei EFS und seine Folgen
Der Vorfall betraf einen Anbieter von Kühltechnik, nicht EFS direkt. An den Kühlraumanlagen dreier EFS-Standorte wurden Temperatur- und Abtaueinstellungen auf sehr hohe Werte verändert. EFS meldete den Vorfall am 3. November und erklärte, Überwachungssysteme und Alarme hätten die Abweichungen erkannt. Betroffene Anlagen wurden kontrolliert oder außer Betrieb genommen; wo nötig, brachte EFS gelagerte Produkte vorsorglich an andere Standorte. Blutprodukte gingen nach Angaben des Dienstes nicht verloren, gesundheitliche Folgen wurden nicht festgestellt. Sammlung und Verteilung liefen weiter. EFS’ Mitteilung zum Vorfall
Warum Kühlsteuerungen für das Gesundheitswesen wichtig sind
Kühlanlagen halten temperaturempfindliche Produkte in einem vorgesehenen Temperaturbereich. Ihre Steuerungen gehören zur Betriebstechnik (OT): Systeme, die physische Abläufe überwachen oder steuern, statt vor allem Daten zu verarbeiten. Wenn eine Steuerung verändert wird, kann das laut den US-Behörden Temperaturen beeinflussen, Bestände gefährden, Brandrisiken schaffen oder die Lebensdauer von Anlagen verkürzen.
Das gemeinsame Merkblatt von CISA, FBI, HHS, USDA und DOT nennt Gesundheitswesen und öffentliche Gesundheit, Chemie, Lebensmittel und Landwirtschaft sowie Verkehr als Bereiche, in denen solche Systeme weit verbreitet sind. Die Behörden warnen vor laufenden Angriffen auf Schwachstellen in nicht aktualisierten oder über das Internet erreichbaren Temperaturreglern und gewerblichen Kühlsteuerungen. Das Merkblatt der US-Behörden
Kühlanlagen sollten durch mehrere voneinander unabhängige Schutzmaßnahmen abgesichert sein: Netztrennung, Temperaturalarme und die Möglichkeit zum manuellen Eingriff.
Was das gemeinsame US-Merkblatt empfiehlt
Die Behörden empfehlen, Steuergeräte und -systeme vom Internet zu trennen, voreingestellte Passwörter zu ändern und sichere Passwörter zu verwenden, verfügbare Patches und Updates einzuspielen sowie veraltete Geräte ohne Herstellersupport zu ersetzen. Diese Maßnahmen richten sich allgemein gegen bekannte Schwachstellen und ungeschützte Zugänge. Sie erklären nicht den Vorfall bei EFS.
Weitere Maßnahmen für Gesundheitseinrichtungen
NPR berichtete über ein Sicherheitsbulletin von Health ISAC für den Gesundheitssektor. Demnach empfahl die Organisation, Kühlsteuerungen von Krankenhaus-IT und Gastnetzwerken zu trennen, Mitarbeitende für die manuelle Bedienung im Notfall zu schulen und Offline-Sicherungen bereitzuhalten. Health ISAC riet laut NPR außerdem zu unabhängigen Temperaturalarmen und fest verdrahteten Abschaltungen, die sich nicht durch Software übersteuern lassen.
