ENISA-Chef warnt: Nach Kühlanlagen sind Haushaltsgeräte dran

Lepassaar fordert Sicherheit schon im Entwurf der Produkte. Jeder Vorfall lasse sich verhindern, aber Sicherheit sei nicht billig. Die Frage sei, ob Hersteller bereit sind, so viel zu investieren. Laut ENISA-Bericht beschleunigt KI als „Kraftverstärker“ zudem die Suche nach Schwachstellen.

Was ist mit den Kühlanlagen passiert?

In der Nacht vom 11. auf den 12. Oktober wurden in Frankreich die Kühlsteuerungen von rund 700 Geschäften, darunter Supermärkte, aus der Ferne übernommen. Die Temperaturen stiegen, mindestens 15 Brände waren die Folge. Anfang November meldeten mindestens 12 Länder Schäden, darunter Belgien, Schweden und Irland. Eingedrungen sind die Angreifer über Fernwartungsgeräte, die offen im Internet hingen, und über alte Anlagen ohne Sicherheitsupdates.

Was verlangt der Cyber Resilience Act?

Nach dem EU-Gesetz über Cyberresilienz müssen Hersteller seit September aktiv ausgenutzte Schwachstellen und schwere Vorfälle binnen 24 Stunden melden, nachdem sie davon erfahren haben. Das gilt auch für bereits verkaufte Produkte. Die Bußgelder reichen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Die Vorgaben für Sicherheit im Produktdesign gelten ab Dezember nächsten Jahres vollständig.

Der Druck erreicht auch südkoreanische Hersteller, die vernetzte Geräte nach Europa liefern. Ein Branchenvertreter sagte, Gerätesicherheit werde „keine Kostenstelle, sondern Voraussetzung für den Marktzugang“. Investieren müsse man in unabhängige Schutzvorrichtungen, die Temperatur und Strom auch bei einem Netzwerkeinbruch sichern, in Update-Regeln auch für eingestellte Produkte und in die Kontrolle der Fernwartungszugänge. Südkoreas Wissenschaftsministerium hat bisher nur Sofortmaßnahmen empfohlen, etwa ein VPN für den Fernzugriff und geänderte Standardpasswörter.