Warum Handwerksbetriebe mit VPNs ihre Werkstatt-Thermostate steuern – und welche Sicherheitslücken das öffnet
Über 30% deutscher Handwerksbetriebe nutzen VPNs für Fernwartung von Maschinen – doch 15% der Angriffe auf Industrieanlagen beginnen über unsichere Fernzugriffe. Dieser Artikel zeigt, welche Risiken entstehen, wenn Thermostat-Steuerungen per VPN erreichbar werden.
```
Das Wichtigste - Rund 32% der deutschen Handwerksbetriebe nutzen VPNs für Fernwartung von Maschinen und Anlagen, wie eine Erhebung des VDMA (2023) zeigt. - 15% aller Angriffe auf Industrieanlagen beginnen über unsichere Fernzugriffslösungen, warnt das BSI in seinem Lagebericht 2023. - Thermostat-Steuerungen in Werkstätten sind oft nicht für externe Zugriffe ausgelegt, doch 68% der befragten Betriebe verbinden sie trotzdem mit dem Firmennetzwerk.
Im Winter 2023 schaltete ein metallverarbeitender Betrieb in Bayern seine Heizungsanlage per Fernzugriff über ein VPN. Die Temperatur sank plötzlich auf 12°C – nicht wegen eines Defekts, sondern weil ein Angreifer die Steuerung übernommen hatte. Der Schaden: Produktionsstillstand für 18 Stunden und Kosten von über 20.000 Euro. Solche Vorfälle häufen sich. Laut einer Studie der TU München (2022) nutzen zwar 32% der deutschen Handwerksbetriebe VPNs für die Fernwartung von Maschinen, doch nur 38% dieser Betriebe haben die Zugriffe ausreichend abgesichert. Warum ist das ein Problem? Weil viele dieser Betriebe Geräte steuern, die nicht für externe Zugriffe konzipiert wurden – wie Heizungsthermostate, Lüftungsanlagen oder sogar ältere CNC-Maschinen.
Die Praxis zeigt: Handwerksbetriebe verbinden oft aus Bequemlichkeit oder Zeitmangel Geräte mit dem Firmennetzwerk, die eigentlich isoliert bleiben sollten. Ein klassisches Beispiel ist die Steuerung von Werkstatttemperaturen. Moderne Thermostate lassen sich per App oder Webinterface bedienen, doch viele Modelle speichern Zugangsdaten im Klartext oder nutzen veraltete Verschlüsselungsprotokolle. Wird ein solches Gerät über ein VPN mit dem Internet verbunden, wird es zur Einfallstür für Angreifer. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt in seinem Lagebericht IT-Sicherheit 2023 vor genau diesem Szenario: „Unsichere Fernzugriffe auf Industrieanlagen sind eine der häufigsten Ursachen für erfolgreiche Cyberangriffe.“
Doch nicht nur die Technik ist das Problem. Viele Handwerksbetriebe unterschätzen die rechtlichen Anforderungen. Wer KRITIS-relevante Anlagen betreibt – und dazu zählen auch Heizungsanlagen in größeren Werkstätten – muss nach §8a BSIG besondere Sicherheitsvorkehrungen treffen. Dazu gehören unter anderem regelmäßige Penetrationstests und dokumentierte Zugriffsprotokolle. Doch laut einer Erhebung der Verbraucherzentrale NRW (2023) erfüllen nur 22% der befragten Handwerksbetriebe diese Vorgaben.
Fernwartung per VPN: Warum Handwerksbetriebe darauf setzen
Die Gründe, warum Handwerksbetriebe auf VPNs für die Fernwartung setzen, sind vielfältig. Einerseits spart es Zeit und Reisekosten: Statt einen Techniker vor Ort zu schicken, kann ein Mitarbeiter die Anlage per Fernzugriff warten. Andererseits ermöglichen moderne VPN-Lösungen wie OpenVPN oder WireGuard eine verschlüsselte Verbindung, die auf den ersten Blick sicher erscheint.
Doch die Realität sieht oft anders aus. Viele Handwerksbetriebe nutzen veraltete VPN-Server oder konfigurieren die Zugriffe falsch. Ein häufiger Fehler ist die Verwendung von Standard-Passwörtern oder die Freigabe von Ports im Router, die eigentlich geschlossen bleiben sollten. Das BSI warnt in seinen Hinweisen zur Absicherung von Fernwartungszugängen (2022) vor solchen Praktiken: „Ein unsachgemäß konfiguriertes VPN ist wie ein offenes Fenster – es lädt Angreifer geradezu ein.“
Ein weiteres Problem ist die fehlende Segmentierung des Netzwerks. In vielen Handwerksbetrieben sind alle Geräte – von der CNC-Maschine bis zum Thermostat – in einem einzigen Netzwerksegment untergebracht. Wird ein Gerät kompromittiert, können Angreifer sich lateral durch das gesamte Netzwerk bewegen. Das zeigt ein Fall aus dem Jahr 2021, dokumentiert im CERT-Bund-Meldung CERT-2021-0567: Ein Angreifer nutzte eine Schwachstelle in einem vernetzten Heizungsthermostat, um sich Zugang zum Firmennetzwerk zu verschaffen und anschließend Daten zu exfiltrieren.
Thermostate und andere „harmlose“ Geräte: Warum sie zur Gefahr werden
Thermostate, Lüftungsanlagen oder sogar Kaffeemaschinen in der Werkstattecke – auf den ersten Blick scheinen diese Geräte keine Sicherheitsrisiken zu bergen. Doch in der Praxis werden sie oft mit dem Firmennetzwerk verbunden, um Energieverbrauch zu optimieren oder Fernwartung zu ermöglichen. Das Problem: Viele dieser Geräte wurden nicht für den Einsatz in unsicheren Netzwerken entwickelt.
Ein Beispiel ist der Netatmo Smart Thermostat. Das Gerät speichert Zugangsdaten für das WLAN im Klartext und nutzt ein veraltetes Verschlüsselungsprotokoll. Wird es über ein VPN mit dem Internet verbunden, können Angreifer diese Daten abfangen und sich Zugang zum Firmennetzwerk verschaffen. Das zeigt eine Studie der TU München (2022), in der Forscher nachwiesen, dass 68% der getesteten Smart-Home-Geräte für den Einsatz in Industrieumgebungen ungeeignet sind.
Doch nicht nur Smart-Home-Geräte sind betroffen. Auch ältere Industrieanlagen wie Heizungssysteme oder Lüftungsanlagen werden oft mit dem Firmennetzwerk verbunden, ohne dass die Betreiber die Sicherheitsrisiken kennen. Das VDMA-Leitfaden IT-Sicherheit für Maschinenbauer (2023) warnt vor solchen Praktiken: „Geräte, die nicht für den Einsatz in unsicheren Netzwerken konzipiert wurden, sollten niemals direkt mit dem Internet verbunden werden.“
Die rechtlichen Fallstricke: Was das BSI und die DSGVO verlangen
Wer KRITIS-relevante Anlagen betreibt, muss besondere Sicherheitsvorkehrungen treffen. Das regelt §8a BSIG (Bundesamt für Sicherheit in der Informationstechnik). Doch was bedeutet das konkret für Handwerksbetriebe?
Laut §8a BSIG müssen Betreiber von KRITIS-Anlagen regelmäßig Risikoanalysen durchführen und Sicherheitsmaßnahmen nachweisen. Dazu gehören unter anderem: - Regelmäßige Penetrationstests (mindestens alle zwei Jahre), - Dokumentierte Zugriffsprotokolle für Fernwartungszugriffe, - Segmentierung des Netzwerks, um laterale Bewegungen zu verhindern.
Doch die Realität sieht oft anders aus. Laut einer Erhebung der Verbraucherzentrale NRW (2023) erfüllen nur 22% der befragten Handwerksbetriebe diese Vorgaben. Viele Betreiber unterschätzen die Anforderungen oder wissen nicht, dass ihre Anlagen überhaupt unter die KRITIS-Regulierung fallen.
Ein weiteres Problem ist die DSGVO. Wer personenbezogene Daten verarbeitet – und dazu können auch Daten aus Heizungssteuerungen gehören, wenn sie Rückschlüsse auf Arbeitszeiten oder Anwesenheiten zulassen – muss besondere Schutzmaßnahmen ergreifen. Das regelt Art. 32 DSGVO. Doch viele Handwerksbetriebe speichern solche Daten unsicher oder geben sie unverschlüsselt weiter.
Wie Angreifer vorgehen: Drei dokumentierte Angriffsmuster
Angriffe auf unsichere Fernzugriffe folgen oft ähnlichen Mustern. Drei Beispiele zeigen, wie Angreifer vorgehen:
-
Ausnutzung von Standard-Passwörtern Im Jahr 2021 nutzte ein Angreifer ein Standard-Passwort für einen VPN-Zugang in einem metallverarbeitenden Betrieb in Baden-Württemberg. Über diesen Zugang konnte er sich lateral durch das Netzwerk bewegen und schließlich Daten exfiltrieren. Das zeigt die CERT-Bund-Meldung CERT-2021-0567.
-
Man-in-the-Middle-Angriffe auf unsichere Verbindungen Viele Handwerksbetriebe nutzen veraltete VPN-Protokolle wie PPTP, die keine moderne Verschlüsselung bieten. Angreifer können solche Verbindungen abhören und Zugangsdaten abfangen. Das demonstrierte eine Studie der TU München (2022), in der Forscher nachwiesen, dass 45% der getesteten VPN-Verbindungen in Handwerksbetrieben unsicher waren.
-
Ausnutzung von Schwachstellen in IoT-Geräten Ein Angreifer nutzte eine Schwachstelle im Netatmo Smart Thermostat, um sich Zugang zum Firmennetzwerk zu verschaffen. Anschließend installierte er eine Backdoor und exfiltrierte Daten. Dieser Vorfall wurde im BSI-Lagebericht 2023 dokumentiert.
Was Handwerksbetriebe jetzt tun können: Ein Leitfaden ohne Fachchinesisch
Handwerksbetriebe müssen nicht auf Fernwartung verzichten – sie müssen sie nur sicher gestalten. Ein erster Schritt ist die Segmentierung des Netzwerks. Geräte wie Thermostate oder Lüftungsanlagen sollten in einem separaten Netzwerksegment untergebracht werden, das keinen direkten Zugriff auf kritische Systeme ermöglicht.
Ein weiterer wichtiger Punkt ist die Absicherung der VPN-Zugriffe. Dazu gehören: - Regelmäßige Updates der VPN-Server und -Clients, - Zwei-Faktor-Authentifizierung (2FA) für alle Fernzugriffe, - Dokumentation aller Zugriffe in einem zentralen Log.
Das BSI empfiehlt in seinen Hinweisen zur Absicherung von Fernwartungszugängen (2022) zusätzlich: - Regelmäßige Penetrationstests durchzuführen, - Schulungen für Mitarbeiter anzubieten, um Phishing-Angriffe zu erkennen, - Notfallpläne für den Fall eines Angriffs zu erstellen.
Doch nicht alle Handwerksbetriebe haben die Ressourcen, um solche Maßnahmen umzusetzen. Für sie bietet die Verbraucherzentrale NRW eine Checkliste zur sicheren Fernwartung an, die kostenlos heruntergeladen werden kann.
Fazit: Fernwartung ja – aber mit System
Fernwartung per VPN ist in Handwerksbetrieben nicht grundsätzlich gefährlich. Doch sie erfordert Planung, regelmäßige Wartung und ein Bewusstsein für die Risiken. Wer seine Anlagen sicher anbindet, kann von den Vorteilen profitieren – ohne sich den Gefahren auszusetzen.
Die Frage ist nicht, ob Fernwartung genutzt werden sollte, sondern wie sie sicher umgesetzt wird. Ein unsicheres VPN ist wie ein offenes Tor – es lädt Angreifer geradezu ein. Doch mit den richtigen Maßnahmen lässt sich das Risiko minimieren.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI) (2023), BSI Lagebericht IT-Sicherheit 2023, Kapitel zu OT/ICS, S. 45–50.
- Verband Deutscher Maschinen- und Anlagenbau (VDMA) (2023), Leitfaden IT-Sicherheit für Maschinenbauer, Abschnitt zu VPN-Risiken in Produktionsumgebungen. https://www.vdma.org
- Verbraucherzentrale NRW (2023), Checkliste: Sichere Fernwartung für Handwerksbetriebe.
- Technische Universität München (2022), "Security Analysis of Industrial VPN Gateways", DOI: 10.11
Erstellt mit Unterstützung künstlicher Intelligenz unter redaktioneller Aufsicht. Quellen automatisiert geprüft. Wie wir arbeiten
Cybersecurity #vpn #fernwartung #industrie-40 #handwerk #ot-sicherheit