LuxHawk.lu (+352) 27 52 67 45

← Zurück zu Wissen

Wenn ein Hacker die Heizung abschaltet: das Gebäude friert

Gebäude und Miteigentum 11 min Autor : Arnaud Colin Aktualisiert : 19/09/2026

Zusammenfassung

Ja. Im Januar 2024 hat eine Schadsoftware Befehle an die Steuerungen eines Fernwärmenetzes in Lwiw gesendet und mehr als 600 Gebäude mitten im Winter ohne Zentralheizung gelassen; im November 2016 haben zwei finnische Gebäude Heizung und Warmwasser verloren, weil ihre Steuerungen ohne Firewall aus dem Internet erreichbar waren. In beiden Fällen wurde keine Softwareschwachstelle ausgenutzt: Ein exponierter Router und ein nicht segmentiertes Netz in Lwiw, ohne Firewall aus dem Internet erreichbare Steuerungen in Lappeenranta haben genügt.

Kann man ein Gebäude über das Netz abschalten?

In den meisten Mehrfamilienhäusern wird die Heizung von einer Steuerung geregelt, die im Heizraum installiert ist. Sie liest Fühler aus, steuert Pumpen und Ventile und ist für die Fernwartung immer häufiger mit dem Internet verbunden. Die Frage, die sich ein Verwalter (Syndic) oder ein Gebäudemanager stellt, ist einfach: Kann ein Angreifer auf den physischen Komfort der Bewohner einwirken, und nicht nur auf Dateien?

Drei dokumentierte Fälle antworten mit Ja, jeder auf seine Weise. In Lwiw hat im Januar 2024 eine Schadsoftware Befehle an die Steuerungen eines Fernwärmenetzes gesendet und mehr als 600 Gebäude ohne Heizung gelassen. In Lappeenranta haben im November 2016 zwei Gebäude Heizung und Warmwasser verloren, ohne notwendigerweise Ziel des Angriffs gewesen zu sein. In der Ukraine hat im Dezember 2015 ein Eindringen rund 225.000 Kunden vom Strom getrennt. Keiner dieser Fälle beruht auf einer technischen Meisterleistung: Ein exponiertes Gerät in Lwiw und in Lappeenranta, durch Phishing gestohlene Zugangsdaten und ein VPN ohne zweiten Faktor in der Ukraine haben genügt.

Lwiw, Januar 2024: mehr als 600 Gebäude ohne Heizung

Der vollständigste Fall ist derjenige, den das Untersuchungsunternehmen Dragos in seinem Bericht vom Juli 2024 über die Schadsoftware FrostyGoop beschreibt. Die Chronologie erstreckt sich über zehn Monate. Am 17. April 2023 dringen die Angreifer über einen im Internet exponierten Router des Fernwärmebetreibers ein, dessen Schwachstelle nicht ermittelt wurde; nach Angaben der Fachpresse handelte es sich um ein Modell von MikroTik (SecurityWeek). Dort hinterlegen sie eine Webshell. Im November und Dezember 2023 extrahieren sie Zugangsdaten aus der Windows-Registrierung. In der Nacht vom 22. auf den 23. Januar 2024 werden L2TP-Tunnel zu Adressen in Moskau geöffnet, und Modbus-TCP-Befehle werden über Port 502 direkt an die ENCO-Steuerungen des Fernwärmenetzes gesendet.

Was den Angriff möglich gemacht hat, lässt sich in drei Punkten zusammenfassen. Der Router war aus dem Internet erreichbar. Das Netz war nicht segmentiert: Router, Verwaltungsserver und Steuerungen befanden sich auf derselben Ebene, mit fest codierten Netzrouten. Und Modbus, das Protokoll, das die Leittechnik mit den Steuerungen verbindet, kennt weder Authentifizierung noch Verschlüsselung: Jede über diesen Port erreichbare Steuerung kann von jedem bedient werden, der sie sieht. Es wurde keine durch eine CVE referenzierte Softwareschwachstelle ausgenutzt. Dragos stellt FrostyGoop als die neunte bekannte Schadsoftware vor, die auf industrielle Systeme zielt, und als die erste, die Modbus TCP nutzt, um auf Industrieanlagen einzuwirken; zum Zeitpunkt ihrer Entdeckung wurde sie von keinem Virenschutz erkannt.

Laut dem Bericht von Dragos wurde die Firmware der Steuerungen auf eine Version zurückgestuft, der die vom Betreiber genutzten Überwachungsfunktionen fehlten, sodass dieser die Sicht auf seine Anlage verlor; anschließend meldeten die Steuerungen falsche Messwerte, das Wasser wurde als heiß gemeldet, obwohl es kalt war, und das System stellte das Heizen ein. Die Angreifer haben nicht versucht, die Steuerungen zu zerstören.

Die Auswirkung: mehr als 600 Wohngebäude ohne Zentralheizung bei Minusgraden und, laut Dragos, fast zwei Tage Wiederherstellungsarbeiten für den Betreiber. Die ukrainischen Behörden, zitiert von The Record, sprechen von „mehr als 600 Haushalten“ und nennen den Betreiber, Lvivteploenergo. Keine der konsultierten Quellen erwähnt Opfer. Dragos zählte damals weltweit rund 46.000 im Internet exponierte Modbus-TCP-Geräte.

Dragos nennt weder ein Land noch eine Gruppe; es stellt Verbindungen zu Moskauer Adressen fest. Das Landesamt für Verfassungsschutz Baden-Württemberg schreibt dagegen „ein russischer Akteur“: Diese Formulierung geht über den Untersuchungsbericht hinaus. Was die Abwehr betrifft, verweist Dragos in seinem Beitrag vom 23. Juli 2024 auf die fünf kritischen SANS-Kontrollen für industrielle Systeme, darunter die Segmentierung und die Überwachung des Netzes. Das Muster ist nicht auf die Ukraine beschränkt: Eine Warnung der US-Behörde CISA vom 7. April 2026 beschreibt mit dem Iran verbundene Akteure, die im Internet exponierte Steuerungen in den Bereichen Wasser und Energie über dieselben Ports, darunter 502, manipulieren.

Lappeenranta, November 2016: zwei Gebäude in der Kälte, ohne Ziel gewesen zu sein

Der zweite Fall ähnelt eher einer luxemburgischen Eigentümergemeinschaft: ein gewöhnliches Gebäude, ein Facility-Manager und eine Heizungssteuerung, die für die Fernwartung ins Internet gestellt wurde. Zwischen Ende Oktober und Donnerstag, dem 3. November 2016, empfangen die Steuerungen zweier Gebäude, die vom Immobiliendienstleister Valtia verwaltet werden, anormalen Datenverkehr. Der Geschäftsführer von Valtia, Simo Rounela, erklärt gegenüber Vice, dass die Steuerung unter dieser Last ihren Steuerkreis alle fünf Minuten neu startete, sodass die Heizung nicht wieder anlief.

Weder eine Softwareschwachstelle noch ein Eindringen noch eine Schadsoftware wurden festgestellt. Die Regelungssteuerungen von Fidelix, die Zentralheizung und Warmwasser steuerten, waren direkt aus dem Internet erreichbar, ohne Firewall. Der genaue Mechanismus bleibt umstritten: Der Betreiber spricht von Angriffen auf die von ihm genutzten DNS-Server (BleepingComputer), während die finnische Kommunikationsbehörde exponierte Steuerungen beschreibt, die als Verstärker in einem Angriff gegen einen anderen europäischen Akteur dienten. So oder so musste niemand diese beiden Gebäude ins Visier nehmen, um sie in die Kälte zu setzen.

Die Fernsteuerung antwortete nicht mehr, und die Techniker rückten zunächst aus, um eine lokale Störung zu suchen; BleepingComputer berichtet, dass das Unternehmen einige Tage brauchte, um zu verstehen, was geschah. Nachdem die Steuerungen vom Internet getrennt worden waren, lief die Heizung laut Rounela etwa eine Stunde nach dem Alarm wieder an; die erneute Anbindung an das Netz erfolgte anschließend hinter einer Filterung des Datenverkehrs (Security Ledger).

Die Auswirkung: Heizung und Warmwasser in zwei Gebäuden bei Temperaturen unter null unterbrochen. Die tatsächliche Dauer des Ausfalls wird von den Quellen nicht genau belegt, während der Angriff etwa eine Woche dauerte; eine Umquartierung gab es nicht. Die Täter wurden nie identifiziert (Etelä-Saimaa, 11. November 2016). Die Information, wonach bei einem vergleichbaren Angriff das Eis einer Eishalle in Rauma geschmolzen sei, wurde von der Stadt dementiert (Korrektur von Yle).

Der Geschäftsführer von Fidelix, Jussi Rantanen, gibt gegenüber Yle an, dass eine kostenlose Firewall-Software mit den Steuerungen geliefert wird, aber aktiviert werden muss, und dass „letztlich auch die Wohnungs- oder Immobiliengesellschaft Beteiligte ist“; viele Eigentümergemeinschaften zögern, für eine Firewall zu bezahlen. Im März 2019 berichtete Yle, dass in Finnland noch rund 2.000 Gebäudesteuerungen ungeschützt im Internet exponiert waren.

Ukraine, Dezember 2015: wenn das Stromnetz ausfällt

Der dritte Fall betrifft kein Gebäude, sondern die Infrastruktur, von der jedes Gebäude abhängt: Aufzüge, Pumpen, Türen, Heizkessel. Am 23. Dezember 2015, gegen 15:35 Uhr, übernehmen Angreifer aus der Ferne die Kontrolle über die Leitwartenbildschirme dreier regionaler Stromverteiler und öffnen Leistungsschalter: Rund 225.000 Kunden sind mitten im Winter ohne Strom, laut der Warnung des amerikanischen ICS-CERT. Es ist der erste öffentliche Stromausfall, der durch einen Cyberangriff verursacht wurde.

Der Zugang erfolgte mindestens sechs Monate zuvor über gezielte Phishing-E-Mails mit Office-Dokumenten mit Makros, die die Schadsoftware BlackEnergy 3 hinterlegten. Mit den so gestohlenen Zugangsdaten verbanden sich die Angreifer über das VPN des Unternehmens mit dem Industrienetz, mit legitimen Konten und ohne zweiten Authentifizierungsfaktor, wie der Bericht von E-ISAC/SANS vom März 2016 beschreibt. Für das Eindringen wurde keine Softwareschwachstelle ausgenutzt.

Während sie die Leistungsschalter öffneten, löschten die Angreifer die Arbeitsplatzrechner mit der Komponente KillDisk, ersetzten die Firmware der Seriell-Ethernet-Konverter in den Umspannwerken und überlasteten das Kunden-Callcenter mit einem telefonischen Denial-of-Service. Die Wiederherstellung erfolgte von Hand, vor Ort. Laut der Fallstudie des Idaho National Laboratory (2022) wurden mindestens 57 Umspannwerke abgetrennt und mehr als zwei Monate lang manuell betrieben; der Ausfall selbst dauerte je nach Unternehmen drei bis sechs Stunden.

Ein Jahr später, am 17. Dezember 2016, blieb das Übertragungsumspannwerk Pivnichna bei Kiew etwas mehr als eine Stunde außer Betrieb; ESET hält die Beteiligung der Schadsoftware Industroyer für „höchstwahrscheinlich“; eines ihrer Module nutzte die Schwachstelle CVE-2015-5374 in Schutzrelais von Siemens aus, eine Nebenkomponente, die nicht als Einfallstor diente. Im Gegensatz zum Fall Lwiw ist der Angriff von 2015 gerichtlich zugeordnet: Am 19. Oktober 2020 hat das amerikanische Justizministerium sechs Offiziere der Einheit 74455 des russischen Militärgeheimdienstes angeklagt.

Was ein Gebäude oder eine Eigentümergemeinschaft in Luxemburg daraus lernt

Keiner dieser Fälle hat sich in Luxemburg ereignet, und bis heute ist dort kein Hackerangriff auf die Gebäudetechnik in einer Quelle ersten Ranges dokumentiert. Die Geräte aber sind dieselben: Heizungssteuerungen, Gateways für die Fernsteuerung, ein vom Installateur gesetzter Router.

  • Den Heizungsbetreiber fragen, was aus dem Internet erreichbar ist. In Lwiw wie in Lappeenranta begann der Angriff mit einem exponierten Gerät. Der Wartungsvertrag muss angeben, welche Geräte von außen erreichbar sind und durch wen, und vorsehen, dass die Fernsteuerung über ein protokolliertes VPN statt über einen offenen Port läuft. Die Frage gilt für jeden Dienstleister: Der Einbruch beim Einzelhändler Target im Jahr 2013 begann laut dem Bericht des US-Senats mit den Zugangsdaten eines gephishten Heizungs- und Kältetechnikers; der Dienstleister hat präzisiert, dass dieser Zugang nur der Rechnungsstellung, der Einreichung von Verträgen und dem Projektmanagement diente, ohne Steuerung der Heizung.
  • Das technische Netz vom Rest trennen. In Lwiw teilten sich Router, Server und Steuerungen dasselbe Netz. Heizraum, Gebäudeleittechnik und Türen haben weder im Netz des Verwalterbüros noch in dem des Hausmeisters etwas zu suchen.
  • Die Firewall aktivieren und die Werkspasswörter ändern. Die finnischen Steuerungen wurden mit einer Firewall geliefert, die aktiviert werden musste. Das Botnetz Mirai hat 2016 Hunderttausende Kameras und Rekorder rekrutiert, deren Werkszugangsdaten nicht geändert worden waren; die Warnung des US-CERT vom Oktober 2016 empfiehlt, diese Zugangsdaten zu ändern und diese Geräte aus dem Internet zu nehmen.
  • Wissen, wer aktualisiert, und wann. Im Mai 2013 lief die Leittechnik eines Bürogebäudes von Google in Sydney noch auf einer Version, deren Korrektur seit August 2012 vorlag (Hinweis ICSA-12-228-01). Der Vertrag muss die Person benennen, die für die Aktualisierungen der Steuerung und des Gateways verantwortlich ist.
  • Eine Zwei-Faktor-Authentifizierung für jeden Fernzugang verlangen. In der Ukraine war ein mit gestohlenen Zugangsdaten genutztes VPN von einem legitimen Zugriff nicht zu unterscheiden. Ein Installateur, der sich mit einem einfachen Passwort verbindet, setzt das Gebäude derselben Situation aus.
  • Den Notbetrieb vorsehen. Zehn Monate stiller Präsenz in Lwiw, einige Tage bis zum Verständnis in Lappeenranta, zwei Monate manueller Betrieb in der Ukraine: Die Frage an den Installateur lautet „Wer schaltet den Heizraum wieder ein, wenn die Fernsteuerung lügt?“. Ein fester Sollwert oder ein lokaler Handbetrieb muss ohne Netz möglich bleiben.
  • Die Fernzugriffe überwachen und wissen, wen man anruft. Das finnische Wartungspersonal hat zunächst eine lokale Störung gesucht. Ein regelmäßig gelesenes Protokoll der Verbindungen zur Fernsteuerung und eine Nummer, die man im Zweifel wählt (der Installateur, dann das CIRCL in Luxemburg), ersparen den Verlust von Tagen.
  • Auch den Rechner des Verwalters schützen. Das nationale CSIRT beschreibt in seinem Bericht TR-93 vom Februar 2025 Buchhaltungsrechner, die durch eine gefälschte Rechnung kompromittiert wurden, und anschließend betrügerische Überweisungen ins Ausland; es empfiehlt die Freigabe nach dem Vier-Augen-Prinzip und das Entfernen der Chipkarte aus dem Lesegerät, wenn sie nicht gebraucht wird. Eine per E-Mail erhaltene Änderung der Bankverbindung wird über einen unabhängigen Kanal überprüft, und getestete Offline-Sicherungen bleiben das Gegenmittel gegen eine Verschlüsselung.
  • Ohne Verzögerung melden. Sind personenbezogene Daten von Miteigentümern betroffen, muss die CNPD innerhalb von 72 Stunden informiert werden (Artikel 33 DSGVO) und die betroffenen Personen „unverzüglich“ (Artikel 34). Beim Cyberangriff auf den Energieversorger Encevo im Juli 2022 hat das Unternehmen die CNPD und die Regulierungsbehörde informiert und Anzeige erstattet, mit dem Hinweis, dass die Strom- und Gasversorgung nicht betroffen war.
  • Prüfen, bevor man erzählt. „Russland hat die Heizung von Lwiw abgeschaltet“ ist nicht das, was der Untersuchungsbericht sagt, und die finnische Eishalle ist nicht geschmolzen. Vor einer Versammlung bleibt man bei den belegten Fakten.

Der Fall Lappeenranta fasst das Ganze zusammen: Eine Firewall wurde mit den Steuerungen geliefert, diese waren dennoch ungeschützt erreichbar, und die Wiederinbetriebnahme bestand darin, sie vom Internet zu trennen. Eine Firewall oder ein VPN kostet weniger als eine Woche ohne Heizung.

Quellen