Die verletzliche Flanke der Lebensmittelindustrie

Ein Cyberangriff legt die US-Produktion von fairlife lahm. Der Vorfall zeigt, dass Cyberresilienz in der Lebensmittelproduktion längst zur Frage der Versorgungssicherheit geworden ist.

Ein gezielter Cyberangriff auf die US-amerikanische Coca-Cola-Tochter fairlife hat die Produktion des Milliarden-Konzerns vorübergehend zum Stillstand gebracht. Der Vorfall unterstreicht die wachsende Bedrohung für physische Lieferketten und zeigt eindringlich, wie verwundbar moderne Industrieanlagen an der Schnittstelle von IT und Produktionstechnik sind.

Was ist passiert?

Nach offiziellen Angaben des Mutterkonzerns The Coca-Cola Company verschafften sich unbefugte Dritte Zugriff auf die IT- und Netzwerkinfrastruktur von fairlife, LLC. Der Angriff beschränkte sich jedoch nicht nur auf administrative Büronetzwerke, sondern betraf auch operative Steuerungssysteme der US-amerikanischen Produktionsstätten.

Als Reaktion auf die Bedrohung leitete das Unternehmen Notfallprotokolle ein und fuhr die US-Produktionswerke präventiv komplett herunter, um eine weitere Ausbreitung des Schadens zu verhindern und die betroffenen Systeme zu isolieren.

In einem Statement von fairlife heißt es: “Nach Feststellung des Vorfalls hat das Unternehmen umgehend seine Protokolle zur Vorfallbewältigung und zur Aufrechterhaltung des Geschäftsbetriebs aktiviert. Die Untersuchungen des Unternehmens sowie die Bewertung der Auswirkungen des Vorfalls dauern an, wobei externe Berater und Cybersicherheitsexperten hinzugezogen werden. Das Unternehmen hat zudem die Strafverfolgungsbehörden informiert. Der vollständige Umfang, die Art und die Auswirkungen des Vorfalls sind bislang noch nicht bekannt.”

Das kanadische Geschäft von fairlife sowie die allgemeine Lebensmittelsicherheit der bereits im Umlauf befindlichen Produkte waren laut Unternehmensangaben nicht betroffen.

Coca-Cola schaltete die US-Strafverfolgungsbehörden ein, zog externe IT-Sicherheitsexperten hinzu und legte den Vorfall im Rahmen einer Form 8-K-Meldung bei der US-Börsenaufsichtsbehörde SEC offen.

Über das genaue Ausmaß eines eventuellen Datenabflusses oder über konkrete Lösegeldforderungen machten die Verantwortlichen bislang keine Angaben. Auch bekannte sich vorerst keine Cyberkriminalitätsgruppe öffentlich zu der Attacke.

Warum dieser Vorfall eine neue Dimension hat

Der Cyberangriff auf fairlife ist kein isolierter Vorfall in der Unternehmenswelt, besitzt jedoch aufgrund mehrerer Faktoren eine besondere Brisanz:

• Strategischer Stellenwert: fairlife gilt als eine der erfolgreichsten Akquisitionen im Coca-Cola-Portfolio der letzten Jahre. Die auf ultrafiltrierte Milch- und Proteinprodukte spezialisierte Marke erwirtschaftet einen geschätzten Einzelhandelsumsatz von nahezu vier Milliarden US-Dollar und ist ein zentraler Wachstumstreiber des Konzerns.
• Zeitkritische Lieferketten: Anders als bei langlebigen Konsumgütern führen Produktionsausfälle in der Molkerei- und Lebensmittelbranche unmittelbar zu logistischen Engpässen. Rohstoffe verfallen, Kühlketten erfordern zusätzliche Aufmerksamkeit und Lieferverträge mit dem Einzelhandel geraten binnen weniger Tage ins Wanken.
• Angriff auf die Operational Technology (OT): Der Vorfall zeigt die reale Gefahr von Angriffen, die von klassischer Büro-IT auf die physische Produktionsebene (Operational Technology) übergreifen. Bricht die Steuerung von Rezeptur-, Pasteurisierungs- oder Abfüllanlagen weg, steht der physische Betrieb vollkommen still.

Mögliche Konsequenzen für Organisationen

Der Fall fairlife verdeutlicht Trends und Herausforderungen, mit denen Großunternehmen branchenübergreifend konfrontiert sind:

1. Die Verwundbarkeit der IT/OT-Konvergenz: Die fortschreitende Digitalisierung von Fabriken (Industrie 4.0) verbindet traditionell isolierte Produktionsnetze mit dem Internet und dem Konzernnetzwerk. Diese Konvergenz schafft erhebliche Effizienzen, vergrößert jedoch die Angriffsfläche drastisch. Für Enterprise-IT-Abteilungen bedeutet dies, dass die Segmentierung von OT- und IT-Systemen sowie die Einführung von Zero-Trust-Architekturen auf der Fabrikebene höchste Priorität erhalten müssen.
2. Betriebsausfallkosten übersteigen möglicherweise Lösegeldforderungen: Bei Produktionsunternehmen übersteigen die Kosten durch stillstehende Bänder, ungenutzte Kapazitäten und verpasste Marktlieferungen häufig die potenziellen Lösegeldforderungen bei weitem. Cyber-Risikomanagement muss daher primär auf Business Continuity und schnelle Entkopplungsfähigkeiten ausgerichtet werden, um den physischen Betrieb selbst bei einem IT-Kollaps aufrechterhalten zu können.
3. Regulative Transparenz und Marktreaktion: Cyberangriffe sind längst keine reinen IT-Probleme mehr, sondern bilanzrelevante Ereignisse. Öffentliche Transparenzpflichten zwingen Konzerne zu schnellem Handeln, setzen Managementräte jedoch gleichzeitig unter erhöhtem Rechtfertigungs- und Kommunikationsdruck gegenüber Investoren und Kunden.
4. Die Agrar- und Lebensmittelbranche als kritisches Ziel: Kriminelle Akteure wählen gezielt Branchen aus, bei denen Ausfallzeiten extreme finanzielle Schmerzen verursachen. Die kritische Infrastruktur des Ernährungssektors rückt damit zunehmend in den Fokus professioneller Ransomware-Gruppen. Dies führt absehbar zu strengeren gesetzlichen Auflagen und deutlich höheren Anforderungen seitens der Cyber-Versicherer.

Merksatz für IT-Verantwortliche: Ein Cyber-Vorfall im OT-Bereich ist kein reiner IT-Incident, sondern immer auch ein Betriebsnotfall.

Lesen Sie auf Seite 2 unsere Empfehlungen für ein ganzheitliches Schutzkonzept.

Die Konvergenz von Information Technology (IT) und Operational Technology (OT) stellt Führungskräfte vor ein fundamentales Dilemma: In der klassischen IT dominiert häufig der Schutz von Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Diensten; in der OT haben Safety, Prozessintegrität und kontinuierliche Verfügbarkeit der Anlagen Vorrang.

Um Vorfälle wie bei fairlife besser beherrschbar zu machen, sollten CISOs und CIOs ein ganzheitliches Schutzkonzept etablieren, das sich an IEC 62443, NIST SP 800-82 und einschlägigen nationalen Empfehlungen wie dem BSI-ICS-Security-Kompendium orientiert.

1. Governance & Organisation: Das IT/OT-Silo aufbrechen

• Interdisziplinäre Teams bilden: Cyber-Sicherheit in der Produktion scheitert oft an Kommunikationsgrenzen. IT-Sicherheitsteams sind mit industriellen Protokollen und Prozessabhängigkeiten nicht immer vertraut; OT-Ingenieure wiederum fürchten, dass unkoordinierte IT-Scans die Produktion beeinträchtigen. Ein gemeinsames SOC-Modell mit OT-Kompetenz, klaren Eskalationswegen und abgestimmten Betriebsprozessen ist essenziell.
• Risikobewertung nach physikalischen Konsequenzen: Risiko-Assessments in der OT dürfen sich nicht auf Datenverlust beschränken. Cyber-Szenarien sollten mit Prozess- und Safety-Analysen verknüpft werden, etwa entlang von HAZOP-Methoden (Hazard and Operability Studies), um mögliche Folgen wie Mischungsfehler, Anlagenschäden oder Personengefährdung systematisch zu bewerten.

2. Architektonische Absicherung: OT-Hardening im Detail

A. Konsequente Netzwerksegmentierung (Purdue-Modell & IDMZ)

• Demilitarisierte Zone für die Industrie (IDMZ): Es darf keine direkte Verbindung zwischen der Enterprise-IT (Level 4) und den OT-Steuerungsebenen (Level 0–3) geben. Alle Datenflüsse müssen über eine IDMZ (Level 3.5) geleitet werden.
• Kontrollierter Datenfluss: Historian-Server in der IT sollten nicht direkt auf Steuerungsebenen zugreifen, sondern auf freigegebene Datenquellen in der IDMZ. Daten fließen idealerweise überwiegend von OT nach IT; besonders kritische Umgebungen können zusätzlich durch unidirektionale Gateways oder Datendioden abgesichert werden.

B. Passives Asset-Discovery & OT-Visibilität

• Aktive Netzwerk-Scans nur kontrolliert einsetzen: Klassische Vulnerability-Scanner und aggressive Discovery-Methoden können ältere Steuerungen (PLCs/SPS) überlasten oder unerwartete Zustände auslösen. In produktiven OT-Umgebungen sollten sie daher nur nach Herstellerfreigabe, Testlauf und in abgestimmten Wartungsfenstern genutzt werden.
• Passives Monitoring: Einsatz von spezialisierten OT-Sensoren (z. B. via Span-Ports/TAP), die den Netzwerkverkehr passiv analysieren, um ein automatisiertes Asset-Inventar zu erstellen und Protokoll-Anomalien (z. B. unübliche Befehle an eine SPS) in Echtzeit zu erkennen.

C. Sichere Fernwartung (Remote Access) & Zero Trust

• Standard-VPNs kritisch prüfen: Dauerhafte oder breit berechtigte VPN-Zugänge für Drittwartungs-Techniker in OT-Netze gehören zu den größten Einfallstoren, wenn sie nicht durch starke Authentifizierung, Zugriffsbeschränkungen, Sitzungsfreigaben und Protokollierung abgesichert sind.
• Privileged Access Management (PAM) & Just-in-Time Access: Fernzugriffe dürfen nur sitzungsbasiert, nach mehrstufiger Authentifizierung (MFA) und mit expliziter Freigabe durch das Schichtpersonal erfolgen. Jede Sitzung muss aufgezeichnet werden.
• Lieferkette und Herstellerzugänge absichern: Gerade in der Lebensmittelproduktion hängen Anlagenbetrieb, Wartung und Ersatzteilversorgung stark von Maschinenbauern, Integratoren und Servicepartnern ab. Sicherheitsanforderungen sollten deshalb vertraglich verankert werden: inklusive MFA und PAM für Fernwartung, Meldepflichten bei Sicherheitsvorfällen, Freigabeprozessen für Updates, Nachweisen zu Schwachstellenmanagement und klaren Verantwortlichkeiten für Drittanbieterzugriffe.

3. Resilienz & Notfallplanung: "Air-Gap on Demand"

• Geplante Entkopplungsszenarien definieren: Unternehmen müssen in der Lage sein, Verbindungen zwischen IT und OT kontrolliert zu trennen, kritische Anlagen in einen sicheren Betriebszustand zu überführen und, wo technisch vorgesehen, Teilbereiche im isolierten Inselbetrieb weiterzuführen.
• Offline-Backups & Disaster Recovery: Backups von SPS-Konfigurationen, HMI-Images und SCADA-Projektdateien müssen offline und unveränderbar (Immutable Backups) aufbewahrt werden. Die Wiederherstellung muss regelmäßig unter realistischen Bedingungen geübt werden.
• Change- und Konfigurationsmanagement absichern: Änderungen an SPS-Programmen, HMI-Konfigurationen, Rezepturen, Netzwerkrouten und Firewall-Regeln sollten versioniert, freigegeben und nachvollziehbar dokumentiert werden. Kritische Änderungen benötigen ein Vier-Augen-Prinzip, einen Rollback-Plan und eine Prüfung gegen bekannte sichere Referenzstände.

Weitere Hilfestellung

Mit dem ICS-Security-Kompendium hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein Grundlagenwerk zur IT-Sicherheit in ICS herausgegeben. Das BSI gibt auch Empfehlungen für ICS-Betreiber. Zudem finden sich konkrete Sicherheitsanforderungen im IT-Grundschutz-Kompendium (u. a. IND-Bausteine).

Spezielle Vorgaben für Betreiber kritischer Infrastruktur – zu denen auch die Branche Ernährung mit Großhandel, Produktion, Verarbeitung von Lebensmitteln gehört – ergeben sich aus NIS2 sowie dem KRITIS-Dachgesetz.

Enterprise-Playbooks für u. a. Confluence, Notion, GitHub Wiki, Azure DevOps Wiki, SharePoint und interne Knowledge-Management-Systeme finden Sie auf GitHub.