Hungersnot nach Cyberangriff?

Auch die Landwirtschaft muss „Maßnahmen zur Cybersicherheit priorisieren, um eine erfolgreiche Umstellung ohne Unterbrechungen durch Sicherheitsverletzungen zu gewährleisten.“

von Joachim Jakobs

2020 hat der IT-Branchenverband Bitkom gemeldet, dass 8 von 10 Bäuerinnen „auf digitale Technologien“ setzen würden. Fünf Jahre später, im Januar 2025 verkündet Bundeslandwirtschaftsminister Özdemir „Digitale Innovationen“ könnten „Ressourceneffizienz steigern, Tiergesundheit verbessern und vor allem unsere Landwirtinnen und Landwirte bei ihrer täglichen harten Arbeit auf dem Feld oder im Stall spürbar entlasten.“ Mehr davon: „Sensoren in der Milchwirtschaft für mehr Tierwohl, Drohnen im Weinberg für weniger Pflanzenschutzmittel oder digitalen Datenaustausch von Landmaschinen, um deren Zusammenwirken effizienter, produktiver und die Technik für kleine und mittelgroße Betriebe attraktiv zu machen.“ Medien behaupten: „Mit dem Ziel, möglichst viel Getreide, Früchte, Gemüse oder andere landwirtschaftliche Erzeugnisse zu ernten, geht der Bedarf an maximaler Präzision einher.“

Bild: ChatGPT

In Zukunft ist mit „autonomen Agrarmaschinen und Robotik, wie beispielsweise Dünge- und Ernterobotern, mechanischer Unkrautbekämpfung sowie automatisierten Reinigungs- und Wartungsprozessen“ zu rechnen; und: „Ein weiteres wichtiges Themenfeld ist das effiziente Farmmanagement, das beispielsweise auf den Einsatz von Smart Facilities, vollautomatisierten Bewässerungs- und Beleuchtungssystemen sowie vernetzten Monitoring-Lösungen setzt, um den Betrieb von landwirtschaftlichen Flächen optimal zu steuern. Zudem spielt die intelligente Überwachung von Ackerbau und Viehzucht eine bedeutende Rolle.“

„In der Landwirtschaft kommt 5G im sogenannten ‚Smart Farming‘ bereits zum Einsatz. Ziel ist die Optimierung im Sinne einer nachhaltigen Bewirtschaftung von Anbauflächen, durch die Zusammenführung aller datengetriebenen Services zwischen den beteiligten B2B-Partnern und Behörden.“

5G beschleunigt die Entwicklungen:

„Prognosen zufolge werden bis 2023 weltweit fast 12 Millionen Sensoren in der Landwirtschaft installiert sein. Es wird erwartet, dass 5G die Dinge ins Rollen bringen wird, indem es deutlich schnellere Internetgeschwindigkeiten (bis zu 100 Mal schneller als 4G) unterstützt und maschinelles Lernen sowie die Kommunikation zwischen Geräten und der Cloud nahezu in Echtzeit ermöglicht. Hersteller von landwirtschaftlichen Originalgeräten (OEMs) können von automatisierten landwirtschaftlichen Prozessen profitieren, die durch 5G-Lösungen der nächsten Generation ermöglicht werden, indem sie aus der Ferne umfangreiche Daten von ihren Maschinen und dem Gelände sammeln und analysieren.“

„Die Vorstellung, dass intelligente Maschinen landwirtschaftliche Betriebe leiten, ist keine Science-Fiction. Große Unternehmen leisten bereits Pionierarbeit bei der nächsten Generation autonomer Landwirtschaftsroboter und Entscheidungshilfesysteme, die den Menschen auf dem Feld ersetzen werden“, so Asaf Tzachor vom Centre for the Study of Existential Risk (CSER) der Universität Cambridge.

Der „Cybersecurity Guide“ mahnt jedoch, mit den Fortschritten in der Agrartechnik hätten „auch die Cyber-Bedrohungen zugenommen“: „In der Vergangenheit war der Lebensmittel- und Landwirtschaftssektor kein nennenswertes Ziel für Cyberkriminelle. Heute jedoch sehen Bedrohungsakteure die Abhängigkeit der Welt von einer gut etablierten Lebensmittelversorgungskette als Gelegenheit, Malware wie Ransomware als Druckmittel zur Erreichung ihrer ruchlosen Ziele einzusetzen.

Lebensmittel- und Landwirtschaftsunternehmen setzen heute eine Vielzahl von Technologien ein, um ihre Abläufe zu automatisieren und zu optimieren, einschließlich Produktion, Verarbeitung, Vertrieb und Einzelhandel, wodurch neue Schwachstellen entstanden sind, die von Cyberkriminellen ausgenutzt werden können.

Ein Cyberangriff auf ein Lebensmittel- und Landwirtschaftsunternehmen könnte die Produktion und den Vertrieb von Lebensmitteln unterbrechen, was zu Lebensmittelknappheit und höheren Preisen führen könnte. Außerdem könnten Lebensmittel verunreinigt werden, wodurch die Verbraucher dem Risiko einer Lebensmittelvergiftung ausgesetzt wären.“

Bild: nau.ch

Schadsoftware in den IT-Systemen derer, die landwirtschaftliche Maschinen herstellen, Gestörte Landwirtschaftsverbände und –kammern, Angriffe auf die Verarbeiterinnen von Geflügel, Schweinen, Rindern und Lämmern sowie Obst-/Gemüseunternehmen scheinen das zu bestätigen.

In der Landwirtschaft kann sich das unmittelbar auf das tierische Betriebskapital auswirken: „Hacker attackieren Melk-Roboter von Zuger Milchbauer – Kuh stirbt“. Was einen Betriebsverlust zwischen 1.600 und 20.000 Euro bedeutet. Es kann aber auch teuer werden: Die Französische Weinerzeugergemeinschaft Vinovalie — ein Zusammenschluss von vier großen Winzergenossenschaften — sollte nach einem Angriff mit einem Erpressungstrojaner ein Lösegeld von 450.000 Euro zahlen. Ausserdem war ein 50-prozentiger Ernteausfall zu beklagen: „Leider hat die Situation unsere 190 Mitarbeiter arbeitsuntätig gemacht, was Ängste vor Kurzarbeit weckt“.

Jetzt dringt die Intelligenz bis in die Wurzeln der Pflanzen: „Drahtlose Sensornetzwerke“ sollen in der Lage sein „bestimmte Parameter, z. B. den Stickstoffgehalt des Bodens, zu erkennen und darauf zu reagieren“: „Bei unvorsichtiger Planung könnten diese autonomen Systeme der kurzfristigen Produktivität der Ernte Vorrang vor der langfristigen ökologischen Integrität geben. Um die Erträge zu steigern, könnten sie übermäßig viele Herbizide, Pestizide und Düngemittel auf den Feldern ausbringen, was schädliche Auswirkungen auf Böden und Gewässer haben könnte.“

Die Sensoren sind demnach „ein unverzichtbares Instrument der Präzisionslandwirtschaft für Landwirte und Pflanzenschutzberater, die ihre Ernteerträge optimieren und ihre Anbaumethoden verbessern wollen“, verspricht die Werbung. Damit jedoch entsteht die Gefahr von Angriffen, „wenn Hacker den Code einer Systemanwendung ändern, um auf sensible landwirtschaftliche Daten zuzugreifen, und den Betrieb der digitalisierten Systeme verändern können“.

„Mit der zunehmenden Digitalisierung des Agrarsektors könnten die Produktion und die damit verbundene Logistik durch Cyberangriffe gefährdet sein“.

Mit potentiell dramatischen Konsequenzen: „Indem die Produktion oder Verteilung von Nahrungsmitteln außer Kraft gesetzt wird, könnte eine Knappheit entstehen.“ Womit für die US-Bundesregierung „ein ernsthaftes Risiko für weit verbreiteten Hunger und wirtschaftlichen Schaden auf lokaler, regionaler oder sogar nationaler Ebene“ einhergeht.

Bild: ChatGPT

Wichtig ist, dass sich die Bäuerin auf Angriffe „während der Pflanz- und Erntezeit“ vorbereitet – so befürchtet die US-Bundespolizei FBI: „In einem Sicherheitshinweis stellt das FBI fest, dass sechs Getreidegenossenschaften während der Erntesaison im letzten Herbst Opfer von Ransomware-Angriffen wurden. Zwei weitere Angriffe ereigneten sich zu Beginn dieses Jahres, was sich auf die Pflanzsaison auswirken könnte, indem die Versorgung mit Saatgut und Dünger unterbrochen wird“.

Die Erkenntnis: „Mit der raschen Einführung von Smart-Farming-Technologien und -Infrastrukturen ist der Agrarsektor zu einem attraktiven Ziel für Cyberangriffe geworden.“

Angesichts möglicher „Cyberattacken in der Agrarwirtschaft“ bestätigt die Gesellschaft für Informatik:

„Aus dieser Perspektive ist es sehr wichtig, einen angemessenen Cyber-Schutz für die Präzisionslandwirtschaft zu gewährleisten. Dazu gehören organisatorische Maßnahmen, Bedrohungsinformationen, Cyber-Lösungen, Sensibilisierungsschulungen und Strategien zur Schadensbegrenzung. Gerade in diesen Bereichen sollten Synergien und Ähnlichkeiten mit anderen Sektoren, vor allem zwischen der Automobilindustrie und der Agrartechnik, genutzt werden. Auch die Implementierung von Cybersicherheits-Managementsystemen (CSMS) entlang der Lieferkette ist eine Aufgabe, um künftige Angriffe im Agrarsektor zu reduzieren. In [HMH20] wurde ein leichtgewichtiges CSMS für die Agrartechnikbranche vorgeschlagen. Weitere Schritte sollten eine Beschreibung der Auswirkungen der Cybersicherheit kritischer Infrastrukturen auf die Agrarindustrie und eine Zusammenstellung der bisher gemachten Erfahrungen sein. Die Cybersicherheit ist ein Kompromiss zwischen akzeptablen Risiken für kritische Güter und den Kosten für den Schutz dieser Güter. Dieser Kompromiss erfordert eine ständige Anpassung an eine sich verändernde Bedrohungslandschaft.“

Der Lebensmittelsektor wird im Rahmen der „NIS2-Richtlinie als wichtiger Sektor angesehen, da jede größere Störung in diesem Bereich zerstörerische Auswirkungen auf die gesamte Gesellschaft haben könnte.

Sie umfasst alle Aspekte von der Landwirtschaft über die Lebensmittelverarbeitung, die Verpackung und den Transport bis hin zum Einzelhandel. Mit der zunehmenden Digitalisierung und Vernetzung des Lebensmittelsektors ist dieser anfälliger für Cyber-Bedrohungen geworden. In Anerkennung der Risiken, die Cyberangriffe für diesen Sektor darstellen, stuft die NIS2 den Lebensmittelsektor als eine wichtige Einheit ein.“

Nun könnte die gemeine Bäuerin argumentieren, das sei für sie nicht relevant, da weder sie selbst mit ihren durchschnittlich 3,4 Mitarbeiterinnen noch die Lebensmitteleinzelhändlerin mit ihren 5 Millionen Euro Umsatz unter die NIS-2 falle.

Quelle: Edeka/LZ Retailytics

Es wäre jedoch ein Irrtum zu glauben, dass deshalb keine Schutzmaßnahmen notwendig wären; Rechtsanwalt Giangiacomo Olivi erklärt:
„Obwohl die Techniken der intelligenten Landwirtschaft hauptsächlich auf der Verarbeitung nicht-personenbezogener Daten beruhen, kann die Zuordnung solcher Informationen zu einer bestimmten identifizierbaren Person auf viele verschiedene Arten möglich sein. Beispielsweise beziehen sich die Daten von Tieren direkt auf den Eigentümer des Tieres, die Daten von Pflanzen auf die persönlichen Daten des Landwirts und so weiter. In diesem Fall sollten Datenschutzgesetze (wie die Datenschutz-Grundverordnung) gelten, da zwangsläufig eine Verarbeitung personenbezogener Daten stattfindet. Weitere Probleme können sich ergeben, wenn moderne Maschinen, wie z. B. ferngesteuerte Drohnen oder Traktoren, in der Lage sind, ihre Nutzer zu überwachen, ihre Leistung zu verfolgen und sie zu identifizieren. Darüber hinaus können in diesem Fall Fragen des Datenschutzes (sowie arbeitsrechtliche Fragen) auftauchen, weshalb Unternehmen und AgriTech-Anbieter nach kreativen Wegen suchen sollten, diese zu lösen.“

Die landwirtschaftliche Unternehmensberatung Agratal empfiehlt die Umsetzung der „DIN SPEC 27076“: „Die DIN SPEC 27076 ist ein Leitfaden zur IT-Sicherheitsberatung von Klein- und Kleinstunternehmen. Sie bietet einen standardisierten Beratungsprozess, den „Cyber Risiko Check“. Es kann sehr hilfreich sein diesen Fragenkatalog einmal selbst als Unternehmen durchzugehen, um etwaige ‚Baustellen‘ aufzudecken. Das Dokument kann kostenlos bei dinmedia.de bezogen werden.“

Ein Cyber steuert zu dieser Norm außerdem einen „CyberRisiko-Check“ mit Fragen bei wie

• „Verfügen Sie über einen geeigneten Dienstleister? […]
• Haben Sie erste Informationen zum Vorgehen von Ihrem Dienstleister erhalten? […]
• Haben Sie Informationen über eine Förderung dieses Vorhabens erhalten? […]“

Der Bayerische Datenschutzbeauftragte bestätigt, „dass IoT/M2M-Lücken, die zu diesem Zeitpunkt erkannt und von Hackern ausgenutzt werden, zu hochriskanten Bedrohungen führen können (d. h. Ausfälle, Störungen, schändlicher Missbrauch usw) […] Um solche Risiken zu mindern, empfiehlt es sich, Cybersicherheitsstandards gründlich zu verstehen und umzusetzen“

Kurz: Die Vernetzung industrieller Dinge (IIoT) „ist ein Unterfangen mit hohem Risiko“

Bei hohen Risiken jedoch  „gehört es zu den Pflichten des Verantwortlichen […] eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchzuführen.“

Bild: BSI

 

Ländliches Fortbildungsinstitut (LFI) Österreich rät, dass sich die Verantwortlichen bei der Durchführung der DSFA „insbesondere folgende Fragen stellen bzw. folgende Verfahrensschritte beachten:

1. Ist eine Datenschutzfolgenabschätzung erforderlich (Profiling-Maßnahmen, sensible Daten, Videoüberwachung, Black List, Verwendung neuer Technologien etc.)?
2. Welche Datenarten werden aufgrund welcher Rechtsgrundlage erhoben (Datenkategorie; Einwilligung; Vertragserfüllung; rechtliche Verpflichtung; lebenswichtige Interessen; öffentliches Interesse etc.)?
3. Werden die Grundsätze des Datenschutzes nach Art. 5 DSGVO eingehalten (Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung, Richtigkeit, Integrität und Vertraulichkeit etc.)?
4. Welche Datenverarbeitungsvorgänge werden durchgeführt und sind diese notwendig und verhältnismäßig (z. B. Fingerabdruckscanner zum Starten einer Maschine)?
5. Welche Risiken bestehen für die Schutzziele der DSGVO (Datenverfügbarkeit, Vertraulichkeit, Zweckbindung, Richtigkeit, Datenminimierung)?
6. Risikoanalyse (unter Berücksichtigung z. B. des Schadens für betroffene Personen, des Kontrollverlusts, etwaiger Diskriminierung oder Rufschädigung, Identitätsdiebstahl etc.)
7. Ist-Stand Erhebung: Welche Datenschutzmaßnahmen sind bereits etabliert (z. B. Pseudonymisierung)?
8. Soll-Ist-Vergleich: Welche Maßnahmen sind über die bereits bestehenden hinaus erforderlich
   (z. B. personelle, technische, bauliche Maßnahmen)?
9. Benötigt man weitergehende Informationen von der betroffenen Person selbst (z. B. Befragung bezüglich der potenziellen Gefahr der Verletzung von Geheimhaltungspflichten)?

Das Ergebnis dieses Prozesses sollte ein Dokument sein, in dem

› die beabsichtigten Zwecke der Datenverarbeitungsvorgänge dargestellt und

› sämtliche Datenflüsse beschrieben werden;

› das angibt, welche Risiken dadurch entstehen sowie

› welche Maßnahmen gesetzt und Vorkehrungen getroffen werden, um diese Risiken für die betroffenen Personen (bestmöglich) zu minimieren.“

Die Durchführung der DSFA könnte sich als alternativlos angesichts wachsender Risiken erweisen – diese drohen durch Einführung der „Ernteroboter: Die Zukunft der Landwirtschaft?“

„In der Landwirtschaft herrscht Arbeitskräftemangel, aber Roboter springen ein. Sie pflanzen, düngen und ernten und können sogar filigrane Arbeiten wie das Pflücken von Erdbeeren und die Bestäubung von Blüten übernehmen.“

Das verbliebene Personal könnte der Verantwortlichen für die Durchführung der DSFA dankbar sein: „In Seoul wollte ein Arbeiter 2023 einen Roboter zum Stapeln von Gemüsekisten auf Funktionstüchtigkeit prüfen. Dabei musste er feststellen, dass das nicht der Fall war – diese Erkenntnis hat er mit dem Leben bezahlt: Der Roboter hat ihn mit einer Gemüsekiste verwechselt und zerquetscht.“ Die Unternehmensberatung Gartner erwartet außerdem für 2025 die „Bewaffnung operativer Technik“, um „Menschen zu töten“. Die Verantwortliche haftet für den Nachweis, dass sie diese Warnung angesichts der offenbar bei Kühen funktionierenden Masche in ihrem Risikomanagment berücksichtigt.

Bildschirmfoto: Prof. Beurskens

Wer Menschen kooperativ mit (schlauen) Maschinen arbeiten lassen möchte, ist gut beraten, sich mit weiteren „Rechtsfragen von KI“ zu beschäftigen. — Michael Beurskens, Professor für gewerblichen Rechtsschutz University of Chicago argumentiert: „Es ist (idR) ethisch unvertretbar, Menschen zu töten… aber auch strafbar!“ und verweist auf §222 Strafgesetzbuch: „Wer durch Fahrlässigkeit den Tod eines Menschen verursacht, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.“

Es bleibt die Erkenntnis, dass Unternehmen bei der digitalen Transformation „Maßnahmen zur Cybersicherheit priorisieren, um eine erfolgreiche Umstellung ohne Unterbrechungen durch Sicherheitsverletzungen zu gewährleisten.“

 

Compliance 4.0 berichtet einmal wöchentlich über Digitalisierung, ihre Risiken und Rechtsfolgen auf dem Weg in die regelkonforme Vollautomatisierung der Welt.