Kühlanlagen-Angriffe: IoT und OT absichern

Seit Mitte Oktober 2026 manipulieren Angreifer aus der Ferne die Steuerungen von Kühlanlagen in europäischen Supermärkten. Kühlregale und Tiefkühltruhen liefen im Abtaumodus mit Sollwerten von bis zu 50 °C, Ware im Millionenwert musste entsorgt werden. Die erste Welle traf mehr als 700 Märkte in Frankreich, die zweite Anfang November auch Belgien, die Niederlande, Schweden, Irland und Deutschland. Das BSI, das französische CERT-FR und US-Behörden warnen jetzt: Jede Organisation mit vernetzter Steuerungstechnik sollte ihr Setup umgehend prüfen.

Was ist passiert: zwei Angriffswellen auf Kühlketten

Erste Welle in Frankreich: 700 Märkte im Abtaumodus

In der Nacht vom 11. auf den 12. Oktober 2026 stellten Angreifer Kühl- und Tiefkühlmöbel in über 700 französischen Supermärkten auf Abtauen. Das CERT-FR, das Cyberabwehrzentrum der französischen Behörde ANSSI, meldete noch am selben Tag kompromittierte Danfoss-Steuerungen der Reihen AK-SM und AK-SC und ergänzte am 13. Oktober die xweb-Steuerungen von Copeland und Dixell.

Zweite Welle in Europa, Fälle in Deutschland

In der Nacht vom 1. auf den 2. November waren mehr als 100 Einrichtungen in neun europäischen Ländern betroffen, darunter Belgien, Luxemburg, Schweden, Estland, Irland, die Niederlande, Finnland, Portugal und Italien. Das BSI bestätigt auch Vorfälle in Deutschland: Supermärkte in Nordrhein-Westfalen, Niedersachsen und Bayern sowie ein Fall in der Pharmabranche. Ein Betreiber nannte als eigentliches Ziel die Firma, die die Kühlanlagen aus der Ferne wartet – nicht den Markt selbst.

Sabotage statt Erpressung

In keinem der bekannten Fälle waren Ransomware, Datenabfluss oder Lösegeldforderungen im Spiel. Die Angreifer nutzten normale Steuerfunktionen: Ein unplanmäßiges, dauerhaftes Abtauen mit hohem Sollwert erwärmt die Kühlgeräte über Stunden. Frankreich machte am 9. November 2026 die iranischen Revolutionsgarden für die Oktober-Welle verantwortlich, eine offizielle Zuordnung der November-Fälle gibt es bislang nicht.

Handlungsempfehlungen für IT-Verantwortliche

1. Direkte Internet-Erreichbarkeit beseitigen

Das BSI listet diese Maßnahme an erster Stelle in der Cybersicherheitsempfehlung BSI-CS 154 “Gefährdung durch internet-verbundene OT-Systeme” (Oktober 2026). Die Steuerungen dürfen Messwerte und Alarme nach außen senden, eingehende Verbindungen auf die Managementoberfläche müssen aber verschwinden. Fernwartung durch Dienstleister sollte nur über VPN oder ZTNA laufen – mit personalisierten Konten, Multi-Faktor-Authentifizierung, zeitlich begrenzter Freischaltung und Protokollierung. Ein externer Scan aller öffentlichen IP-Adressen der eigenen Standorte zeigt, welche Geräte noch im Internet offen stehen.

2. IoT und OT in eigene Netzwerkzonen auslagern

Vernetzte Steuerungen gehören in eigene Netzwerkzonen, getrennt nach Geräteklasse und Standort. Zwischen den Zonen sollte eine Default-Deny-Regel gelten: Freigegeben werden nur die Verbindungen, die der Betrieb wirklich braucht, etwa von der Steuerung zum Monitoring-Server des Dienstleisters. Segmentierung begrenzt auch den Schaden, wenn ein Gerät doch kompromittiert wird, und verhindert, dass Angreifer die Steuerung als Sprungbrett ins Büro-Netz nutzen.

3. Inventarisierung inklusive Dienstleister-Geräte

Schützen lässt sich nur, was bekannt ist. Die Inventarliste muss auch die Geräte umfassen, die Kältetechniker und Wartungsfirmen installiert haben – mit Modell, Firmware-Stand, Support-Status, Zugangsweg und verantwortlicher Person. Eine schriftliche Anfrage an den Dienstleister ist der schnellste Weg. Konkret für die betroffenen Steuerungen: Danfoss AK-SM 800A auf Firmware R4.3.1 oder neuer bringen (schließt den Authentifizierungs-Bypass CVE-2025-41450), Copeland XWEB Pro auf 1.13 oder neuer. Geräte ohne Hersteller-Support gehören bis zum Ersatz zumindest aus dem Internet.

4. Unabhängige Temperaturüberwachung einrichten

Ist die Steuerung selbst kompromittiert, sind ihre Messwerte und Alarme nicht mehr verlässlich. Unabhängige Temperaturüberwachung, die nicht über die Steuerung läuft – etwa ein Funk-Datenlogger mit eigener Alarmierung – ist vergleichsweise günstig und begrenzt den Schaden. Wo Blutprodukte, Medikamente oder Laborproben lagern, sollte eine zweite Messkette Standard sein.

5. Sicherheit in den Wartungsvertrag schreiben

Beide Angriffswellen liefen nachts und am Wochenende; ein Alarm hilft nur, wenn jemand darauf reagiert. Der Wartungsvertrag sollte regeln, wer Sicherheitsupdates einspielt, in welcher Frist und über welchen Zugangsweg der Dienstleister arbeitet. Ohne eigene Überwachung rund um die Uhr kann ein Managed-Detection-Service die Lücke zwischen Erkennung und Reaktion schließen.

Was tun, wenn eine Steuerung manipuliert wurde

Zeigt ein unerklärliches Abtauen, ein geänderter Sollwert oder ein Alarm des Dienstleisters auf Manipulation, zählt jede Stunde. CERT-FR und BSI empfehlen folgende Reaktionsreihenfolge:

1. Die betroffene Steuerung vom Netz trennen und bei temperaturkritischer Ware auf Handbetrieb umstellen.
2. Konfiguration auf Manipulation prüfen: Sollwerte, Abtaupläne, Benutzerkonten, Alarmeinstellungen.
3. BSI und gegebenenfalls die Polizeiliche Kriminalberatung kontaktieren und den Zeitpunkt der Entdeckung dokumentieren.
4. Steuerung auf Werkseinstellungen zurücksetzen, aktuelle Firmware einspielen und neu konfigurieren – bevor der Zugang über einen gesicherten Weg (VPN) wiederhergestellt wird.
5. Alle Passwörter ändern und Sammelkonten deaktivieren, besonders bei Wartungsdienstleistern.

Wichtig: Ein Zurücksetzen auf Werkseinstellungen entfernt zwar die Manipulation, schließt aber nicht die Lücke. Ohne Update und ohne Entfernung aus dem Internet bleibt die Steuerung angreifbar.

Empfehlung für die nächsten 30 Tage

Woche 1: Öffentliche IP-Adressen aller Standorte extern scannen lassen, Portweiterleitungen und Managementoberflächen schließen, Fernwartung auf VPN mit Multi-Faktor-Authentifizierung umstellen.

Woche 2: Bei allen Dienstleistern eine vollständige Liste der vernetzten Steuerungen mit Modell und Firmware-Stand anfordern und prüfen. Geräte ohne Hersteller-Support auf einen Austauschplan stellen.

Woche 3: Steuerungen in eigene Netzwerkzonen mit Default-Deny verlagern und den Dienstleistern personalisierte, zeitlich begrenzte Konten zuweisen.

Woche 4: Unabhängige Temperaturalarme einrichten, den Notfallablauf festlegen (wer schaltet nachts auf Handbetrieb, wer informiert den Dienstleister) und die Versicherungsbedingungen für vernetzte Anlagen prüfen.

Entscheidend ist die Reihenfolge: Erst die Internet-Exposition schließen. Kein Monitoring, kein EDR und kein MDR ersetzt einen verschlossenen Angriffsvektor auf der Steuerung.

Quellen

• BSI: Cybersicherheitsempfehlung BSI-CS 154 “Gefährdung durch internet-verbundene OT-Systeme”, Version 1.0, Oktober 2026 – allianz-fuer-cybersicherheit.de
• Firewalls24: “Kühlschränke gehackt: Wie Unternehmen IoT- und OT-Geräte jetzt absichern”, 11.11.2026 – firewalls24.de
• Shattered: “Supermarkt-Kühlung gehackt: 50 °C, BSI-Warnung”, 07.11.2026 – shattered.io

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.