Cyberangriff auf Kühlanlagen: Jetzt auch Deutschland

Ein Cyberangriff auf Kühlanlagen hat in der Nacht zum 2. November erneut Supermärkte in Europa getroffen und Deutschland erreicht. In mehr als 100 Märkten heizten sich Kühlschränke und Tiefkühltruhen auf, einzelne Geräte auf 50 °C. Das BSI kennt Vorfälle bei einzelnen deutschen Supermärkten, und eine Edeka-Filiale in Reisbach (Bayern) hat bestätigt, dass ihre Kühlung auf Heizen gestellt wurde. Drei Wochen zuvor hatte dieselbe Technik rund 700 französische Supermärkte getroffen.

Was ist passiert

Der Cyberangriff auf Kühlanlagen folgt dem Muster vom 12. Oktober. Angreifer erreichten über das Internet die Fernsteuerungen gewerblicher Kühltechnik und zwangen die Geräte in den Abtaumodus (SecurityWeek, 3. November). Betroffen sind Betriebe von großen Handelsketten bis zu Metzgereien in Belgien, Estland, Irland, Luxemburg, den Niederlanden und Schweden; auch aus Finnland, Italien und Portugal wurden Probleme gemeldet. In Belgien meldete Delhaize Störungen in mehreren Dutzend Märkten und Carrefour an 15 Standorten. In Irland nahm SuperValu gekühlte und gefrorene Ware aus 13 Märkten aus dem Verkauf.

In Deutschland erklärte das BSI am 3. November, bei einzelnen Supermärkten seien aus dem Internet erreichbare Steuerungssysteme von Kühlanlagen manipuliert worden, in einigen Fällen habe Ware vernichtet werden müssen. Der Bayerische Rundfunk berichtete, der Betreiber Edeka Ernst habe den Angriff für seine Filiale in Reisbach bestätigt; dort wurde der Großteil der Ware entsorgt. Das BSI nennt weder Handelsketten noch eine Zahl. Stand 5. November werden weitere deutsche Fälle gemeldet: Supermärkte in Nordrhein-Westfalen und Niedersachsen (ZDFheute, 3. November), und das BSI teilte CORRECTIV mit, dass die Arzneimittelkühlung eines Pharmahändlers angegriffen wurde. Das BSI bezeichnet die Angriffe als ungezielt und opportunistisch.

Die Warnung des CERT-FR (erstmals am 12. Oktober veröffentlicht, zuletzt am 16. Oktober aktualisiert) nennt Danfoss-Steuerungen der Serien AK-SM und AK-SC sowie Copeland- und Dixell-XWEB-Supervisoren. Claroty berichtet, ein Danfoss-Sprecher habe dem niederländischen Sender NOS gesagt, die diesmal betroffenen Systeme hätten nicht in sicheren Netzen gestanden und ein Standardpasswort genutzt. Unabhängig davon erreichte am 2. November ein Angriff auf einen Kältetechnik-Dienstleister drei Plasma-Lagerstandorte des französischen Blutspendedienstes EFS; Alarme erfassten die Änderung, und laut EFS gingen keine Blutprodukte verloren.

Stand 5. November reklamieren prorussische Telegram-Kanäle die Angriffe für sich, doch das BSI hat nach eigenen Angaben keine Belege dafür und schließt Trittbrettfahrer nicht aus. Die Ermittler haben nicht belegt, dass die beiden Wellen zusammenhängen. Wie die Angreifer eindrangen, haben die Behörden nicht gesagt. Der Forscher Kevin Beaumont sagt, jede am Montag betroffene Tiefkühltruhe habe eine aus dem Internet erreichbare Verwaltungsoberfläche gehabt.

Warum das wichtig ist

Danfoss forderte seine Kunden am 13. Oktober auf, die Internetverbindung der Steuerungen zu trennen und nur über ein sicheres Netz wieder anzubinden. Ein Sprecher sagte NOS, die meisten Märkte hätten das getan, eine kleine Zahl nicht. Censys zählte vor der ersten Welle 1.825 offene Danfoss-StoreView-Oberflächen in Frankreich, jetzt sind es 220, doch weltweit sind rund 1.000 weiter erreichbar. Die Lücke zwischen Warnung und geänderter Konfiguration ist die eigentliche Geschichte.

Annahme: Viele deutsche Unternehmen mit Kühllagern, etwa Lebensmittelhersteller, Großhändler und Pharma-Logistik, können nicht sagen, welche ihrer Kühlgeräte eine Weboberfläche haben, weil ein Kältetechnik-Dienstleister sie installiert hat und betreut. Der EFS-Fall zeigt, dass eine Dienstleisteranbindung auch regulierte Lagerung im Gesundheitswesen erreichen kann. Über die erste Welle haben wir in unserem Beitrag vom 14. Oktober berichtet.

Was Sie jetzt tun sollten

1. Erfassen Sie jede Kälte-, Kühlraum- und Gebäudesteuerung mit Netzwerkanschluss und fragen Sie Ihren Kältetechnik-Dienstleister, welche Fernzugriff erlauben und welches Modell und welche Firmware jeweils laufen.
2. Nehmen Sie Weboberflächen vom Internet. Das CERT-FR rät zum Zugriff nur über ein sicheres VPN oder ein geschütztes Netz; das Filtern der Quell-IPs des Dienstleisters ist nur eine Notmaßnahme. Prüfen Sie die Versicherungsbedingungen, bevor Sie die Fernüberwachung abschalten.
3. Bei Danfoss-Geräten rät das CERT-FR zu Firmware-Update, Sicherheitsstufe Strict und geänderten Standardpasswörtern. Geräte ohne Sicherheitsupdates sollten nicht online bleiben: Laut CERT-FR lässt ein Werksreset allein sie verwundbar.
4. Prüfen Sie Abtaupläne und Sollwerte auf unerwartete Änderungen, und stellen Sie sicher, dass es einen Temperaturalarm gibt, der nicht von der Steuerung selbst abhängt.

DIESEC Einschätzung

Kühlung ist Operational Technology, die in den meisten IT-Inventaren fehlt. Nehmen Sie sie in die Asset-Liste auf, benennen Sie einen Verantwortlichen und vereinbaren Sie mit dem Dienstleister, wer sich wie aus der Ferne verbinden darf.

Nicht sicher, welche Ihrer Kühl- oder Gebäudesteuerungen aus dem Internet erreichbar sind? Kontaktieren Sie DIESEC für eine Expositionsanalyse Ihrer OT- und Gebäudesysteme.

Quellen: BSI | CERT-FR | SecurityWeek | BR24 | Claroty | Le Monde | ZDFheute | CORRECTIV
Veröffentlicht: 2026-11-06 | Kategorie: Tägliche News | ~4 Min. Lesezeit