Gehackte Kühlanlagen zeigen, wie Cyberangriffe kleinere Betriebe treffen können. In europäischen Lebensmittelbetrieben verdarb Ware, weil Unbekannte die Steuerungen manipulierten. Für den Mittelstand ist das ein Warnsignal: Auch Fernwartung und Betriebstechnik brauchen klare Zuständigkeiten, sichere Zugänge und regelmäßige Updates.

Ein mittelständischer Betrieb kann seine Server absichern und Backups vorhalten – und trotzdem über die Haustechnik angreifbar bleiben. Fernwartung schafft einen zusätzlichen Zugang zu Kühlung, Heizung oder Produktionsanlagen. Erfasst die IT diese Systeme nicht und prüft niemand ihre Sicherheit, können Schwachstellen lange unentdeckt bleiben. Bei den jüngsten Angriffen auf Kühlanlagen verdarb Ware, und der Verkauf wurde eingeschränkt.

Ungesicherte Fernwartung gefährdet auch kleinere Betriebe

Die Angriffe zeigen ein Risiko, das auch kleinere Unternehmen prüfen müssen: Steuerungen sind aus dem Internet erreichbar, Software bleibt ungepatcht oder Wartungszugänge sind schlecht geschützt. Schon ein auffindbares, verwundbares Gerät kann einen Angriff ermöglichen. Ein bekannter Firmenname oder besonders wertvolle Daten sind dafür nicht nötig. Wie verbreitet solche Schwachstellen im Mittelstand sind, lässt sich aus den Vorfällen allerdings nicht ableiten.

Oft betreut ein IT-Dienstleister die Bürorechner, während ein anderer Fachbetrieb Kühlung oder Gebäudetechnik wartet. Dann muss klar geregelt sein, wer Sicherheits-Updates einspielt, Wartungsrechte vergibt und nicht mehr benötigte Zugänge sperrt. Ein Wartungsvertrag allein stellt noch nicht sicher, dass diese Aufgaben abgedeckt sind.

Gehackte Kühlanlagen verursachen fünfstelligen Schaden

In einer Metzgerei im Landkreis Neustadt an der Waldnaab manipulierten Unbekannte in der Nacht zum 2. November 2026 die Fernsteuerungs- und Überwachungssysteme mehrerer Kühlhäuser. Nach Polizeiangaben setzten sie die Temperaturvorgaben auf bis zu 150 Grad. Das waren die eingestellten Sollwerte. Welche Temperaturen die Kühlräume tatsächlich erreichten, wurde nicht mitgeteilt.

Nach bisherigem Ermittlungsstand entstand ein fünfstelliger Euro-Schaden. Die Manipulation fiel frühzeitig auf. Der IT-Verantwortliche brachte die Systeme wieder unter Kontrolle und verhinderte damit größere Verluste. Die Kriminalpolizei Weiden ermittelt wegen des Verdachts der Datenveränderung, Computersabotage und Sachbeschädigung.

Angriffe treffen mehrere Länder und Betriebsarten

In einem Edeka-Markt in Reisbach mussten nach einem vergleichbaren Vorfall große Mengen gekühlter Lebensmittel entsorgt werden. Nach Angaben der Betreiberin hatten die Täter auch die Warnfunktion ausgeschaltet. Weitere deutsche Supermärkte meldeten manipulierte Kühlanlagen, unter anderem in Nordrhein-Westfalen und Niedersachsen. Am 5. November wurde zudem ein mutmaßlicher Angriff auf die Kühlung eines Gastronomiebetriebs im Landkreis Roth bekannt. Der Betreiber beziffert den Schaden auf rund 5.000 Euro.

Die Vorfälle folgen auf Angriffe gegen französische Supermärkte im Oktober. Anfang November meldeten Betriebe in weiteren europäischen Ländern ähnliche Manipulationen. Die Folgen unterscheiden sich: Laut dem britischen Fleischlieferantenverband AIMS waren drei Mitgliedsbetriebe betroffen, ohne dass dort Fleisch verloren ging. Ein erfolgreicher Zugriff führt somit nicht zwangsläufig zum Warenverlust.

Wer hinter den Angriffen steckt, ist bislang unbekannt. Auch ist nicht abschließend geklärt, ob dieselben Täter für sämtliche Vorfälle verantwortlich sind und denselben Zugangsweg nutzten.

Angreifer können Wartungsfunktionen missbrauchen

Kühltechnik lässt sich aus der Ferne überwachen und warten. Sind die Verwaltungszugänge schlecht geschützt, können Unbefugte Funktionen übernehmen, die für autorisierte Techniker vorgesehen sind.

Rafe Pilling, Senior Director Threat Intelligence der Counter Threat Unit von Sophos, hält dieses Vorgehen für wahrscheinlich. Die Täter könnten Anlagen in den Abtaumodus schalten und Temperaturen erhöhen. Nachts bleibe ihnen mehr Zeit, bevor Mitarbeiter die Manipulation bemerkten. Pilling schließt auch Angriffe auf Monitoring-Dienstleister nicht aus. Belege für einen solchen Supply-Chain-Angriff habe Sophos bislang jedoch nicht gesehen.

Wie groß die öffentlich sichtbare Angriffsfläche ist, zeigen Messungen von Censys. Am 2. November erfasste der Sicherheitsanbieter weltweit noch mehr als 1.000 aus dem Internet erreichbare Instanzen der Verwaltungsoberfläche StoreView von Danfoss. Erreichbarkeit allein belegt weder eine Schwachstelle noch einen erfolgreichen Angriff.

Das Forschungsteam Team82 von Claroty hatte im August Schwachstellen in der Danfoss-Steuerung AK-SM 800A beschrieben. Sie ermöglichen unter anderem, die reguläre Anmeldung zu umgehen und nach erfolgreicher Anmeldung Betriebssystembefehle einzuschleusen. Danfoss stellte korrigierte Firmware bereit. Damit ist aber noch nicht belegt, welche Lücken die Täter bei den aktuellen Vorfällen ausnutzten.

Zwischen IT und Kältetechnik bleiben Aufgaben offen

Alex Fray, Global Innovation Lead bei Zscaler, sieht hinter der technischen Schwäche auch ein organisatorisches Versäumnis: »Die meisten Unternehmen betrachten Kühlsysteme nicht als Teil ihres Sicherheitsperimeters. Der gleiche Fernzugriff, der externen Wartungsteams die Reparatur eines Kühlgeräts ohne Vor-Ort-Termin ermöglicht, kann ohne angemessene Sicherheitskontrollen auch Angreifern Zugriff gewähren. Sicherheitsforscher haben analysiert, dass eine Vielzahl dieser Verwaltungsschnittstellen offen über das Internet erreichbar ist. Viele davon sind aufgrund von veralteter Software oder abgelaufenen Zertifikaten angreifbar.«

Nach Frays Einschätzung werden solche Geräte oft über Jahre betrieben, ohne dass die IT sie vollständig erfasst und auf Schwachstellen prüft. Die Verantwortung verteile sich auf Betreiber, Haustechnik, IT und externe Wartungsfirmen. Dadurch könne offenbleiben, wer Software-Stände prüft, Zugangsdaten verwaltet oder nach dem Support-Ende einen Austausch plant. Unternehmen müssten deshalb Geräte, Verantwortliche und Wartungszugänge vollständig erfassen.

Samuel Hassine, Filigran»Ein Kühlschrank ist heute ein Computer, und diese Angriffe beweisen es«, meint Samuel Hassine, CEO und Mitbegründer von Filigran. Auch er verweist auf weitere vernetzte Anlagen, die Unternehmen häufig nicht als IT betrachten: Heizungen, Türzugänge und Gebäudesteuerungen. Auch dort können ungeschützte Verwaltungszugänge den laufenden Betrieb gefährden.

Wartungsrechte auf einzelne Anlagen beschränken

Fernüberwachung kann Störungen früh melden. Techniker können Fehler eingrenzen, ohne vor Ort zu sein. Dafür brauchen sie kontrollierte Zugänge.

Michael Ferdinandsen, CEO von Secomea, rückt die Kontrolle über externe Zugriffe in den Mittelpunkt: »Entscheidend ist, welcher Techniker wann auf welche Anlage zugreifen darf und welche Änderungen er dort vornehmen kann.« Das Unternehmen bietet dafür beispielsweise eine Architektur mit Edge-Gateways, zentraler Rechteverwaltung und Zugriffsprotokollen an.

Cordaware setzt mit bestzero auf einen software-basierten Ansatz. Verbindungen sollen ausgehend und verschlüsselt aufgebaut werden. Techniker sollen nach Prüfung ihrer Identität und ihres Geräts auf freigegebene Anlagen zugreifen können.

Die gemeinsame Empfehlung lautet: Verwaltungsoberflächen sollten nicht direkt aus dem Internet erreichbar sein. Techniker benötigen eigene Konten, möglichst Mehrfaktor-Authentifizierung und nur die erforderlichen Rechte. Zugriffe sollten protokolliert und zeitlich begrenzt werden. Getrennte Netze und eng gefasste Kommunikationsregeln können verhindern, dass Angreifer von einer übernommenen Steuerung weitere Systeme erreichen.

Updates bleiben nötig. Liefert ein Hersteller keine Korrekturen mehr, brauchen Betreiber einen Austauschplan und zusätzliche Schutzmaßnahmen. Vorgeschaltete Sicherheitskontrollen können das Risiko senken, beheben aber keine Schwachstelle im Gerät. Zscaler weist darauf hin, dass solche Kontrollen zudem nicht jedes proprietäre Protokoll abdecken.

KI und staatliche Täter sind bislang nicht belegt

Einige Branchenkommentare stellen einen Zusammenhang mit KI-gestützten Angriffen her. Andere diskutieren staatliche Sabotage als mögliches Motiv. Für beides liegen in den ausgewerteten Quellen keine belastbaren Belege zu dieser Serie vor.

Dan Bird, Horizon3»Unsere Resilienz hängt davon ab, dass wir davon ausgehen, dass jede kritische Infrastruktur gefährdet sein könnte und Angreifer früher oder später einen Weg hinein finden«, erklärt Dan Bird, EMEA Field CTO bei Horizon3. »Das gilt besonders für KI-gestützte Angriffe. KI gibt Angreifern unbegrenzte Möglichkeiten, jeden denkbaren Weg in ein Unternehmen zu testen. Man muss also davon ausgehen, dass es einen Weg hinein gibt. Unternehmen müssen diesen schneller finden als die Angreifer und ihn dann umgehend schließen.«

Mittelständler müssen Zuständigkeiten und Alarme prüfen

Für den eigenen Betrieb müssen Verantwortliche klären, welche Anlagen vernetzt und welche direkt aus dem Internet erreichbar sind. Ebenso wichtig sind eine Übersicht der Wartungsrechte und klare Zuständigkeiten für Updates und das Support-Ende.

Betreiber sollten außerdem prüfen, ob sich wichtige Anlagen unabhängig überwachen und bei Bedarf manuell steuern lassen. In Reisbach sollen die Täter nach Aussage der Betreiberin auch die Warnfunktion ausgeschaltet haben. Das zeigt das Risiko, wenn Steuerung und Alarmierung über dasselbe kompromittierbare System laufen.

Ein Backup hilft, Daten und Konfigurationen wiederherzustellen. Verdorbene Lebensmittel macht es nicht wieder verkäuflich. Mittelständler müssen deshalb auch Eingriffe in ihre Anlagen früh erkennen und deren Folgen begrenzen.