Cyberangriffe auf Kühlanlagen haben in den vergangenen Wochen Supermärkte in weiten Teilen Europas getroffen, seit Anfang November auch in Deutschland. Der ZDF-Länderspiegel greift das Thema am Samstag, 7. November, um 17:05 Uhr auf. Er blickt zudem auf Kommunen, Kliniken und Universitäten, die immer öfter ins Visier von Erpressern geraten. Unser TV-Tipp richtet sich an Geschäftsführer und IT-Verantwortliche gleichermaßen. Denn die Muster hinter den Angriffen finden sich in fast jedem Betrieb wieder.
TV-Tipp: Länderspiegel am Samstag im ZDF
Der Länderspiegel läuft am Samstag, 7. November, um 17:05 Uhr im ZDF. Frühere Ausgaben stehen in der ZDF-Mediathek bereit, die Sendung lässt sich also auch später ansehen. Im Mittelpunkt stehen Märkte, deren Tiefkühlware verdorben ist und deren Fleischtheken plötzlich warm wurden.
Der zweite Schwerpunkt der Sendung sind öffentliche Einrichtungen. Hacker legen dort häufig über Wochen komplette Netzwerke still, entwenden vertrauliche Daten und verlangen Geld. Die Ermittlung der Täter gilt als schwierig, die Schäden für die Opfer sind hoch.
Die Sendung ordnet die Cyberangriffe auf Kühlanlagen in die allgemeine Bedrohungslage ein und zeigt, was viele Betriebe derzeit unterschätzen. Die folgenden Abschnitte liefern den Hintergrund und eine Prüfliste für den eigenen Betrieb.
Was ist bei den Cyberangriffen auf Kühlanlagen passiert?
Unbekannte haben aus der Ferne die Steuerungen von Kühlmöbeln, Kühlhäusern und Tiefkühltruhen manipuliert, sodass die Anlagen heizten statt kühlten. Den Anfang machte Frankreich am 12. Oktober 2026. Dort waren Hunderte Filialen von Intermarché und Coopérative U betroffen.
In der Nacht zum 2. November folgte eine zweite Welle. Laut ZDFheute meldeten Supermärkte in Schweden, Belgien, Estland, Luxemburg, Italien, Irland, den Niederlanden und Portugal Vorfälle. In Deutschland traf es unter anderem einen Edeka-Markt im niederbayerischen Reisbach. Dort wurde die Kühlung nach Angaben des Marktes auf mehr als 50 Grad hochgeheizt. Weitere Fälle gab es in Wetter-Volmarstein, Raesfeld und Wuppertal in Nordrhein-Westfalen.
Im niedersächsischen Lilienthal bei Bremen fielen Bedientheken, Kühlhäuser und Tiefkühltruhen aus. Der Inhaber bezifferte die entsorgte Ware auf über 360.000 Euro.
Wer hinter den Angriffen steckt, ist offen. Laut t-online haben sich die prorussischen Gruppen NoName057(16) und Z-Pentest in einem Telegram-Video zu den Taten bekannt. Unabhängig bestätigt ist das nicht. Der Sicherheitsforscher Matthias Schulze betont dort, dass es keine gesicherte Zuordnung gibt. Auch gewöhnliche Kriminelle kommen infrage, die automatisiert nach verwundbaren Geräten suchen.
Warum die Angreifer so leicht hineinkamen
Die Ursache liegt weniger in raffinierter Schadsoftware als in offenen Türen. Viele Kühlanlagen sind für die Fernwartung mit dem Internet verbunden. Teils laufen veraltete Steuerungen, die seit Jahren keine Sicherheitsupdates mehr erhalten. Der dänische Hersteller Danfoss bestätigte, dass auch seine Geräte Ziel der Angriffe waren, und arbeitet mit betroffenen Kunden an Lösungen.
Hinzu kommt ein Skaleneffekt. Eine Schwachstelle in einem Gerätetyp funktioniert bei allen baugleichen Geräten. Wer das Internet automatisiert nach einem bestimmten Steuerungsmodell durchsucht, findet schnell viele Ziele. Betreiber zögern zudem oft mit Updates, weil jeder Eingriff den laufenden Betrieb stören kann.
Fachlich geht es um OT, also Operational Technology. OT bezeichnet Steuerungs- und Regeltechnik, die physische Abläufe lenkt: Kälte, Heizung, Lüftung, Maschinen, Zutritt oder Stromerzeugung. Anders als die Büro-IT läuft OT oft viele Jahre unverändert. Sie wird von Technikern eingerichtet und fehlt in vielen IT-Inventarlisten. Genau das macht sie zum blinden Fleck.
Schulze kommentierte die Lage gegenüber t-online mit den Worten „Man fasst sich an den Kopf“. Er rechnet mit weiteren Angriffen. Ein Grund: KI könnte das Aufspüren von Lücken in wenig geprüfter Spezialsoftware erleichtern. Ob KI bei den aktuellen Angriffen eine Rolle spielte, ist nicht bekannt.
Kommunen, Kliniken, Hochschulen: gleiches Muster, andere Schäden
Ob Kühltruhe oder Kliniknetz, Angreifer suchen die am schlechtesten geschützte Stelle und nutzen sie aus. Bei Kommunen, Kliniken und Hochschulen steht meist Erpressung mit Ransomware im Vordergrund. Ransomware ist Schadsoftware, die Daten verschlüsselt und erst gegen Lösegeld wieder freigibt.
Das BSI bewertet die Lage in seinem Lagebericht 2025 als weiterhin angespannt. Laut Bundeskriminalamt wurden im Berichtszeitraum 950 Ransomware-Angriffe angezeigt. 80 Prozent davon richteten sich gegen kleine und mittlere Unternehmen. Meist folgte ein Datenleak oder zumindest die Drohung damit. Zugleich wurden im Schnitt täglich 119 neue Schwachstellen bekannt.
Für den Mittelstand steckt darin die eigentliche Botschaft. Die spektakulären Fälle aus Kliniken und Rathäusern landen in den Nachrichten. Die große Mehrheit der angezeigten Angriffe trifft jedoch Betriebe, über die niemand berichtet. Die wichtigsten Zahlen fasst unser Beitrag zum BSI-Lagebericht 2025 zusammen.
Eine Einschränkung macht das BSI selbst: Backups bleiben gegen Ransomware unverzichtbar, schützen aber nicht vor dem Abfluss von Daten. Wer sich allein auf die Datensicherung verlässt, ist gegen die doppelte Erpressung aus Verschlüsselung und Veröffentlichung nicht gewappnet.
Was Cyberangriffe auf Kühlanlagen für den Mittelstand bedeuten
Cyberangriffe auf Kühlanlagen betreffen nicht nur den Lebensmittelhandel. Jeder Betrieb, der Technik mit Fernzugang nutzt, hat eine vergleichbare Angriffsfläche. In vielen Betrieben zeigt sich bei näherem Hinsehen eine ganze Reihe solcher Geräte:
- Heizungs-, Lüftungs- und Klimasteuerungen, die per App oder Webportal gewartet werden
- Photovoltaik-Anlagen und Batteriespeicher mit Zugang über ein Herstellerportal
- Zutrittssysteme, Alarmanlagen und IP-Kameras
- Maschinen in der Produktion, auf die der Hersteller zur Fernwartung zugreift
- Kühlräume in Gastronomie, Metzgereien, Bäckereien oder Laboren
Typisch ist folgendes Bild: Die Wartungsfirma hat den Zugang vor Jahren eingerichtet, etwa über eine Portfreigabe im Router. Seitdem hat niemand mehr darauf geschaut. Die IT-Abteilung weiß oft nichts davon, weil die Anlage nicht als IT gilt. Zugangsdaten stehen manchmal noch auf Werkseinstellung oder werden von mehreren Technikern geteilt.
Die Cyberangriffe auf Kühlanlagen zeigen zudem, wie unklar die Zuständigkeit oft ist. Im Fall Wetter-Volmarstein richtete sich der Angriff laut ZDFheute gegen die Firma, die die Kühlanlagen aus der Ferne wartet. Der Betreiber besitzt die Anlage, die Wartungsfirma hat den Zugang eingerichtet, der Hersteller liefert die Software. Wer Updates einspielt und den Zugang schützt, steht selten im Vertrag. Ein Blick in die Wartungsverträge lohnt deshalb. Darin sollte geregelt sein, wie der Fernzugriff abgesichert ist, wer für Updates sorgt und wer im Ernstfall wen informiert.
Die Folgen eines Angriffs reichen über verdorbene Ware hinaus. Wer die Steuerung übernimmt, kann Geräte beschädigen oder Abläufe stoppen. Ist die Anlage mit dem übrigen Firmennetz verbunden, wird sie im ungünstigen Fall zum Sprungbrett in die Büro-IT.
Was das BSI gegen Cyberangriffe auf Kühlanlagen empfiehlt
Das BSI hat am 13. Oktober 2026, direkt nach den Vorfällen in Frankreich, Betreiber kleiner Anlagen zum Handeln aufgefordert. Genannt sind ausdrücklich Anlagen zur Kühlung von Lebensmitteln und zur Stromerzeugung. Die Behörde spricht von leicht umsetzbaren Maßnahmen. BSI-Präsidentin Claudia Plattner warnte: „Derartige Einfallstore laden regelrecht zu Sabotage ein.“ Am 3. November hat das BSI die Meldung aktualisiert.
Die Empfehlungen in Kurzform:
- Den direkten Zugriff aus dem Internet auf Steuerungssysteme unterbinden. Das steht beim BSI an erster Stelle.
- Fernzugriffe nur über VPN und mit Mehr-Faktor-Authentifizierung zulassen.
- Systeme aktuell halten und Sicherheitsupdates kurzfristig einspielen.
- Prüfen, welche Geräte und Anlagen aus dem Internet erreichbar sind, und gezielt gegensteuern.
- Diese Prüfungen zur Routine machen.
Details beschreibt die Cybersicherheitsempfehlung BSI-CS 154 mit dem Titel „Gefährdung durch internet-verbundene OT-Systeme“.
Prüfliste: So gehen Verantwortliche jetzt vor
Aus der IT-Praxis im Mittelstand hat sich eine pragmatische Reihenfolge bewährt, die sich in wenigen Tagen umsetzen lässt:
- Bestandsaufnahme: Alle Anlagen mit Netzwerkanschluss erfassen, auch jene, die nicht von der IT-Abteilung betreut werden. Haustechnik, Produktion und Facility Management gehören dafür an einen Tisch.
- Zugänge klären: Für jede Anlage festhalten, wer von außen zugreift, auf welchem Weg und mit welchen Zugangsdaten.
- Von außen prüfen: Die öffentlichen IP-Adressen des Unternehmens auf offene Ports und erreichbare Weboberflächen kontrollieren. Portfreigaben im Router sind ein Warnsignal.
- Abschotten: Steuerungen in ein eigenes Netzsegment verschieben. Fernwartung läuft künftig über einen zentralen, protokollierten VPN-Zugang mit Mehr-Faktor-Anmeldung.
- Altgeräte bewerten: Für Steuerungen ohne Updates mit dem Hersteller klären, ob Ersatz nötig ist. Bis dahin hilft nur strikte Abschottung.
- Notfall vorbereiten: Festlegen, wer bei einem Alarm entscheidet, wie die Anlage in den Handbetrieb geht und wie Ersatz organisiert wird.
Was Nichtstun kostet
Die Rechnung fällt eindeutig aus. Einen offenen Fernzugang zu schließen, kostet wenige Stunden Arbeit. Ein erfolgreicher Angriff kann dagegen einen sechsstelligen Schaden verursachen. Das Beispiel aus Lilienthal zeigt die Größenordnung für einen einzigen Markt, und zwar nur für die Ware.
Dazu kommen Folgekosten, die in keiner Warenliste stehen. Kunden stehen vor leeren Regalen, Mitarbeitende verbringen Tage mit Entsorgung und Reinigung, Versicherer fragen nach dem Stand der Absicherung. Wo Steuerungen mit dem übrigen Netz verbunden sind, kann aus einem OT-Vorfall schnell ein Angriff auf die gesamte IT werden. Grundlegende Schutzmaßnahmen beschreibt unser Beitrag zu Cyberangriffen auf KMU.
Fazit: Der TV-Tipp als Anlass für einen Blick in den Technikraum
Die Cyberangriffe auf Kühlanlagen zeigen, dass Angreifer nicht nur Server und Postfächer ins Visier nehmen. Ziel ist jede Technik, die ungeschützt im Internet erreichbar ist. Der Länderspiegel am Samstag macht greifbar, was das für Händler, Kommunen und Kliniken bedeutet.
Für den Mittelstand ist die Lehre klar. Wer seine vernetzten Anlagen kennt, Fernzugänge bündelt und absichert und Updates zur Routine macht, schließt genau die Lücken, die in diesen Wochen ausgenutzt wurden. Wie das im Betrieb aussieht, zeigt unsere Seite zur digitalen Sicherheit.
DIGITALBÜRO LIMBURG – Vernetzte Anlagen absichern, bevor Angreifer die Kontrolle übernehmen – denn We make IT easy & smart. 🚀
Jetzt unverbindlich prüfen lassen, welche Anlagen Ihres Unternehmens aus dem Internet erreichbar sind, ob rund um Limburg oder bundesweit per Remote-Betreuung.