Kühlanlagen gehackt: Angriff über die Fernwartung

In mehreren deutschen Supermärkten heizten sich Kühlanlagen über Nacht auf, ein Markt bei Bremen musste Ware für über 360.000 Euro vernichten. Der entscheidende Punkt: Nach Angaben eines betroffenen Betreibers galt der Angriff nicht den Märkten selbst, sondern der Firma, die die Kühlanlagen aus der Ferne wartet. Der Fall zeigt einen blinden Fleck, den fast jedes Unternehmen hat: Fernzugänge von Dienstleistern auf die eigene Technik.

Anfang November meldeten Märkte in Bayern, Nordrhein-Westfalen und Niedersachsen nahezu zeitgleich massive Störungen ihrer Kühltechnik. In einer Edeka-Filiale im bayerischen Reisbach wurden die Anlagen nach Angaben des Betreibers über Nacht auf „50 Grad heizen" umgestellt; ein CAP-Markt in Wuppertal berichtete von einem „externen Zugriff am Wochenende" auf Tiefkühl- und Kühlgeräte; in Lilienthal bei Bremen beziffert der Marktinhaber den Schaden auf über 360.000 Euro vernichtete Ware, nachdem Bedientheken, Kühlräume und Tiefkühltruhen in der Nacht zum 2. November ausfielen (Berliner Zeitung, 03.11.2026).

Die Kriminalpolizei Landshut ermittelt im Fall Reisbach wegen des Verdachts des Ausspähens und der Veränderung von Daten; eine abschließende behördliche Bestätigung der Ursache steht noch aus, von einem mutmaßlichen Cyberangriff ist die Rede. Bundesdigitalminister Karsten Wildberger mahnte bereits einen besseren Schutz vernetzter Gebäude- und Betriebstechnik an.

Der entscheidende Satz: „Der Angriff galt nicht uns"

Die Awo, zu deren Märkten ebenfalls betroffene Standorte gehören, brachte das Muster auf den Punkt: Der eigentliche Angriff habe nicht den Märkten gegolten, sondern der Firma, die die Kühlanlagen aus der Ferne wartet. Ein kompromittierter Dienstleister, viele geschädigte Kunden, dasselbe Muster wie Mitte Oktober in Frankreich, wo laut Reuters-Berichten rund 700 Supermärkte (darunter Intermarché und Coopérative U) über einen Technologie-Dienstleister getroffen wurden und gekühlte Ware großflächig vernichtet werden musste. Auch der dänische Kältetechnik-Hersteller Danfoss bestätigte gegenüber Medien, dass seine Geräte ins Visier geraten sind (t-online, 05.11.2026).

Der Sicherheitsforscher Matthias Schulze (Security Research Labs/IFSH) erklärt den Hintergrund: Viele Kühlsysteme hängen für die Fernwartung am Internet, und ein Teil davon ist veraltet und seit Jahren ohne Sicherheitsupdates. Seine Prognose: „Es wird wahrscheinlich erst mal schlimmer werden, bevor es besser wird." Wer hinter den Angriffen steckt, ist offen; Bekennungen prorussischer Gruppen im Netz sind nicht unabhängig bestätigt.

Warum das kein Supermarkt-Problem ist

Kühltechnik ist nur das aktuelle Beispiel. Fast jedes Unternehmen betreibt vernetzte Technik, auf die sich Externe aus der Ferne schalten können:

• Gebäudetechnik: Heizung, Lüftung, Klima, Aufzüge, Zutrittskontrolle, Alarmanlage, Photovoltaik
• Produktions- und Betriebstechnik (OT): Maschinensteuerungen, Anlagenwartung durch den Hersteller
• Branchenspezifisches: Medikamenten- und Impfstoffkühlschränke in Arztpraxen, Serverraum-Klimatisierung, Laborgeräte, Kassensysteme

Diese Systeme tauchen in klassischen IT-Sicherheitskonzepten oft gar nicht auf: Sie wurden von der Haustechnik oder dem Facility Management beschafft, der Wartungsvertrag regelt den Fernzugang, und die IT-Abteilung erfährt davon bestenfalls am Rande. Genau dadurch entsteht die Lücke: Niemand patcht diese Systeme, niemand überwacht ihre Zugriffe, aber sie können reale, physische Schäden anrichten. Der Fall Lilienthal zeigt die Größenordnung: über 360.000 Euro in einer einzigen Nacht, in einem einzigen Markt.

Hinzu kommt die Lieferketten-Dimension: Wird der Wartungsdienstleister kompromittiert, sind alle seine Kunden gleichzeitig erreichbar. Für Angreifer ist das maximal effizient, ein Zugang, hunderte Ziele.

Vier Prüffragen für Geschäftsführer

Die gute Nachricht: Für eine erste Standortbestimmung braucht es kein Projekt, sondern vier Fragen, an die eigene IT oder den Dienstleister:

1. Welche externen Firmen haben Fernzugänge auf unsere Technik, und gibt es eine Liste?

Kältetechnik, Heizungsbauer, Aufzugswartung, Maschinenhersteller, IT-Dienstleister: Jeder Fernzugang gehört in ein Inventar mit Zweck, Zugangsweg und Ansprechpartner. Was nicht auf der Liste steht, kann niemand absichern.

2. Hat jeder Dienstleister eigene, sperrbare Zugangsdaten?

Sammelkonten („wartung/wartung123") und dauerhaft offene VPN-Tunnel sind der Normalfall, und das Problem. Jeder Dienstleister braucht ein eigenes Konto mit MFA, das sich bei Vertragsende oder Verdacht sofort sperren lässt. Besser noch: Zugänge, die nur bei Bedarf freigeschaltet werden.

3. Würde ein Zugriff nachts um drei irgendwo einen Alarm auslösen?

Die Angriffe auf die Märkte liefen nachts und am Wochenende. Wer Fernwartungszugänge nicht protokolliert und überwacht, bemerkt den Missbrauch erst am Schaden. Eine 24/7-Überwachung, die ungewöhnliche Zugriffe und Konfigurationsänderungen meldet, schließt genau diese Lücke. 24/7-Security-Monitoring & MDR

4. Was sagt der Wartungsvertrag zur Sicherheit, und wer haftet?

Verlangt der Vertrag MFA und aktuelle Systeme beim Dienstleister? Muss er Sicherheitsvorfälle unverzüglich melden? Wer trägt den Schaden, wenn der Angriff über seinen Zugang kommt? Diese Fragen gehören in jeden neuen Wartungsvertrag, und bei Bestandsverträgen auf die Agenda des nächsten Gesprächs.

Die NIS2-Perspektive: Lieferkettensicherheit ist Pflicht

Für NIS2-regulierte Unternehmen ist das keine Kür: § 30 BSIG verlangt ausdrücklich Maßnahmen zur Sicherheit der Lieferkette, einschließlich der Dienstleister. Die vier Prüffragen oben sind praktisch der Einstieg in genau diese Pflicht. Wie weit die Aufsicht die Umsetzung bereits einfordert, haben wir hier beschrieben. NIS2-Durchsetzung: BSI plant Prüfungen Wer die Verantwortlichkeiten strukturiert aufbauen will, findet im externen Informationssicherheitsbeauftragten den passenden Rahmen. Externer Informationssicherheitsbeauftragter

Fazit: Die Liste der Fernzugänge ist der Anfang

Ob Supermarkt, Produktionsbetrieb oder Arztpraxis: Die Frage ist nicht, ob externe Firmen auf Ihre Technik zugreifen können, sondern ob Sie wissen, welche, wie und wann. Eine Inventur der Fernzugänge kostet einen Nachmittag und deckt erfahrungsgemäß mehr Überraschungen auf als jeder Firewall-Check. Ob die gefundenen Zugänge tatsächlich angreifbar sind, klärt anschließend ein gezielter Sicherheitstest. Penetrationstest: Fernzugänge und Angriffsfläche prüfen Wenn Sie dabei Unterstützung möchten, sprechen Sie uns gerne an.

Quellen

• Berliner Zeitung: Cyberangriffe auf deutsche Supermärkte, Kühlanlagen heizen auf 50 Grad (03.11.2026): https://www.berliner-zeitung.de/article/cyberangriffe-auf-kuehlanlagen-in-deutschen-supermaerkten-10559616
• t-online: Experte zu Cyberangriffen auf Supermärkte (05.11.2026): https://www.t-online.de/finanzen/aktuelles/wirtschaft/id_101514236/hacker-attacken-auf-supermaerkte-experte-warnt-vor-wachsender-gefahr.html
• heise: Cyberattacks hit refrigerators in Bavaria and North Rhine-Westphalia: https://www.heise.de/en/news/Cyberattacks-hit-refrigerators-in-Bavaria-and-North-Rhine-Westphalia-11509173.html
• Tagesspiegel: Was nach dem Cyberangriff auf Kühltruhen passieren muss: https://www.tagesspiegel.de/politik/lebensmittel-blut-medizinprodukte-was-nach-dem-cyberangriff-auf-kuhltruhen-passieren-muss-16247773.html