Kühlanlagen absichern: Was der Angriff auf französische Supermärkte für KMU bedeutet

Die Kühltheke, der Tiefkühlraum, die Lüftung im Lager: In vielen Betrieben steuert ein kleiner Controller diese Technik – und der hängt oft per Netzwerkkabel am Router, damit der Kältetechniker aus der Ferne nachsehen kann. Was passiert, wenn Unbefugte diesen Zugang finden, hat Frankreich gerade gezeigt. Wer Kühlanlagen absichern will, braucht dafür keine Industrie-Security-Abteilung, sondern ein paar klare Entscheidungen.

Was in Frankreich passiert ist

Laut heise online haben unbekannte Angreifer in der Nacht zum 12. Oktober die Kühl- und Tiefkühlanlagen von Supermärkten in ganz Frankreich manipuliert. Sie verschafften sich Zugriff auf die Steuerungsgeräte und schalteten sie in den Abtaumodus. Der Temperaturanstieg dauerte rund sechs Stunden. Betroffen waren unter anderem etwa 150 Intermarché-Filialen und rund 80 Carrefour-Märkte. Aufgetaute Lebensmittel – Fleisch, Tiefkühlware, Gemüse – mussten aus Gesundheitsgründen entsorgt werden.

Die Steuerungen stammen laut Bericht überwiegend von Danfoss, darunter ältere Modelle wie AK-SM 800 und AK-SC 355. Der Hersteller erklärt, dass diese Geräte keine Software- und Sicherheitsupdates mehr erhalten, und rät zur Migration. Bereits im August hatten Forscher von Claroty mehrere Schwachstellen in Danfoss-Controllern gemeldet, darunter einen versteckten Authentifizierungsmechanismus. Ob genau diese Lücken ausgenutzt wurden, ist bislang offen.

Das BSI warnt ausdrücklich kleine Betreiber

Das BSI hat reagiert: Der Angriff hätte nach Aussage von BSI-Präsidentin Claudia Plattner „jedes Land treffen können”. Die Empfehlung richtet sich ausdrücklich an Betreiber kleiner und kleinster Anlagen – vernetzte Kühlsysteme, Solarwechselrichter, einzelne Windkraftanlagen, Trinkwasserversorgungsstellen. Solche Anlagen fallen meist unter keine speziellen IT-Sicherheitsvorschriften, solange sie nicht zur kritischen Infrastruktur zählen. Die französische Behörde ANSSI nennt in ihrer aktualisierten Warnung Steuerungen von Copeland, Danfoss und Dixell.

Nach aktuellem Kenntnisstand waren die Passwörter der Steuerungen schon ab Werk unzureichend geschützt. Das ist ein Herstellerproblem, das der Cyber Resilience Act künftig adressiert – strengere Pflichten für Hersteller gelten aber erst ab Dezember 2027. Bis dahin liegt die Verantwortung beim Betreiber.

Wer betroffen ist – mehr Betriebe als gedacht

Supermarktketten sind der spektakuläre Fall. Dieselbe Technik steckt aber in vielen kleineren Betrieben, auch in Dresden und Sachsen:

• Lebensmittelhandwerk: Bäckereien, Fleischereien, Feinkost mit Kühlhäusern und Gärunterbrechern
• Gastronomie und Hotellerie: Kühlzellen, Tiefkühlräume, Getränkekühlung
• Lebensmittel- und Getränkegroßhandel: Kühllager mit zentraler Steuerung
• Apotheken, Arztpraxen, Labore: Medikamenten- und Probenkühlung mit Temperaturüberwachung
• Pflegeeinrichtungen: Küche, Medikamentenlager, Gebäudeleittechnik

Hinzu kommt die übrige Gebäudetechnik: Heizungs- und Lüftungssteuerungen, Wärmepumpen, Zutrittssysteme. Gemeinsam ist allen, dass sie typischerweise vom Fachbetrieb installiert werden – nicht von der IT. Deshalb tauchen sie in keinem Inventar auf.

Typische Schwachstellen in der Praxis

• Portweiterleitung im Router: Der Kältetechniker möchte Alarme sehen und Sollwerte anpassen, also wird die Weboberfläche des Controllers direkt ins Internet freigegeben.
• Standard- oder Herstellerpasswörter: Oft nie geändert, manchmal gar nicht änderbar.
• Veraltete Geräte ohne Updates: Kältetechnik läuft 15 Jahre und länger. Wie der Danfoss-Fall zeigt, endet der Software-Support deutlich früher.
• Flaches Netz: Der Controller hängt im selben Netz wie Kasse, Büro-PCs und WLAN.
• Unklare Zuständigkeit: Niemand im Betrieb weiß, wer den Fernzugang eingerichtet hat und wer ihn nutzt.

Das Muster kennen wir aus unserem Beitrag zu Photovoltaik-Anlagen – die Ursachen sind dieselben, nur die Folgen sind bei der Kühlung schneller spürbar: Nach wenigen Stunden ist Ware im Wert von tausenden Euro verloren, im Lebensmittelbereich kommen Hygiene- und Dokumentationspflichten hinzu.

Praxis: Kühlanlagen absichern in fünf Schritten

Das BSI nennt die wichtigsten Maßnahmen selbst – und sie sind für KMU umsetzbar.

1. Bestand aufnehmen

Gehen Sie mit dem Haustechniker oder Kältefachbetrieb durch: Welche Steuerungen, Datenlogger und Gateways gibt es? Hersteller, Modell, Firmware-Stand, Netzwerkanschluss, wer hat Zugang? Fragen Sie konkret nach, ob das Modell noch Sicherheitsupdates erhält.

2. Erreichbarkeit aus dem Internet prüfen

Kontrollieren Sie die Portweiterleitungen im Router und lassen Sie die öffentliche IP-Adresse von außen scannen. Das BSI verlinkt Werkzeuge, mit denen sich exponierte OT-Steuerungen aufspüren lassen. Ein systematischer Blick auf die externe Angriffsfläche deckt solche vergessenen Freigaben zuverlässig auf.

3. Vom Internet trennen

Laut BSI ist das der wichtigste und einfachste Schutz. Eine Steuerungsoberfläche gehört nicht direkt ins Internet – Punkt. Portweiterleitungen auf Controller werden geschlossen.

4. Fernzugriff nur über VPN mit MFA

Der Techniker braucht trotzdem Zugriff? Dann über einen VPN-Tunnel mit Multi-Faktor-Authentifizierung und einer Positivliste, die nur berechtigte Gegenstellen zulässt. Mit einer OPNsense-Firewall und WireGuard lässt sich das sauber umsetzen: eigener Zugang pro Dienstleister, protokolliert, bei Bedarf zeitlich freigeschaltet. Achten Sie auch auf Fernwartungs-Tools, die der Dienstleister selbst mitbringt – dazu mehr im Artikel zu Fernwartungssoftware.

5. Netz trennen, Updates einplanen, Alarm unabhängig machen

• Gebäude- und Kältetechnik in ein eigenes VLAN, ohne Verbindung zu Kasse und Büro.
• Firmware-Updates in den Wartungsvertrag aufnehmen, Geräte ohne Support auf die Austauschliste setzen.
• Standardpasswörter ändern, Zugänge personalisieren.
• Temperaturalarm über einen zweiten, unabhängigen Weg (z. B. separater Funk-Datenlogger mit SMS-Alarm), damit eine Manipulation nachts nicht unbemerkt bleibt.

Wartungsverträge nachschärfen

Viele Probleme entstehen an der Schnittstelle zwischen Fachbetrieb und IT. Klären Sie schriftlich: Wer darf wie auf die Anlage zugreifen? Wer spielt Updates ein? Wer informiert wen, wenn der Hersteller eine Sicherheitswarnung veröffentlicht? Seriöse Kältefachbetriebe begrüßen eine saubere VPN-Lösung, weil sie sie aus der Haftung für improvisierte Freigaben holt. Weitere Grundlagen zur Absicherung von Steuerungstechnik finden Sie in unserem Beitrag zur OT-Sicherheit.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, Kühlanlagen und Gebäudetechnik abzusichern: Wir prüfen, welche Steuerungen aus dem Internet erreichbar sind, richten sichere Fernzugänge per OPNsense und WireGuard für Ihre Dienstleister ein und trennen die Technik sauber vom Büronetz. Gerade ostdeutsche KMU aus Handel, Handwerk und Gastronomie haben selten eine eigene IT-Abteilung – genau dort setzen wir an. Sprechen Sie uns an.

FAQ

Betrifft der Angriff auch Betriebe in Deutschland?

Der Bundesverband des Deutschen Lebensmittelhandels kennt laut heise bislang keine betroffenen Märkte in Deutschland. heise fand allerdings einige potenziell verwundbare Systeme im deutschen Netz. Das BSI betont, dass seine Empfehlungen unabhängig vom konkreten Vorfall gelten.

Woran erkenne ich, ob meine Kühlsteuerung aus dem Internet erreichbar ist?

Prüfen Sie die Portweiterleitungen im Router und fragen Sie Ihren Kältefachbetrieb, wie der Fernzugriff eingerichtet ist. Sicherheit bringt ein externer Scan der öffentlichen IP-Adresse. Kann man die Weboberfläche ohne VPN von außen aufrufen, besteht Handlungsbedarf.

Mein Controller bekommt keine Updates mehr – muss ich ihn sofort tauschen?

Nicht zwingend sofort. Kurzfristig schützt die vollständige Trennung vom Internet und ein Zugriff nur über VPN. Mittelfristig sollte ein Gerät ohne Sicherheitsupdates aber ersetzt werden – am besten im Rahmen der nächsten regulären Wartung.

Reicht ein starkes Passwort auf der Weboberfläche?

Nein. Im Danfoss-Fall berichteten Forscher von einem versteckten Authentifizierungsmechanismus – dagegen hilft kein eigenes Passwort. Entscheidend ist, dass die Oberfläche gar nicht erst aus dem Internet erreichbar ist.

Gilt NIS2 für meine Kühlanlage?

In der Regel nicht direkt, solange Ihr Betrieb nicht unter die NIS2-Sektoren und Größenschwellen fällt. Das ändert aber nichts am wirtschaftlichen Risiko: Verdorbene Ware, Betriebsausfall und Hygienefragen treffen kleine Betriebe unabhängig von jeder Regulierung.