Gehackte Kühlanlagen: Angriffsserie erreicht Deutschland, was Betriebe jetzt tun müssen

Wie laufen die Angriffe ab?

Die Täter schalten die Anlagen nicht einfach ab. Sie aktivieren den Abtau- oder Heizmodus. Dadurch stiegen die Temperaturen in Regalen und Truhen teils auf bis zu 50 Grad, in einer Metzgerei sogar auf bis zu 150 Grad. Die Polizei Regensburg ermittelt dort wegen Datenveränderung, Computersabotage und Sachbeschädigung. Fleisch, Milchprodukte und Tiefkühlware mussten entsorgt werden, laut Bericht kam es teils zu Schwelbränden.

Warum schlug nichts sofort Alarm? Die Regler werten das Abtauen laut einem Hintergrundbericht als regulären Wartungsbefehl und melden zunächst keinen Fehler. Dazu kommt die Uhrzeit: Die Angriffe fanden meist nachts statt, wenn niemand im Laden ist. Ein Marktbetreiber aus Raesfeld berichtet, die Einstellungen hätten keinen Alarm ausgelöst, die Ware sei unbemerkt verdorben. Beim französischen Blutspendedienst schlug dagegen eine getrennte Temperaturüberwachung rechtzeitig an. Das ist die wichtigste Lehre aus dem Fall.

Warum hängen Kühlanlagen überhaupt am Internet?

Supermärkte betreiben große Kältekreisläufe, deren Überwachung vorgeschrieben ist. Damit nicht für jede Einstellung ein Techniker kommen muss, nutzen Betreiber und Dienstleister die Fernwartung. Das spart Anfahrt und Personal, Alarme lassen sich zentral empfangen, Abtautakte aus der Ferne ändern.

Das Problem ist die Umsetzung. Viele Steuerungen wurden laut dem Bericht direkt ans Firmennetz oder sogar offen ans Internet angebunden. Ein Danfoss-Sprecher sagte dem niederländischen Sender NOS, die dort betroffenen Anlagen hätten nicht in einem geschützten Netz gehangen und noch voreingestellte Passwörter genutzt. Die schwedische Kette ICA meldete, ihre betroffenen Märkte seien außerhalb des zentralen Netzes mit dem Internet verbunden gewesen. Auch der Betreiber aus Raesfeld sah keinen Bedarf für eine eigene Cyberversicherung, weil die Gruppe die Daten zentral verwalte, doch die Kältesteuerung kann an einem eigenen Anschluss hängen, den ein Dienstleister betreut.

Auch außerhalb der Supermärkte: Wer noch gefährdet ist

Die Fälle zeigen, dass das Risiko nicht an der Größe hängt. Eine Metzgerei in der Oberpfalz, ein CAP-Markt in Wuppertal und ein staatlicher Blutspendedienst zählen zu den Betroffenen. Dasselbe Prinzip gilt für alle Betriebe, deren Technik sich online steuern lässt: Gastronomie, Pflegeheime, Apotheken, Labore, Hotels und Logistik mit Kühlkette. In Fachkreisen heißt dieser Bereich Betriebstechnik, im Englischen OT.

Wer nicht sicher ist, ob eigene Anlagen erreichbar sind, sollte auch Heizung, Lüftung, Zugangssysteme und Solaranlagen in die Prüfung nehmen. Das BSI empfiehlt allgemein, aus dem Internet erreichbare Steuerungen nach dem Stand der Technik abzusichern.

Wer steckt dahinter?

Das ist offen. Es gibt laut Bericht kein Bekennerschreiben und keine Lösegeldforderung, wie sie bei typischen Ransomware-Angriffen üblich wäre. Sicherheitsexperten diskutieren zwei Szenarien: staatlich gelenkte oder geduldete Gruppen, die die Lebensmittelversorgung testen und verunsichern wollen, oder Täter, die mit öffentlich verfügbaren Werkzeugen ausprobieren, welchen Schaden sie anrichten können. EU-Agrarkommissar Christophe Hansen sprach von einem bewussten Versuch, die Lebensmittelkette zu unterbrechen. Einen Beweis dafür nennen unsere Quellen nicht.

Sind Lebensmittel aus betroffenen Märkten gefährlich?

Eine direkte Gefahr ist nach dem Hintergrundbericht gering. Betroffene Filialen bemerkten die Temperaturen meist bei Schichtbeginn, die Ware wurde entsorgt. Hinweise, dass verdorbene Ware verkauft wurde, gibt es danach nicht. Kurzfristig kam es zu leeren Regalen und geschlossenen Frischetheken. Wer als Kunde unsicher ist, achtet wie immer auf Geruch, Verpackung und Mindesthaltbarkeit und fragt im Markt nach.

Was der Staat verlangen kann

Für die meisten Märkte gelten die neuen Pflichten aus der NIS-2-Umsetzung nicht: Das BSI-Gesetz erfasst laut Dr. Web Großhandel und industrielle Produktion, nicht den einzelnen Supermarkt. Es wird laut Bericht geprüft, ob Standards für die Gebäude- und Logistiktechnik strenger werden müssen. Auch der Cyber Resilience Act der EU wird relevant: Hersteller vernetzter Geräte müssen aktiv ausgenutzte Schwachstellen seit September melden, und unsichere Voreinstellungen sollen ab Dezember 2027 bei neuen Produkten verschwinden. Das hilft allerdings nicht gegen die alten Anlagen, die jetzt am Netz hängen.