Danfoss AK-SM800A: Sechs neue Lücken ohne Anmeldung, BSI rät zur Trennung vom Internet
Das BSI warnt seit dem 13. November 2026 mit Kritikalität Orange vor sechs neuen Lücken in Danfoss-Kühlsteuerungen AK-SM800A bis Firmware 5.3.2. Sie sollen die Übernahme ohne Anmeldung ermöglichen. Aktive Ausnutzung ist nicht bekannt, ein bestätigter Patch fehlt. Betreiber sollen die Geräte vom Internet trennen und Fernzugriff nur per VPN oder geschütztes privates Netz zulassen.
Das BSI hat am 13. November 2026 einen IT-Sicherheitshinweis zu Danfoss-Kühlsteuerungen vom Typ AK-SM800A veröffentlicht und stuft ihn mit der Kritikalität 3 von 4 („Orange“) ein: Maßnahmen müssen unverzüglich ergriffen werden. Anlass ist ein Bericht des niederländischen Sicherheitsunternehmens Midnight Blue, das in der Firmware bis einschließlich Version 5.3.2 sechs bisher unbekannte Lücken gefunden hat, die eine Übernahme des Geräts ohne Anmeldung ermöglichen sollen. CVE-Nummern gibt es noch nicht.
Besonders gefährdet sind Betreiber von Supermärkten, Kühlhäusern und Kühllagern mit AK-SM800A, deren Weboberfläche aus dem Internet erreichbar ist, auch über ein Mobilfunkmodem. Ein bestätigter Patch für die sechs Lücken fehlt, aktive Ausnutzung ist laut BSI nicht bekannt. Weil die Geräte bereits Ziel der Angriffswellen seit Oktober waren, sollten Betreiber den direkten Internetzugang jetzt abschalten und nicht auf ein Update warten.
Was ist passiert?
Midnight Blue hat seinen Bericht laut BSI am 11. November veröffentlicht. Der Forscher Carlo Meijer fand nach Angaben des Unternehmens innerhalb einer Stunde manueller Analyse sechs Stack-Pufferüberläufe in der Version 5.3.2, die bei Erscheinen des Berichts aktuell war. Die Firmware ließ sich frei von der Danfoss-Website herunterladen. Vollständige Details hält Midnight Blue zurück, weil die koordinierte Offenlegung mit Danfoss noch läuft. Laut BSI enthält der Bericht aber Hinweise zur Untersuchung der Firmware, die Angreifern möglicherweise genügen.
Das Centre for Cybersecurity Belgium (CCB) hat die Funde am 12. November in einer eigenen Warnung aufgegriffen. Zum Zeitpunkt der Veröffentlichung gab es laut CCB keine Patches. Laut heise hat Danfoss am 12. November die Version 5.4.0 bereitgestellt. Ob sie die sechs Lücken schließt, ist nicht belegt, das BSI wollte gegenüber heise Schwachstellen auch in 5.4.0 nicht ausschließen.
Wer ist betroffen?
Betroffen ist die Steuerung AK-SM800A mit Firmware bis einschließlich 5.3.2, laut BSI „bis mindestens 5.3.2“. Entscheidend ist die Erreichbarkeit: BSI und CCB sehen das Abschotten vom Internet als wichtigste Maßnahme, das CCB nennt es die einzige echte Lösung. Das CCB betont, dass ein 4G- oder 5G-Modem allein keine Schutzmaßnahme ist, wenn die Verwaltungsoberfläche darüber öffentlich erreichbar bleibt. Nach einer Censys-Suche vom 10. November, die Midnight Blue zitiert, waren noch Hunderte Danfoss-Systeme aus dem Internet erreichbar, ein beträchtlicher Teil davon nach Einschätzung von Midnight Blue wohl Honeypots, dazu über 1.000 Steuerungen von Copeland und Dixell.
Wie kritisch ist das?
Nach Angaben von Midnight Blue können die Lücken die vollständige Übernahme des Geräts, dauerhaften Zugriff, möglicherweise auch nach einem Zurücksetzen, und einen dauerhaften Ausfall der Steuerung ermöglichen. Laut dem Bericht, auf den sich das BSI stützt, fehlt dem Controller Secure Boot. Im schlimmsten Fall könnten Angreifer schädliche Firmware aufspielen, die eine manuelle Wiederherstellung oder einen Austausch nötig macht.
Laut CCB betrifft eine der Lücken die Sitzungskontrolle selbst. Der strenge Sitzungsmodus, den laut Midnight Blue viele Betreiber zur Härtung aktivieren, beseitigt das Risiko deshalb nicht. Die Angriffswellen seit Oktober trafen laut CCB Geräte mit aus dem Internet erreichbarer Verwaltungsoberfläche. Dass dabei eine der sechs neuen Lücken genutzt wurde, belegen weder BSI noch CCB.
Was sollten Admins jetzt tun?
- Inventar: alle AK-SM800A und andere Kühlsteuerungen mit Firmwarestand und Zugangsweg erfassen, auch Geräte, die ein Kältedienstleister betreut.
- Erreichbarkeit prüfen: Ist die Weboberfläche direkt aus dem Internet erreichbar, das Gerät laut BSI vom Netz nehmen und Fernzugriff nur über ein VPN oder ein privates Netz zulassen.
- Übergangslösung: Im Notfall erlaubt das CCB, auf der Firewall nur die Quelladressen des Kältedienstleisters zuzulassen, hält das aber nicht für eine dauerhafte Lösung.
- Updates: verfügbare Firmware einspielen, sich aber nicht darauf verlassen. Midnight Blue rät, knappe Ressourcen in die Abschottung statt in das Patchen zu stecken.
- Konfiguration kontrollieren: Temperaturen, Abtauzeitpläne, Benutzerkonten und Fernzugriffseinstellungen auf unerwartete Änderungen prüfen.
- Bei Verdacht auf Kompromittierung alle Zugangsdaten wechseln und die angeschlossenen Geräte auf ordnungsgemäßen Betrieb prüfen.
- Verträge klären: Vor dem Trennen der Datenübertragung zum Dienstleister Wartungs- und Versicherungsauflagen prüfen und einen geschützten Fernzugang vereinbaren.
Einordnung für Unternehmen
Der Fall zeigt, dass ein Patchstand bei solchen Steuerungen wenig über die Sicherheit aussagt. Das BSI schreibt selbst, auch neue Patches seien keine Garantie gegen weitere Lücken in kurzer Zeit. Wer Kühltechnik betreibt, sollte die Fernwartung deshalb als dauerhaftes Netzwerkthema behandeln und mit dem Dienstleister einen VPN-Zugang statt offener Ports vereinbaren. Altgeräte am Ende ihres Lebenszyklus sollten laut CCB vorrangig ersetzt werden.
Passende Anleitungen auf S-EDV
- Angriffe auf Kühlsteuerungen: US-Behörden warnen, deutsche Dienste ermitteln
- WireGuard-VPN für Homeoffice und Standortvernetzung einrichten
- Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi
