Angriffe auf Kühlsteuerungen: US-Behörden warnen, deutsche Dienste ermitteln

Fünf US-Behörden, darunter CISA und FBI, haben am 5. November 2026 eine gemeinsame Warnung zu Angriffen auf Kühlsteuerungen und Systeme zur Überwachung von Kühlketten veröffentlicht. Die Warnung folgt auf zwei Angriffswellen gegen Supermärkte in Europa. Nach einem Bericht von heise vom 7. November ermitteln in Deutschland inzwischen auch der Verfassungsschutz und das gemeinsame Zentrum gegen hybride Bedrohungen.

Betroffen sind Betreiber von Kühlregalen, Kühlhäusern und Kühltransporten mit vernetzten Temperaturreglern, vor allem wenn deren Weboberfläche aus dem Internet erreichbar ist oder ein Dienstleister per Fernwartung zugreift. Wer solche Geräte nur im internen Netz und ohne Standardpasswort betreibt, ist deutlich weniger gefährdet. Steht eine Steuerung offen im Netz, sollte sie sofort vom Internet getrennt werden.

Was ist passiert?

Die erste Welle traf Mitte Oktober Hunderte Supermärkte in Frankreich. S-EDV hatte über den Angriff auf Danfoss-Kühlanlagen berichtet. Laut dem Netzscanner-Anbieter Censys folgte am 2. November eine zweite Welle mit gemeldeten Angriffen in Belgien, Estland, Irland, Luxemburg, den Niederlanden und Schweden. Laut heise sind auch Märkte in Nordrhein-Westfalen, Niedersachsen und Bayern betroffen. Die Angreifer schalteten Anlagen in den Abtau- oder Heizmodus, die Temperaturen in Kühlregalen stiegen teils auf bis zu 50 Grad.

Wer dahintersteckt, ist offen. Censys betont, dass sich keine Gruppe bekannt hat und nicht bestätigt ist, dass beide Wellen auf denselben Akteur zurückgehen. Dem Bundesinnenministerium liegen laut heise keine Erkenntnisse für eine eindeutige Zuordnung vor.

Wer ist betroffen?

Die US-Warnung nennt elektronische Temperaturregler und gewerbliche Kühlsteuerungen in Lebensmittelhandel und Kühllagern, außerdem Einsätze im Gesundheitswesen, in der Chemie und bei Kühltransporten. Censys hat die beiden Produktfamilien untersucht, die der französische CERT-FR in seinem Alarm nennt: Danfoss StoreView und Copeland/Dixell XWEB. Zwischen dem 9. Oktober und dem 5. November sank die Zahl der aus dem Internet erreichbaren Geräte von 6.695 auf 3.124. Bei StoreView ging sie um 76 Prozent auf 708 zurück, bei XWEB um 35 Prozent auf 2.420. Warum die Geräte vom Netz gingen, zeigen die Daten laut Censys nicht.

Wie kritisch ist das?

Laut der Warnung können die Angreifer Umgehungen der Anmeldung, das Einschleusen von Code und schwache Konfigurationen nutzen. Mögliche Folgen reichen von verdorbener Ware über kürzere Lebensdauer der Anlagen bis zu Brandgefahr. Außerdem können Betreiber den Blick auf die echten Temperaturen verlieren. Laut heise fanden die Täter offene Systeme mit automatisierten Suchprogrammen und kamen über bekannte Lücken in veralteter Software oder unveränderte Standardpasswörter hinein, in mindestens einem Fall über einen externen Wartungsdienstleister.

Für StoreView gibt es seit 2025 bekannte Lücken, darunter CVE-2025-41450, ein aus dem Datum ableitbarer Administrator-Login ohne Anmeldung. Nach Censys hat Claroty gezeigt, dass sich zwei davon zu Codeausführung verketten lassen. Welche Lücken bei den Angriffen tatsächlich genutzt wurden, ist öffentlich nicht belegt.

Was sollten Admins jetzt tun?

• Inventar: alle Kühl- und Temperatursteuerungen, Gateways und Fernwartungszugänge erfassen, auch die von Dienstleistern betreuten.
• Erreichbarkeit prüfen: Keine Weboberfläche einer Steuerung darf direkt aus dem Internet erreichbar sein. Nötige Fernzugriffe nur über eine aktuelle Firewall oder ein VPN-Gateway.
• Netz trennen: Steuerungen in ein eigenes VLAN legen und den Zugriff per IP-Freigabeliste auf berechtigte Geräte begrenzen.
• Zugänge härten: Standardpasswörter ändern, starke Passwörter erzwingen und, wo möglich, phishing-resistente Mehrfaktor-Anmeldung nutzen.
• Patchstand: Firmware aktualisieren und Geräte ohne Herstellerunterstützung ersetzen.
• Grenzwerte und Alarme: sinnvolle Sollwertgrenzen in den Anlagen festlegen und bei Abweichungen alarmieren, Protokolle aktivieren und regelmäßig sichten.
• Sicherung: aktuelle Konfigurationssicherungen getrennt und offline aufbewahren und die Wiederherstellung testen.

Einordnung für Unternehmen

Der Fall betrifft keine klassische Büro-IT, sondern Betriebstechnik, die oft der Kälte-Fachbetrieb einrichtet und niemand aus der IT kennt. Genau dort liegen die Risiken: offene Weboberflächen, Werkspasswörter und Fernwartung ohne zweiten Faktor. Die Bundesregierung sieht laut heise keine unmittelbare Gefahr für die Lebensmittelversorgung, weil die betroffenen Betriebe unter den Kritis-Schwellen liegen. Für einzelne Märkte, Kühllager oder, aus Sicht von S-EDV, auch Arztpraxen mit Medikamentenkühlung kann ein Ausfall trotzdem teuer werden. Admins sollten mit ihren Dienstleistern klären, wie diese sich verbinden.

Passende Anleitungen auf S-EDV

• VLANs verstehen und auf einem Managed Switch einrichten
• Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi

Quellen

• CISA, FBI, HHS, USDA und DoT: Gemeinsame Warnung zu Kühlsteuerungen (PDF)
• Censys: Erreichbare Kühlsteuerungen nach der zweiten Angriffswelle
• heise online: Deutsche Geheimdienste ermitteln nach Angriffen auf Kühlsysteme
• BleepingComputer: FBI und CISA warnen vor Angriffen auf Kühlsysteme
• SecurityWeek: US-Behörden fordern Härtung von Kühlsteuerungen