> ## Content Index
> Fetch the complete content index at: https://www.mrak.at/llms.txt
> Use this file to discover other available public pages before exploring further.

# Wenn vernetzte Technik zur Angriffsfläche wird
- URL: https://www.mrak.at/wenn-vernetzte-technik-zur-angriffsflache-wird/
- Published: 2026-10-14T09:09:48.000Z
- Updated: 2026-10-14T09:10:48.000Z
- Author: Michael Mrak
- Tags: nisg, iso-27001, risk-management, responsible-innovation

In der Nacht von 11\. auf 12\. Oktober 2026 haben Unbekannte die Kühlregelung von mehreren hundert französischen Supermärkten übernommen und Kühl- und Tiefkühlmöbel auf bis zu 50 °C hochgeheizt. Lebensmittel im Wert von zig Millionen Euro mussten entsorgt werden, in einzelnen Filialen begannen Geräte zu brennen. Ein Angriff auf Betriebstechnik, der zwar keine Kundendatenbank berührt hat und trotzdem massiven Schaden anrichtete.

## Was in der Nacht auf den 12\. Oktober passiert ist

Die Angreifer zwangen die Anlagen in einen Dauer-Abtaumodus und setzten die Solltemperatur fix auf 50 °C. Laut Pariser Staatsanwaltschaft liefen vernetzte Kühlgeräte über Nacht stundenlang auf dieser Temperatur ([DER STANDARD](https://www.derstandard.at/story/3000000343886/cyberangriff-st246rt-k252hlanlagen-franz246sischer-handelsketten?ref=mrak.at)). Das Personal bemerkte den Schaden erst beim Aufsperren am Montagmorgen.

| Handelskette                              | Gemeldete betroffene Filialen          |
| ----------------------------------------- | -------------------------------------- |
| Intermarché und Netto (Les Mousquetaires) | 150 (Reuters) bis mindestens 300 (AFP) |
| Coopérative U                             | 80 von rund 2.000                      |
| Carrefour                                 | 80                                     |
| Monoprix                                  | rund 30                                |
| E.Leclerc                                 | mehrere                                |

Quelle: Unternehmensangaben vom 12\. und 13\. Oktober, zusammengefasst von [The Hacker News](https://thehackernews.com/2026/10/attackers-heat-french-supermarket.html?ref=mrak.at).

Der Schaden ist erheblich. Eine einzelne Leclerc-Filiale in Wasselonne musste Ware um 220.000 Euro entsorgen ([stephanelarue.com](https://stephanelarue.com/frigos-a-50-c-cyberattaque-contre-pres-de-300-intermarche-et-netto/?ref=mrak.at)), der Chef von Les Mousquetaires rechnet mit Verlusten von mehreren zehn Millionen Euro.

Technisch traf der Angriff die zentralen Systemmanager des dänischen Herstellers Danfoss, die sämtliche Kühlstellen einer Filiale steuern und von Kältetechnik-Dienstleistern aus der Ferne gewartet werden. **Betroffen sind die Baureihen AK-SM und AK-SC. Laut Danfoss handelt es sich großteils um Altgeräte ohne Sicherheitsupdates**: Der AK-SM 800 ist seit Mai 2021 abgekündigt, der AK-SC 355 seit 2016\. Auch aktuelle AK-SM 800A mit veralteter Firmware waren betroffen. Die DER-STANDARD-Formulierung vom Angriff auf einen dänischen Software-Dienstleister ist also etwas unscharf: Ziel waren die beim Händler installierten Steuerungen, nicht Danfoss selbst.

Die französische Cybersicherheitsbehörde ANSSI hat über CERT-FR eine Warnung herausgegeben ([CERTFR-2026-ALE-012](https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-012/?ref=mrak.at)) und fordert, die Geräte vom Internet zu trennen oder den Zugriff streng zu filtern. Der genaue Angriffsweg ist offiziell noch nicht bestätigt, bekannt hat sich niemand. Die Vorgeschichte ist allerdings aufschlussreich: Claroty Team82 hatte im August Schwachstellen im AK-SM 800A beschrieben, darunter einen Authentisierungs-Bypass (CVE-2025-41450), und tausende aus dem Internet erreichbare Managementoberflächen gefunden ([Claroty](https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers?ref=mrak.at)). Bereits 2022 waren 16 russische und 40 israelische Märkte mit diesem Steuerungstyp angegriffen worden, die israelischen ohne Firewall oder VPN.

Frankreich ist kein Einzelfall. Laut Sekoia sollen auch Märkte in Spanien, Portugal, Polen, Deutschland und Belgien betroffen sein, Details fehlen noch. Ein Internetscan fand allein in Großbritannien über 800 verwundbare Kühl- und Gebäudesteuerungen ([Cooling Post](https://www.coolingpost.com/world-news/danfoss-moves-to-mitigate-cyberattack/?ref=mrak.at)). Österreich nutzt dieselbe Technik in denselben Branchen.

## Warum das auch private Smart-Home-Nutzer betrifft

Das Muster aus Frankreich findet sich eins zu eins im Einfamilienhaus: ein Steuergerät, das physische Prozesse regelt, aus dem Internet erreichbar ist, vom Hersteller nicht mehr gepflegt wird und dessen Zugang niemand bewusst verwaltet. Im Supermarkt ist es die Kühlregelung, zuhause sind es Wärmepumpe, Heizungsregler, Wallbox, Gefriertruhe, Backofen, Rollläden, Türschloss oder Kamera.

Die Folgen sind dieselben, nur kleiner. Eine im Jänner abgeschaltete Wärmepumpe verursacht Frostschäden, eine aufgetaute Tiefkühltruhe einen stillen Verlust, ein ferngesteuertes Heizgerät im Extremfall Brandgefahr. Dazu kommt der Missbrauch als Teil eines Botnetzes, der dem Besitzer oft gar nicht auffällt.

Zwei Punkte machen Privathaushalte besonders verwundbar:

- Cloud-Abhängigkeit: Viele Geräte hängen an der Plattform des Herstellers. Wird diese Plattform oder ein schwach gesichertes Benutzerkonto kompromittiert, lassen sich tausende Geräte gleichzeitig steuern. Das ist dieselbe Ein-Punkt-Abhängigkeit wie beim zentralen Systemmanager im Markt.
- Supportende ohne Ankündigung: Smart-Home-Geräte bleiben zehn Jahre und länger im Haus, die Softwarepflege endet oft nach wenigen Jahren. Ein abgekündigter AK-SC 355 im Supermarkt ist nichts anderes als der alte WLAN-Heizungsregler im Keller.

Der Gesetzgeber reagiert. Seit 1\. August 2025 gelten über die delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie grundlegende Cybersicherheitsanforderungen für funkfähige Geräte. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller seit 11\. September 2026 zur Meldung aktiv ausgenutzter Schwachstellen (Art. 14), ab 11\. Dezember 2027 gelten die Anforderungen an Produkte mit digitalen Elementen vollständig, inklusive eines festgelegten Unterstützungszeitraums. Für die Geräte, die heute schon verbaut sind, hilft das wenig.

Was private Nutzer konkret tun können:

- Keine Portfreigaben und kein UPnP am Router. Fernzugriff nur über VPN, etwa WireGuard auf dem Router oder einer Fritzbox.
- Smart-Home-Geräte in ein eigenes WLAN oder VLAN, getrennt von Laptops und Handys.
- Herstellerkonten mit eindeutigem Passwort und Zwei-Faktor-Anmeldung absichern, Standardpasswörter sofort ändern.
- Vor dem Kauf prüfen, wie lange der Hersteller Updates zusagt und ob das Gerät auch lokal ohne Cloud funktioniert.
- Für kritische Funktionen eine unabhängige Kontrolle einplanen, etwa einen separaten Temperaturalarm für Tiefkühltruhe oder Heizraum.
- Geräte ohne Updates ersetzen oder zumindest vom Internet trennen.

## Was das mit NIS2 und dem NISG 2026 zu tun hat

Der Vorfall ist ein Lehrbeispiel für genau die Risiken, die NIS2 adressiert, und er fällt zeitlich mit dem Start des NISG 2026 am 1\. Oktober 2026 zusammen. Zwei Dinge sind dabei wichtig, eines davon wird häufig falsch verstanden.

Erstens: Der Lebensmittelsektor ist in Anlage 2 zum NISG 2026 erfasst, allerdings nur Lebensmittelunternehmen im Großhandel sowie in der industriellen Produktion und Verarbeitung. Der reine Einzelhandel, also die Supermarktfiliale, ist nicht direkt erfasst. Handelskonzerne mit eigener Logistik, Zentrallager oder Großhandelsgesellschaft sind es dagegen sehr wohl, und genau dort steht dieselbe Kältetechnik in viel größerem Maßstab. Hersteller von elektrischen Ausrüstungen und Maschinen, also auch Anbieter von Kälteregelungen, fallen unter das verarbeitende Gewerbe der Anlage 2\. Ob ein Kältetechnik-Dienstleister, der Steuerungen seiner Kunden aus der Ferne betreibt, als Anbieter verwalteter Dienste nach Anlage 1 gilt, ist eine Einzelfallfrage, die man sich zumindest stellen sollte.

Zweitens: Das NISG 2026 unterscheidet nicht zwischen Büro-IT und Betriebstechnik. Eine Kühlstellenregelung mit Netzwerkanschluss ist ein Netz- und Informationssystem. Wer betroffen ist, muss sie in das Risikomanagement einbeziehen. Die Mindestmaßnahmen nach § 32 Abs. 4 NISG 2026 (entspricht Art. 21 Abs. 2 NIS-2-RL) treffen den französischen Fall punktgenau:

| § 32 Abs. 4 | Anforderung                               | Was in Frankreich gefehlt hat                                                       |
| ----------- | ----------------------------------------- | ----------------------------------------------------------------------------------- |
| lit. a      | Risikoanalyse                             | OT-Steuerungen offenbar nicht als Risiko für Ware, Brandschutz und Betrieb bewertet |
| lit. d      | Sicherheit der Lieferkette                | Fernwartungszugänge der Kältetechnik-Dienstleister ohne erkennbare Vorgaben         |
| lit. e      | Wartung, Schwachstellenmanagement         | Geräte seit 2016 bzw. 2021 ohne Updates im Betrieb, bekannte CVEs nicht eingespielt |
| lit. i      | Zugriffskontrolle, Management von Anlagen | kein Inventar der aus dem Internet erreichbaren Steuerungen                         |
| lit. j      | Multi-Faktor-Authentifizierung            | Managementoberflächen direkt im Internet, teils ohne Schutz durch VPN oder Firewall |
| lit. b, c   | Vorfallsbewältigung, Betriebskontinuität  | Schaden erst beim Aufsperren am Morgen bemerkt, keine Alarmierung in der Nacht      |

Dazu kommen die Meldepflichten. Ein Vorfall mit Brandgefahr und Schäden in Millionenhöhe ist erheblich im Sinne des § 35 NISG 2026\. Für eine betroffene Einrichtung hieße das: Frühwarnung an das zuständige CSIRT binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat danach (§ 34 NISG 2026). Wer erst am Montag um acht Uhr bemerkt, was seit Mitternacht passiert, hat davon schon einen Teil verbraucht.

Und schließlich die Verantwortung der Geschäftsleitung: Nach § 31 Abs. 1 NISG 2026 müssen die Leitungsorgane die Risikomanagementmaßnahmen sicherstellen und beaufsichtigen, nach § 31 Abs. 2 selbst an Schulungen teilnehmen. Die Frage, welche Steuerung eines Kühlhauses aus dem Internet erreichbar ist, ist damit keine reine Technikerfrage mehr.

Auch wer nicht direkt erfasst ist, kommt um das Thema nicht herum. Betroffene Großhändler, Logistiker und Produzenten müssen nach § 32 Abs. 4 lit. d ihre unmittelbaren Dienstleister in die Pflicht nehmen. Kältetechnik-, Gebäudetechnik- und Wartungsfirmen werden deshalb zunehmend Sicherheitsanforderungen in Verträgen, Nachweise und Auditrechte erleben.

## Wie Unternehmen solche Risiken systematisch minimieren

Der Schutz vernetzter Betriebstechnik gelingt nicht mit Einzelmaßnahmen, sondern nur, wenn sie als fester Bestandteil des Informationssicherheits-Managementsystems behandelt wird. Kühlanlagen, Gebäudeleittechnik, Zutrittssysteme, Produktionssteuerungen und Ladeinfrastruktur gehören in denselben Regelkreis wie Server und Notebooks. Bewährt hat sich folgende Reihenfolge:

1. Inventar erstellen. Alle vernetzten Steuerungen erfassen, mit Hersteller, Modell, Firmwarestand, Supportende, Standort und verantwortlichem Dienstleister. Parallel die eigenen öffentlichen IP-Bereiche von außen scannen lassen. Was dort auftaucht, ist bereits ein Befund. (§ 32 Abs. 4 lit. i NISG 2026, ISO 27001:2022 A.5.9)
2. Risiken nach physischer Wirkung bewerten. Nicht nur Vertraulichkeit und Datenverlust betrachten, sondern Warenverlust, Brand, Personenschaden und Betriebsunterbrechung. Eine Kühlregelung mit Brandpotenzial gehört in die höchste Schutzbedarfskategorie. (§ 32 Abs. 4 lit. a)
3. Keine Managementoberfläche direkt ins Internet. Steuerungen in eigene Netzsegmente legen, nach dem Zonen- und Conduit-Modell der IEC 62443\. Fernzugriff ausschließlich über einen zentralen, MFA-geschützten Zugang mit Freigabe, zeitlicher Begrenzung und Protokollierung. (ISO 27001:2022 A.8.20, A.8.22, A.8.5; § 32 Abs. 4 lit. j)
4. Lebenszyklus aktiv steuern. Eine Liste aller Geräte ohne Herstellersupport führen, mit Austauschplan und Budget. Patchfristen festlegen, Sicherheitsmeldungen der Hersteller sowie von CERT.at abonnieren und auswerten. Ein Gerät, das seit 2016 kein Update mehr bekommt, ist kein Restrisiko, sondern ein offenes Tor. (§ 32 Abs. 4 lit. e, ISO 27001:2022 A.8.8)
5. Lieferanten in die Pflicht nehmen. In Wartungsverträgen festlegen: Art des Fernzugriffs, individuelle Zugangsdaten statt Sammelpasswörter, Meldepflicht bei Vorfällen binnen Stunden, Mitteilung von Schwachstellen und Supportende. Bei Neubeschaffung einen zugesagten Unterstützungszeitraum, CRA-Konformität und Nachweise etwa nach IEC 62443-4-2 verlangen. (§ 32 Abs. 4 lit. d, ISO 27001:2022 A.5.19 bis A.5.22)
6. Unabhängig vom Steuerungssystem überwachen. Prozesswerte wie Temperatur über einen zweiten, getrennten Kanal erfassen und Grenzwertüberschreitungen sofort an eine besetzte Stelle melden. Ergänzend den Netzverkehr der OT-Segmente auf ungewöhnliche Verbindungen überwachen. In Frankreich hätte ein nächtlicher SMS-Alarm einen Großteil des Schadens verhindert. (ISO 27001:2022 A.8.16)
7. Notfallplan für Betriebstechnik. Konfigurationen sichern, manuelle Bedienbarkeit sicherstellen, Wiederanlaufschritte festlegen, wie sie CERT-FR nun vorgibt: Zugriff einschränken, auf Werkseinstellungen zurücksetzen, aktualisieren, Zugangsdaten tauschen, Konten prüfen, neu konfigurieren. Die Meldekette an das CSIRT und die Kriterien für die Erheblichkeit vorab festlegen und üben. (§ 32 Abs. 4 lit. b und c, §§ 34 und 35)
8. Wirksamkeit messen. Kennzahlen wie Anzahl aus dem Internet erreichbarer Steuerungen (Zielwert null) oder Anteil der Geräte ohne Support regelmäßig erheben, intern auditieren und in der Managementbewertung behandeln. (§ 32 Abs. 4 lit. f, ISO 27001:2022 Kap. 9)

Nichts davon ist neu oder teuer im Verhältnis zum Schaden. Eine einzige Filiale hat in Frankreich 220.000 Euro an Ware verloren. Der Austausch eines abgekündigten Systemmanagers und ein sauber gebauter Fernwartungszugang kosten einen Bruchteil davon.

## Die neue Normalität

Der Angriff auf die französischen Kühlanlagen ist kein Ausreißer, sondern der bisher sichtbarste Punkt einer Entwicklung, die seit Jahren läuft und sich jetzt deutlich beschleunigt. Meine Einschätzung ist klar: Angriffe auf vernetzte Betriebstechnik werden in den kommenden Jahren massiv zunehmen, in der Zahl wie in der Wirkung.

| Zeitpunkt        | Vorfall                                                                                                                                                                                                                   |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Oktober 2026     | Mehrere hundert Märkte in Frankreich, laut Sekoia auch Fälle in Spanien, Portugal, Polen, Deutschland und Belgien                                                                                                         |
| Ende August 2026 | Kühlstörungen mit Lebensmittelverlusten in rund einem Dutzend US-Militärsupermärkten ([ABC/Reuters](https://www.abc.net.au/news/2026-10-13/french-supermarkets-hacked-causing-fires-and-food-loss/107258724?ref=mrak.at)) |
| August 2026      | Claroty veröffentlicht Schwachstellen im AK-SM 800A und findet tausende erreichbare Oberflächen                                                                                                                           |
| 2022             | Angriffe auf 16 Märkte in Russland und 40 in Israel mit demselben Steuerungstyp                                                                                                                                           |

Für die Zunahme sprechen mehrere Gründe, die sich gegenseitig verstärken:

- Die Angriffsfläche wächst schneller als die Verteidigung. Fernwartung ist in Kälte-, Gebäude- und Energietechnik zum Geschäftsmodell geworden, und jedes neue Gerät bleibt zehn bis zwanzig Jahre im Einsatz. Die Altlasten von heute sind die Einfallstore der nächsten Jahre.
- Das Finden ist automatisiert. Suchmaschinen für vernetzte Geräte und eigene Massenscans liefern Angreifern in Minuten Listen verwundbarer Systeme, sortiert nach Land und Hersteller. Die Zeit zwischen Veröffentlichung einer Schwachstelle und ihrer Ausnutzung schrumpft laufend, KI-Werkzeuge senken die Einstiegshürde weiter.
- Physische Wirkung ist ein attraktives Ziel. In Frankreich gab es keine Lösegeldforderung und kein Bekennerschreiben. Wer Lebensmittelversorgung stört, erzeugt Verunsicherung und öffentlichen Druck. Das passt in eine europäische Lage, in der hybride Einflussnahme, Sabotage und Hacktivismus zum Alltag gehören.
- Erfolg wird kopiert. Ein Angriff, der weltweit Schlagzeilen macht, mit einfachen Mitteln funktioniert hat und dessen Zielgeräte weiterhin zu Tausenden im Netz stehen, findet Nachahmer. Allein in Großbritannien wurden nach dem Vorfall über 800 verwundbare Steuerungen gezählt.

Die Konsequenz für Unternehmen ist unbequem, aber eindeutig: Die Frage ist nicht, ob vernetzte Betriebstechnik angegriffen wird, sondern wann und ob man es rechtzeitig bemerkt. Wer heute noch Managementoberflächen offen im Internet betreibt, verlässt sich darauf, dass niemand sucht. Diese Annahme ist seit dem 12\. Oktober endgültig widerlegt.

## Fazit

Die gekaperten Kühlanlagen zeigen, dass Informationssicherheit dort endet, wo das Inventar endet. Kein ausgeklügelter Zero-Day, sondern Altgeräte ohne Updates, offene Fernzugänge und fehlende Überwachung haben hunderte Märkte lahmgelegt. Genau diese Grundlagen verlangt das NISG 2026 seit 1\. Oktober von betroffenen Einrichtungen, und genau diese Grundlagen schützen auch das eigene Haus.

Der pragmatische erste Schritt für jedes Unternehmen ist eine einfache Frage an Haustechnik und Dienstleister: Welche unserer Steuerungen sind aus dem Internet erreichbar, und wer kommt wie darauf? Wer die Antwort nicht innerhalb eines Tages belegen kann, hat seine wichtigste Baustelle gefunden.

## Quellen

- [DER STANDARD: Tiefkühler auf 50 Grad geheizt](https://www.derstandard.at/story/3000000343886/cyberangriff-st246rt-k252hlanlagen-franz246sischer-handelsketten?ref=mrak.at)
- [The Hacker News: Attackers Heat French Supermarket Fridges Up to 50°C](https://thehackernews.com/2026/10/attackers-heat-french-supermarket.html?ref=mrak.at)
- [ABC News (Reuters): Hackers raise fridge temperatures at hundreds of French supermarkets](https://www.abc.net.au/news/2026-10-13/french-supermarkets-hacked-causing-fires-and-food-loss/107258724?ref=mrak.at)
- [stephanelarue.com: Frigos à 50 °C, cyberattaque contre près de 300 Intermarché et Netto](https://stephanelarue.com/frigos-a-50-c-cyberattaque-contre-pres-de-300-intermarche-et-netto/?ref=mrak.at)
- [Cooling Post: Danfoss moves to mitigate cyberattack](https://www.coolingpost.com/world-news/danfoss-moves-to-mitigate-cyberattack/?ref=mrak.at)
- [CERT-FR: Alerte CERTFR-2026-ALE-012](https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-012/?ref=mrak.at)
- [Claroty Team82: Schwachstellen in Danfoss-Kühlsteuerungen](https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers?ref=mrak.at)
- NISG 2026, BGBl. I Nr. 94/2025 (RIS, Gesetzesnummer 20013065)