OT-Sicherheit: Lehren aus den Kühlhaus-Attacken

Eine Welle von Angriffen auf gewerbliche Kühlanlagen entwickelt sich zum OT-Sicherheits-Ereignis des Jahres.

Auch Deutschland ist nicht verschont geblieben: Anfang November wurden mehrere Supermärkte in Nordrhein-Westfalen, Niedersachsen und Bayern Opfer von Cyberattacken auf ihre Kühlanlagen. Betroffen waren mehrere bekannte Filialen (darunter beispielsweise Edeka und CAP), deren Kühlsysteme aus der Ferne manipuliert und teilweise von Kühl- auf Heizbetrieb umgestellt wurden. Mit verheerenden Folgen: Große Mengen verdorbener Lebensmittel mussten entsorgt werden. Die Vorfälle in Deutschland reihen sich dabei ein in eine Serie an Cyberangriffen in mehreren europäischen Ländern.

So verschaffte sich bereits in der Nacht vom 11. auf den 12. Oktober 2026 ein Unbekannter Zugriff auf die Kühlsteuerungen von hunderten französischen Supermärkten und versetzte diese über Nacht in den Abtaumodus. Mehrere große Ketten waren betroffen, wobei bis zu 700 Filialen in Mitleidenschaft gezogen wurden. Bei einigen Geräten stieg die Temperatur auf über 50 °C an, und einige gerieten in Brand, wobei sich die Gesamtschäden auf mehrere zehn Millionen Euro beliefen.

Etwa zwei Wochen später teilte das Pentagon mit, dass es ähnliche Kühlausfälle auf Militärstützpunkten als mutmaßlichen Cyberangriff behandele, und am 2. November wiederholte sich das Muster in Supermärkten in mindestens sechs europäischen Ländern.

Es handelt sich um ein Szenario, vor dem Fachleute bereits seit Jahren warnen: ein groß angelegter Cyberangriff auf kritische Infrastruktur (Supermärkte werden vielleicht nicht als solche betrachtet, aber die Lebensmittelversorgung zählt zu den Sektoren, die unter die NIS2-Richtlinie der EU fallen) mit physischen Folgen.

Daraus lassen sich zudem mehrere umsetzbare Lehren für jeden ziehen, der mit dem Internet verbundene OT-Systeme betreibt.

1. Der „Schweizer Käse“ der aus der Ferne zugänglichen OT-Schnittstellen

Trotz seines Ausmaßes handelt es sich in diesem Fall keinesfalls um überbordende Genialität der Angreifer. Vielmehr sollte hier das verheerende Potenzial von internetexponierten, schlecht gesicherten OT-Verwaltungsschnittstellen in den Fokus rücken.

Monate vor den benannten Angriffswellen untersuchte das Team82 von Claroty den AK-SM 800A des dänischen Herstellers Danfoss, einen Systemmanager zur Steuerung der Kühlvitrinen eines Geschäfts. Die Sicherheitsforschungsgruppe stieß dabei auf eine ganze Reihe von Fehlern wie aus dem Lehrbuch. Mithilfe von Internet-Scan-Plattformen fanden die Forscher 2.765 Verwaltungsschnittstellen, die direkt über das Internet erreichbar waren.

Diese Steuerungen wurden mit einem versteckten „Code-of-the-Day“-Authentifizierungsmechanismus ausgeliefert: einem aus dem Datum des Geräts abgeleiteten Backdoor-Code, der anstelle des Administratorpassworts fungierte, sodass sich jeder, der den Algorithmus rekonstruieren konnte, anmelden konnte. Ausgehend von dieser authentifizierten Sitzung ermöglichte eine separate Schwachstelle durch Befehlsinjektion einem Angreifer, beliebige Betriebssystembefehle auszuführen (vollständige Remote-Code-Ausführung) und die Kontrolle über das Gerät zu übernehmen.

Dies erinnert an das Schweizer-Käse-Modell der Arbeitssicherheit: Vorfälle treten auf, wenn die Lücken in jeder Schutzschicht so zusammenfallen, dass sie einen durchgehenden Angriffsweg ermöglichen – in diesem Fall eine dem Internet zugewandte Schnittstelle, ein Authentifizierungsmechanismus mit eingebauter Umgehungsmöglichkeit und eine Schwachstelle für Befehlsinjektion. Die wichtigste Schutzschicht fehlte gänzlich: Es gab weder eine unabhängige Hochtemperatur-Abschaltung, um zu verhindern, dass ein Regler den Raum überhitzte, noch eine Abtaufunktion, die rechtzeitig einen Alarm ausgelöst hätte.

Die Geschehnisse zeigen eindrücklich, dass es so etwas wie „Sicherheit durch Verschleierung“ nicht gibt – die Hoffnung, dass sich niemand die Mühe machen wird, einen Kühlschrank zu hacken. Und wenn es geschieht, bilden Netzwerksegmentierung, starke Authentifizierung sowie die Entfernung von Systemen aus dem direkten Internetverkehr die erste Verteidigungslinie.

2. „Jeder könnte dahinterstecken“ sagt viel über den Stand der OT-Cybersicherheit im Jahr 2026 aus

Aber wer sind die Angreifer? Kein staatlicher Akteur und keine Hacktivisten-Gruppe hat die Verantwortung übernommen, auch eine Lösegeldforderung ist nicht aufgetaucht. Das heizt Spekulationen an, dass es sich um Ransomware handeln könnte – insbesondere nach den Angriffen des Jahres 2025 auf die britischen Einzelhandelsketten Marks & Spencer und Co-op. Andere vermuten, es könnte sich um einen Einzeltäter handeln – oder, wie Ken Munro von Pen Test Partners es formulierte, sogar um „Kinder, die herumalbern“.

Schon diese reinen Spekulationen sagen viel über den aktuellen Stand der OT-Sicherheit aus. Vor einem Jahrzehnt wäre ein großer OT-Angriff, der ein Dutzend Unternehmen traf und physischen Schaden verursachte, mit ziemlicher Sicherheit von einer militärischen Großmacht oder einer staatlich geförderten Gruppe ausgegangen. Heute haben mehrere Entwicklungen den Kreis der Verdächtigen erweitert. Der Zugriff ist leichter, da so viele Schnittstellen über öffentlich zugängliche Adressen erreichbar sind. Und die Eintrittsbarriere ist niedriger: Internet-Scanning-Plattformen wie Shodan und Censys ermöglichen es jedem, exponierte Steuerungen zu erfassen, und kostengünstige, zunehmend durch LLM unterstützte Tools wandeln die Ergebnisse in funktionierende Exploits um.

Angriffe sind zudem opportunistischer geworden: Die Schwachstelle definiert den Angriff mehr als das Ziel. Die Angreifer hatten es wahrscheinlich nicht speziell auf deutsche, französische und estnische Lebensmittelhändler abgesehen; vielmehr fanden sie eine Klasse exponierter, ausnutzbarer Geräte und griffen alles an, was darauf reagierte. Es handelt sich um denselben Mechanismus, der auch bei den jüngsten breit angelegten Kampagnen gegen speicherprogrammierbare Steuerungen (SPS) zu beobachten war, bei denen die Auswahl der Opfer einfach der Exposition folgt.

3. Patches können nur begrenzt helfen

Der letzte und vielleicht beunruhigendste Aspekt besteht darin, dass die Schwachstellen dem Hersteller Danfoss bereits bekannt waren. Er hatte sie in einem Firmware-Update für 2025 behoben, die Angriffe funktionierten jedoch trotzdem.

Jeder, der schon einmal ein Patching-Programm in der OT durchgeführt hat, kann sich denken, warum. Einige der angegriffenen Unternehmen hatten wahrscheinlich keine verlässliche Möglichkeit zu wissen, ob sie diese Steuerungen überhaupt einsetzten oder welche Firmware darauf installiert war. Die Bestandsaufnahme von OT-Anlagen ist intern schon schwierig genug und noch schwieriger bei Geräten, die ein Lieferant installiert und verwaltet.

Selbst ein Unternehmen, das weiß, dass es dringend Patches installieren muss, steht vor einer schwierigen Aufgabe. Die Durchführung eines Firmware-Updates an hunderten von Standorten stößt auf Personalmangel vor Ort, Ausfallzeiten und Produktverluste – hinzu kommt, dass manche Hardware gar nicht aktualisiert werden kann. Zwei der drei betroffenen Modelle (das AK-SM 800 und das AK-SC 355) waren bereits aus dem Programm genommen worden und erhielten keine Patches mehr. In solchen Fällen besteht die einzige Lösung darin, Ausgleichsmaßnahmen zu ergreifen, das Gerät zu isolieren oder den Fernzugriff so zu gestalten, dass es niemals mit dem Internet in Kontakt kommt.

Die Geschehnisse widerlegen jedoch auch die Vorstellung, dass neuere Geräte von Natur aus sicherer sind. Das dritte betroffene Modell, das AK-SM 800A, ist aktuell und wird unterstützt, doch auf den betroffenen Geräten lief veraltete Firmware – eine Situation, die, wie dieser Angriff zeigt, keineswegs eine Ausnahme darstellt.

Kurz gesagt: Authentifizierung und Patching sind wichtige Verteidigungslinien, doch sie sollten vier Aspekte nicht in den Hintergrund drängen, die für die OT-Sicherheit ebenso wichtig sind: sicheres Design, eine genaue Bestandsaufnahme der OT-Ressourcen, automatisierte Schwachstellenerkennung sowie eine ordnungsgemäße Änderungs- und Konfigurationskontrolle.

Diese Aspekte sind wichtig, weil die derzeitige Kombination gefährlich ist. Angriffstools sind billig und schnell; Bestandsaufnahme und Patching hingegen sind es nicht. Zudem sind OT-Abwehrmaßnahmen nach wie vor hauptsächlich darauf ausgelegt, Angreifer fernzuhalten, wobei kaum berücksichtigt wird, was ein authentifizierter Benutzer anschließend tun kann oder wie es um die Integrität der Basiskonfigurationen steht. Die Lehren daraus: Schließen Sie Sicherheitslücken, überwachen Sie offensichtliche Anomalien, gehen Sie davon aus, dass sich der Angreifer irgendwann authentifizieren wird, und schränken Sie ein, was in dieser Sitzung geändert werden kann.

Übergreifend sollten sich Unternehmen aller Branchen zunehmend auf den wohl wichtigsten Aspekt konzentrieren: Cyber-Resilienz. Selbst bei starken Schutzmaßnahmen gilt es, auf den Fall vorbereitet zu sein, dass ein Angreifer die Abwehr überwindet – statt sich allein darauf zu verlassen, ihn fernhalten zu können. In der Kältetechnik bedeutet dies unabhängige Temperaturgrenzwerte und Alarme, die Möglichkeit, kompromittierte Steuerungen zu isolieren, ohne die lokale Kühlung zu unterbrechen, sowie ein erprobtes Verfahren zur Wiederherstellung des Normalbetriebs. Branchenübergreifend mögen die Komponenten variieren, doch das Prinzip ist dasselbe: den Schaden eindämmen, Reaktionspläne standardisieren, kritische Betriebsabläufe aufrechterhalten und sich schnell erholen, wenn die Abwehrmaßnahmen versagen.