Zweimal binnen drei Wochen haben Unbekannte nachts die Steuerungen von Kühlanlagen aus der Ferne manipuliert: zuerst in Hunderten französischen Supermärkten, dann in mehr als einem Dutzend europäischer Länder, darunter Deutschland und die Schweiz. Kühlregale und Kühlräume liefen im Abtau-Modus warm, Ware verdarb. Schadsoftware war dafür nicht nötig. Es reichten Steuerungen, die offen aus dem Internet erreichbar waren, oft mit Standardpasswort oder veralteter Firmware. Unser Lagebild zeigt, was gesichert ist, was NIS2 und der Cyber Resilience Act von Betreibern und Herstellern verlangen und warum die Lieferkette den Ausschlag gibt.
Die Angriffe auf Kühlanlagen waren kein Hightech-Hack, sondern die Folge bekannter, vermeidbarer Versäumnisse: Steuerungen hingen offen am Internet, Zugänge blieben auf Werkseinstellung, Updates fehlten oder waren für Altgeräte gar nicht mehr verfügbar. Wer Kühlketten betreibt, Kältetechnik herstellt oder Anlagen fernwartet, sollte jetzt prüfen, ob seine Systeme erreichbar sind, und das Ergebnis nachweisbar in sein Risikomanagement nach NIS2 und CRA übernehmen.
Von der Claroty-Analyse im August bis zur gemeinsamen Warnung der US-Behörden. Sollwerte sind keine gemessenen Temperaturen: Wie warm es tatsächlich wurde, hing davon ab, wie schnell jemand eingriff.
In mindestens sechs Commissaries, den Lebensmittelmärkten auf US-Militärstützpunkten, fallen Kühlungen aus. Laut Reuters behandelt das Pentagon die Fälle als mutmaßlichen Cyberangriff; bestätigt ist das nicht, ein Zusammenhang mit Europa ebenso wenig. [34]
Kühlsteuerungen französischer Supermärkte werden aus der Ferne in Dauer-Abtauen versetzt, Sollwerte stehen auf bis zu 50 °C. Betroffen sind unter anderem Märkte von Intermarché, Carrefour, Super U, Monoprix und E.Leclerc. Finanzminister Roland Lescure spricht von rund 700 Märkten; die Staatsanwaltschaft prüft auch gemeldete Brände. [7][8][9][10]
Köderanlagen von Lupovis und Previdian registrieren Zugriffs- und Anmeldeversuche auf nachgebildete Danfoss-Steuerungen, bei Previdian mit dem Werkspasswort eines älteren Modells. Laut Lupovis schlugen nur Köder in Europa an; ob die Täter dahinterstehen, ist offen. [26][27][62]
Mehr als 100 Geschäfte sind betroffen. Die Nachrichtenagentur AFP zählt zwölf Länder, darunter Deutschland, Belgien, die Niederlande, Schweden, Irland, Italien, Großbritannien und Estland; Belgien gehört zu den am stärksten betroffenen. Später werden auch Fälle in der Schweiz bekannt. Am selben Tag werden in Frankreich über die Fernüberwachung eines Kältedienstleisters Kühlräume des Blutspendedienstes EFS manipuliert, Blutprodukte gehen nicht verloren. [11][12][13][14][15][17][61]
Ein Telegram-Kanal von NoName057(16) reklamiert die Angriffe gemeinsam mit Z-Pentest in einem KI-generierten Video. Die angeblichen Beweise stammen laut schwedischen Faktenprüfern aus älteren Datenlecks, Fachleute halten die Bekennung für unbelegt. Der Kreml weist jede Beteiligung zurück. [28][29][32]
Lüthi’s Fleischwaren in Köniz meldet einen Angriff auf die Steuerung ihrer Kühl- und Tiefkühlanlagen, Volg meldet veränderte Parameter in drei Filialen. Beim BACS ist bislang eine Pflichtmeldung zu gewerblichen Kühlanlagen eingegangen; zu Einzelfällen äußert es sich nicht. [14][15]
Nach den bisher veröffentlichten Analysen folgten die Angriffe einem einfachen, gut skalierbaren Muster. Hinweise auf unbekannte Schwachstellen gibt es nicht; entscheidend waren Steuerungen, die direkt aus dem Internet erreichbar waren.
Weboberflächen von Kühlsteuerungen werden über Suchdienste für vernetzte Geräte und automatisierte Scans gefunden.
Unbekannte fragen Versionen ab und probieren Werkspasswörter; laut Lupovis schlugen nur Köder in Europa an. Ob das die Täter waren, ist offen.
Zugang verschaffen sie sich mit unveränderten Standardzugängen; bei veralteter Firmware kommen bekannte Lücken wie die Umgehung der Anmeldung infrage.
Mit regulären Funktionen schalten sie Kühlstellen in den Abtau-Modus und verstellen Sollwerte und Alarmgrenzen; in einem forensisch untersuchten Fall sind auch Befehle zum Stummschalten von Alarmen und zur Tastensperre protokolliert.
Die Änderungen laufen offenbar skriptgesteuert und zeitgleich in der Nacht auf einen Montag, wenn kein Personal vor Ort ist. Bemerkt wird der Schaden über Alarme oder erst am Morgen.
Für die Manipulation genügten Funktionen, die der Hersteller vorgesehen hat. Böswillige Änderungen sehen deshalb aus wie normale Bedienung. Virenschutz, der nach Schadcode sucht, greift hier nicht. Entscheidend sind Erreichbarkeit, Zugangsschutz und die Überwachung von Sollwerten, Konfigurationsänderungen und Anmeldungen.
Die öffentlich beschriebenen Schritte lassen sich Techniken des ATT&CK-Frameworks für industrielle Steuerungen zuordnen. Die Zuordnung ist unsere Einordnung auf Basis der bisher veröffentlichten Analysen.
| Technik | Bezeichnung | Bezug zu den Angriffen |
|---|---|---|
| T0883 | Internet Accessible Device | Die Steuerungen waren direkt aus dem Internet erreichbar, oft über Portweiterleitungen oder Mobilfunkmodems. |
| T0859 | Valid Accounts | Gültige Administratorkonten, häufig mit unveränderten Standardpasswörtern, ermöglichten Änderungen, die wie normale Bedienung aussehen. |
| T0836 | Modify Parameter | Sollwerte, Abtauintervalle und Abtau-Endwerte wurden verändert; in Frankreich wurden Abtauzyklen laut Le Monde von einer auf bis zu acht Stunden verlängert. |
| T0838 | Modify Alarm Settings | Alarmgrenzen und Alarmverzögerungen wurden auf Extremwerte gesetzt. |
| T0878 | Alarm Suppression | Befehle zum Stummschalten von Alarmen sollten verhindern, dass jemand rechtzeitig reagiert. |
| T0813 | Denial of Control | In mindestens einem dokumentierten Fall wurden Befehle zur Tastensperre gesendet, die das Eingreifen vor Ort erschweren sollten. |
| T0879 | Damage to Property | Verdorbene Ware und belastete Anlagen; die US-Behörden warnen zusätzlich vor Brandgefahr. |
Eine gesicherte Zuordnung gibt es bislang nicht: Keine Regierung und keine Behörde hat einen Täter benannt. Es gibt eine Bekennung, Einschätzungen von Sicherheitsforschern und ein Dementi aus Moskau.
Ein Telegram-Kanal von NoName057(16) reklamierte die Angriffe am 3. November in einem KI-generierten Video gemeinsam mit Z-Pentest. Die angeblichen Beweise stammen laut schwedischen Faktenprüfern aus älteren Datenlecks, technische Belege fehlen.
Laut US-Behörden 2024 aus dem Umfeld prorussischer Hacktivisten entstanden und auf Angriffe gegen Industriesteuerungen spezialisiert. Die EU sanktionierte die Gruppe im Juli 2026 wegen Angriffen auf kritische Infrastruktur, etwa auf einen dänischen Wasserversorger, nicht wegen der Kühlanlagen.
Sekoia sieht bislang keine technischen Belege für russischsprachige Gruppen. Lupovis erkennt Überschneidungen mit Infrastruktur, die russischen Akteuren zugeordnet wird, kann die Täter aber nicht sicher identifizieren. Rumäniens Cyberbehörde nennt das Vorgehen halb-amateurhaft.
Iran-nahe Akteure haben schon früher offen erreichbare Industriesteuerungen angegriffen; für die aktuellen Wellen gibt es dafür keinen Beleg. Sekoia hält auch verschiedene Gruppen oder Nachahmer für möglich.
Laut einer US-Anklage legten prorussische Hacktivisten 2024 die Kühlung eines Fleischverarbeiters in Kalifornien lahm. Ein Danfoss-Bulletin vom Oktober 2025 nennt Angriffe auf Märkte in Russland und Israel im Jahr 2022; den israelischen Anlagen fehlte ausreichender Firewall- oder VPN-Schutz.
Die EU-Kommission spricht von einem gezielten Versuch, die Lebensmittelversorgung zu stören, nennt aber keinen Täter. Das US-Faktenblatt nennt weder Täter noch Hersteller. Der Kreml weist jede Beteiligung als absurd zurück.
Für die Abwehr ist die Täterfrage zweitrangig. Ob staatlich gelenkt, Hacktivisten oder Nachahmer: Alle nutzen dieselbe Lücke, nämlich erreichbare Steuerungen mit schwachen Zugängen. Wer diese Lücke schließt, ist gegen alle Varianten gewappnet. Bekennungen solcher Gruppen sollten Sie nicht ungeprüft übernehmen; US- und europäische Behörden warnen ausdrücklich vor übertriebenen oder falschen Angaben.
Die NIS-2-Richtlinie erfasst nicht jeden Betreiber einer Kühltheke, wohl aber große Teile der Kühlkette. Maßgeblich sind Tätigkeit und Größe: in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. In Deutschland gilt NIS2 seit dem 6. Dezember 2025 über das neue BSI-Gesetz.
| Bereich | Wer in der Kühlkette | NIS2 | Hinweis |
|---|---|---|---|
| Lebensmittel: Großhandel und Industrie | Großhändler, Hersteller und Verarbeiter von Lebensmitteln | erfasst | Erfasst als wichtige Einrichtung ab mittlerer Größe. Ob Zentrallager von Handelsketten als Großhandel gelten, ist nicht eindeutig. |
| Lebensmittel: Einzelhandel | Supermärkte, Filialen, Metzgereien | nicht direkt | Einzelhandel, Lagerung und Transport sind nicht erfasst. In Deutschland können große Händler über die KRITIS-Schwellen dennoch besonders wichtige Einrichtungen sein. |
| Gesundheit | Krankenhäuser, Labore, Arzneimittelhersteller | erfasst | Erfasst ab mittlerer Größe, große Einrichtungen in der strengeren Kategorie. Blutspendedienste nennt NIS2 nicht ausdrücklich; in Deutschland sind große über die KRITIS-Schwellen erfasst. |
| Hersteller von Kälte- und Steuerungstechnik | Maschinenbau, Elektrotechnik, Elektronik | erfasst | Erfasst als wichtige Einrichtung ab mittlerer Größe. Reine Installations- und Servicebetriebe sind als solche nicht erfasst. |
| Fernwartung und Fernüberwachung | Anbieter, die Systeme ihrer Kunden aus der Ferne verwalten | teilweise | Als Managed Service Provider können sie erfasst sein, wenn sie Netz- und Informationssysteme ihrer Kunden verwalten oder warten, auch aus der Ferne. Für die Fernüberwachung von Kälteanlagen ist das bislang nicht geklärt. |
| Transport und Logistik | Kühltransporte auf der Straße | nicht direkt | Straßengüterverkehr ist kein NIS2-Sektor, Güterverkehr per Bahn, Schiff oder Flugzeug dagegen schon. Kritische Lebensmittellogistik kann zudem über die Regeln zur Resilienz kritischer Einrichtungen erfasst sein. |
Vereinfachte Darstellung, keine Rechtsberatung. Ob ein Unternehmen erfasst ist, hängt von Tätigkeit, Größe und nationalem Recht ab. Auch nicht erfasste Unternehmen sind mittelbar betroffen, wenn ihre Kunden NIS2-pflichtig sind und Sicherheitsanforderungen an ihre Lieferanten weitergeben.
Kühlsteuerungen, Gebäudeleittechnik und Fernwartungszugänge gehören ins Asset-Inventar und in die Risikoanalyse, nicht nur Server und Arbeitsplätze.
Standardpasswörter ersetzen, Konten personalisieren, Fernzugriffe mit Multi-Faktor-Authentisierung absichern.
Firmware aktuell halten, Herstellerhinweise verfolgen, Geräte ohne Support ersetzen oder abschotten.
Steuerungen nicht direkt ans Internet; Zugriff nur über abgesicherte Fernwartung und getrennte Netzzonen.
Temperatur- und Konfigurationsänderungen überwachen, Alarme auch nachts an eine Bereitschaft leiten, Vorfälle geordnet bewältigen.
Erhebliche Sicherheitsvorfälle melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht einen Monat danach.
Ersatzkühlung, manuelle Übersteuerung und Warenschutz für den Ernstfall planen und üben.
Sicherheitsanforderungen an Hersteller, Kälteanlagenbauer und Fernwartungsdienstleister festlegen, vertraglich absichern und prüfen.
Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; bei schuldhaften Pflichtverletzungen haftet sie. Bußgelder reichen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent, jeweils je nachdem, welcher Betrag höher ist.
Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Das BSI rechnet mit rund 29.500 betroffenen Einrichtungen, bis Ende September 2026 hatten sich gut 20.000 registriert. Große Handels- und Logistikunternehmen sowie Blutspendedienste können über die KRITIS-Schwellen besonders wichtige Einrichtungen sein.
Die Schweiz ist nicht an NIS2 gebunden. Betreiber kritischer Infrastrukturen müssen Cyberangriffe auf ihre eigenen Systeme aber seit dem 1. April 2025 binnen 24 Stunden nach Entdeckung dem BACS melden und fehlende Angaben binnen 14 Tagen nachreichen, darunter Spitäler, Versorger mit unentbehrlichen Gütern des täglichen Bedarfs und Hersteller von Fernwartungs- und OT-Produkten. Kleinere Versorger sind ausgenommen, freiwillige Meldungen ausdrücklich erwünscht. Wer in die EU liefert, unterliegt als Hersteller bereits den Meldepflichten des CRA; ein eigenes Schweizer Cybersicherheitsgesetz ist in Vorbereitung.
Österreich setzt NIS2 mit dem NISG 2026 um, das seit dem 1. Oktober 2026 gilt; die Erstregistrierung läuft bis zum 1. Januar 2027. Laut Wirtschaftskammer sind rund 4.000 Unternehmen betroffen. CERT.at fand im Oktober nur vier offen erreichbare Kühlanlagen-Oberflächen.
Der Cyber Resilience Act regelt die Cybersicherheit von Produkten mit digitalen Elementen. In ihren FAQ nennen die Dienststellen der EU-Kommission als Beispiele ausdrücklich auch smarte Kühlgeräte, industrielle IoT-Geräte und Maschinen. Der CRA verpflichtet Hersteller, Importeure und Händler, nicht die Betreiber. Kühlsteuerungen fallen voraussichtlich in die Standardkategorie, in der Hersteller die Konformität selbst bewerten dürfen. Nach Einschätzung des BSI waren die Zugänge der betroffenen Steuerungen nach aktuellem Kenntnisstand offenbar schon bei Auslieferung unzureichend gesichert; das sollte künftig idealerweise bei der Konformitätsbewertung auffallen.
Die Verordnung ist in Kraft getreten, ihre Pflichten greifen gestaffelt.
Die Regeln für die Notifizierung der Konformitätsbewertungsstellen gelten.
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden und betroffene Nutzer informieren, auch für ältere Produkte und über das Supportende hinaus.
Alle grundlegenden Anforderungen gelten für jedes ab dann in Verkehr gebrachte Produkt, auch wenn das Modell älter ist. Ab dann drohen Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Herstellerpflichten treffen nicht nur Steuerungshersteller. Wer Komponenten zu einem neuen vernetzten Produkt zusammenbaut und in Verkehr bringt, ein Produkt unter eigenem Namen vertreibt oder es wesentlich verändert, gilt nach dem CRA selbst als Hersteller. Kälteanlagenbauer und Hersteller von Kühlmöbeln sollten ihre Rolle deshalb klären.
Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht 14 Tage nach Bereitstellung einer Korrektur, bei Vorfällen einen Monat nach der Meldung. Die Frist läuft ab Kenntnis nach einer unverzüglichen Erstprüfung, auch auf Hinweise von Kunden, Behörden oder Medien hin. Gemeldet wird über die zentrale Meldeplattform der ENISA an das zuständige CSIRT, in Deutschland das BSI; Hersteller ohne Niederlassung in der EU, etwa aus der Schweiz, melden an das CSIRT im Land ihres Bevollmächtigten, ersatzweise ihres Einführers oder Händlers.
Sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff etwa durch Authentisierung und eine möglichst kleine Angriffsfläche. Ein ausdrückliches Verbot von Standardpasswörtern enthält der CRA nicht; Konstruktionsmängel dürfen laut den Leitlinien der EU-Kommission aber nicht dadurch ausgeglichen werden, dass Risiken auf die Nutzer abgewälzt werden.
Sicherheitsupdates ohne Verzögerung und grundsätzlich kostenlos. Der Supportzeitraum richtet sich nach der erwarteten Nutzungsdauer und beträgt mindestens fünf Jahre; sein Ende ist beim Kauf anzugeben.
Komponenten in einer Software-Stückliste dokumentieren, regelmäßig testen, Schwachstellen koordiniert offenlegen und unverzüglich beheben.
Für Geräte, die vor dem 11. Dezember 2027 in Verkehr gebracht werden, gilt nur die Meldepflicht, keine Pflicht zur Nachbesserung; das betrifft auch Geräte, die heute noch gekauft werden. Wer solche Geräte betreibt, muss das Risiko selbst beherrschen: härten, abschotten oder ersetzen.
Meldepflichtig ist eine Schwachstelle, wenn verlässliche Nachweise einer böswilligen Ausnutzung vorliegen. Schwächen bei Identifizierung und Authentisierung nennen die Erwägungsgründe der Verordnung als Beispiel; ob der Missbrauch von Standardpasswörtern im Einzelfall darunter fällt, ist rechtlich zu prüfen.
Der CRA verpflichtet Hersteller, nicht Betreiber. Für Betreiber ist er trotzdem ein Hebel: Wer Kühltechnik beschafft, kann CRA-Konformität, eine Software-Stückliste, einen festen Supportzeitraum und Zusagen zur Schwachstellenbehandlung vertraglich verlangen und deckt damit einen Teil der NIS2-Anforderungen an die Lieferkette ab.
Mehr dazuCRA-Beratung CRA-Meldepflicht CRA im Überblick
Eine Kühlanlage ist selten ein Produkt aus einer Hand. Die Steuerung stammt vom Hersteller, eingebaut und gewartet wird sie vom Kälteanlagenbauer, der sie oft dauerhaft aus der Ferne betreut. Viele betroffene Märkte waren gar nicht direkt Kunden des Herstellers, sondern der Kältefachbetriebe. Genau hier setzt NIS2 an: Erfasste Einrichtungen müssen die Sicherheitsrisiken bei direkten Lieferanten und Dienstleistern berücksichtigen.
Controller, Firmware, Weboberfläche
Planung, Errichtung, Inbetriebnahme
Service, Störungsdienst, Cloud-Portale
Markt, Lager, Klinik, Produktion
Endkunden, Behörden
Kühlräume an drei Standorten wurden über die Fernüberwachung eines Kältedienstleisters manipuliert. Der Dienstleister macht eine Komponente eines Drittanbieters verantwortlich, also ein Risiko beim Lieferanten des Lieferanten. [12]
Danfoss hatte niederländischen Kunden am 13. Oktober geraten, die Systeme vom Internet zu trennen. Nach dem Angriff in Frankreich hatten die meisten Betriebe reagiert, einige wenige nicht. Laut Hersteller hingen die getroffenen Systeme nicht in einem gesicherten Netz und nutzten ein Standardpasswort. [44]
Betroffene Märkte waren laut Coopérative U keine Danfoss-Direktkunden, sondern Kunden von Kältefachbetrieben, die das System geliefert hatten. Wartung und Fernzugriff liegen in solchen Fällen oft bei Dritten, die Ersatzentscheidung häufig beim einzelnen Markt. [45]
Bei einem AWO-Supermarkt in Wetter-Volmarstein richtete sich der Angriff laut dpa gegen die Firma, die die Kühlanlagen aus der Ferne wartet. In Lilienthal bei Bremen musste ein betroffener Markt Waren im Wert von über 360.000 Euro wegwerfen. [13]
NIS2 verlangt ausdrücklich Maßnahmen für die Sicherheit der Lieferkette, einschließlich der Beziehungen zu direkten Anbietern und Dienstleistern. Zu berücksichtigen sind die Schwachstellen jedes direkten Anbieters, die Qualität seiner Produkte und seine Sicherheitspraktiken. Wer OT-Systeme ohne ausreichenden Schutz offen aus dem Internet erreichbar macht, handelt laut BSI grundsätzlich pflichtwidrig; das BSI empfiehlt Betreibern, Maßnahmen bei Integratoren und Dienstleistern aktiv einzufordern.
Mehr dazuLieferkettensicherheit im Überblick Lieferantenmanagement OT- und Industriesicherheit
Beantworten Sie die Fragen für Ihre Standorte. Die Auswertung läuft nur in Ihrem Browser und ersetzt keine Prüfung, zeigt aber, wo Sie zuerst ansetzen sollten.
Beantwortet: 0 von 6 Fragen. Die Auswertung erscheint, sobald alle Fragen beantwortet sind.
Ihre Antworten werden weder gespeichert noch übertragen.
Die Schritte bündeln die Empfehlungen der US-Behörden, der CERT-FR, des BSI und des BACS und ergänzen sie um unsere Erfahrung aus OT-Prüfungen und GRC-Projekten.
Wurden Ihre Kühlanlagen manipuliert: Fernzugriff trennen, Zustand und Zeitpunkte mit Bildschirmfotos dokumentieren, Produkttemperaturen direkt messen und die Ware bewerten, Sollwerte aus einer gesicherten Konfiguration wiederherstellen und das Gerät erst nach der Härtung wieder anbinden; ein Zurücksetzen auf Werkseinstellungen allein genügt nicht. Prüfen Sie Meldepflichten, etwa nach NIS2 gegenüber dem BSI oder in der Schweiz gegenüber dem BACS, erstatten Sie Anzeige, in Deutschland bei der Zentralen Ansprechstelle Cybercrime der Polizei Ihres Landes, und informieren Sie früh Ihren Versicherer. Unser CSIRT unterstützt Sie rund um die Uhr.
Die Angriffe zeigen, woran es hakt: Kühltechnik fehlt oft im Inventar, in der Lieferantensteuerung und in der Außensicht. VamiGRC verankert NIS2 und CRA im laufenden Betrieb, VamiAppSec unterstützt Hersteller bei Software- und Produktsicherheit, VamiRedteam behält Ihre autorisierte Angriffsfläche rund um die Uhr im Blick.
Agentische GRC-PlattformVamiGRC ist die agentische GRC-Plattform der VamiSec. Betreiber setzen damit NIS2 um und behalten ihre Lieferanten im Blick, Hersteller steuern ihre CRA-Pflichten – beide auf denselben Assets, Lieferanten und Nachweisen. KI-Agenten erledigen die Routine nach Ihren Freigaberegeln, Ihr Team entscheidet.
VamiGRC ist ein agentisches integriertes Managementsystem für Hersteller und Betreiber: NIS2 fürs Unternehmen und CRA für Ihre Produkte in einem System. ISMS, PIMS, AIMS, CSMS und BCMS nutzen auf einem GRC-Graphen dieselben Assets, Lieferanten, Risiken und Nachweise; Risiken und Maßnahmen werden in Euro bewertet. KI-Agenten erledigen die Routine nach Ihren Freigaberegeln.
Bis zum Go-live kostenlos: ein Monat Proof of Value mit Demodaten oder Ihren echten Daten, nach verbindlicher Bestellung die begleitete Implementierung – die Lizenz läuft erst ab dem Go-live. Alle Pakete enthalten unbegrenzte Benutzerkonten.
Für Hersteller von Steuerungen, Firmware und vernetzter Kältetechnik: VamiAppSec bringt die Sicherheitsprüfungen in die CI/CD-Pipeline, die Sie bereits nutzen, und macht die Schwachstellenbehandlung nach dem CRA handhabbar. Das Sprachmodell unterstützt, die Entscheidungen trifft Ihr Team.
Für Betreiber: Der Kern-Use-Case von VamiRedteam ist das 24/7 Zero-Day Vulnerability Management. Drei KI-Agenten überwachen Ihre autorisierte Angriffsfläche rund um die Uhr, gleichen neu bekannt gewordene Schwachstellen damit ab und prüfen, was tatsächlich ausnutzbar ist. So fallen offen erreichbare Systeme und neue Lücken zeitnah auf und nicht erst beim nächsten Pentest.
Ob Außensicht auf Ihre Kühltechnik, NIS2-Einordnung, CRA-Fahrplan oder Lieferantensteuerung: Valeri Milke und das VamiSec-Team helfen Ihnen, aus diesem Lagebild konkrete nächste Schritte abzuleiten.
„IT-Sicherheit und Compliance ohne KI ist eine Schwachstelle.“
In der Nacht auf den 12. Oktober 2026 manipulierten Unbekannte die Kühlsteuerungen Hunderter französischer Supermärkte, die Regierung nannte rund 700 Märkte. In der Nacht auf den 2. November folgte eine zweite Welle mit mehr als 100 betroffenen Geschäften in mehr als einem Dutzend europäischer Länder, darunter Deutschland und die Schweiz. Kühlstellen wurden in den Abtau-Modus versetzt und Sollwerte hochgesetzt, Ware verdarb.
Nach bisherigem Stand über Steuerungen, die direkt aus dem Internet erreichbar waren, vor allem Danfoss-Systemmanager der Serien AK-SM und AK-SC sowie Copeland- und Dixell-XWEB-Supervisoren. In mehreren Fällen belegt sind unveränderte Standardpasswörter; bei veralteter Firmware kommen bekannte Lücken infrage. Schadsoftware wurde nicht eingesetzt.
Das ist offen. Ein Kanal der prorussischen Gruppe NoName057(16) hat die Angriffe gemeinsam mit Z-Pentest reklamiert, Belege dafür gibt es nicht. Keine Regierung und keine Behörde hat einen Täter benannt, der Kreml dementiert.
Ja. In Deutschland ermittelt die Polizei in mehreren Fällen, unter anderem in Nordrhein-Westfalen, Niedersachsen, Bayern und Rheinland-Pfalz; das BSI hat Vorfälle bei einzelnen Supermärkten bestätigt. In der Schweiz traf es eine Metzgerei in Köniz und drei Volg-Filialen.
Der reine Lebensmitteleinzelhandel nicht. NIS2 erfasst im Lebensmittelsektor den Großhandel sowie die industrielle Herstellung und Verarbeitung, außerdem das Gesundheitswesen und viele Industriezweige, darunter Hersteller von Kälte- und Steuerungstechnik. In Deutschland können große Handelsunternehmen über die KRITIS-Schwellen dennoch erfasst sein.
Der CRA verpflichtet Hersteller vernetzter Produkte, also auch von Kühlsteuerungen, zu sicherer Standardkonfiguration, Schutz vor unbefugtem Zugriff, Sicherheitsupdates über den Supportzeitraum und einem geordneten Schwachstellenmanagement. Diese Anforderungen gelten ab dem 11. Dezember 2027. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten schon seit dem 11. September 2026, auch für ältere Produkte.
Nach dem CRA müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht 14 Tage nach Bereitstellung einer Korrektur, bei Vorfällen einen Monat nach der Meldung. Ob der Missbrauch von Standardpasswörtern im Einzelfall als aktiv ausgenutzte Schwachstelle gilt, ist rechtlich zu prüfen.
Das hängt von Ihrer Rolle ab. NIS2-pflichtige Unternehmen in Deutschland melden erhebliche Sicherheitsvorfälle über das Meldeportal des BSI: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht einen Monat danach. Nicht erfasste Betriebe wie einzelne Supermärkte oder Metzgereien sind nicht meldepflichtig; sie können das BSI freiwillig informieren und sollten Anzeige bei der Zentralen Ansprechstelle Cybercrime der Polizei ihres Landes erstatten. In der Schweiz melden Betreiber kritischer Infrastrukturen binnen 24 Stunden an das BACS, alle anderen können freiwillig melden. Hersteller melden aktiv ausgenutzte Schwachstellen nach dem CRA über die Meldeplattform der ENISA.
Eine entscheidende. Die Steuerungen kommen vom Hersteller, Errichtung, Wartung und Fernzugriff liegen meist bei Kälteanlagenbauern und Dienstleistern. Beim französischen Blutspendedienst EFS lief der Angriff über die Fernüberwachung eines Dienstleisters. NIS2 verlangt deshalb, Lieferanten und Dienstleister in das Risikomanagement einzubeziehen.
Prüfen Sie im Router, ob Portweiterleitungen, NAT- oder UPnP-Regeln auf Steuerungen zeigen, und rufen Sie von außen, etwa per Smartphone ohne WLAN, die öffentliche IP-Adresse des Standorts auf: Dort darf keine Anmeldeseite einer Steuerung erscheinen. Ob die Adresse bei Suchdiensten wie Shodan oder Censys gelistet ist, lässt sich ebenfalls prüfen. Mobilfunkmodems im Schaltschrank haben oft eine eigene Internetanbindung; fragen Sie Ihren Kältedienstleister deshalb nach allen Fernzugängen. Prüfen Sie außerdem Passwörter, Firmware und Support-Ende und testen Sie, ob Temperaturalarme nachts eine Bereitschaft erreichen. VamiSec unterstützt mit einer Prüfung von außen und einer Bestandsaufnahme Ihrer Lieferanten.
Mit VamiGRC setzen Sie NIS2 und CRA in einem System um und steuern Ihre Lieferanten. Mit VamiAppSec verankern Hersteller Sicherheitsprüfungen in ihrer Entwicklung und bereiten CRA-Meldungen vor. Mit VamiRedteam behalten Sie Ihre autorisierte, von außen erreichbare Angriffsfläche rund um die Uhr im Blick. Dazu kommen OT- und IoT-Pentests, NIS2- und CRA-Beratung und unser CSIRT für den Ernstfall.
Die Angaben beruhen auf Veröffentlichungen von Behörden, Herstellern, Sicherheitsforschern und Medien bis zum 8. November 2026. Bekennungen und Einschätzungen sind als solche gekennzeichnet; Sollwerte sind keine gemessenen Temperaturen.
Dieses Lagebild ersetzt keine Rechtsberatung. Ob und welche Pflichten für Ihr Unternehmen gelten, hängt vom Einzelfall ab.
Vereinbaren Sie ein unverbindliches Erstgespräch: Wir klären Ihre Ausgangslage und die nächsten Schritte.
