Supermärkte und Blutbanken im Visier: IoT-Kühlsysteme als Angriffsvektor
In der Nacht zum 2. November 2026 stellten Unbekannte die Kühlanlagen eines Supermarkts im niederbayerischen Reisbach auf 50 Grad Heizen. Kurz darauf meldeten auch Märkte in Nordrhein-Westfalen, Niedersachsen und Rheinland-Pfalz manipulierte Anlagen. Allein ein Händler in Lilienthal bei Bremen musste Waren im Wert von über 360.000 Euro entsorgen. Begonnen hatten die Cyberangriffe auf IoT-Kühlsysteme Mitte Oktober in Frankreich mit Hunderten betroffenen Supermärkten. Danach folgten unter anderem Belgien, Schweden und die Niederlande (heise online).
Anfang November traf es die Gesundheitsversorgung. Beim französischen Blutspendedienst EFS manipulierten Angreifer die Plasma-Kühlräume an drei Standorten aus der Ferne. Laut der Zeitung „Le Canard Enchaîné“ sollten die Temperaturen von minus 30 auf plus 110 Grad steigen. Die Überwachungssysteme schlugen rechtzeitig Alarm, deshalb blieben alle Blutprodukte unbeschädigt (Handelsblatt).
Beide Fälle folgen demselben Muster: Angegriffen wurde Technik, die in vielen Unternehmen niemand als Sicherheitsrisiko auf dem Schirm hat.
Wie Cyberangriffe auf IoT-Kühlsysteme ablaufen
Moderne Kühlanlagen sind vernetzt. Dienstleister warten sie aus der Ferne, überwachen Temperaturen und optimieren den Energieverbrauch. Genau diese Vernetzung öffnet Angreifern die Tür. Steuerungen und webbasierte Management-Oberflächen sind häufig direkt aus dem Internet erreichbar, automatisierte Scans finden sie schnell. Nicht selten schützt sie nur ein Standardpasswort.
Hinzu kommt veraltete Technik. In Frankreich waren laut Hersteller überwiegend ältere Steuerungen betroffen, die teils keine Sicherheitsupdates mehr erhalten. Oft hängen solche Anlagen zudem im selben Netzsegment wie andere Betriebstechnik (OT) oder sogar die Unternehmens-IT. Eine kompromittierte Kühlsteuerung wird so zum Sprungbrett ins restliche Netz. Auch Zulieferer und Dienstleister vergrößern die Angriffsfläche: Bei der Blutbank lag die Schwachstelle in der Komponente eines Drittanbieters.
Auffällig ist, was die Angreifer wollten. Nach bisherigem Stand ging es weder um Daten noch um Lösegeld. Sie missbrauchten reguläre Funktionen wie Sollwerte, Abtaumodus und Heizbetrieb, um physischen Schaden anzurichten. Das BSI warnt ausdrücklich vor Nachahmern und spricht dabei auch Betreiber kleiner und kleinster industrieller Anlagen an, etwa von Kühlsystemen oder Solarwechselrichtern.
Fakten
Frankreich, Mitte Oktober 2026: Hunderte Supermärkte betroffen, Temperaturen teils bis 50 Grad
Deutschland, Anfang November 2026: Fälle in vier Bundesländern, in Lilienthal über 360.000 Euro Warenschaden
Blutspendedienst EFS, Anfang November 2026: Plasma-Kühlräume an drei Standorten manipuliert, kein Schaden an Blutprodukten
Täter und Motiv: unbekannt, die Polizei ermittelt
BSI-Empfehlung: BSI-CS 154 „Gefährdung durch internet-verbundene OT-Systeme“
Siemens Simatic IoT2050: Warum Industrie-Gateways besonders exponiert sind
Industrie-Gateways wie die Siemens-Simatic-IoT2050-Serie verbinden Produktionsanlagen mit IT- und Cloud-Infrastrukturen. Wer ein solches Gateway kontrolliert, erreicht oft auch die Systeme dahinter. Das Risiko steigt, wenn Geräte mit Werkseinstellungen in Betrieb gehen, Updates liegen bleiben oder das Gateway ohne zusätzliche Schutzschicht im Internet hängt.
Wie konkret diese Gefahr ist, zeigt eine aktuelle Schwachstelle. Im August 2026 veröffentlichte Siemens das Advisory SSA-834709 zu CVE-2026-58115 mit der höchsten Bewertung CVSS 10.0. Betroffen ist das Modell SIMATIC IoT2050 Advanced mit installiertem Node-RED, dessen Weboberfläche keine Authentifizierung erzwingt. Angreifer können dadurch ohne Login Systembefehle ausführen. Ende Oktober registrierte das Sicherheitsunternehmen VulnCheck erste Ausnutzungsversuche in seinen Honeypots (SecurityOnline). Ob reale Geräte kompromittiert wurden, ist offen. Mit den Angriffen auf Kühlanlagen steht die Lücke nach aktuellem Stand nicht in Verbindung.
Betreiber sollten die Firmware gemäß Advisory aktualisieren. Ist das nicht möglich, empfiehlt Siemens, Node-RED zu entfernen oder abzusichern und den Netzwerkzugriff einzuschränken. Aktuelle Hinweise veröffentlicht Siemens ProductCERT.
So schützen Unternehmen vernetzte Kühl- und OT-Technik
Klassische IT-Security reicht für vernetzte Infrastruktur nicht aus. Die Empfehlung BSI-CS 154 setzt an drei Stellen an, die sich auch in der Praxis bewährt haben.
Erreichbarkeit prüfen und Zugänge absichern
Am Anfang steht eine einfache Frage: Welche Steuerungen sind aus dem Internet erreichbar? Direkte Zugriffe gehören unterbunden. Fernwartung sollte nur über VPN mit Multi-Faktor-Authentifizierung laufen, Standardpasswörter haben in produktiven Anlagen nichts verloren. Geräte ohne Herstellersupport sind zu ersetzen oder vom Netz zu nehmen.
Netze trennen und Geräte kennen
Kühlsysteme, Gateways und Komponenten von Dienstleistern gehören in ein zentrales Inventar. Nur was erfasst ist, lässt sich patchen und überwachen. OT- und IoT-Systeme sollten konsequent von der Unternehmens-IT getrennt sein, damit ein kompromittiertes Gerät nicht zum Einstieg ins gesamte Netz wird.
Manipulationen früh erkennen
Der Fall EFS zeigt, dass frühe Erkennung über Schaden oder kein Schaden entscheidet. Ein Security Operations Center (SOC) erkennt ungewöhnliche Zugriffe und unplausible Sollwertänderungen in Echtzeit. Ebenso wichtig ist ein Notfallplan, der festlegt, wer bei einem Angriff auf OT-Systeme was tut und wohin kritische Güter im Ernstfall ausweichen.
Gerade mittelständische Unternehmen mit kleinen Security-Teams können eine 24/7-Überwachung selten selbst wirtschaftlich betreiben. Externe MDR- oder SOC-Dienste schließen diese Lücke.
Kühltechnik gehört auf die Sicherheitsagenda
Die Angriffe auf Supermärkte und Blutbanken zeigen, dass Angreifer gezielt nach vernetzter Technik suchen, die niemand im Blick hat. Unternehmen sollten ihre Kühlanlagen, Steuerungen und Gateways deshalb genauso behandeln wie jedes andere System im Netz: erfassen, absichern und überwachen.
FAQ
Wie finden Unternehmen heraus, ob ihre Kühlanlagen aus dem Internet erreichbar sind?
Der erste Schritt ist ein Inventar aller vernetzten Anlagen, auch derer, die ein Dienstleister betreut. Danach lässt sich von außen prüfen, welche Steuerungen und Management-Oberflächen öffentlich erreichbar sind. Suchmaschinen für vernetzte Geräte wie Shodan zeigen, was Angreifer sehen. Wer kein eigenes Security-Team hat, kann diese Prüfung extern beauftragen.
Was sollten Betreiber jetzt ihren Kältedienstleister fragen?
Vier Fragen klären viel: Ist die Steuerung direkt aus dem Internet erreichbar? Ist der Fernzugang mit einem zweiten Faktor geschützt? Erhält die Anlage noch Sicherheitsupdates? Und wer überprüft das regelmäßig? Bleibt eine Antwort offen, besteht Handlungsbedarf. Diese Fragen leiten sich aus der BSI-Empfehlung BSI-CS 154 ab.
Was tun mit älteren Anlagen, für die es keine Updates mehr gibt?
Langfristig sollten sie ersetzt werden. Bis dahin dürfen sie nicht direkt aus dem Internet erreichbar sein. Der Fernzugriff sollte nur über VPN mit Multi-Faktor-Authentifizierung laufen, und die Anlage sollte vom übrigen Netz getrennt sein. Gerade ältere Geräte brauchen eine engmaschige Überwachung, weil sich bekannte Schwachstellen bei ihnen nicht mehr schließen lassen.
Woran lässt sich eine Manipulation erkennen?
Typische Warnzeichen sind Sollwertänderungen ohne Auftrag, Logins außerhalb der Wartungsfenster und ungewöhnliche Verbindungen zur Steuerung. Temperaturalarme sollten so eingerichtet sein, dass sie auch dann auslösen, wenn jemand die Anlage absichtlich verstellt. Im Idealfall laufen sie über einen unabhängigen Kanal. Beim Blutspendedienst EFS hat genau diese Überwachung den Schaden verhindert.
Was ist im Ernstfall zu tun?
Zuerst den Fernzugriff trennen, die Anlage auf Handbetrieb umstellen und gefährdete Ware sichern oder auslagern. Anschließend Einstellungen und Protokolle sichern, bevor jemand etwas zurücksetzt. Danach Anzeige bei der Polizei erstatten. Für Unternehmen, die unter NIS2 fallen, können zusätzlich Meldepflichten gelten.