OT-Sicherheit im Mittelstand: Fernzugriff auf Steuerungen absichern – Lehren aus dem Angriff auf Supermarkt-Kühlanlagen

In der Nacht zum 12. Oktober 2026 haben Angreifer in Frankreich die Kühlsteuerungen mehrerer hundert Supermärkte manipuliert. Einen Tag später hat das BSI eine Cybersicherheitsempfehlung zu internetverbundenen OT-Systemen veröffentlicht – ausdrücklich auch für Betreiber kleiner Anlagen. Wer im Mittelstand Kälte-, Gebäude-, Produktions- oder Energietechnik mit Fernwartung betreibt, sollte jetzt prüfen, was davon aus dem Internet erreichbar ist.

Was in Frankreich passiert ist

Betroffen waren Kälteanlagen-Steuerungen der Baureihen AK-SM und AK-SC des Herstellers Danfoss. Nach Berichten von Elektronikpraxis und Borns IT-Blog setzten die Angreifer per Fernzugriff die Solltemperaturen auf bis zu 50 °C und lösten dauerhafte Abtauzyklen aus. Tiefkühltruhen erreichten Temperaturen über 25 °C, Ware musste entsorgt werden. Genannt werden rund 150 betroffene Märkte bei Les Mousquetaires (Intermarché, Netto) und rund 80 Standorte bei Carrefour; der Schaden wird auf mehrere Millionen Euro geschätzt. Die Pariser Staatsanwaltschaft ermittelt, die französische Cybersicherheitsbehörde ANSSI hat zahlreiche Kompromittierungen bestätigt.

Welche Schwachstelle genau ausgenutzt wurde, ist bislang nicht abschließend geklärt. Fest steht nach den bisherigen Berichten zweierlei: Viele Steuerungen liefen mit veralteter Firmware, und ihre Weboberflächen waren aus dem Internet erreichbar. Für die AK-SM-Reihe sind seit 2025 Schwachstellen bekannt, darunter eine Umgehung der Authentifizierung (CVE-2025-41450, betroffen sind Versionen vor 4.2).

Warum das KMU in Deutschland direkt betrifft

Operational Technology (OT) steckt in mehr Betrieben, als die IT-Abteilung auf dem Schirm hat: Kühl- und Klimatechnik, Gebäudeleittechnik, Zutrittssysteme, Photovoltaik-Wechselrichter, Blockheizkraftwerke, Maschinensteuerungen in der Fertigung. Diese Systeme werden oft über Jahre nicht aktualisiert, sind für Fernwartung „mal eben“ ans Netz gebracht worden und tauchen in keinem Asset-Verzeichnis auf.

Das BSI richtet seine Empfehlung BSI-CS 154 „Gefährdung durch internet-verbundene OT-Systeme“ deshalb ausdrücklich an Betreiber kleiner industrieller oder vergleichbarer Anlagen – als Beispiele nennt es die Kühlung von Lebensmitteln, Stromerzeugung und Wasseraufbereitung. Entscheidend ist dabei nicht die Technik, sondern die Frage, ob eine Steuerung direkt aus dem Internet erreichbar ist.

NIS2: OT gehört zum Pflichtumfang

Für Unternehmen, die unter NIS2 fallen, ist das keine Kür. Die Risikomanagementmaßnahmen nach § 30 BSIG gelten für alle informationstechnischen Systeme, die für die Erbringung der Dienste genutzt werden – OT eingeschlossen. Konkret berührt der Vorfall gleich mehrere Pflichtpunkte: die Sicherheit der Lieferkette (der Wartungsdienstleister), die Behandlung und Offenlegung von Schwachstellen, die Verwendung von Multi-Faktor-Authentisierung sowie die Bewertung der Wirksamkeit der getroffenen Maßnahmen. Wer eine ISO 27001 betreibt, findet die entsprechenden Anforderungen in den Annex-A-Controls zu Lieferantenbeziehungen, technischem Schwachstellenmanagement und Netzwerksicherheit.

Was das BSI empfiehlt

Die Empfehlungen des BSI sind bewusst einfach gehalten – und gerade deshalb in vielen Betrieben nicht umgesetzt:

• Direkten Internetzugriff unterbinden: Prüfen, ob Geräte oder Anlagen aus dem Internet erreichbar sind, und diesen Zugriff sperren.
• Fernzugriff nur über VPN: Zugriffe auf das Anlagennetz ausschließlich über einen verschlüsselten VPN-Tunnel.
• Multi-Faktor-Authentisierung: Ein gestohlenes oder erratenes Passwort darf allein nicht reichen.
• Sicherheitsupdates zeitnah einspielen: Firmware-Updates der Steuerungen gehören in den regulären Patch-Prozess.
• Prüfung zur Routine machen: Erreichbarkeit und Schutzmaßnahmen regelmäßig kontrollieren, nicht einmalig.

Das französische CERT-FR ergänzt für bereits kompromittierte Systeme: Netzwerkzugriff auf autorisierte Dienstleister beschränken, Steuerungen auf Werkseinstellungen zurücksetzen und vollständig neu konfigurieren, verfügbare Updates installieren, alle Benutzerkonten prüfen und Zugangsdaten erneuern.

Fünf Schritte für IT-Leiter und Geschäftsführer

1. Inventar: Welche OT-Systeme gibt es überhaupt?

Fragen Sie Haustechnik, Produktion und Facility Management – nicht nur die IT. Erfassen Sie Hersteller, Modell, Firmware-Stand, Standort und vor allem: Wer hat Fernzugriff, und über welchen Weg (Firmen-Internet, eigener LTE-Router, Hersteller-Cloud)?

2. Außensicht prüfen

Was aus dem Internet erreichbar ist, findet ein Angreifer per Suchmaschine für vernetzte Geräte in Minuten. Ein externer Schwachstellenscan Ihrer öffentlichen IP-Adressen zeigt offene Weboberflächen, Fernwartungsports und veraltete Dienste. Mobilfunk-Router von Dienstleistern laufen allerdings oft über fremde IP-Adressen – die lassen sich nur über das Inventar aus Schritt 1 finden. Mehr dazu im Beitrag zum Angriffsflächen-Management.

3. Fernwartung neu regeln

Ein zentraler, protokollierter Zugang über VPN mit MFA, der nur bei Bedarf freigeschaltet wird, ersetzt Dauerverbindungen und Router in der Schaltschrank-Ecke. Persönliche Konten statt Sammelzugänge, keine Standard- oder abgeleiteten Passwörter.

4. Dienstleister vertraglich einbinden

Halten Sie im Wartungsvertrag fest, wie der Dienstleister zugreift, wie er Zugangsdaten schützt, wann er Firmware-Updates einspielt und wie schnell er Sicherheitsvorfälle meldet. Das ist zugleich ein Baustein Ihrer Lieferketten-Sicherheit nach NIS2.

5. OT vom Büronetz trennen

Steuerungen gehören in ein eigenes Netzsegment, das weder aus dem Internet noch aus dem Büro-Netz frei erreichbar ist. Wie das in KMU praktikabel gelingt, beschreibt unser Beitrag zur Netzwerksegmentierung. Und für den Ernstfall: Klären Sie vorab, wie die Anlage im Handbetrieb weiterläuft – in Frankreich war genau das die Sofortmaßnahme.

Fazit

Der Angriff auf die französischen Kühlanlagen war technisch kein Meisterstück. Er hat funktioniert, weil Steuerungen mit alter Firmware offen im Internet standen und niemand im Unternehmen dafür zuständig war. Das lässt sich mit überschaubarem Aufwand ändern: Inventar, Außensicht, sauber geregelte Fernwartung. Für NIS2-pflichtige Unternehmen ist es ohnehin Teil des Pflichtprogramms – für alle anderen ist es schlicht günstiger als eine Nacht ohne Kontrolle über die eigene Technik.

Quellen: BSI, Cybersicherheitsempfehlung BSI-CS 154 vom 13.10.2026 (Allianz für Cyber-Sicherheit); Solarserver, 14.10.2026; Elektronikpraxis; Borns IT- und Windows-Blog, 13.10.2026 (u. a. mit Verweis auf LeMagIT und CERT-FR, Hinweis CERTFR-2026-ALE-012). Stand der Ermittlungen: 15.10.2026. Dieser Beitrag ersetzt keine Rechtsberatung.

Weiterlesen