Die Warnung kam drei Wochen vorher: Was die Kühlanlagen-Angriffe in Deutschland über Zuständigkeiten lehren

Am 13. Oktober 2026, einen Tag nach den Angriffen auf französische Supermärkte, warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI): „Dieser Angriff hätte jedes Land treffen können und kann auch jetzt jederzeit Nachahmer finden.“ Knapp drei Wochen später, in der Nacht zum 2. November, war es so weit. In Niederbayern, Niedersachsen, Nordrhein-Westfalen und der Westpfalz liefen Kühltheken, Kühlhäuser und Tiefkühltruhen plötzlich warm.

Über den ersten Angriff in Frankreich haben wir in Wenn die Kühlung heizt berichtet. Dieser Beitrag knüpft daran an. Die neue Lehre ist unbequemer als die erste: Die Warnung war da. Sie ist nur nicht überall angekommen, wo sie hätte ankommen müssen.

Was seit Anfang November bekannt ist

Die Lage ist weiter in Bewegung. Die folgenden Punkte stützen sich auf Medienberichte vom 2. und 3. November 2026.

Zweite Welle in Europa: In der Nacht zum 2. November meldeten Supermärkte in Belgien, Schweden, Luxemburg, Irland, Estland, Finnland und den Niederlanden manipulierte Kühlanlagen. In der Schweiz bestätigte Coop Angriffsversuche, die nach eigenen Angaben erfolglos blieben.
Deutschland: In einem Edeka-Markt in Reisbach (Niederbayern) standen die Anlagen auf 50 Grad. In einem Supermarkt in Lilienthal bei Bremen fielen Bedientheken, Kühlhäuser und Tiefkühltruhen aus; der Inhaber beziffert den Warenverlust auf über 360.000 Euro. Betroffen waren auch ein Markt der Arbeiterwohlfahrt in Wetter-Volmarstein, eine Filiale in Wuppertal, ein Rewe-Markt in Raesfeld sowie ein Supermarkt und ein lebensmittelverarbeitender Betrieb in den Landkreisen Kaiserslautern und Kusel.
Weg des Angriffs: In Wetter-Volmarstein richtete sich der Angriff nach Angaben des Betreibers gegen die Firma, die die Anlagen aus der Ferne wartet. Betroffen waren vor allem Steuerungen des dänischen Herstellers Danfoss. Für viele ältere Modelle gibt es laut Danfoss keine Updates mehr; bei neueren seien verfügbare Updates teilweise nicht installiert worden.
Bekannte Schwachstellen: Sicherheitslücken in einer verbreiteten Danfoss-Steuerung waren bereits 2025 veröffentlicht und mit Updates geschlossen worden. Ob genau diese Lücken genutzt wurden, ist nicht bestätigt.
Täter: unbekannt; bekannt hat sich niemand. EU-Agrarkommissar Christophe Hansen spricht von einem bewussten Versuch, die Lebensmittelkette zu stören. Die Lebensmittelsicherheit sei derzeit nicht gefährdet.

Noch offen: wie viele Märkte in Deutschland insgesamt betroffen sind, wie hoch der Schaden ist und ob die Fälle in den einzelnen Ländern zusammenhängen.

Die eigentliche Lehre: Eine Warnung braucht einen Empfänger

Das BSI hatte nicht nur gewarnt, sondern auch gesagt, was zu tun ist: keine direkten Zugriffe aus dem Internet auf Steuerungsanlagen, Fernwartung nur über geschützte Zugänge mit Mehrfaktor-Authentifizierung, Sicherheitsupdates zeitnah einspielen. BSI-Präsidentin Claudia Plattner nannte die nötigen Schutzmaßnahmen einfach umzusetzen.

Warum wurden sie dann nicht überall umgesetzt? Mehrere der betroffenen Märkte in Deutschland sind inhabergeführt. Eine eigene IT-Abteilung gibt es dort selten, die Kühltechnik betreut ein Dienstleister aus der Ferne. In diesem Gefüge landet eine Warnung leicht bei niemandem:

Der Inhaber liest sie nicht, weil er die Kühlung für ein Thema des Dienstleisters hält.
Der Dienstleister handelt nicht, weil ihn niemand beauftragt – und für Altgeräte ohne Updates gibt es ohnehin keine schnelle Lösung.
Der Hersteller hat sein Update bereitgestellt und sieht die Installation beim Kunden.

Jeder in dieser Kette handelt aus seiner Sicht nachvollziehbar. Zusammen ergibt das drei Wochen, in denen nichts passiert. Das ist kein Technikproblem. Es ist eine ungeklärte Zuständigkeit.

Was jetzt zu tun ist

Ob die Angriffe weitergehen, weiß niemand. Wer vernetzte Kühlung, Lüftung, Zutrittskontrolle oder Produktionsanlagen betreibt, sollte nicht auf die nächste Meldung warten.

1. Heute: den Dienstleister anrufen

Stellen Sie Ihrem Wartungsdienstleister drei Fragen und lassen Sie sich die Antworten schriftlich geben: Ist unsere Steuerung direkt aus dem Internet erreichbar? Läuft sie auf einem Stand, für den es noch Sicherheitsupdates gibt? Wie ist der Fernzugang geschützt, und wer außer Ihnen hat ihn?

2. Eine Stelle benennen, die Warnungen liest

Jemand in Ihrem Betrieb muss Warnungen des BSI, des Herstellers oder des Branchenverbands lesen und daraus einen Auftrag machen. Das kann die Inhaberin sein, die Haustechnik oder ein externer Partner. Entscheidend ist, dass es eine benannte Person ist und nicht „alle“.

3. Eine Temperaturwarnung, die nicht an der Steuerung hängt

Eine manipulierte Steuerung meldet sich nicht selbst als manipuliert. Unabhängige Temperaturfühler mit eigener Alarmierung, etwa per SMS an eine Rufbereitschaft, zeigen in der Nacht, was die Anlage verschweigt. In Frankreich konnten später betroffene Filialen einen Teil ihrer Ware retten – jede gewonnene Stunde zählt.

4. Entscheiden, bevor es ernst wird

Wer darf nachts die Fernwartung trennen oder eine Anlage auf Handbetrieb schalten? Wer ruft die Versicherung an, wer die Polizei, wer informiert Kunden und Lieferanten? Solche Eskalationswege lassen sich in einer Stunde klären – heute, nicht um halb zwei in der Nacht.

5. Prüfen, ob es trägt

Ob Zuständigkeiten und Abläufe im Ernstfall funktionieren, zeigt erst die Übung. In einer TacEval spielen wir genau dieses Szenario mit Ihrem Team durch: Die Warnung liegt vor, der Dienstleister ist kompromittiert, die Kühlung heizt.

Fragen, die Sie sich jetzt stellen sollten

Wer in Ihrem Betrieb hat die BSI-Warnung vom 13. Oktober gelesen?
Was ist daraufhin passiert?
Wissen Sie, ob Ihre Anlagen aus dem Internet erreichbar sind – oder vermuten Sie es nur?
Erhalten Ihre Steuerungen noch Sicherheitsupdates, oder sind sie bereits abgekündigt?
Wer entscheidet nachts, die Verbindung zu trennen?

Fazit

Im Oktober konnte man noch sagen, der Angriff sei überraschend gekommen. Im November gilt das nicht mehr: Warnung und Gegenmaßnahmen waren öffentlich bekannt. Geschützt haben sie dort, wo jemand zuständig war, sie zu lesen und umzusetzen. Diese Zuständigkeit festzulegen, kostet kein Budget, sondern eine Entscheidung.

Wenn Sie wissen möchten, wo Ihr Betrieb steht, sprechen Sie uns an: Vertrauliches Erstgespräch.