OT-Sicherheit: Was die Angriffe auf Supermarkt-Kühlanlagen für Ihr ISMS bedeuten

Das Wichtigste in Kürze

• Seit Oktober 2026 manipulieren Angreifer über das Internet erreichbare Steuerungen von Supermarkt-Kühlanlagen. In Frankreich zählte die Pariser Staatsanwaltschaft rund 700 Betroffene, am 2. November 2026 folgten Filialen in Belgien, Luxemburg, Schweden und Estland.
• Die französische Behörde CERT-FR nennt die Gerätereihen Danfoss AK-SM und AK-SC sowie Copeland xweb und Dixell xweb. Laut Danfoss und Copeland handelt es sich überwiegend um abgekündigte Geräte, die keine Sicherheitsupdates mehr erhalten.
• OT-Sicherheit scheitert selten an der Technik allein: Steuerungen, die ein Dienstleister aus der Ferne wartet, fehlen in vielen Unternehmen sowohl im Asset-Inventar als auch in der Lieferantenbewertung.
• ISO 27001 deckt OT nur ab, wenn die Anlagen im Anwendungsbereich des ISMS liegen. Einschlägig sind unter anderem die Controls A.5.9 (Inventar), A.5.19 (Lieferantenbeziehungen), A.8.8 (technische Schwachstellen) und A.8.22 (Trennung von Netzwerken).
• Unter NIS2 betreffen solche Anlagen vier der zehn Maßnahmen aus § 30 Abs. 2 BSIG. Der reine Lebensmitteleinzelhandel ist in Anhang II der NIS-2-Richtlinie nicht genannt, Großhandel und industrielle Lebensmittelproduktion sind es.

‍

Die Angriffe auf Supermarkt-Kühlanlagen im Oktober und November 2026 zeigen, dass OT-Sicherheit auch Unternehmen betrifft, die sich nie als Industriebetrieb gesehen haben. Angreifer schalteten Kühl- und Tiefkühlmöbel aus der Ferne in den Abtaumodus und ließen sie bei bis zu 50 °C laufen. Die Ware verdarb, in Frankreich kam es laut Pariser Staatsanwaltschaft auch zu Bränden.

Wer hinter den Angriffen steht, ist bisher nicht bekannt. Für Ihr eigenes Risikomanagement ist das zweitrangig. Entscheidend ist, wie die Angreifer an die Anlagen kamen, und dieses Muster findet sich in fast jedem Unternehmen mit vernetzter Gebäude- oder Produktionstechnik.

Was ist bei den Angriffen auf die Kühlanlagen passiert?

Die Angreifer nutzten Fernsteuerungen von Kälteanlagen, deren Verwaltungsoberfläche direkt aus dem Internet erreichbar war. Über diese Oberfläche setzten sie die Anlagen in einen dauerhaften Abtaumodus.

Die erste Welle traf Mitte Oktober 2026 Hunderte Supermärkte in Frankreich, darunter Filialen von Intermarché, Carrefour und Coopérative U. Die Pariser Staatsanwaltschaft hat Ermittlungen aufgenommen und spricht von rund 700 Betroffenen. Am 12. Oktober veröffentlichte CERT-FR, das nationale Computer-Notfallteam Frankreichs, eine Warnung zu den kompromittierten Steuerungen. Sie nennt die Reihen Danfoss AK-SM und AK-SC sowie Copeland xweb und Dixell xweb und hält fest, dass eine im Internet erreichbare Verwaltungsoberfläche den gängigen Sicherheitsempfehlungen widerspricht.

Wie groß die Angriffsfläche war, deutet eine Zählung des französischen Sicherheitsforschers Baptiste Robert an: Er fand am 12. Oktober 2.752 über das Internet erreichbare Danfoss-Systeme, davon 1.590 in Frankreich.

In der Nacht zum 2. November 2026 folgte eine zweite Welle. Ahold Delhaize und Colruyt meldeten laut Reuters einen IT-Vorfall, der Kühlmöbel in Dutzenden Filialen in Belgien und Luxemburg betraf. In Schweden waren Filialen von ICA und Coop betroffen, außerdem eine Supermarktkette in Estland. Medien berichten zudem von Fällen in den Niederlanden und Irland. Ob dieselben Täter hinter beiden Wellen stehen, ist offen.

Danfoss und Copeland erklärten nach der ersten Welle, die betroffenen Geräte seien überwiegend abgekündigte Produkte ohne Sicherheitsupdates. Der belgische Kältedienstleister Sabcobel, der die Anlagen von Delhaize betreut, sagte, die Geräte bräuchten physische Umbauten. Ein Software-Update allein reicht nicht.

Was ist OT-Sicherheit und warum fehlt sie so oft im ISMS?

OT-Sicherheit (Operational Technology Security) schützt die Systeme, die physische Prozesse steuern: Kälte- und Klimaanlagen, Gebäudeleittechnik, Produktionsmaschinen, Zutrittssysteme. Anders als in der klassischen IT geht es dabei nicht nur um Daten. Fällt eine OT-Anlage aus oder wird sie manipuliert, verdirbt Ware, steht eine Linie still oder entsteht eine Gefahr für Menschen.

Ein verbreiteter Irrtum ist, dass die Kühlanlage zur Haustechnik gehört und damit nicht ins ISMS. Genau diese Trennung haben die Angreifer ausgenutzt. In vielen Unternehmen fallen vernetzte Anlagen durch drei Raster:

1. Kein Eintrag im Inventar. Die IT führt Laptops, Server und Cloud-Dienste, die Steuerung im Kühlraum taucht in keiner Liste auf.
2. Keine klare Zuständigkeit. Der Facility-Bereich verantwortet die Anlage, die IT das Netz. Für den Fernzugang des Dienstleisters fühlt sich niemand zuständig.
3. Kein Eintrag in der Lieferantenbewertung. Der Kältedienstleister hat einen Wartungsvertrag, aber keine Vereinbarung dazu, wie er auf die Anlage zugreift und wie er Vorfälle meldet.

Hinzu kommt die Lebensdauer: OT-Anlagen laufen oft deutlich länger als ein Laptop oder Server und bleiben in Betrieb, nachdem der Hersteller den Support eingestellt hat. Die Steuerung funktioniert weiter, sie wird nur nicht mehr gepatcht.

Ein ISMS nach ISO 27001 ist für solche Lücken gebaut, aber es erfasst nur, was im Anwendungsbereich liegt. Wie Sie den Anwendungsbereich festlegen und welche Schritte zur Zertifizierung führen, beschreibt unser Leitfaden zur ISO-27001-Zertifizierung.

Welche ISO-27001-Controls greifen bei OT-Anlagen?

Für jede Lücke aus dem Kühlanlagen-Fall gibt es ein passendes Control in Anhang A der ISO 27001:2022 und eine entsprechende NIS2-Maßnahme.

Ein zweiter Irrtum betrifft das Zertifikat. Ein ISO-27001-Zertifikat sagt nichts über Ihre Kühlanlagen aus, wenn der Anwendungsbereich nur die Büro-IT umfasst. Prüfen Sie deshalb vor allem bei Produktions- und Logistikstandorten, ob die Anlagen dort im Scope stehen. Wo sich ISO 27001 und NIS2 decken und wo nicht, zeigt unser Vergleich NIS2 und ISO 27001.

Fällt OT unter NIS2?

NIS2 regelt nicht einzelne Anlagen, sondern Einrichtungen. Fällt Ihr Unternehmen unter NIS2, gehören vernetzte Steuerungen zu den Systemen, für die die Risikomanagementmaßnahmen gelten. Welche zehn Maßnahmen das sind, erklärt unser Beitrag zu den NIS2-Anforderungen an das Risikomanagement.

Für den Lebensmittelsektor ist der Zuschnitt eng. Die NIS-2-Richtlinie erfasst in Anhang II Lebensmittelunternehmen, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind. Der reine Lebensmitteleinzelhandel ist dort nicht genannt. Ein Lebensmittelhersteller oder ein Großhändler mit mindestens 50 Mitarbeitenden kann dagegen als wichtige Einrichtung unter das BSIG fallen, das in Deutschland den Sektor Lebensmittel in Anlage 2 führt.

Anders liegt der Fall bei den Herstellern der Anlagen. Anhang II nennt im Sektor verarbeitendes Gewerbe auch den Maschinenbau, Abschnitt C Abteilung 28 der NACE Rev. 2. Ob ein Hersteller von Kältetechnik betroffen ist, hängt wie immer von Tätigkeit und Größe ab. Eine erste Einschätzung für Ihr eigenes Unternehmen gibt der NIS2-Checker.

Für Hersteller vernetzter Produkte gilt zusätzlich der Cyber Resilience Act, die Verordnung (EU) 2024/2847. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen ihrer Produkte melden, auch bei Produkten, die schon auf dem Markt sind. Die meisten übrigen Pflichten, darunter ein Supportzeitraum, der sich an der erwarteten Nutzungsdauer orientiert, gelten ab dem 11. Dezember 2027. Für Geräte, die längst verbaut und abgekündigt sind, ändert das nichts an der Updatelage. Das Risiko liegt beim Betreiber.

Auch wer selbst nicht unter NIS2 fällt, spürt das Thema über Kunden. Regulierte Unternehmen müssen die Sicherheit ihrer Lieferkette nachweisen und fragen deshalb bei Lieferanten nach. Was Sie dann liefern sollten, beschreibt unser Leitfaden zu NIS2 in der Lieferkette.

Was sollten Sie jetzt an Ihren OT-Anlagen prüfen?

Beginnen Sie mit einer vollständigen Liste und mit der Frage, welche Anlagen aus dem Internet erreichbar sind. Die meisten weiteren Schritte ergeben sich daraus.

1. Inventar erstellen. Facility-Management und IT erfassen gemeinsam jede Steuerung mit Netzanschluss: Hersteller, Modell, Firmware-Stand, Standort, Supportstatus, Verantwortlicher.
2. Erreichbarkeit prüfen. Klären Sie für jede Anlage, ob ihre Verwaltungsoberfläche über eine öffentliche IP-Adresse erreichbar ist. Fragen Sie Ihre Dienstleister ausdrücklich, wie sie sich verbinden.
3. Fernzugang absichern. CERT-FR empfiehlt, Zugriffe nur über ein gesichertes VPN oder ein geschütztes Netz zuzulassen, Standardpasswörter zu ersetzen und die Firmware zu aktualisieren. Eine Filterung auf die IP-Adressen der Dienstleister ist laut CERT-FR nur als Notlösung gedacht.
4. Abgekündigte Geräte behandeln. Planen Sie den Austausch und nehmen Sie die Geräte bis dahin vom Internet. Ein Zurücksetzen auf Werkseinstellungen genügt nicht: Laut CERT-FR entfernt es zwar eingenistete Angreifer, lässt die Schwachstelle aber offen.
5. Dienstleister vertraglich einbinden. Halten Sie fest, über welchen Weg der Dienstleister zugreift, wie er sich authentisiert und wie schnell er Ihnen Vorfälle meldet. Prüfen Sie vor dem Kappen einer Verbindung zum Dienstleister Ihre Versicherungsbedingungen; darauf weist CERT-FR ausdrücklich hin.
6. Risiko und Notfall dokumentieren. Nehmen Sie das Szenario ins Risikoregister auf und legen Sie fest, wie die Anlage im Notbetrieb läuft und wer nachts alarmiert wird.

Ein typisches Beispiel: Ein Lebensmittelhersteller mit 180 Mitarbeitenden betreibt zwei Kühlhäuser, die ein externer Kältedienstleister über ein Fernwartungsportal betreut. Bei der Inventur stellt sich heraus, dass drei Steuerungen in keiner Liste stehen und eine davon über eine öffentliche IP-Adresse erreichbar ist. Der Hersteller hat den Support für das Modell eingestellt. Als industrieller Lebensmittelhersteller dieser Größe fällt das Unternehmen in der Regel als wichtige Einrichtung unter das BSIG. Die Steuerungen gehören damit in den Anwendungsbereich seines Risikomanagements, der Dienstleister in seine Lieferantenbewertung.

Wie Kertos OT-Anlagen in Ihrem ISMS abbildet

Kertos ist eine europäische Compliance-Plattform, auf der Unternehmen ihr ISMS aufbauen und Richtlinien, Verantwortlichkeiten, Risiken und Nachweise an einem Ort pflegen. Produktionsumgebungen und vernetzte Anlagen dokumentieren Sie dort als Assets, verknüpfen sie mit den passenden Risiken und nehmen sie in den Anwendungsbereich Ihres ISMS auf. So steht die Kühlanlage im selben Inventar wie der Server, mit Verantwortlichem, Risikobewertung und Maßnahmen.

Wer auf eine ISO-27001-Zertifizierung hinarbeitet, wird von zertifizierten Experten von Kertos bis zum Audit begleitet. Bisher haben alle Kertos-Kunden ihr Audit bestanden. Die technische OT-Sicherheitsprüfung, etwa Netzsegmentierung und Härtung der Steuerungen, gehört in die Hände spezialisierter OT-Dienstleister. Deren Ergebnisse dokumentieren Sie anschließend im ISMS und verfolgen offene Maßnahmen dort nach.

Kunden schätzen an Kertos vor allem die Struktur, die die Plattform in die Zertifizierung bringt:

Wie das für Ihre Standorte aussehen kann, zeigen wir Ihnen in einer persönlichen Demo.

Häufige Fragen

Was ist OT-Sicherheit?

OT-Sicherheit schützt Systeme, die physische Prozesse steuern, etwa Kälteanlagen, Gebäudeleittechnik oder Produktionsmaschinen. Im Vordergrund stehen Verfügbarkeit und sichere Funktion der Anlage, nicht nur der Schutz von Daten.

Was ist der Unterschied zwischen IT- und OT-Sicherheit?

IT-Sicherheit schützt vor allem Daten und Bürosysteme, OT-Sicherheit die Steuerung physischer Abläufe. OT-Anlagen bleiben oft lange über das Supportende des Herstellers hinaus in Betrieb und werden häufig von externen Dienstleistern aus der Ferne gewartet. Beides macht Updates und Zugriffskontrolle schwieriger als in der IT.

Fällt OT unter NIS2?

NIS2 gilt für Einrichtungen, nicht für einzelne Anlagen. Fällt Ihr Unternehmen unter NIS2, gelten die zehn Maßnahmen aus § 30 Abs. 2 BSIG auch für Ihre OT-Anlagen, insbesondere Lieferkettensicherheit, Schwachstellenmanagement, Verwaltung von IKT-Assets und Multi-Faktor-Authentifizierung.

Deckt ISO 27001 OT-Sicherheit ab?

Ja, sofern die OT-Anlagen im Anwendungsbereich des ISMS liegen. Controls wie A.5.9 (Inventar), A.8.8 (technische Schwachstellen) und A.8.22 (Trennung von Netzwerken) gelten dann auch für Steuerungen. Liegt nur die Büro-IT im Scope, sagt das Zertifikat nichts über die Anlagen aus.

Wie wurden die Kühlanlagen der Supermärkte angegriffen?

Die Angreifer griffen auf Fernsteuerungen zu, deren Verwaltungsoberfläche direkt aus dem Internet erreichbar war, und schalteten die Anlagen in einen dauerhaften Abtaumodus mit bis zu 50 °C. CERT-FR nennt die Gerätereihen Danfoss AK-SM und AK-SC sowie Copeland xweb und Dixell xweb. Wer hinter den Angriffen steht, ist bisher nicht bekannt.