Kälteanlagen: Fernzugriff sicher steuern

Die seit Oktober 2026 bekannt gewordenen Cybervorfälle an fernsteuerbaren Kälteanlagen in mehreren europäischen Staaten sind ein konkretes Warnsignal für Betreiber vernetzter Betriebs- und Gebäudetechnik. Betroffen waren nach Angaben nationaler Cybersecurity-Stellen unter anderem Controller-Familien von Danfoss, Copeland und Dixell. Der Fall betrifft jedoch nicht allein den Einzelhandel oder Kühlketten: Überall dort, wo OT-Managementschnittstellen oder Wartungszugänge aus dem Internet erreichbar sind, kann ein technischer Fernzugriff zu einem unmittelbaren Betriebsrisiko werden.

Im Mittelpunkt steht nicht nur der Schutz einzelner Controller. Betreiber müssen nachvollziehen können, welche Systeme extern erreichbar sind, wer unter welchen Bedingungen administrativ zugreifen kann und wie ein sicherer Anlagenbetrieb nach einer Manipulation wiederhergestellt wird. Das erfordert eine gemeinsame Perspektive von OT-Verantwortlichen, IT-Sicherheit, Kältetechnik, Standortbetrieb und Wartungsdienstleistern.

Der Vorfall: Bestätigte Erkenntnisse, offene Fragen

Die ENISA bestätigt Cybersecurity-Incidents bei gewerblichen Kälteanlagen und ähnlichen Geräten in mehreren EU-Mitgliedstaaten seit dem 11. Oktober 2026. Nach einer weiteren Vorfallswelle am 1. und 2. November empfahlen europäische und nationale Stellen unverzügliche Maßnahmen zur Verringerung der Exposition. Das französische CERT-FR berichtete über zahlreiche Kompromittierungen fernsteuerbarer Controller der Reihen Danfoss AK-SM und AK-SC sowie Copeland xweb und Dixell xweb.

Die verfügbaren behördlichen Informationen belegen weder eine Täterzuordnung noch eine einheitliche technische Ursache, ein bestimmtes Angriffswerkzeug oder eine konkrete CVE. Für Betreiber ist diese Abgrenzung wichtig: Schutzmaßnahmen sollten nicht auf eine vermutete Angriffstechnik zugeschnitten werden. Belastbar ist vielmehr das Muster aus direkt exponierten Managementschnittstellen, schwachen oder Standardzugängen, unzureichend kontrollierter Fernwartung und Komponenten ohne aktuelle Herstellerunterstützung.

Warum externe OT-Zugänge zum Betriebsrisiko werden

Ein Fernzugriff auf einen Kältecontroller ist kein gewöhnlicher Zugriff auf eine passive Anzeige. Abhängig von Funktion und Berechtigung können Betriebsparameter verändert werden. Das niederländische NCSC nennt insbesondere Temperatur- und Abtauzyklen. Solche Änderungen können zu Fehlfunktionen führen; mögliche Folgen sind Verderb, Risiken für die Lebensmittelsicherheit, finanzielle Schäden und Betriebsunterbrechungen.

Auch Alarmierung und Benachrichtigungen gehören zur Angriffsfläche. Werden Alarmgrenzen, Empfänger oder Meldungswege manipuliert, kann eine Betriebsabweichung unentdeckt bleiben oder zu spät eskalieren. Die technische Priorität liegt deshalb auf der Entfernung direkter Internetexposition. Nach CERT-FR soll der Fernzugriff anschließend ausschließlich über ein sicheres VPN oder ein geschütztes Netz erfolgen. Eine Beschränkung nach Quell-IP kann kurzfristig helfen, ersetzt aber keine tragfähige Zugriffsarchitektur.

Exposition erkennen: Inventar vor Einzelmaßnahmen

Ein belastbarer Sofortcheck darf sich nicht auf bereits bekannte Kältecontroller beschränken. Er sollte sämtliche extern erreichbaren OT-, Gebäudeautomations- und Fernwartungsmanagementschnittstellen erfassen. Dazu zählen öffentliche IP-Adressen, Portweiterleitungen, Weboberflächen, Fernwartungsgeräte, Hersteller-Cloud-Relays sowie dezentrale Komponenten in gelieferten Anlagen oder Package Units.

Gerade integrierte Systeme bergen ein Governance-Risiko. Das BSI weist darauf hin, dass Betreiber bei als Gesamtsystem gelieferten Anlagen mit Fernwartungskomponenten die einzelnen Komponenten erfassen und gegebenenfalls aktiv umkonfigurieren müssen. Unbekannte oder unvollständig dokumentierte Zugänge lassen sich nicht wirksam unterbinden. Das Inventar sollte daher mindestens System, Standort, öffentliche Erreichbarkeit, Verantwortlichkeit, Herstellerstatus, Firmwarestand, Benutzerkonten und den vorgesehenen Wartungsweg verknüpfen.

Die Prüfung muss auch verdeckte Lieferantenzugänge einbeziehen. Wartungswege können über Router, Service-Gateways oder Konten des Integrators bestehen, ohne im zentralen IT-Asset-Management sichtbar zu sein. Die fachliche Frage lautet nicht nur, ob ein Zugang technisch existiert, sondern ob sein Zweck, seine Berechtigung, sein Eigentümer und seine Deaktivierung nachvollziehbar geregelt sind.

Bei Kompromittierungsverdacht: sicher eindämmen und fachlich prüfen

Eine kompromittierungsverdächtige Steuerung sollte nicht unkoordiniert vom Netz getrennt werden, wenn dadurch der sichere Anlagenbetrieb gefährdet sein könnte. Zunächst müssen Betrieb, OT-Verantwortliche, Kältetechnik, Informationssicherheit und gegebenenfalls der Wartungsdienstleister die sichere Entfernung der externen Erreichbarkeit abstimmen. Soweit dies den Anlagenbetrieb nicht beeinträchtigt, sollten Konfigurationsstände, Alarmmeldungen, Zugriffsprotokolle und relevante Netzwerkdaten vor der Bereinigung gesichert werden.

CERT-FR nennt abhängig vom Gerätetyp Neustart oder Factory Reset, anschließende Rekonfiguration und die Umsetzung der Herstellerempfehlungen. Ein Reset ist jedoch keine nachhaltige Lösung, wenn ein ungepatchtes End-of-Life-Gerät weiter direkt aus dem Internet erreichbar bleibt. In diesem Fall ist eine erneute Kompromittierung wahrscheinlich.

Die Wiederinbetriebnahme verlangt eine OT-spezifische Abnahme. Das irische NCSC empfiehlt, Temperatur-Sollwerte, Betriebsparameter, Abtauintervalle, Alarm- und Benachrichtigungseinstellungen, Fernzugriffsberechtigungen und Benutzerkonten zu prüfen. Diese Kontrolle benötigt neben der IT-seitigen Analyse eine Freigabe durch autorisiertes Anlagen- oder Kältefachpersonal. Erst danach sollte der Fernzugriff kontrolliert wieder aktiviert werden.

Fernwartung als kontrollierter Prozess gestalten

Offene Webinterfaces und dauerhaft verfügbare Dienstleisterkonten sind mit einem nachvollziehbaren Wartungsprozess nicht gleichzusetzen. Ein angemessenes Zielbild umfasst einen dedizierten Zugangspfad über VPN oder ein vergleichbar geschütztes Netz, starke Authentisierung mit zusätzlichen Faktoren oder Client-Zertifikaten, individuelle Konten sowie eine bedarfsabhängige und zeitlich begrenzte Freigabe.

Die BSI-Umsetzungshinweise nennen zudem verschlüsselte und integritätsgesicherte Protokolle, gehärtete Sprungserver in einer DMZ sowie Protokollierung. Bei hohem Schutzbedarf kann eine Sitzungsaufzeichnung in Betracht kommen. Wesentlich ist außerdem eine lokale Möglichkeit, die Fernwartung abzubrechen. Damit bleibt der Betreiber handlungsfähig, wenn ein Dienstleisterzugang auffällig wird oder die Kommunikation während eines Vorfalls eingeschränkt ist.

Vertraglich sollte Fernwartung nicht bei einer allgemeinen Sicherheitsklausel enden. Vereinbarungen und SLAs sollten zugriffsberechtigte Personen benennen, individuelle statt geteilter Konten verlangen und Freigabe-, Eskalations- sowie Notfallkommunikationswege regeln. Hinzu kommen Verantwortlichkeiten für Patch- und Firmwarestände, Informationen zu End-of-Life-Status, Zugriff auf Protokolle, Incident-Mitwirkung und die sichere Sperrung von Zugängen bei Vertragsende. Das BSI weist darauf hin, dass unzureichend geregelte Zugänge dazu führen können, dass Zugangsdaten bei Herstellern oder Dienstleistern an dem Betreiber unbekannte Personen weitergegeben werden.

EOL-Systeme und Krisenfähigkeit zusammen planen

Das irische NCSC empfiehlt unterstützte aktuelle Firmware, starke eindeutige Zugangsdaten und die Aktivierung verfügbarer Sicherheitsfunktionen. Nicht mehr unterstützte Geräte sollten identifiziert, von nicht vertrauenswürdigen Netzen isoliert und für Ersatz oder zusätzliche Schutzmaßnahmen bewertet werden. Daraus folgt eine risikobasierte Lifecycle-Entscheidung: Ersatz, wirksame Netzisolation, Entfernung direkter Fernadministration, kompensierende Kontrollen oder ein geplanter Rückbau. Ein Reset ohne Beseitigung der ursprünglichen Exposition genügt nicht.

Ebenso entscheidend ist der Wiederanlauf. BCMS- und Krisenpläne sollten neben der IT-Wiederherstellung den sicheren Anlagenbetrieb abbilden: manuelle Temperaturkontrollen, Ersatzkühlung, Alarmierungswege, Rollen für Standortpersonal und Dienstleister, Dokumentation der Kühlkette sowie Entscheidungsregeln für Warenannahme und Sperrung. Diese Abläufe müssen gemeinsam getestet werden. Andernfalls kann eine technisch bereinigte Steuerung zwar wieder erreichbar sein, der Standort aber dennoch nicht kontrolliert in den Regelbetrieb zurückkehren.

Regulatorische Einordnung ohne Pauschalpflichten

Die NIS2-Richtlinie verlangt für Einrichtungen in ihrem jeweiligen Anwendungsbereich Cyberrisikomanagementmaßnahmen und die Meldung erheblicher Sicherheitsvorfälle. Daraus folgt keine pauschale NIS2-Pflicht für jeden Betreiber einer Kälteanlage; die Anwendbarkeit ist jeweils nach der nationalen Umsetzung und dem konkreten Betreiber zu prüfen. Die Richtlinie unterstreicht jedoch die Relevanz nachvollziehbarer Risikomanagement- und Meldeprozesse für erfasste Einrichtungen.

Der Cyber Resilience Act richtet sich primär an Hersteller von Produkten mit digitalen Elementen. Seine Meldepflichten für bekannt gewordene aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gelten seit dem 11. September 2026; die wesentlichen Produktanforderungen gelten grundsätzlich ab dem 11. Dezember 2027. Ob ein konkreter Controller erfasst ist, hängt vom Produkt und möglichen Ausnahmen ab. Die BSI-Grundschutz-Hinweise begründen keine allgemeine gesetzliche Betreiberpflicht, bieten aber eine praxisnahe Orientierung für sichere Fernwartung.

Die zentrale Lehre aus dem Vorfall ist operativ: Exposition muss bekannt sein, Fernzugriff muss kontrollierbar bleiben und Wiederanlauf darf nicht allein von einer externen Verbindung abhängen. Betreiber, die diese drei Punkte technisch, vertraglich und organisatorisch verbinden, reduzieren nicht nur die Angriffsfläche, sondern verbessern auch ihre Handlungsfähigkeit im Störungsfall.