Cyberangriffe auf kritische Infrastrukturen: Kühlsysteme in Supermärkten als Ziel

Eine Serie von Cyberangriffen auf Kühlschränke in Lebensmittelläden hat erstmals auch Deutschland erfasst, wobei in einem Edeka-Supermarkt im niederbayerischen Reisbach die Kühlanlagen in der Nacht zu Montag gezielt auf 50 Grad Celsius hochgeheizt wurden. Dieser Temperaturanstieg führte zur vollständigen Vernichtung umfangreicher Lebensmittelbestände, die daraufhin in Abfallcontainern entsorgt werden mussten. Der Marktbetreiber dokumentierte den Schaden durch ein auf Facebook veröffentlichtes Foto und äußerte öffentlich seine Empörung über den Vorfall. Das Polizeipräsidium Niederbayern hat die Ermittlungen aufgenommen und strebt eine enge Abstimmung mit den Behörden in den anderen betroffenen Ländern an, wenngleich bislang nicht offiziell bestätigt wurde, dass tatsächlich ein Cyberangriff die Ursache des Vorfalls war. Die Ermittlungsbehörden betonten, dass eine internationale Zusammenarbeit unerlässlich sei, um die Täter zu identifizieren. Parallel dazu gingen Meldungen aus Nordrhein-Westfalen über ähnliche Angriffe auf Kühltruhen in Supermärkten ein, doch ob diese Fälle miteinander zusammenhängen und wer die verantwortlichen Akteure sind, bleibt zum gegenwärtigen Zeitpunkt unklar.

Internationale Verbreitung und die Ausnutzung technischer Schwachstellen

Nahezu zeitgleich mit dem Vorfall im Landkreis Dingolfing-Landau wurden seit Sonntag Angriffe auf Kühlanlagen in Supermärkten mehrerer europäischer Staaten gemeldet, darunter Belgien, Luxemburg und Schweden. Dieses Angriffsmuster erinnert an vergleichbare Vorfälle in französischen Supermärkten Mitte Oktober, bei denen die Täter gezielt Sicherheitslücken in älteren, internetfähigen Steuergeräten des dänischen Herstellers Danfoss ausnutzten. Dadurch gelang es ihnen nicht lediglich, die Kühlsysteme zu deaktivieren, sondern die Temperaturen systematisch zu erhöhen, was die Verderblichkeit der gelagerten Waren beschleunigte. Ob hinter den aktuellen Angriffen dieselbe Vorgehensweise steckt, ist derzeit noch nicht verifiziert. Angesichts dieser Entwicklung hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine formelle Warnung ausgesprochen und verweist dabei auf frühere Angriffe in Polen, die als „rein destruktive Sabotageakte" charakterisiert wurden und nach Einschätzung der Behörde „einfach vermeidbar" gewesen wären. Die Behörde wies darauf hin, dass solche Angriffe erhebliche wirtschaftliche Schäden verursachen können.

Ambivalenz der Vernetzung: Sicherheitsnutzen versus Angriffsfläche

Der Betreiber des betroffenen Edeka-Marktes in Reisbach rechtfertigte die bestehende Internetanbindung der Kühlanlagen mit einer Reihe von Argumenten, die den vermeintlichen Sicherheitsnutzen der Vernetzung betonen. Seiner Argumentation zufolge sei diese Anbindung heutzutage Standard und diene primär der Gewährleistung der Lebensmittelsicherheit, indem sie eine permanente Überwachung der Anlagen rund um die Uhr ermöglicht. Selbst außerhalb der regulären Öffnungszeiten könnten so bei nächtlichen Stromausfällen, Kältemittelverlust oder sonstigen technischen Störungen automatisch Alarmmeldungen sowie telefonische Benachrichtigungen an das zuständige Personal ausgelöst werden. In der Vergangenheit habe man auf diese Weise bereits wiederholt technische Defekte frühzeitig identifizieren und die gelagerte Ware vor dem Verderben bewahren können. Diese Entwicklung verdeutlicht die wachsende Verwundbarkeit vernetzter Geräte im sogenannten Internet der Dinge. Bei dem jüngsten Angriff war eine solche präventive Reaktion jedoch augenscheinlich nicht möglich, weshalb die betroffenen Kühlanlagen inzwischen konsequent vom Internet getrennt wurden und vorerst auch nicht wieder in das Netzwerk eingebunden werden sollen.

Regulatorische Konsequenzen und langfristige Sicherheitsstrategien

In seiner öffentlichen Warnung stellte das BSI klar, dass die empfohlenen Schutzmaßnahmen unabhängig von spezifischen Angriffsvorfällen universally gültig sind. Als effektivste und zugleich unkomplizierteste Maßnahme empfiehlt die Behörde die vollständige Trennung der betroffenen Anlagen vom Internet. Darüber hinaus tragen zusätzliche technische Vorkehrungen wie VPN-Tunnel, multifaktorgeschützte Zugriffskontrollen, Blocklisten, Protokollfilter und kontinuierliche Software-Updates maßgeblich dazu bei, potenziellen Angreifern das Eindringen erheblich zu erschweren. Ab Dezember 2027 treten zudem im Rahmen des Cyber Resilience Act (CRA) verschärfte gesetzliche Sorgfaltspflichten für Hersteller vernetzter Geräte in Kraft, die bereits im Auslieferungszustand ein hohes Maß an IT-Sicherheit gewährleisten sollen. Bereits seit dem 11. September 2026 sind Hersteller verpflichtet, aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle unverzüglich zu melden. Diese Meldepflicht soll die Transparenz im Umgang mit Sicherheitsvorfällen deutlich erhöhen. Diese regulatorischen Maßnahmen zielen langfristig darauf ab, die Resilienz kritischer Infrastrukturen gegenüber derartigen Cyberbedrohungen nachhaltig zu stärken und die Angriffsfläche für zukünftige Attacken systematisch zu reduzieren.