OT-Wochenbericht Lebensmittel und Getränke, KW 44/2026
Lage: hoch
Executive Summary
Diese Woche ging es vor allem um die Kühlung. Forescout hat am 22.10. weltweit 12.976 offen im Internet erreichbare Dienste von Kühlsteuerungen gezählt, auf 6.017 IP-Adressen in 99 Ländern. Den größten Teil machen Copeland/Dixell XWEB und Danfoss StoreView aus. Anlass sind die Angriffe auf Kühlanlagen französischer Supermärkte Mitte Oktober, bei denen Sollwerte und Abtauzyklen verstellt wurden. Bloomberg hat am 27.10. ähnliche Fälle aus der Lebensmittelproduktion veröffentlicht: In einem Fleischbetrieb bei Los Angeles schalteten pro-russische Hacktivisten die Kühlung ab, rund 900 kg Fleisch verdarben und Ammoniak trat aus. In Spanien standen zwei Weingüter still, nachdem Heizung und Lüftung manipuliert worden waren. Wer Kühlhäuser, Gärkeller oder Tanklager über ein Web-HMI fernwartet, ist damit direkt im Visier.
Auf der Ebene von SPS und Remote Access gibt es drei Baustellen. Für den Webserver der Siemens S7-1500 und ET 200SP sind acht Lücken offen, für die es noch keinen Patch gibt. Cisco ASA/FTD hat einen aktiv ausgenutzten Zero-Day, mit dem sich SSL-VPN-Zugänge zum Absturz bringen lassen. PHP2Shell steht seit dem 26.10. im KEV-Katalog der CISA. Für die Wiederherstellung nach Ransomware zählt Veeam: Version 13 hat eine Lücke, die ohne Anmeldung ausnutzbar ist. Im Branchenumfeld gab es Leak-Einträge zu Brauereien, darunter AB InBev. Bestätigt ist davon bisher keiner, deshalb stehen sie unter Quellenlage.
Gesamtbewertung: Die Lage ist hoch: Hacktivisten verstellen gezielt Kühl- und Klimasteuerungen, die offen im Internet stehen, und mehrere Zugänge für Remote Access werden aktiv angegriffen. Vorrang hat diese Woche, alle Kühl-, Tank- und Gärsteuerungen mit Web-HMI vom Internet zu nehmen und die Fernwartung nur noch über einen abgesicherten Zugang zu erlauben.
Empfehlung an die Geschäftsführung: Die Geschäftsführung sollte diese Woche bestätigen lassen, dass keine Kühl- oder Produktionssteuerung offen im Internet erreichbar ist und die Fernwartung nur über einen abgesicherten Zugang mit MFA läuft. Ein einziger manipulierter Sollwert im Kühlhaus kann Ware im Wert von Hunderttausenden Euro vernichten und eine Rückrufprüfung auslösen.
Relevanz im Überblick
| Nr. | Thema | Wo | Relevanz | Handlung | Frist |
|---|---|---|---|---|---|
| L-01 | Forescout: 12.976 Kühlsteuerungen offen im Internet, Frankreich-Kampagne laut CERT-FR vermutlich noch aktiv | Kühlhaus, Tiefkühllager, Kältezentrale, Fernwartung des Kältebauers | KRITISCH | Web-Oberflächen der Kühlsteuerungen vom Internet trennen, Sollwerte und Abtauzeiten prüfen | sofort |
| L-02 | Siemens S7-1500 und ET 200SP: acht Lücken im SPS-Webserver, noch kein Patch (ICSA-26-295-14) | SPS in Abfüllung, Prozesstechnik und Verpackung | HOCH | Webserver der SPS abschalten, wo er nicht gebraucht wird, sonst Ports 80/443 auf vertrauenswürdige IP-Adressen beschränken | 1 Woche |
| L-03 | Cisco ASA/FTD: Zero-Day bringt SSL-VPN zum Absturz, Ausnutzung bestätigt (CVE-2026-76418) | VPN-Zugang für Fernwartung, Bereitschaft und Maschinenbauer | HOCH | Auf die Fix-Version von Cisco aktualisieren, bis dahin die sekundäre Authentifizierung in Tunnel-Gruppen prüfen | sofort |
| L-04 | Veeam Backup & Replication 13: Lücke ohne Anmeldung (CVE-2026-108142, CVSS v4 9,1) | Backup-Server für MES, ERP und Rezepturverwaltung | HOCH | Auf 13.1.2.57 bzw. 13.0.3.63 aktualisieren | sofort |
| L-05 | Mitsubishi Electric ICONICS GENESIS64 und MC Works64: Umgehung der Anmeldung, für Altprodukte kein Fix (ICSA-26-300-02) | SCADA/HMI und Historian in Leitstand und Energiemonitoring | MITTEL | Installationen inventarisieren, auf GENESIS 11.04 bzw. 10.98 aktualisieren, Altversionen vom Remote Access trennen | 2 Wochen |
Exponierte OT-Systeme (Shodan)
Exponierte OT-Systeme (Shodan, Stand 30.10.2026):
| Region | Gesamt | Top-Protokolle |
|---|---|---|
| Deutschland | 148182 | DNP3: 34267, OMRON FINS: 26328, ProConOS: 17131, Siemens S7: 7931, OPC UA: 5265 |
| Österreich | 4928 | HMI/VNC: 1088, DNP3: 1006, Niagara Fox: 482, Siemens S7: 386, OPC UA: 161 |
Gezählt werden aus dem Internet erreichbare Dienste typischer OT-Protokolle. Die Zahlen sind ein Indikator für Angriffsfläche, kein Nachweis einer Verwundbarkeit. Keine Einzelsysteme genannt. Siemens S7 = Port 102 (alle ISO-TSAP-Dienste, nicht nur echte S7-Steuerungen), OPC UA = Standardport 4840.
Lage im Detail
L-01 Forescout: 12.976 Kühlsteuerungen offen im Internet, Frankreich-Kampagne laut CERT-FR vermutlich noch aktiv
Was ist neu: Forescout zählt 12.976 erreichbare Dienste auf 6.017 IP-Adressen in 99 Ländern. Davon entfallen 7.075 auf Copeland/Dixell XWEB, 4.697 auf Danfoss StoreView, 551 auf Copeland Site Supervisor und 513 auf Carel pCOWeb. Rund 80 % der Danfoss-StoreView-Instanzen (3.762) laufen mit Firmware vor 4.3.1. CERT-FR hatte am 12./13.10. vor Angriffen auf Danfoss AK-SM/AK-SC sowie Copeland und Dixell XWEB gewarnt und hält die Kampagnen für wahrscheinlich noch aktiv.
Bedeutung: Die betroffenen Steuerungen laufen auch in Kühlhäusern von Molkereien, Fleischbetrieben, Brauereien und Logistikern, häufig mit Fernzugang für den Kältebauer. Wer die Sollwerte oder Abtauzyklen verstellt, löst Warenverlust, Rückrufrisiken und Lieferausfälle aus, ohne dass die IT etwas davon merkt. Laut Forescout könnten nach Frankreich weitere europäische Länder folgen. Zahlen für Deutschland, Österreich und die Schweiz nennt der Bericht im Text nicht.
Empfehlung: Mit Shodan oder einem externen Scan die eigenen öffentlichen IP-Adressen auf XWEB, StoreView, Site Supervisor und pCOWeb prüfen. Portweiterleitungen schließen und den Zugang des Kältebauers nur noch über einen Remote-Access-Gateway mit MFA und persönlichen Konten erlauben. Gemeinsam genutzte Zugangsdaten von Dienstleistern abschaffen und Temperaturalarme unabhängig von der Steuerung auswerten.
L-02 Siemens S7-1500 und ET 200SP: acht Lücken im SPS-Webserver, noch kein Patch (ICSA-26-295-14)
Was ist neu: CVE-2026-63350 bis -63357 betreffen den Webserver von S7-1500, ET 200SP, Software Controllern und S7-PLCSIM Advanced, und zwar in allen Versionen. Der höchste Wert ist CVSS v3 9,6. Ein Angreifer bringt einen Nutzer mit Diagnoserechten dazu, eine präparierte Trace-Datei zu importieren. Siemens arbeitet an Fixes, bisher gibt es für die gelisteten Produkte keinen.
Bedeutung: S7-1500 und ET 200SP stecken in vielen Abfüll-, Misch- und Verpackungslinien. Der Webserver wird oft für die Diagnose durch Instandhaltung oder Maschinenbauer eingeschaltet und dann vergessen. Die Lebensmittelbranche steht nicht in der Sektorliste der CISA, betroffen ist sie über die Produkte trotzdem.
Empfehlung: Im Asset-Inventar alle S7-1500 und ET 200SP mit aktivem Webserver markieren. Trace-Dateien nur aus bekannter Quelle importieren lassen und die Instandhaltung darauf hinweisen. Die Patches einplanen, sobald Siemens sie veröffentlicht.
L-03 Cisco ASA/FTD: Zero-Day bringt SSL-VPN zum Absturz, Ausnutzung bestätigt (CVE-2026-76418)
Was ist neu: Ohne Anmeldung lässt eine präparierte Anfrage ASA- oder FTD-Geräte mit aktivem SSL-VPN neu starten. Voraussetzung ist eine sekundäre Authentifizierung in einer Tunnel-Gruppe. Cisco bestätigt die Ausnutzung und nennt keinen vollständigen Workaround. Shadowserver zählt über 51.000 erreichbare ASA-SSL-VPNs. Den CVSS-Wert 8,6 nennt das Cisco-Advisory, BleepingComputer spricht nur von „high“.
Bedeutung: Viele Betriebe lassen den Remote Access des Bereitschaftsdienstes und der Linienlieferanten über die ASA laufen. Fällt das VPN in der Nachtschicht aus, kommt bei einer Störung niemand mehr von außen auf die Anlage. Das ist ein Verfügbarkeitsrisiko, auch wenn kein Datenabfluss droht.
Empfehlung: Patchen und prüfen, ob es für die Fernwartung einen zweiten, unabhängigen Weg gibt, etwa einen Jump Host mit eigenem Zugang. Neustarts der ASA im SIEM oder Syslog überwachen.
L-04 Veeam Backup & Replication 13: Lücke ohne Anmeldung (CVE-2026-108142, CVSS v4 9,1)
Was ist neu: Ohne Anmeldung lässt sich die Autorisierung am CDP Coordinator Service umgehen. Betroffen sind Windows-Backup-Server und die Veeam Software Appliance bis 13.1.1.18 bzw. 13.0.2.29, Version 12.x laut Veeam nicht. Eine Ausnutzung ist bisher nicht bekannt.
Bedeutung: Nach einem Ransomware-Angriff hängt der Wiederanlauf von MES, Chargenrückverfolgung und Rezepturdaten am Backup. Laut CISA schalten Gruppen wie SafePay über Veeam-Lücken gezielt die Backups aus, bevor sie verschlüsseln.
Empfehlung: Patchen und den Backup-Server aus der Office-Domäne herausnehmen. Mindestens eine Kopie offline oder unveränderbar halten und im Incident-Response-Plan die Wiederherstellung der Produktionssysteme einmal testen.
L-05 Mitsubishi Electric ICONICS GENESIS64 und MC Works64: Umgehung der Anmeldung, für Altprodukte kein Fix (ICSA-26-300-02)
Was ist neu: Die Passwort-Wiederherstellung nutzt eine feste Challenge-Response, die für alle Benutzer gleich ist (CVE-2026-16436, CVSS v4 9,2). Hinzu kommt eine Rechteausweitung (CVE-2026-16438). Für MC Works64, GENESIS32 und BizViz plant Mitsubishi keinen Fix. Eine Ausnutzung ist laut Hersteller nicht bekannt.
Bedeutung: Als HMI und Historian wird ICONICS auch in der Prozess- und Energieüberwachung von Produktionsbetrieben eingesetzt. Ältere Installationen laufen dort oft jahrelang unverändert weiter.
Empfehlung: Prüfen, ob ICONICS im Haus oder beim Maschinenbauer im Einsatz ist. Den von CISA beschriebenen Workaround mit der leeren Challenge-Datei umsetzen, den Ersatz der Altprodukte ins Budget aufnehmen.
Trends
- Kühlung ist zum bevorzugten Ziel geworden: Nach Frankreich zeigen Forescout und Bloomberg, dass offen erreichbare Kälte- und Klimasteuerungen gezielt verstellt werden.
- Hacktivisten ohne tiefes OT-Wissen richten physischen Schaden an, weil ihnen ein offenes HMI mit Standardpasswort reicht.
- Edge-Geräte für Remote Access (Cisco ASA, Palo Alto, Fortinet) bleiben das Haupteinfallstor, mehrere Lücken wurden diese Woche aktiv ausgenutzt.
- Ransomware-Gruppen nehmen gezielt die Backups ins Visier, bevor sie verschlüsseln, und gefährden damit den Wiederanlauf der Produktion.
- Brauereien und Lebensmittelhersteller tauchen regelmäßig auf Leak-Sites auf, oft lange bevor die Unternehmen selbst etwas bestätigen.
Fragen für das nächste Jour fixe
- Welche Kühl-, Gär- oder Tanksteuerungen bei uns haben eine Weboberfläche, und ist eine davon aus dem Internet erreichbar?
- Wie greifen Kältebauer und Maschinenbauer heute auf unsere Anlagen zu, mit persönlichen Konten und MFA oder mit gemeinsam genutzten Zugangsdaten?
- Merken wir eine verstellte Solltemperatur rechtzeitig, auch nachts und am Wochenende, unabhängig von der Steuerung selbst?
- Bei welchen S7-1500-Steuerungen ist der Webserver aktiv, und wer braucht ihn tatsächlich?
- Wann haben wir zuletzt getestet, ob sich MES und Rezepturdaten nach einem Ransomware-Angriff aus dem Backup wiederherstellen lassen?
Maßnahmen dieser Woche
- Die eigenen öffentlichen IP-Adressen mit Shodan oder einem externen Scan auf Kühlsteuerungen (XWEB, StoreView, Site Supervisor, pCOWeb) und offene HMI/VNC-Ports prüfen und Funde sofort abschalten.
- Bei allen Kühlanlagen Sollwerte, Abtauzeiten und Alarmgrenzen mit dem dokumentierten Stand vergleichen und Benutzerkonten auf unbekannte Einträge prüfen.
- Cisco ASA/FTD und Veeam 13 auf die Fix-Versionen aktualisieren.
- Bei allen S7-1500 und ET 200SP den Webserver abschalten, wo er nicht gebraucht wird, sonst die Ports 80/443 per Firewall auf die Engineering-Station beschränken.
- Die Zugangsdaten von Dienstleistern für Fernwartung durch persönliche Konten mit MFA ersetzen und den Zugang nur noch über einen Remote-Access-Gateway mit Sitzungsprotokoll erlauben.
- Mit Qualitätssicherung und Produktion einen kurzen Notfallablauf „Kühlung manipuliert“ festlegen: wer entscheidet über Sperrung von Ware, wer schaltet auf Handbetrieb um.
Empfehlungen
- HOCH · Alle Kühl- und Klimasteuerungen vom Internet trennen und die Fernwartung über einen Remote-Access-Gateway mit MFA und persönlichen Konten bündeln [CC4 Secure Remote Access] (sofort)
- HOCH · Asset-Inventar um SPS-Webserver, Edge-Geräte und SCADA-Altinstallationen ergänzen und Patches nach Ausnutzung (KEV) und Erreichbarkeit priorisieren [CC5 Risk-Based Vulnerability Management] (0 bis 3 Monate)
- HOCH · Veeam patchen, eine Backup-Kopie offline oder unveränderbar halten und die Wiederherstellung von MES und Rezepturdaten im Incident-Response-Plan testen [CC1 ICS Incident Response] (sofort)
- MITTEL · Temperaturdaten und Anmeldungen am Remote Access zentral überwachen, damit verstellte Sollwerte und ungewöhnliche Sitzungen auffallen [CC3 ICS Network Visibility & Monitoring] (3 bis 6 Monate)