OT-Wochenbericht Lebensmittel und Getränke, KW 45/2026
Lage: hoch
Executive Summary
In KW 45 geht es um die Kühlkette. In der Nacht zum 2. November haben Angreifer zum zweiten Mal Kühlsteuerungen in Supermärkten in mehreren europäischen Ländern verstellt. In Deutschland sind laut dpa unter anderem Märkte in Wuppertal, Wetter bei Hagen und im Münsterland betroffen. Ein Markt in Lilienthal musste nach eigenen Angaben Ware im Wert von über 360.000 Euro wegwerfen. Mindestens ein deutscher Markt sagt, angegriffen worden sei eigentlich die Firma, die seine Kühlanlagen aus der Ferne wartet. In Italien meldet die Cyberbehörde ACN einen Angriff auf einen Hersteller von Tiefkühlkost in der Emilia-Romagna. Damit sind nicht mehr nur Händler betroffen, sondern auch Hersteller.
Am 5. November haben CISA, FBI, USDA, HHS und DOT eine gemeinsame Warnung veröffentlicht. Danach greifen Angreifer weltweit Kühlsteuerungen und Systeme zur Überwachung der Kühlkette an, die ungepatcht oder aus dem Internet erreichbar sind. Gemeint sind ausdrücklich auch Kühllager. Für Molkereien, Fleischverarbeiter, Tiefkühlhersteller und Getränkeabfüller mit eigener Kältetechnik heißt das: Diese Woche klären, welche Kältesteuerungen und Fernwartungszugänge von außen erreichbar sind und welche Dienstleister darauf zugreifen. Parallel dazu wird in Siemens-IoT2050-Gateways eine Node-RED-Lücke ausgenutzt, und Ivanti Connect Secure hat zwei ausgenutzte Lücken. Beides betrifft die Anbindung und den Fernzugang der Produktion.
Gesamtbewertung: Die Lage ist hoch: Angriffe auf Kältetechnik laufen weiter, reichen über Ländergrenzen und Branchen hinweg und laufen teilweise über Fernwartungsdienstleister. Vorrang hat, dass keine Kältesteuerung und kein Fernwartungszugang mehr direkt aus dem Internet erreichbar ist (CC4) und dass die Kühlkette unabhängig überwacht wird (CC3).
Empfehlung an die Geschäftsführung: Die Geschäftsführung sollte diese Woche bestätigen lassen, dass keine Kältesteuerung und kein Fernwartungszugang direkt aus dem Internet erreichbar ist und dass Dienstleister nur mit Freigabe und MFA zugreifen. Ein einziger Kühlausfall kann laut aktuellem Fall über 360.000 Euro Warenwert kosten.
Relevanz im Überblick
| Nr. | Thema | Wo | Relevanz | Handlung | Frist |
|---|---|---|---|---|---|
| L-01 | USA: Gemeinsame Behördenwarnung vor Angriffen auf Kühlsteuerungen und Kühlketten-Überwachung | Kälteanlagen, Kühllager, Temperaturüberwachung | KRITISCH | Kältesteuerungen vom Internet trennen, Standardpasswörter ersetzen, Altgeräte ermitteln | sofort |
| L-02 | Deutschland: Kühlanlagen in mehreren Supermärkten manipuliert, Angriff lief offenbar über den Fernwartungsdienstleister | Fernwartung Kältetechnik durch Dienstleister | HOCH | Fernzugänge der Kälte- und Anlagendienstleister erfassen und absichern | sofort |
| L-03 | Italien: ACN meldet Angriff auf Tiefkühl-Hersteller und Großküchen-Betreiber | Kälte- und Fernwartungssysteme in der Produktion | HOCH | Erreichbarkeit von Steuerungs- und Fernwartungssystemen prüfen, vom Büronetz trennen | sofort |
| L-04 | Zweite Angriffswelle auf Kühlsteuerungen in Europa: Danfoss nennt ungesicherte Netze und Standardpasswörter | Kältesteuerungen (Danfoss u. a.) | HOCH | Security Level auf Strict stellen, Standardpasswörter ersetzen, Firmware prüfen | 1 Woche |
| L-05 | Ivanti Connect Secure: Zwei ausgenutzte Lücken im KEV-Katalog (CVE-2026-111357, CVE-2026-118527) | VPN für Fernzugang und Fernwartung | MITTEL | Patchen, Logs prüfen, Zugangsdaten zurücksetzen | sofort |
Exponierte OT-Systeme (Shodan)
Exponierte OT-Systeme (Shodan, Stand 06.11.2026):
| Region | Gesamt | Top-Protokolle |
|---|---|---|
| Deutschland | 143185 | DNP3: 32440, OMRON FINS: 26119, ProConOS: 16052, Siemens S7: 7764, OPC UA: 5141 |
| Österreich | 4790 | HMI/VNC: 1046, DNP3: 970, Niagara Fox: 472, Siemens S7: 387, OPC UA: 158 |
Gezählt werden aus dem Internet erreichbare Dienste typischer OT-Protokolle. Die Zahlen sind ein Indikator für Angriffsfläche, kein Nachweis einer Verwundbarkeit. Keine Einzelsysteme genannt. Siemens S7 = Port 102 (alle ISO-TSAP-Dienste, nicht nur echte S7-Steuerungen), OPC UA = Standardport 4840.
Lage im Detail
L-01 USA: Gemeinsame Behördenwarnung vor Angriffen auf Kühlsteuerungen und Kühlketten-Überwachung
Was ist neu: CISA, FBI und drei Ministerien warnen gemeinsam, dass Angreifer weltweit ungepatchte oder aus dem Internet erreichbare elektronische Temperaturregler und gewerbliche Kühlsteuerungen angreifen. Genannt werden Lebensmittelhandel und Kühllager, als Folgen Brandgefahr, Warenverlust und eine kürzere Lebensdauer der Anlagen. Hersteller, Täter oder Vorfälle in den USA nennt die Warnung nicht, auch keinen Bezug zu den Angriffen in Europa.
Bedeutung: Die Warnung nennt ausdrücklich den Sektor Ernährung und Landwirtschaft und Kühllager. Damit betrifft sie Molkereien, Fleischverarbeiter, Tiefkühlhersteller und Getränkelogistik direkt. Fällt die Kühlung aus, muss Ware vernichtet werden, und es drohen Lieferausfälle beim Handel.
Empfehlung: Die Maßnahmen der Behörden umsetzen, vor allem: Geräte vom Internet trennen, OT in ein eigenes VLAN legen, Standardpasswörter ändern, patchen, Geräte ohne Herstellersupport ersetzen und Grenzwerte für Sollwerte mit Alarm festlegen. Fernzugriff nur über einen gesicherten Zugang mit MFA erlauben (CC4).
L-02 Deutschland: Kühlanlagen in mehreren Supermärkten manipuliert, Angriff lief offenbar über den Fernwartungsdienstleister
Was ist neu: Laut dpa wurden Kühlanlagen in Wuppertal, Wetter bei Hagen und im Münsterland vermutlich per Hackerangriff lahmgelegt. In Lilienthal bei Bremen fiel die Kühlkette zeitweise aus, laut Inhaber mussten Waren im Wert von über 360.000 Euro weggeworfen werden. Ein Markt in Wetter-Volmarstein sagt, eigentlich sei die Firma angegriffen worden, die die Anlagen aus der Ferne wartet.
Bedeutung: Hersteller und Abfüller lassen Kältetechnik, Verpackungslinien und Abfüllanlagen oft vom selben Typ Dienstleister fernwarten. Wird ein Dienstleister kompromittiert, kann der Angreifer über dessen Zugang mehrere Kunden gleichzeitig erreichen.
Empfehlung: Alle Fernwartungszugänge von Dienstleistern auflisten (Kälte, Abfüllung, Gebäudetechnik). Dauerverbindungen beenden und Zugriffe nur noch auf Freigabe, mit MFA und Protokoll erlauben (CC4).
L-03 Italien: ACN meldet Angriff auf Tiefkühl-Hersteller und Großküchen-Betreiber
Was ist neu: Die italienische Cyberbehörde ACN hat einen Angriff auf ein Unternehmen in der Emilia-Romagna festgestellt, das Tiefkühlkost herstellt. Ein Unternehmen der Gemeinschaftsverpflegung aus der Toskana hat einen Vorfall nach NIS gemeldet. Die ACN fordert, Steuerungs- und Fernwartungssysteme auf Erreichbarkeit aus dem Internet zu prüfen und getrennt vom Firmennetz zu betreiben.
Bedeutung: Damit ist erstmals ein Lebensmittelhersteller in dieser Welle öffentlich als Ziel genannt. Wer Kältetechnik in der Produktion oder im Kühllager betreibt, gehört zum Ziel, nicht nur der Handel.
Empfehlung: Kältesteuerungen und Fernwartungs-Gateways in eine eigene Zone legen, getrennt vom Büronetz (CC2). Fernzugriff nur über VPN mit MFA, privilegierte Konten prüfen und nicht mehr unterstützte Geräte ersetzen.
L-04 Zweite Angriffswelle auf Kühlsteuerungen in Europa: Danfoss nennt ungesicherte Netze und Standardpasswörter
Was ist neu: In der Nacht zum 2. November haben Angreifer Kühlsteuerungen in Supermärkten unter anderem in Belgien, Schweden und Estland aus der Ferne verstellt. Laut Danfoss lagen die betroffenen Systeme in den Niederlanden nicht in einem gesicherten Netz und liefen noch mit Standardpasswörtern. Am 3. November gab es laut The Hacker News noch kein Danfoss-Advisory zu den Angriffen.
Bedeutung: Danfoss-Systemmanager stehen auch in Kühlhäusern und Produktionsbetrieben. Ein fehlendes Herstelleradvisory bedeutet nicht, dass keine Gefahr besteht, denn ausgenutzt werden einfache Fehler: Erreichbarkeit aus dem Internet und Standardpasswörter.
Empfehlung: Alle Kältesteuerungen im Asset-Inventar erfassen, mit Firmware-Stand und Supportstatus. Standardpasswörter ersetzen und bei Danfoss-Geräten das Security Level auf Strict stellen, wie es CERT-FR empfiehlt (CC5).
L-05 Ivanti Connect Secure: Zwei ausgenutzte Lücken im KEV-Katalog (CVE-2026-111357, CVE-2026-118527)
Was ist neu: CISA hat am 30. Oktober CVE-2026-111357 und CVE-2026-118527 in Ivanti Connect Secure als aktiv ausgenutzt in den KEV-Katalog aufgenommen.
Bedeutung: Viele Hersteller nutzen Ivanti Connect Secure als VPN für Mitarbeitende und Dienstleister. Wird das VPN-Gateway übernommen, ist der Weg zu Fernwartungssystemen in der Produktion offen.
Empfehlung: Herstellerpatch einspielen, VPN-Logs auf Auffälligkeiten prüfen und die über das Gerät genutzten Zugangsdaten zurücksetzen (CC4, CC1).
Trends
- Angriffe auf Kältetechnik weiten sich vom Handel auf Hersteller und Kühllager aus, Italien meldet einen Tiefkühlhersteller als Opfer.
- Fernwartungsdienstleister werden zum Einfallstor, über deren Zugang mehrere Kunden gleichzeitig erreichbar sind.
- Ausgenutzt werden meist einfache Fehler wie Erreichbarkeit aus dem Internet, Standardpasswörter und Geräte ohne Herstellersupport, kaum neue Zero-Days.
- Behörden in den USA, Frankreich und Italien geben nahezu gleiche Empfehlungen: vom Internet trennen, Fernzugriff nur über VPN mit MFA, Altgeräte ersetzen.
- Edge-Geräte zur Datenanbindung (IoT2050/Node-RED) und VPN-Gateways bleiben bevorzugte Ziele für den Erstzugriff.
Fragen für das nächste Jour fixe
- Welche Kältesteuerungen und Temperaturüberwachungen haben wir, und ist eine davon aus dem Internet erreichbar?
- Welche Dienstleister können per Fernwartung auf Kälte, Abfüllung oder Verpackung zugreifen, und wie ist das abgesichert?
- Merken wir einen Temperaturanstieg im Kühllager auch dann, wenn die Steuerung selbst manipuliert ist (unabhängige Fühler, Alarm per SMS)?
- Wie viele Stunden Ware können wir bei Kühlausfall retten, und wer entscheidet nachts über Notbetrieb und Vernichtung?
- Sind IoT2050-Gateways und Ivanti-VPN im Einsatz, und sind sie gepatcht?
Maßnahmen dieser Woche
- Externen Scan der eigenen IP-Bereiche auf Kältesteuerungen, Node-RED und Fernwartungsports durchführen, Treffer sofort sperren.
- Standardpasswörter an Kältesteuerungen und Systemmanagern ersetzen, bei Danfoss das Security Level auf Strict stellen.
- Kälte- und Anlagendienstleister schriftlich fragen, wie sie zugreifen, ob ihnen ein Vorfall bekannt ist und ob sie MFA nutzen. Dauerzugänge abschalten.
- Unabhängige Temperaturalarmierung (separater Fühler, Meldung außerhalb der Steuerung) für Kühllager und Tiefkühlzellen prüfen.
- IoT2050 auf V4.3.4-1 aktualisieren und Ivanti Connect Secure patchen, danach Logs und Zugangsdaten prüfen.
- Notfallablauf für Kühlausfall üben: wer wird nachts gerufen, wie wird manuell auf sichere Werte zurückgestellt.
Empfehlungen
- HOCH · Kältesteuerungen und Fernwartung vom Internet trennen, Zugriff nur über gesicherten Fernzugang mit MFA [CC4 Secure Remote Access] (sofort)
- HOCH · Dienstleisterzugänge (Kälte, Abfüllung, Verpackung) inventarisieren, auf Freigabe umstellen und protokollieren [CC4 Secure Remote Access] (sofort)
- HOCH · Kälte- und Fernwartungssysteme in eigene Netzzone getrennt vom Büronetz legen [CC2 Defensible Architecture] (0 bis 3 Monate)
- MITTEL · Asset-Inventar für Kältesteuerungen und Edge-Gateways mit Firmware- und Supportstatus aufbauen, Altgeräte ersetzen [CC5 Risk-Based Vulnerability Management] (0 bis 3 Monate)
- MITTEL · Unabhängige Temperaturüberwachung und Notfallablauf für Kühlausfall einrichten und üben [CC1 ICS Incident Response] (0 bis 3 Monate)