# Vorfall-Lagebild: Caterer in Holtwick: Überwachung bremst Kühlangriff

Von Max Gilg · 12.11.2026 · 6 Min. Lesezeit

Kurz gesagt: Erstmeldung zu „Caterer in Holtwick: Überwachung bremst Kühlangriff“: was bekannt ist, was offen ist und was wahrscheinlich passiert ist.
Vorfall-Lagebild · Erstmeldung · Stand 12.11.2026 09:06

Update 12.11.2026: Quellen am Original geprüft, sechs Stellen präzisiert.

[Bild: Infografik: Kühlangriff in Holtwick: Überwachung bremst Schaden]

So viel ist belegt: rund 43 % der Fragen lassen sich mit Quellen beantworten, 20 % nur mit Vermutungen, 37 % sind offen.

Laut Bocholter Borkener Volksblatt (BBV) vom 12.11.2026 wurden die Kühlanlagen des Cateringbetriebs ABH Event- und Gastroservice in Bocholt-Holtwick angegriffen. Eine Zwischenüberschrift nennt einen Fernzugriff als Einfallstor, ein Überwachungssystem soll größeren Schaden verhindert haben. Zeitpunkt, Schaden, Hersteller und Ermittlungen stehen hinter der Bezahlschranke und sind nicht geprüft. Ob der Fall zur europaweiten Welle gehört, die Frankreich den iranischen Revolutionsgarden zuschreibt, ist nicht belegt.

## 1. Was ist passiert, und warum?

- Belegt: Das BBV berichtet am 12.11.2026, 05:00 Uhr (Autor Fabian Wilmers), unter der Überschrift „Überwachungssystem verhindert riesigen Schaden“ über einen Cyberangriff auf die Kühlanlagen von ABH Event- und Gastroservice in Holtwick. Zwischenüberschriften: „Fernzugriff als Einfallstor“ und „Überwachung verhindert Schaden“. Geschäftsführer Jan Hellwig erklärt laut Vorspann, wie es dazu kam (Quelle (https://www.bbv-net.de/bocholt/hackerangriff-bocholt-abh-cateringunternehmen-kuehlanlagen-ueberwachung-verhindert-schaden-w1273057-6000661438)).

- Belegt: Holtwick ist ein Ortsteil von Bocholt (Kreis Borken, PLZ 46399) mit Gewerbegebiet. Nicht zu verwechseln mit Holtwick in Rosendahl (Kreis Coesfeld) (Quelle (https://www.bocholt.de/en/holtwick)).

- Belegt: Das BSI hat Vorfälle bei einzelnen Supermärkten in Deutschland und weiteren europäischen Ländern bestätigt, bei denen aus dem Internet erreichbare Kühlsteuerungen manipuliert wurden (Pressemitteilung 13.10.2026, aktualisiert 03.11.2026) (Quelle (https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261013_OT-Gefaehrdung-Kleinanlagen.html)).

- Belegt: Frankreichs Außenminister Barrot schrieb die Angriffe vom 11./12. Oktober am 09.11.2026 den iranischen Revolutionsgarden zu. Die Pariser Staatsanwaltschaft nennt die Einheit Shahid Kaveh, Angreifer hätten über Weboberflächen Dauer-Abtauzyklen ausgelöst und Temperaturalarme abgeschaltet (Quelle (https://www.france24.com/en/europe/20261109-iran-revolutionary-guards-behind-cyberattacks-on-supermarket-fridges-says-french-fm-barrot)).

- Vermutlich: Der Bocholter Fall gehört zum Muster der europäischen Welle (Manipulation von Kühlsteuerungen über Fernzugriff) (zu 65 % sicher). Gleicher Zeitraum, gleiches Ziel (Kühlung), gleicher Weg laut Zwischenüberschrift. Belegt ist der Zusammenhang aber nicht, und das Opfer ist ein Caterer statt eines Supermarkts.

- Vermutlich: Derselbe Täter wie in Frankreich steckt dahinter (zu 35 % sicher). Die Methode ist einfach und öffentlich bekannt, Nachahmer sind laut BSI-Präsidentin möglich. Eine öffentliche deutsche Zuordnung gibt es bisher nicht. Laut Agrarzeitung (10.11.2026) beschäftigen sich inzwischen Geheimdienste mit den Angriffen auf Supermarkt-Kühlanlagen; welche Behörde, steht im frei lesbaren Teil nicht (Quelle (https://agrarzeitung.de/nachrichten/wirtschaft/kuehlanlagen-geheimdienste-ermitteln-wegen-cyberattacken-auf-supermaerkte-160096)).

- Offen: Wann der Angriff in Bocholt war

- Offen: Welche Kühltechnik und welcher Hersteller im Einsatz ist

- Offen: Ob der Zugang über einen Wartungsdienstleister oder ein direkt erreichbares Gerät lief

- Offen: Wer dahintersteckt und ob ein Zusammenhang mit der europäischen Welle besteht

- Offen: Ob Polizei oder Staatsanwaltschaft ermitteln

## 2. Was ist die Auswirkung?

- Belegt: Laut BBV-Überschrift hat ein Überwachungssystem einen „riesigen Schaden“ verhindert (Quelle (https://www.bbv-net.de/bocholt/hackerangriff-bocholt-abh-cateringunternehmen-kuehlanlagen-ueberwachung-verhindert-schaden-w1273057-6000661438)).

- Belegt: Zum Vergleich: In Lilienthal bei Bremen musste ein Händler laut eigener Aussage Ware für über 360.000 Euro wegwerfen, in Reisbach (Niederbayern) wurden Kühlanlagen laut Markt auf bis zu 50 Grad hochgeheizt (Quelle (https://www.zdfheute.de/politik/deutschland/cyberangriff-supermaerkte-nrw-bayern-temperatur-100.html)).

- Belegt: Das BSI sieht die Versorgungssicherheit in Deutschland nicht gefährdet (Quelle (https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261013_OT-Gefaehrdung-Kleinanlagen.html)).

- Vermutlich: Der Schaden in Bocholt ist deutlich kleiner als bei den Supermärkten mit Totalverlust der Kühlware (zu 70 % sicher). Überschrift sagt ausdrücklich, Überwachung habe großen Schaden verhindert. Ohne Volltext bleibt die Größenordnung offen.

- Offen: Ob in Bocholt Ware entsorgt werden musste und wie viel

- Offen: Ob Kunden oder Veranstaltungen betroffen waren

- Offen: Höhe eines möglichen Schadens

## 3. Wie lange dauert es digital (Wiederherstellung IT)?

- Belegt: CERT-FR empfiehlt für kompromittierte Geräte (Stand 16.10.2026): Internet-Erreichbarkeit entfernen, Gerät neu starten oder auf Werkseinstellung zurücksetzen, neu konfigurieren, Zugang nur per VPN oder geschütztem Netz wiederherstellen, Herstellerempfehlungen wie Firmware-Updates umsetzen. Ein Reset allein reicht laut CERT-FR nicht, weil das Gerät verwundbar bleibt. Vor dem Kappen der Verbindung zum Kältedienstleister sollen Betreiber ihre Versicherungsbedingungen prüfen (Quelle (https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012)).

- Vermutlich: Die reine Wiederherstellung der Kühlsteuerung dauert Stunden bis wenige Tage, nicht Wochen (zu 60 % sicher). Bei diesem Angriffsmuster werden Sollwerte und Abtauzyklen verstellt, keine Daten verschlüsselt. Länger dauert der sichere Neuaufbau des Fernzugangs oder ein Gerätetausch bei Altgeräten.

- Offen: Wie lange die Kühlung in Bocholt gestört war

- Offen: Ob andere IT-Systeme des Betriebs betroffen waren

## 4. Ist in der Anlage etwas kaputt, das lange dauert?

- Belegt: CISA und FBI warnen, dass erzwungene Heiz- und Abtauzyklen die Lebensdauer der Anlagen verkürzen und Brandgefahr erzeugen können (Quelle (https://www.cisa.gov/resources-tools/resources/us-government-partners-urge-hardening-industrial-refrigeration-and-cold-chain-monitoring-systems)).

- Belegt: In Frankreich gab es laut Bericht rund 20 Brände (Quelle (https://www.kurierverlag.de/politik/cyberangriff-auf-supermaerkte-frankreich-macht-iran-verantwortlich-zr-94582637.html)).

- Belegt: Danfoss erklärte, die meisten betroffenen Geräte seien Altmodelle (AK-SM 800, AK-SC 355) ohne Sicherheitsupdates (Quelle (https://betanews.com/article/danfoss-fridge-attack-france-supermarket/)).

- Vermutlich: In Bocholt ist kein länger dauernder Hardwareschaden entstanden (zu 55 % sicher). Frühe Erkennung durch Überwachung spricht dagegen. Ohne Angaben zur Dauer ist es nur eine Schätzung.

- Vermutlich: Falls ein nicht mehr unterstützter Controller im Einsatz ist, muss er ersetzt werden, was je nach Lieferzeit Wochen dauern kann (zu 40 % sicher). In der Welle waren viele Altgeräte betroffen. Für Bocholt ist der Gerätetyp unbekannt.

- Offen: Ob in Bocholt Hardware beschädigt wurde

- Offen: Welches Gerät dort läuft und ob es noch Updates bekommt

## 5. Wie viele solcher Ziele gibt es?

- Belegt: Censys fand am 11.10.2026 insgesamt 2.991 aus dem Internet erreichbare Danfoss-StoreView-Steuerungen, davon 1.825 in Frankreich. In Frankreich sank die Zahl bis zum 14.10. auf 537, rund 71 Prozent weniger (Quelle (https://www.infosecurity-magazine.com/news/france-expose-danfoss-controllers/)).

- Belegt: Der unabhängige Forscher Anurag Sen fand laut SAN (04.11.2026) 10.354 über öffentliche Webseiten erreichbare Kühlsteuerungen in Europa und 2.843 in den USA; die meisten in Italien, danach USA, Frankreich, Griechenland und Deutschland. Sen räumt ein, dass sein Scan auch andere Danfoss-Geräte wie Antriebe erfasst haben kann (Quelle (https://san.com/cc/us-supermarket-refrigerators-among-thousands-vulnerable-to-cyberattacks/)).

- Belegt: Laut Shadowserver waren Mitte Oktober noch rund 350 Danfoss AK-SM 800A und 1.173 Copeland XWEB Pro/Evo aus dem Internet erreichbar (Quelle (https://www.cybersecuritydive.com/news/thousands-refrigerator-devices-exposed-french-cyberattack/833117/)).

- Belegt: CERT-FR nennt neben Danfoss AK-SC/AK-SM auch Copeland XWEB und Dixell XWEB als betroffene Produktfamilien (Quelle (https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012)).

- Belegt: Forescout zählte per Shodan 12.976 erreichbare Kühlanlagen-Dienste auf 6.017 öffentlichen IP-Adressen in 99 Ländern (Blog vom 22.10.2026) (Quelle (https://www.forescout.com/blog/cold-chain-open-control-exposed-refrigeration-systems-reveal-global-risk/)).

- Vermutlich: In Deutschland sind weiterhin mehrere Hundert Kühlsteuerungen direkt aus dem Internet erreichbar (zu 60 % sicher). Europaweite Zählungen gehen in die Tausende, die Zahlen sinken aber deutlich. Eine DE-Zahl liegt mir nicht belegt vor.

- Offen: Eine belastbare Zahl erreichbarer Kühlsteuerungen in Deutschland

- Offen: Wie viele deutsche Betriebe bisher betroffen waren

## 6. Kann das wieder passieren?

- Belegt: CERT-FR warnt, die Angriffe laufen wahrscheinlich weiter (Quelle (https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012)).

- Belegt: BSI-CS 154 „Gefährdung durch internet-verbundene OT-Systeme“ (Allianz für Cyber-Sicherheit), laut BSI-Pressemitteilung vom 13.10.2026 (aktualisiert 03.11.2026): direkten Internetzugriff auf Steuerungen zuallererst unterbinden, Fernzugriff per VPN mit Multifaktor-Schutz, Sicherheitsupdates zeitnah einspielen, regelmäßig prüfen, ob Geräte aus dem Internet erreichbar sind (Quelle (https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261013_OT-Gefaehrdung-Kleinanlagen.html)).

- Belegt: CISA/FBI (05.11.2026) empfehlen zusätzlich Sollwert-Grenzen mit Alarm bei Abweichung, Logging und Austausch von End-of-Life-Geräten (Quelle (https://www.cisa.gov/resources-tools/resources/us-government-partners-urge-hardening-industrial-refrigeration-and-cold-chain-monitoring-systems)).

- Vermutlich: Weitere Angriffe auf Kühlanlagen in Deutschland in den nächsten Wochen (zu 75 % sicher). Zwei Wellen binnen drei Wochen, einfache Methode, CERT-FR und BSI erwarten Fortsetzung bzw. Nachahmer.

- Offen: Welche Maßnahmen ABH seitdem umgesetzt hat

## Vergleichsfälle

- Französische Supermärkte (Intermarché, Coopérative U u. a.) (2026): Direkt erreichbare Kühlsteuerungen ohne Updates lassen sich mit einfachsten Mitteln massenhaft angreifen. (Quelle (https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012))

- Blutbanken des französischen EFS (2026): Unabhängige Temperaturalarme und reagierendes Personal haben das Plasma gerettet, ähnlich wie offenbar in Bocholt. (Quelle (https://www.dw.com/en/french-blood-banks-targeted-by-refrigerator-cyberattack/a-79857981))

- AWO-Markt Wetter-Volmarstein (2026): Der Angriff zielte laut Betreiber auf den Fernwartungsdienstleister, nicht auf den Markt selbst. (Quelle (https://www.zdfheute.de/politik/deutschland/cyberangriff-supermaerkte-nrw-bayern-temperatur-100.html))

- Edeka Reisbach (2026): Ohne frühe Erkennung bleibt nur das Entsorgen der Ware. (Quelle (https://www.zdfheute.de/politik/deutschland/cyberangriff-supermaerkte-nrw-bayern-temperatur-100.html))

[Bild: Schema: CERT-FR: kompromittierte Kühlsteuerung absichern]

## Quellen

- https://www.bbv-net.de/bocholt/hackerangriff-bocholt-abh-cateringunternehmen-kuehlanlagen-ueberwachung-verhindert-schaden-w1273057-6000661438

- https://www.bocholt.de/en/holtwick

- https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261013_OT-Gefaehrdung-Kleinanlagen.html

- https://www.france24.com/en/europe/20261109-iran-revolutionary-guards-behind-cyberattacks-on-supermarket-fridges-says-french-fm-barrot

- https://www.zdfheute.de/politik/deutschland/cyberangriff-supermaerkte-nrw-bayern-temperatur-100.html

- https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012

- https://www.cisa.gov/resources-tools/resources/us-government-partners-urge-hardening-industrial-refrigeration-and-cold-chain-monitoring-systems

- https://www.kurierverlag.de/politik/cyberangriff-auf-supermaerkte-frankreich-macht-iran-verantwortlich-zr-94582637.html

- https://betanews.com/article/danfoss-fridge-attack-france-supermarket/

- https://www.infosecurity-magazine.com/news/france-expose-danfoss-controllers/

- https://www.cybersecuritydive.com/news/thousands-refrigerator-devices-exposed-french-cyberattack/833117/

- https://san.com/cc/us-supermarket-refrigerators-among-thousands-vulnerable-to-cyberattacks/

- https://www.forescout.com/blog/cold-chain-open-control-exposed-refrigeration-systems-reveal-global-risk/

- https://agrarzeitung.de/nachrichten/wirtschaft/kuehlanlagen-geheimdienste-ermitteln-wegen-cyberattacken-auf-supermaerkte-160096

- https://www.dw.com/en/french-blood-banks-targeted-by-refrigerator-cyberattack/a-79857981

Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder (/vorfaelle/).

Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene.

Korrigiert am 12.11.2026: Update 12.11.2026: Quellen am Original geprüft, sechs Stellen präzisiert.

Passt zu: Schritt 3: Sehen, was im Netz passiert (/schritte/sehen/)Schritt 1: Für den Notfall vorbereitet (/schritte/notfall/)

In der Simulation ausprobieren: So läuft ein Angriff auf eine Anlage, so funktioniert die Response. Fiktive Anlagen im Browser, ohne Installation.
Zu den Simulationen (/simulationen/)

[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 12.11.2026
Fragen? Wir helfen auch. (/kontakt/#anfrage) Notfall? 24/7 anrufen: +49 8031 8603164 (tel:+4980318603164)
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-caterer-in-holtwick-ueberwachung-bremst-kuehlangriff.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-caterer-in-holtwick-ueberwachung-bremst-kuehlangriff.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-caterer-in-holtwick-ueberwachung-bremst-kuehlangriff.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-caterer-in-holtwick-ueberwachung-bremst-kuehlangriff.html&text=Vorfall-Lagebild%3A%20Caterer%20in%20Holtwick)WhatsApp (https://wa.me/?text=Vorfall-Lagebild%3A%20Caterer%20in%20Holtwick%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-caterer-in-holtwick-ueberwachung-bremst-kuehlangriff.html)E-Mail (mailto:?subject=Vorfall-Lagebild%3A%20Caterer%20in%20Holtwick&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-caterer-in-holtwick-ueberwachung-bremst-kuehlangriff.html)