# Vorfall-Lagebild: Erster Schweizer Kühlanlagen-Hack: Metzgerei Köniz

Von Max Gilg · 05.11.2026 · 7 Min. Lesezeit

Kurz gesagt: Erstmeldung zu „Erster Schweizer Kühlanlagen-Hack: Metzgerei Köniz“: was bekannt ist, was offen ist und was wahrscheinlich passiert ist.
Vorfall-Lagebild · Erstmeldung · Stand 05.11.2026 13:35

[Bild: Infografik: Erster Kühlanlagen-Hack der Schweiz: Metzgerei Köniz]

So viel ist belegt: rund 39 % der Fragen lassen sich mit Quellen beantworten, 27 % nur mit Vermutungen, 34 % sind offen.

Lüthi's Fleischwaren schreibt, ein gezielter Cyberangriff habe die elektronische Steuerung der Kühl- und Tiefkühlanlagen ihrer Filiale in Köniz-Liebefeld manipuliert. Die Anlagen wurden vom Netz(werk) getrennt, die Filiale bleibt bis voraussichtlich 20. November zu. Laut SDA und SRF ist es der erste öffentlich bekannte (laut SRF: der erste erfolgreiche) Fall dieser Art in der Schweiz. Er fällt in eine europäische Angriffswelle auf internetverbundene Kältesteuerungen, die am 11. und 12. Oktober in Frankreich begann und sich in der Nacht auf den 2. November auf weitere Länder ausgeweitet hat.

## 1. Was ist passiert, und warum?

- Belegt: Die Metzgerei schreibt: «Durch einen gezielten Cyberangriff wurde die elektronische Steuerung unserer Kühl- und Tiefkühlanlagen manipuliert» (Quelle (https://www.bluewin.ch/de/news/erster-bekannter-cyberangriff-auf-kuehlanlage-in-der-schweiz-li.3662789)).

- Belegt: Im Flyer ist von «erheblichen Temperaturabweichungen» die Rede. Die Anlage wurde vom Netzwerk getrennt und die Filiale vorübergehend geschlossen (Quelle (https://www.srf.ch/news/schweiz/kuehlanlage-manipuliert-nun-auch-in-der-schweiz-metzgerei-opfer-von-hackerangriff)).

- Belegt: Betroffen ist die Filiale an der Könizstrasse 235 in Köniz-Liebefeld. Laut Blick hat die Kette insgesamt vier Standorte (Quelle (https://www.blick.ch/wirtschaft/berner-metzg-kette-gehackt-filiale-muss-schliessen/zbezgn0)).

- Belegt: CERT-FR meldet seit dem 12.10.2026 zahlreiche Kompromittierungen von Fernsteuerungen für Kälteanlagen (Danfoss AK-SC und AK-SM, Copeland xweb, Dixell xweb). Grundproblem sind Verwaltungsoberflächen, die aus dem Internet erreichbar sind (Quelle (https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/)).

- Vermutlich: Der Fall gehört zur europäischen Angriffswelle auf Kältesteuerungen (zu 70 % sicher). Zeitliche Nähe zur Welle in der Nacht auf den 2.11., gleiches Schadensbild (Temperatur hoch). 20 Minuten spricht von Angriffen «in den vergangenen Tagen». Einen technischen Beleg gibt es nicht.

- Vermutlich: Der Zugriff lief über eine aus dem Internet erreichbare Oberfläche der Kältesteuerung (zu 65 % sicher). Das ist laut CERT-FR, Danfoss und Medien das gemeinsame Muster der Welle. Für Köniz ist es nicht bestätigt.

- Offen: Wann genau der Angriff in Köniz stattfand

- Offen: Welcher Hersteller und welche Steuerung betroffen sind

- Offen: Wie die Angreifer Zugriff bekamen

- Offen: Wer dahintersteckt und mit welchem Motiv

- Offen: Ob der Fall technisch mit der europäischen Welle zusammenhängt

## 2. Was ist die Auswirkung?

- Belegt: Die Filiale ist geschlossen, die Wiedereröffnung ist für den 20. November geplant, sofern die Anlagen wieder zuverlässig kühlen (Quelle (https://www.radiocentral.ch/news/schweiz/erster-bekannter-cyberangriff-auf-kuehlanlage-in-der-schweiz-165930767)).

- Belegt: Laut Inhaberin bzw. Inhaber erreichte der Tiefkühler 50 bis 70 Grad. Gefrorenes Fleisch war «wie gekocht», Preisschilder geschmolzen, und der Raum war nur mit Gesichtsmaske zu betreten (Quelle (https://www.srf.ch/news/schweiz/kuehlanlage-manipuliert-nun-auch-in-der-schweiz-metzgerei-opfer-von-hackerangriff)).

- Belegt: Die anderen Filialen sind laut Berichten nicht betroffen, gemeldet wird nur die Schließung in Köniz (Quelle (https://www.blick.ch/wirtschaft/berner-metzg-kette-gehackt-filiale-muss-schliessen/zbezgn0)).

- Vermutlich: Die gesamte Kühl- und Tiefkühlware der Filiale musste entsorgt werden (zu 75 % sicher). 50 bis 70 Grad und «wie gekocht» lassen kaum etwas anderes zu. Eine Zahl dazu ist nicht veröffentlicht.

- Vermutlich: Für die Bevölkerung bestand kein Gesundheitsrisiko (zu 70 % sicher). Der Betreiber hat sofort geschlossen, um Risiken für die Lebensmittelsicherheit auszuschließen. Es gibt keine Meldung über Rückrufe oder Erkrankungen.

- Offen: Wie viel Ware vernichtet wurde und wie hoch der Schaden in Franken ist

- Offen: Ob verdorbene Ware verkauft wurde (es gibt keinen Hinweis darauf)

- Offen: Ob auch die anderen drei Standorte gleiche Steuerungen haben

## 3. Wie lange dauert es digital (Wiederherstellung IT)?

- Belegt: Laut Betreiber werden sämtliche Prozesse und Anlagen geprüft, Ziel ist die Wiedereröffnung am 20.11 (Quelle (https://www.radiocentral.ch/news/schweiz/erster-bekannter-cyberangriff-auf-kuehlanlage-in-der-schweiz-165930767)).

- Belegt: CERT-FR: Ein Werksreset entfernt zwar die Kontrolle der Angreifer, das Gerät bleibt aber verwundbar. Ohne Updates und ohne die Erreichbarkeit aus dem Internet zu beenden, ist eine erneute Übernahme wahrscheinlich. Empfohlen werden außerdem Konfigurationsprüfung (Abtauzeiten), Zugang nur per VPN, Firmware-Update und Wechsel der Standardpasswörter (Quelle (https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/)).

- Vermutlich: Die reine Neueinrichtung der Steuerung dauert Tage. Die Zeit bis zum 20.11. geht vor allem in Prüfung, Reinigung und sichere Neuanbindung (zu 55 % sicher). Plausibel nach den CERT-FR-Empfehlungen, aber zur Arbeit in Köniz gibt es keine Details.

- Vermutlich: Ältere Steuerungen ohne Updates werden ersetzt statt nur zurückgesetzt (zu 40 % sicher). Danfoss nennt veraltete Produkte als Hauptbetroffene, CERT-FR hält einen Reset bei End-of-Life-Geräten nicht für ausreichend. Das Alter der Anlage in Köniz ist unbekannt.

- Offen: Ob die Steuerung ersetzt oder nur neu eingerichtet wird

- Offen: Ob für das betroffene Modell überhaupt noch Firmware-Updates verfügbar sind

## 4. Ist in der Anlage etwas kaputt, das lange dauert?

- Belegt: Der Betreiber macht die Wiedereröffnung davon abhängig, dass die Anlagen wieder zuverlässig kühlen (Quelle (https://www.radiocentral.ch/news/schweiz/erster-bekannter-cyberangriff-auf-kuehlanlage-in-der-schweiz-165930767)).

- Belegt: In Belgien haben die Angreifer Kühlgeräte in den Abtaumodus geschaltet, andernorts wurden Sollwerte auf bis zu 50 Grad gestellt (Quelle (https://thehackernews.com/2026/11/second-wave-of-cyberattacks-hits.html)).

- Vermutlich: Die Kältetechnik selbst ist weitgehend intakt, der Aufwand liegt bei Reinigung, Desinfektion und Steuerung (zu 55 % sicher). Abtauen bzw. Heizen ist eine normale Betriebsfunktion. Aus der Welle sind bisher keine Hardwareschäden berichtet worden. Für Köniz ist das nicht geprüft.

- Vermutlich: Der Kühlraum muss wegen Geruch und Hygiene aufwendig gereinigt werden, eventuell auch mit Ersatz von Dichtungen oder Einbauten (zu 50 % sicher). Gekochtes Fleisch, geschmolzene Etiketten und Maskenpflicht deuten auf starke Belastung hin. Konkrete Angaben fehlen.

- Offen: Ob Verdichter, Ventile oder Verdampfer Schaden genommen haben

- Offen: Wie lange die Hitze angehalten hat

[Bild: Diagramm: Offen erreichbare OT-Protokolle in der Schweiz (Quelle: Shodan (aggregiert))]

## 5. Wie viele solcher Ziele gibt es?

- Belegt: Laut Claroty-Zahlen, über die OCCRP berichtet, waren trotz eines Danfoss-Updates aus dem August 2025 weiterhin 2.765 Danfoss-Controller im Internet erreichbar (weltweit) (Quelle (https://www.occrp.org/en/news/hackers-turn-french-supermarket-refrigerators-into-furnaces)).

- Belegt: Betroffen waren Ketten in Belgien, Schweden, Irland, Estland, den Niederlanden, Finnland, Portugal und Italien, keine Kette mit mehr als einigen Dutzend Märkten (Quelle (https://thehackernews.com/2026/11/second-wave-of-cyberattacks-hits.html)).

- Belegt: Coop Schweiz hat Angriffsversuche registriert, die laut Coop erfolglos blieben. Migros hatte keine Hinweise auf einen Angriff (Quelle (https://www.20min.ch/story/seit-mitte-oktober-mysterioese-hacking-welle-trifft-europaeische-supermaerkte-103660687)).

- Belegt: Die Zahl der in Frankreich betroffenen Märkte wird unterschiedlich angegeben: Die Polizei spricht von bis zu 700, andere Berichte von 150 oder 350 (Quelle (https://www.netzwoche.ch/news/2026-11-02/update-angriffe-auf-kuehlanlagen-treffen-weitere-supermaerkte-auch-coop-im-visier)).

- Belegt: Shodan (aggregiert): OT-Protokolle öffentlich erreichbar in Schweiz: 50064 gesamt (DNP3 14837, EtherNet/IP 14138, ProConOS 14096, Modbus 1954, Siemens S7 594, OPC UA 388).

- Vermutlich: In der Schweiz sind dreistellig viele Kältesteuerungen verschiedener Hersteller aus dem Internet erreichbar (zu 35 % sicher). Reine Schätzung aus der weltweiten Zahl. Eine eigene Shodan-Zählung für CH wäre vor dem Interview nötig.

- Vermutlich: Kleine Betriebe wie Metzgereien, Bäckereien und Gastronomie sind stärker gefährdet als große Ketten (zu 65 % sicher). Coop wehrte die Versuche ab. Kleine Betriebe überlassen die Fernwartung meist dem Kältebauer und haben keine eigene IT-Sicherheit. Das BSI richtet seine Empfehlung gezielt an Betreiber kleiner Anlagen.

- Offen: Wie viele Kältesteuerungen in der Schweiz aus dem Internet erreichbar sind (keine öffentliche Zahl gefunden)

- Offen: Ob das BACS eine eigene Warnung veröffentlicht hat (nicht gefunden, nicht geprüft)

## 6. Kann das wieder passieren?

- Belegt: CERT-FR hält laufende Kampagnen für wahrscheinlich und bewertet exponierte End-of-Life-Geräte als hoch gefährdet (Quelle (https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/)).

- Belegt: Nach Frankreich (Oktober) folgte in der Nacht auf den 2.11. eine zweite Welle in mehreren Ländern. Bekannt hat sich bisher niemand dazu (Quelle (https://thehackernews.com/2026/11/second-wave-of-cyberattacks-hits.html)).

- Belegt: Das BSI empfiehlt: kein direkter Zugriff aus dem Internet, Fernwartung nur per VPN mit Mehrfaktor, Updates zeitnah, regelmäßig prüfen, ob Geräte von außen erreichbar sind (BSI-CS 154) (Quelle (https://www.drweb.de/bsi-warnt-betreiber-kleiner-kuehlanlagen-vor-nachahmern-des/)).

- Vermutlich: In den kommenden Wochen werden weitere Fälle in der Schweiz oder in DACH bekannt (zu 70 % sicher). Zwei Wellen in drei Wochen, viele ungepatchte Geräte, Versuche bei Coop. Die Medienaufmerksamkeit führt außerdem dazu, dass mehr Fälle gemeldet werden.

- Vermutlich: Nachahmer nutzen die Bekanntheit der Methode (zu 50 % sicher). Das BSI warnt ausdrücklich vor Nachahmern. Belege für konkrete Nachahmer gibt es nicht.

- Offen: Ob die Täter weitere Wellen planen

- Offen: Ob in der Schweiz weitere, nicht öffentlich gemachte Fälle existieren

## Vergleichsfälle

- Französische Supermärkte (Danfoss-Steuerungen) (2026): Aus dem Internet erreichbare Kältesteuerungen mit alter Firmware sind ein Massenziel, ein Reset allein hilft nicht. (Quelle (https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/))

- Zweite Welle Europa (Delhaize, SuperValu, Selver u. a.) (2026): Selbst bei einer verstellten Temperatur auf 50 Grad blieb der Schaden in Estland gering, weil Alarm und Reaktion in rund 10 Minuten griffen. (Quelle (https://thehackernews.com/2026/11/second-wave-of-cyberattacks-hits.html))

- EFS Blutplasma-Tiefkühler Frankreich (2026): Es betrifft nicht nur den Handel, auch Gesundheitswesen und Kühlketten-Dienstleister sind im Visier. (Quelle (https://cybersecuritynews.com/french-blood-plasma-freezers-hacked))

- Russische Supermärkte mit Danfoss AK-SM 800 (2022): Das Risiko war seit Jahren bekannt. (Quelle (https://en.wikipedia.org/wiki/2026_French_supermarket_refrigerator_hack))

[Bild: Schema: CERT-FR: So sichern Sie Kältesteuerungen]

## Quellen

- https://www.bluewin.ch/de/news/erster-bekannter-cyberangriff-auf-kuehlanlage-in-der-schweiz-li.3662789

- https://www.srf.ch/news/schweiz/kuehlanlage-manipuliert-nun-auch-in-der-schweiz-metzgerei-opfer-von-hackerangriff

- https://www.blick.ch/wirtschaft/berner-metzg-kette-gehackt-filiale-muss-schliessen/zbezgn0

- https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012/

- https://www.radiocentral.ch/news/schweiz/erster-bekannter-cyberangriff-auf-kuehlanlage-in-der-schweiz-165930767

- https://thehackernews.com/2026/11/second-wave-of-cyberattacks-hits.html

- https://www.occrp.org/en/news/hackers-turn-french-supermarket-refrigerators-into-furnaces

- https://www.20min.ch/story/seit-mitte-oktober-mysterioese-hacking-welle-trifft-europaeische-supermaerkte-103660687

- https://www.netzwoche.ch/news/2026-11-02/update-angriffe-auf-kuehlanlagen-treffen-weitere-supermaerkte-auch-coop-im-visier

- https://www.drweb.de/bsi-warnt-betreiber-kleiner-kuehlanlagen-vor-nachahmern-des/

- https://en.wikipedia.org/wiki/2026_French_supermarket_refrigerator_hack

- https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-03

- https://thehackernews.com/2026/10/attackers-heat-french-supermarket.html

- https://cybersecuritynews.com/french-blood-plasma-freezers-hacked

Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder (/vorfaelle/).

Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene.

[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Für Redaktionen ordnet er Angriffe kurzfristig ein. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 05.11.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-erster-schweizer-kuehlanlagen-hack-metzgerei-koeniz.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-erster-schweizer-kuehlanlagen-hack-metzgerei-koeniz.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-erster-schweizer-kuehlanlagen-hack-metzgerei-koeniz.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-erster-schweizer-kuehlanlagen-hack-metzgerei-koeniz.html&text=Vorfall-Lagebild%3A%20Erster%20Schweizer%20K%C3%BChlanlagen-Hack%3A%20Metzgerei%E2%80%A6)WhatsApp (https://wa.me/?text=Vorfall-Lagebild%3A%20Erster%20Schweizer%20K%C3%BChlanlagen-Hack%3A%20Metzgerei%E2%80%A6%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-erster-schweizer-kuehlanlagen-hack-metzgerei-koeniz.html)E-Mail (mailto:?subject=Vorfall-Lagebild%3A%20Erster%20Schweizer%20K%C3%BChlanlagen-Hack%3A%20Metzgerei%E2%80%A6&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-erster-schweizer-kuehlanlagen-hack-metzgerei-koeniz.html)