Kühlanlagen aus dem Internet erreichbar: die BACS-Warnung und was Betriebe prüfen sollten
Das BACS meldet Angriffe auf aus dem Internet erreichbare Kältesteuerungen, auch in der Schweiz: Temperaturen und Alarme werden aus der Ferne verändert. Wer betroffen ist, die empfohlenen Massnahmen und fünf Fragen an den Kältetechniker.
Am 10. November 2026 hat das Bundesamt für Cybersicherheit (BACS) eine Warnung zu Kühl- und Kältesteuerungen veröffentlicht. Angriffe, die in den letzten Wochen in mehreren europäischen Ländern bekannt wurden, betrafen auch die Schweiz. Das BACS weist darauf hin, dass diese Systeme auch in kleinen und mittleren Unternehmen weit verbreitet sind.
Das ist kein reines Thema des Detailhandels. Ein Kühlraum im Restaurant, die Theke einer Metzgerei oder der Medikamentenkühlschrank in der Apotheke können über eine Steuerung mit Weboberfläche laufen. Ist diese Oberfläche aus dem Internet erreichbar, kann jeder, der sie findet, einen Zugriff versuchen.
Was passiert ist
Am 12. Oktober 2026 meldete das CERT-FR, das Incident-Response-Zentrum der französischen Behörde ANSSI, zahlreiche Kompromittierungen von Fernsteuerungen für Kälteanlagen. Die am 13. und 16. Oktober aktualisierte Warnung betrifft die Danfoss-Serien AK-SM und AK-SC sowie die Supervisoren Copeland und Dixell XWEB.
Laut BACS standen zunächst drei Danfoss-Systeme im Fokus: die abgekündigten Produkte AK-SM 800 System Manager und AK-SC 355 sowie die aktuelle Produktfamilie AK-SM 800A / AK-SM 8xxA, sofern sie mit veralteter Firmware läuft. Später wurden auch Systeme der Familie Copeland/Dixell XWEB als potenziell gefährdet eingestuft.
Das vom BACS beschriebene Muster ist einfach: Die Angreifer gelangen über direkt aus dem Internet erreichbare Verwaltungsoberflächen ins System und ändern danach aus der Ferne Temperaturen, Abtauzyklen, Alarmschwellen oder Benachrichtigungseinstellungen. Die Folge können verdorbene Lebensmittel oder Medikamente, finanzielle Schäden und Betriebsunterbrüche sein. Im Ausland wurden auch Fälle im Gesundheitswesen gemeldet.
Wer betroffen ist
Das BACS nennt unter anderem:
- Metzgereien und Lebensmittelproduktionsbetriebe;
- Restaurants und Hotels;
- Apotheken;
- Arztpraxen und Laboratorien;
- Logistik- und Lagerbetriebe;
- Industrie- und Produktionsanlagen;
- landwirtschaftliche Betriebe.
Für ein Tessiner KMU liegt der kritische Punkt oft woanders: Vielen Unternehmen ist laut BACS nicht bewusst, dass ihre Anlage direkt oder indirekt aus dem Internet erreichbar ist oder von einem externen Dienstleister betrieben wird. Der Kältetechniker installiert die Steuerung, schaltet den Fernzugriff für den Service frei, und danach betrachtet sie im Betrieb niemand mehr als Teil der Informatik.
Die empfohlenen Massnahmen
| Massnahme | Was das konkret bedeutet |
|---|---|
| Inventar erstellen | Prüfen, ob im Unternehmen Kühl- oder Kältesteuerungen eingesetzt werden, auch solche, die von externen Dienstleistern gewartet oder betrieben werden. |
| Firmware aktualisieren | Den Empfehlungen des Herstellers folgen. Für AK-SM 800A / AK-SM 8xxA gibt es Updates, die die bekannten Schwachstellen schliessen und verschlüsselte Kommunikation über HTTPS erzwingen. |
| Direkten Internetzugang entfernen | Verwaltungsoberflächen nicht exponieren; Zugriff nur von vertrauenswürdigen IP-Adressen oder über VPN, über einen zentral verwalteten Zugangspunkt. |
| Standardpasswörter ändern | Sofort, mit starken, individuellen und unterschiedlichen Passwörtern. |
| Nicht mehr unterstützte Systeme schützen oder ersetzen | Modelle ohne Sicherheitsupdates dürfen nicht aus dem Internet erreichbar sein und sollten so rasch wie möglich ersetzt werden. |
Das CERT-FR ergänzt einige nützliche Details. Für Danfoss-Geräte empfiehlt es, die Firmware zu aktualisieren, die Sicherheitsstufe auf den Modus «Strict» zu setzen und sicherzustellen, dass die Standardpasswörter geändert wurden. Bevor die Datenverbindung zum Kältetechniker gekappt wird, sollten die Bedingungen des Versicherungsvertrags geprüft werden. Ein Filter auf die IP-Adressen des Dienstleisters in der Firewall ist nur als Notlösung akzeptabel, nicht als Dauerlösung.
Fünf Fragen an den eigenen Kältetechniker
- Welche Steuerungen haben wir, welcher Hersteller und welches Modell, mit welcher Firmware-Version?
- Ist die Verwaltungsoberfläche über eine öffentliche IP-Adresse aus dem Internet erreichbar?
- Wie verbinden Sie sich für den Service: VPN, IP-Filter oder offener Zugang?
- Wurden die Standardpasswörter geändert? Wer kennt sie?
- Erhält das Modell noch Sicherheitsupdates vom Hersteller?
Dieselbe Überlegung gilt für jedes vernetzte Gerät. Auf seiner Seite zu den Massnahmen zum Schutz von IoT-Geräten erinnert das BACS daran, dass aus dem Internet erreichbare Geräte von jedermann mit einem Portscanner oder einer spezialisierten Suchmaschine gefunden werden können. Darüber haben wir auch im Beitrag zu NAS, Plex und Portweiterleitung geschrieben.
Wenn die Anlage bereits manipuliert wurde
Das CERT-FR empfiehlt, die Erreichbarkeit aus dem Internet aufzuheben, die gesamte Konfiguration zu prüfen, insbesondere die Abtauzeiten, das Gerät neu zu starten oder auf Werkseinstellungen zurückzusetzen und neu zu konfigurieren sowie den Zugang nur noch über VPN oder ein geschütztes Netz wiederherzustellen. Es warnt aber, dass ein Zurücksetzen allein bei einem nicht mehr unterstützten, weiterhin exponierten Gerät nicht genügt: Es würde sehr wahrscheinlich erneut kompromittiert.
Vorfälle können dem BACS gemeldet werden. Für Betreiber kritischer Infrastrukturen gilt zudem die Meldepflicht für Cyberangriffe innert 24 Stunden nach der Entdeckung.
Unser Ansatz
ElaraTeq Sagl unterstützt KMU, Gastrobetriebe, Hotels und Praxen im Tessin dabei, vernetzte Geräte zu inventarisieren, unnötige Zugänge zu schliessen und den Fernzugriff von Dienstleistern über VPN zu organisieren (Beratung, Hosting in der Schweiz). Unser Beitrag zur Studie KMU-Cybersicherheit 2026 zeigt, warum die organisatorische Seite ebenso zählt wie die technische. Für eine Prüfung Ihrer Situation können Sie uns kontaktieren.
Quellen
- BACS, Kühl- und Kältesteuerungen: Systeme identifizieren, aktualisieren und schützen, 10. November 2026
- CERT-FR, CERTFR-2026-ALE-012, Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération, 12. Oktober 2026 (aktualisiert am 16. Oktober)
- BSI, Gefährdung durch internet-verbundene OT-Systeme, 13. Oktober 2026
- BACS, Massnahmen zum Schutz von IoT-Geräten
- BACS, Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
