Gehackte Kühlanlagen: Was Unternehmen prüfen sollten – und wann das NISG 2026 greift

Cyberangriff auf Supermärkte: Wenn die Kühlung zum Angriffsziel wird

Im Oktober 2026 manipulierten Angreifer die Kühlsteuerungen französischer Supermärkte. Sie änderten die Solltemperaturen und die Abtauvorgänge, wodurch die Temperaturen teilweise auf bis zu 50 Grad Celsius stiegen. Zunächst schätzte Cooling Post die Zahl der von diesem Cyberangriffbetroffenen Märkte auf rund 500, doch Frankreichs Außenminister nannte am 9. November eine Zahl von rund 700 • [Fußnote: Cooling Post, 12.10.2026; tagesschau, 09.11.2026] . Laut Medienberichten gab es auch Angriffe in Deutschland, Belgien, Schweden, Irland, Luxemburg, Estland, Finnland und den Niederlanden. In einer bayerischen Metzgerei wurden die Sollwerte sogar auf bis zu 150 Grad Celsius eingestellt. BR24 berichtet von einem Schaden in Höhe von mehreren zehntausend Euro. Es gibt Verdachtsmomente, doch die Urheberschaft ist bislang ungeklärt.

Auch Produktion, Lager und Gebäudetechnik nutzen vernetzte Steuerungen – „Operational Technology“ (OT) für physische Abläufe.

Was steckt technisch hinter dem Angriff auf die Kühltruhen in Frankreich?

Dem Kühlanlagenhersteller Danfoss zufolge waren ältere Geräte und neuere Systeme mit veralteter Firmware betroffen. Für die betroffenen Altmodelle werden keine Updates mehr bereitgestellt • [Fußnote: bereitgestellt] .

Claroty fand Sicherheitslücken in Copeland/Dixell-XWEB-Pro-Fernwartungscontrollern, darunter Authentifizierungsumgehung und Befehlsinjektionen • [Fußnote: Claroty Team82, 09.08.2026] . Im Test konnten Temperaturanzeigen manipuliert und Kühlkomponenten abgeschaltet werden. Ein Update behob die Lücken. Eine Ausnutzung dieser Lücken bei Angriffen ist nicht belegt.

Am 5. November waren dem CERT.at keine entsprechenden Vorfälle in Österreich bekannt, wohl aber öffentlich erreichbare Steuerungen • [Fußnote: CERT.at, 05.11.2026] .

Was sollten Unternehmen tun, um Cyberangriffe wie die auf die Supermärkte zu verhindern?

Vier zentrale Leitfragen helfen:

1. Bestand: Welche Steuerungen sind im Einsatz und wer ist zuständig?
2. Zugriff: Sind sie öffentlich erreichbar? Die Fernwartung sollte über VPN mit Multi-Faktor-Authentifizierung erfolgen.
3. Wartung: Stehen Updates zur Verfügung? Altsysteme schützen und Austausch planen.
4. Notfall: Wer erkennt Manipulationen, reagiert und sichert den Betrieb?

CERT.at empfiehlt, Steuerungen ungeachtet ihres Firmwarestands nur über VPN erreichbar zu machen.⁶ Laut BR24 rät die Kriminalpolizei zu einer Zwei-Faktor-Authentifizierung, Phishing-Schulungen und Notfallplänen • [Fußnote: BR24, 04.11.2026; tagesschau, 09.11.2026] .² Es sollten externe Wartungsunternehmen einbezogen werden.

Wann wird daraus ein Fall für das NISG 2026?

Seit dem 1. Oktober 2026 gilt in Österreich das NISG 2026, demzufolge müssen erfasste Einrichtungen Cyberrisiken angemessen steuern, auch bei Zugängen, Dienstleistern und der Betriebskontinuität. Die NISV 2026 konkretisiert dies.

Nicht jeder Supermarkt ist erfasst. Entscheidend sind Größe, Tätigkeit und weitere gesetzliche Kriterien. Allein die Zugehörigkeit zum Einzelhandel führt nicht automatisch zur Einstufung • [Fußnote: NISG 2026 – RIS; Anlage 2 – RIS (PDF); NISV 2026 – RIS; Bundesamt für Cybersicherheit – Sektoren] .

Bei erheblichen Cybersicherheitsvorfällen sind die erfassten Einrichtungen zu einer unverzüglichen Frühwarnung (spätestens nach 24 Stunden) und Meldung (spätestens nach 72 Stunden) verpflichtet, sobald ihnen der Vorfall bekannt wird. Binnen eines Monats nach der Meldung ist ein Abschlussbericht zu erstellen; bei noch laufender Vorfallsbehandlung ist zunächst ein Fortschrittsbericht zu erstellen • [Fußnote: § 34 und § 35 NISG 2026 – RIS; § 5 NISV 2026 – RIS; Bundesamt für Cybersicherheit – Meldepflicht und Fristen] .

Wann ist ein Vorfall „erheblich“?

Das NISG 2026 und die NISV 2026 nennen beispielsweise:

• direkte Verluste von mehr als 500.000 Euro oder 5 % des Vorjahresumsatzes, auch wenn sie erst drohen (niedrigerer Wert),
• mutmaßlich böswillige, unbefugte Zugriffe mit voraussichtlich schwerwiegenden Betriebsstörungen,
• die Aktivierung von Krisenmanagement- oder Notfallwiederherstellungsplänen.

Ein Angriff allein belegt jedoch keine Pflichtverletzung.

Wer seine Anlagen nicht kennt, kann sie nicht schützen

Anlagen erfassen, Fernzugriffe absichern, Notfälle vorbereiten: So lassen sich Schäden begrenzen – auch ohne NISG-Pflicht.

Rechtsstand: 11. November 2026. Diese NISG-Angaben gelten für Österreich und ersetzen keine Rechtsberatung. Die jeweilige Betroffenheit ist gesondert zu prüfen.