Das Gerät im Zentrum dieser Angriffe wird in IT-Inventaren leicht übersehen. Es ist eine kleine Steuerung, mit der eine Kältetechnik-Fachkraft Temperaturen prüfen, Abtauzyklen einstellen und Alarme empfangen kann, ohne in den Markt zu fahren. Viele dieser Geräte wurden vor Jahren installiert, werden von einem externen Dienstleister gewartet und verrichten seitdem unauffällig ihren Dienst. Die betroffenen Unternehmen haben diese Technik so genutzt wie ein großer Teil der Branche. Deshalb gelten die Lehren weit über die bekannten Fälle hinaus. Die ausgenutzten Lücken sind gut bekannt, ebenso die meisten Gegenmaßnahmen. Am besten wirken sie, wenn Markt, IT-Team und Kältetechnik-Dienstleister klar vereinbaren, wer was übernimmt.

Was passiert ist

Nacht vom 11. auf den 12. Oktober 2026: Frankreich

In der Nacht vom 11. auf den 12. Oktober 2026 verschafften sich Unbekannte Zugriff auf Kühlsteuerungen französischer Supermärkte und veränderten deren Einstellungen. Berichtet wurde unter anderem von erzwungenen Abtauzyklen mit Sollwerten um 50 °C. In Märkten der Gruppe Les Mousquetaires (Intermarché und Netto) liefen Kühlgeräte laut Reuters sechs Stunden lang bei 50 °C (12. Oktober 2026).

Am 12. Oktober beauftragte Premierminister Sébastien Lecornu die ANSSI, sich des Falls anzunehmen. Am selben Tag veröffentlichte CERT-FR, das Incident-Response-Team der ANSSI, die Warnung CERTFR-2026-ALE-012 mit Empfehlungen, die am 13. und 16. Oktober aktualisiert wurde. Die Abteilung für Cyberkriminalität der Pariser Staatsanwaltschaft leitete Ermittlungen ein.

Finanzminister Roland Lescure sagte am 13. Oktober im Parlament, rund 700 der etwa 10.000 französischen Supermärkte seien betroffen (AP, 13. Oktober 2026). Darunter waren Märkte von Intermarché, Netto, Coopérative U, Carrefour, Monoprix und E.Leclerc; die Zahlen je Kette unterscheiden sich je nach Quelle. Les Mousquetaires bezifferte die Verluste in den eigenen Märkten vorläufig auf „mehrere Millionen Euro“ (IBTimes UK, 13. Oktober 2026).

Nacht vom 1. auf den 2. November 2026: in ganz Europa

Die zweite Welle begann in der Nacht vom 1. auf den 2. November 2026 und traf Märkte und Lebensmittelbetriebe in mindestens neun europäischen Ländern (Toute l'Europe, 3. November 2026). Die Tabelle zeigt, was Behörden, Unternehmen und nationale Medien bis zum 6. November 2026 gemeldet hatten, einschließlich verwandter Fälle außerhalb des Einzelhandels. Viele Zahlen sind erste Schätzungen und können sich ändern.

Die Schäden werden Markt für Markt gemeldet: von Zehntausenden Euro in einzelnen Märkten in Belgien über mehr als 360.000 Euro in einem Markt in Deutschland, so der Inhaber, bis zu rund 3 Millionen schwedischen Kronen in einem Lager in Schweden (VRT, 3. November 2026; dpa, 3. November 2026; SVT, 3. November 2026). Eine Gesamtschätzung gibt es nicht.

In Estland wurde der Angriff auf einen Selver-Markt in rund zehn Minuten behoben; Selver zufolge hatte der Dienstleister ihn schnell bemerkt (ERR, 2. November 2026).

Wie die Behörden reagiert haben

Auf EU-Ebene bezeichnete Christophe Hansen, EU-Kommissar für Landwirtschaft und Ernährung, die zweite Welle als „einen gezielten Versuch, unsere Lebensmittelversorgungskette zu stören und das Vertrauen der Verbraucherinnen und Verbraucher in sie zu untergraben“ (2. November 2026). Am 3. November traf sich die Europäische Kommission mit Europol und ENISA, und die Vorfälle wurden im EU-CyCLONe beraten, dem Netzwerk der nationalen Behörden für Cyberkrisenmanagement. Am 4. November veröffentlichten ENISA, die Kommission, das Europäische Zentrum zur Bekämpfung der Cyberkriminalität von Europol (EC3), das CSIRTs-Netzwerk und EU-CyCLONe eine gemeinsame Erklärung. Sie fordert Organisationen auf, die Angreifbarkeit der betroffenen Systeme sofort zu verringern, und erinnert daran, dass Hersteller seit dem 11. September 2026 schwerwiegende Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen nach dem CRA melden müssen.

Nationale Cybersicherheitsbehörden in Schweden, den Niederlanden und Italien veröffentlichten oder aktualisierten zwischen dem 2. und 4. November ihre Hinweise. In Deutschland aktualisierte das BSI am 3. November seine Warnung vom Oktober (Details im Abschnitt zu Deutschland).

Am 5. November traf sich die italienische Cybersicherheitsbehörde ACN mit großen Handels- und Lebensmittelunternehmen und schlug ein ISAC für den Lebensmittelsektor vor, also eine Stelle zum Austausch und zur Analyse von Informationen (Cyber Security 360, 6. November 2026). Am selben Tag veröffentlichten die US-Cybersicherheitsbehörde CISA, das FBI und drei weitere US-Bundesbehörden gemeinsame Hinweise zu laufenden Angriffen auf industrielle Kühlanlagen und Systeme zur Überwachung der Kühlkette weltweit. Die Empfehlungen decken sich weitgehend mit den europäischen. Am 6. November berief der europäische Handelsverband EuroCommerce eine Krisensitzung seiner Mitglieder ein (ECO, 6. November 2026).

Am 3. November bekannten sich zwei prorussische Hackergruppen, NoName057(16) und Z-Pentest, in einem auf Telegram veröffentlichten Video zu den Angriffen. Das Bekenntnis nennt weder Märkte noch Methoden oder Zeitpunkte, und keine Regierung und keine Behörde hat es bisher bestätigt. Das BSI sieht keine Belege für die Bekenntnisse: „Es ist daher nicht auszuschließen, dass Trittbrettfahrer diese Angriffe ohne Beleg für sich reklamieren“ (CORRECTIV, 5. November 2026). Ein Vertreter der ACN sagte Il Post, es sei noch zu früh, um zu verstehen, was tatsächlich passiert sei, weil der Angriffsweg nicht rekonstruiert sei (Il Post, 6. November 2026). Der Kreml wies Vermutungen einer russischen Beteiligung als „absurd“ zurück (The Moscow Times, 5. November 2026). Das Centre for Cybersecurity Belgium hatte The Record gesagt, es sei möglicherweise nie möglich, die Täter zu identifizieren.

Wie die Angreifer vorgingen

Betroffen sind Fernwartungseinheiten für gewerbliche Kühlanlagen. Sie verbinden Kühlräume, Tiefkühltruhen und Kühlregale eines Marktes mit einer Weboberfläche, über die eine Fachkraft aus der Ferne Temperaturen überwachen, Sollwerte ändern und Abtauzyklen planen kann. Die Warnung von CERT-FR nennt Steuerungen von Copeland (XWEB), Danfoss (Serien AK-SC und AK-SM) und Dixell (XWEB).

Nach Einschätzung der ANSSI waren für die Angriffe keine ausgefeilten Techniken nötig. Ihr Generaldirektor Vincent Strubel sagte am 21. Oktober 2026 vor dem französischen Senat, es seien „grundlegende Sicherheitsmängel“ (des défauts de sécurisation élémentaire) ausgenutzt worden: aus dem Internet erreichbare Geräte, ungeschützte Administration und schwache Passwörter. Bereits veröffentlichte Schwachstellen nannte er nicht als Ursache. Auch das BSI hält die Angriffe für „ungezielt und opportunistisch“ (CORRECTIV, 5. November 2026).

Viele der betroffenen Geräte waren älter. Danfoss erklärte, die betroffenen Einheiten hätten veraltete Firmware genutzt, und Copeland bestätigte eine Schwachstelle in abgekündigten Steuerungen am Ende ihres Lebenszyklus. Für eines der genannten Modelle nennt die Herstellerdokumentation den 31. Oktober 2016 als Ende des Lebenszyklus. CERT-FR warnt, ein solches Gerät mit dem Internet verbunden zu lassen, setze es „einer sehr hohen Wahrscheinlichkeit einer Kompromittierung“ aus. Sicherheitsforschende hatten 2025 und 2026 zudem Schwachstellen in einigen dieser Steuerungen veröffentlicht; für unterstützte Modelle gibt es Updates. Dass diese Schwachstellen bei den Angriffen ausgenutzt wurden, hat keine Behörde bestätigt.

Die Verantwortung für diese Geräte ist oft geteilt: Der Markt oder die Kette besitzt sie, ein Kältetechnik-Dienstleister installiert und wartet sie, und der Hersteller liefert die Firmware. In Portugal nannte die nationale Cybersicherheitsbehörde CNCS als vermutete Ursache einen unbefugten Zugriff auf eine Fernsteuerung der Temperatur, für die ein Dienstleister verantwortlich war (Lusa, 3. November 2026). Auch in Deutschland gab etwa die AWO an, der Angriff habe sich gegen die Firma gerichtet, die die Kühlanlagen aus der Ferne wartet (dpa, 3. November 2026). Wenn sich drei Parteien die Verantwortung teilen, bleiben einfache Fragen leicht offen: Wer ändert das Standardpasswort, wer entscheidet, ob ein Gerät überhaupt online sein muss, und wer erfährt von einem Sicherheitsupdate?

Die Angriffsfläche schrumpft schnell, wenn die Betreiber handeln. Der Internet-Scandienst Censys zählte am 11. Oktober 2026 insgesamt 2.991 aus dem Internet erreichbare Systeme mit Steuerungen eines Herstellers, 1.825 davon in Frankreich. Bis zum 14. Oktober sank die Zahl in Frankreich auf 537 (Infosecurity Magazine, 15. Oktober 2026). In Finnland meldete das nationale Cybersicherheitszentrum NCSC-FI am 2. November, nachdem die Betreiber kontaktiert worden waren, seien nur noch wenige offen erreichbare Geräte sichtbar.

Welche EU-Regeln gelten

Mehrere EU-Regelwerke sind relevant. Welche für ein Unternehmen gelten, hängt von seiner Rolle in der Lebensmittelkette, seiner Größe und den Ländern ab, in denen es tätig ist.

Lebensmittelrecht: warum betroffene Ware entsorgt wird

Das EU-Lebensmittelrecht verbietet, nicht sichere Lebensmittel in Verkehr zu bringen, wozu auch das Bereithalten für den Verkauf zählt (Verordnung (EG) Nr. 178/2002, Artikel 3 Nummer 8 und Artikel 14), und regelt, wann Lebensmittel, die die Anforderungen an die Lebensmittelsicherheit nicht erfüllen, zurückgenommen werden müssen (Artikel 19). Die Hygienevorschriften ergänzen: „Die Kühlkette darf nicht unterbrochen werden.“ Begrenzte Zeiträume ohne Temperaturkontrolle sind nur zulässig, wenn dadurch kein Gesundheitsrisiko entsteht (Verordnung (EG) Nr. 852/2004, Anhang II, Kapitel IX). Waren gekühlte oder tiefgekühlte Lebensmittel zu lange außerhalb des vorgesehenen Temperaturbereichs, kann ein Markt ihre Sicherheit oft nicht mehr belegen und nimmt sie aus dem Verkauf. Die ACN weist darauf hin, dass die wiederhergestellte Temperatur allein nicht belegt, dass die Lagerbedingungen eingehalten wurden. Daraus entsteht der größte Teil der gemeldeten Schäden.

NIS-2: Der Lebensmitteleinzelhandel ist in der Regel nicht erfasst

Anhang II der NIS-2-Richtlinie nennt Lebensmittelunternehmen, „die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind“. Der Verkauf an Verbraucherinnen und Verbraucher im Einzelhandel ist dort nicht aufgeführt. Mittlere und große Unternehmen mit diesen Tätigkeiten sind erfasst, in den meisten Fällen als wichtige Einrichtungen. Mehr dazu: Was ist NIS-2?

Drei Einschränkungen sind wichtig:

• Kritische Einrichtungen. Unternehmen, die nach der Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) als kritische Einrichtungen eingestuft sind, fallen unabhängig von ihrer Größe als wesentliche Einrichtungen unter NIS-2 (NIS-2-Richtlinie, Artikel 2 Absatz 3 und Artikel 3 Absatz 1 Buchstabe f). Im Lebensmittelsektor erfasst die CER-Richtlinie nur Unternehmen, die ausschließlich in Logistik und Großhandel sowie in der industriellen Großproduktion und -verarbeitung tätig sind. Der Einzelhandel gehört nicht dazu. Die Mitgliedstaaten mussten ihre kritischen Einrichtungen bis zum 17. Juli 2026 bestimmen.

• Nationale Regeln können weiter gehen. Die NIS-2-Richtlinie legt einen Mindeststandard fest. In Deutschland können sehr große Lebensmittelhändler als Betreiber kritischer Anlagen erfasst sein (siehe Abschnitt zu Deutschland).

• Konzerne. Zu einer Handelsgruppe können Gesellschaften gehören, die unter NIS-2 fallen, etwa eine Großhandelsgesellschaft.

Für erfasste Einrichtungen berühren die Angriffe vor allem zwei Anforderungen: Risikomanagementmaßnahmen im Bereich der Cybersicherheit, zu denen die Sicherheit der Lieferkette gehört (Artikel 21 Absatz 2 Buchstabe d), und die Meldung erheblicher Sicherheitsvorfälle: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats nach der Meldung (Artikel 23). Einen Überblick gibt NIS-2-Anforderungen.

Kältetechnik-Dienstleister: möglicherweise Anbieter verwalteter Dienste

Die NIS-2-Richtlinie definiert Anbieter verwalteter Dienste als Einrichtungen, die Dienste im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen „oder jeglicher anderer Netz- und Informationssysteme“ durch Unterstützung oder aktive Verwaltung erbringen, entweder in den Räumlichkeiten der Kunden oder aus der Ferne (Artikel 6 Nummer 39). Eine vernetzte Steuerung, die digitale Daten verarbeitet, kann als Netz- und Informationssystem gelten (Artikel 6 Nummer 1 Buchstabe b). Ein Unternehmen, das solche Steuerungen für seine Kunden aus der Ferne betreut, kann die Definition daher erfüllen, und Anbieter verwalteter Dienste ab mittlerer Größe sind erfasst. Wir haben bisher keine Behördenhinweise gefunden, ob Wartungsunternehmen für Kühlanlagen oder Gebäudesteuerungen darunter fallen. Das ist im Einzelfall nach nationalem Recht zu prüfen.

Cyberresilienz-Verordnung: was Hersteller melden müssen

Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die die Sicherheit ihrer Produkte beeinträchtigen (Artikel 14 CRA). Die Meldungen gehen über die einheitliche Meldeplattform an das als Koordinator benannte CSIRT und an die ENISA: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist (Schwachstellen), oder innerhalb eines Monats nach der Meldung (Sicherheitsvorfälle). Außerdem müssen Hersteller die betroffenen Nutzerinnen und Nutzer informieren.

Das gilt auch für Produkte, die bereits auf dem Markt sind (Artikel 69 Absatz 3), aber nicht rückwirkend für Ausnutzungen, die vor dem 11. September 2026 bekannt waren. Die zentralen Anforderungen des CRA, einschließlich Sicherheitsupdates während des Unterstützungszeitraums, gelten ab dem 11. Dezember 2027 und nur für Produkte, die ab diesem Datum in Verkehr gebracht oder danach wesentlich verändert werden (Artikel 69 Absatz 2). Für bereits installierte Steuerungen schafft der CRA also keine neue Update-Pflicht. Wer solche Geräte nutzt, sollte dafür sorgen, dass Hersteller und Installationsbetriebe wissen, wen sie bei einem Sicherheitshinweis kontaktieren.

Was das für Deutschland bedeutet

Die Fälle in Deutschland

In Deutschland traf die zweite Welle einzelne Märkte in mehreren Bundesländern:

• Bayern: Im Edeka-Markt in Reisbach (Niederbayern) gab es nach Angaben von Edeka einen „IT-Vorfall im Zusammenhang mit einer Kühlanlage“. „Betroffene Waren wurden umgehend aus dem Verkauf genommen. Der Hersteller untersucht derzeit die Ursache des Vorfalls“, so ein Unternehmenssprecher (ZDFheute, 3. November 2026). Die Kriminalpolizei Landshut ermittelt wegen des Verdachts des Ausspähens von Daten und der Datenveränderung (Lebensmittel Praxis, 3. November 2026).

• Niedersachsen: Daniel Breiding, Inhaber eines Edeka-Marktes in Lilienthal, sagte: „Wir mussten Waren im Wert von über 360.000 Euro wegwerfen“ (dpa, 3. November 2026); buten un binnen nennt einen Warenwert von mindestens 64.000 Euro (4. November 2026). Die Zentrale Kriminalinspektion Oldenburg prüft auch einen Fall in Diepholz (dpa, 3. November 2026). Edeka Minden-Hannover meldete drei betroffene Märkte in seiner Region (Berliner Zeitung, 4. November 2026).

• Nordrhein-Westfalen: Betroffen waren CAP-Märkte in Wetter-Volmarstein (AWO) und Wuppertal sowie ein selbstständig geführter Rewe-Markt in Raesfeld (Handelsblatt/dpa, 3. November 2026).

• Rheinland-Pfalz: Das Polizeipräsidium Westpfalz meldete mutmaßliche Cyberangriffe auf Kühlanlagen eines Supermarktes und eines lebensmittelverarbeitenden Betriebs in den Landkreisen Kaiserslautern und Kusel (3. November 2026).

• Pharmagroßhandel: Nach Angaben des BSI wurden auch die Systeme zur Kühlung von Medikamenten bei einem Pharmagroßhändler in Deutschland angegriffen. „Dem BSI sind einzelne Vorfälle bei Supermärkten und in der Pharmabranche bekannt“, sagte ein Sprecher (CORRECTIV, 5. November 2026).

Was das BSI empfiehlt

Das BSI hat bereits am 13. Oktober 2026 dringend zur Absicherung vernetzter Steuerungssysteme geraten und die Meldung am 3. November aktualisiert. Darin berichtet es von „IT-Sicherheitsvorfälle[n] bei einzelnen Supermärkten in Deutschland“ und stellt klar: „Die Versorgungssicherheit in Deutschland ist nicht gefährdet.“ Als erste Maßnahme nennt das BSI, „den direkten Zugriff aus dem Internet auf Steuerungssysteme zu unterbinden“. Daneben sollten VPN-Systeme und multifaktorgeschützte Zugriffe umgesetzt werden. BSI-Präsidentin Claudia Plattner: „Dieser Angriff hätte jedes Land treffen können und kann auch jetzt jederzeit Nachahmer finden.“ Weitere Hinweise enthält die BSI-Veröffentlichung BSI-CS 154 „Gefährdung durch internet-verbundene OT-Systeme“.

Die Pflichten in Deutschland

In Deutschland ist die NIS-2-Richtlinie mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung umgesetzt, das seit dem 6. Dezember 2025 gilt. Die Pflichten stehen im neuen BSI-Gesetz (BSIG). Anlage 2 BSIG nennt im Sektor Ernährung wie die Richtlinie nur Lebensmittelunternehmen, „die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind“.

Ein Lebensmittelhändler kann trotzdem erfasst sein, wenn er eine kritische Anlage betreibt: Betreiber kritischer Anlagen gelten nach § 28 Absatz 1 BSIG als besonders wichtige Einrichtungen. Welche Anlagen kritisch sind, regelt bis zum Inkrafttreten der neuen Verordnung nach dem KRITIS-Dachgesetz weiterhin die BSI-KritisV (§ 66 BSIG). Im Lebensmittelhandel zählt dazu eine „Anlage oder System zum Inverkehrbringen von Lebensmitteln“, zum Beispiel eine Verkaufsstelle des Einzel- oder Großhandels, ab 434.500 Tonnen in Verkehr gebrachter Lebensmittel (außer Getränken) pro Jahr (Anhang 3). Diese Schwelle erreichen nur sehr große Handelsunternehmen.

Erfasste Einrichtungen müssen sich registrieren (§ 33 BSIG) und erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) melden (§ 32 BSIG): eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung.

Die CER-Richtlinie setzt Deutschland mit dem KRITIS-Dachgesetz um, das seit dem 17. März 2026 gilt. Es nennt den Sektor Ernährung; die Schwellenwerte soll eine Rechtsverordnung festlegen. Bis dahin gelten die bisherigen Regeln weiter.

Was Sie jetzt prüfen sollten

Nationale Behörden haben praktische Hinweise veröffentlicht, darunter das BSI, CERT-FR in Frankreich, die ACN in Italien, das NCSC-NL in den Niederlanden und das schwedische NCSC. Die Empfehlungen überschneiden sich und lassen sich zu sieben Prüfpunkten zusammenfassen. Sie gelten unabhängig davon, ob Ihr Unternehmen unter NIS-2 fällt. Legen Sie für jeden Prüfpunkt eine verantwortliche Person fest und bewahren Sie Nachweise auf.

1. Alle vernetzten Geräte erfassen. Listen Sie je Standort die Kühlsteuerungen, Gebäudeleittechnik und sonstigen Anlagen auf, die aus der Ferne erreichbar sind: Modell, Firmware-Version, Support-Status, wer sie installiert hat und wer sie wartet. Nachweis: ein aktuelles Inventar.

2. Verwaltungsoberflächen aus dem öffentlichen Internet nehmen. Lassen Sie Fernzugriff nur noch über ein sicheres VPN oder ein geschütztes Netz zu, wie BSI, CERT-FR und ACN empfehlen. BSI und ACN raten zudem zu Multi-Faktor-Authentifizierung für Fernzugriffe; ACN und CERT-FR akzeptieren eine Beschränkung auf vertrauenswürdige IP-Adressen nur als Übergangslösung. Trennen Sie Kühl- und andere Betriebstechnik von Büro- und Gästenetzen. Nachweis: die Netzkonfiguration und eine Prüfung, was von außen sichtbar ist.

3. Den Zugang von Dienstleistern regeln. Fragen Sie Ihren Kältetechnik-Dienstleister, wie er auf jeden Standort zugreift, mit welchen Konten und von wo aus, und wer darüber informiert wird. Halten Sie die Regeln im Wartungsvertrag fest. Die ACN empfiehlt, Zugriffe von Dienstleistern auf freigegebene Systeme und Zeitfenster zu begrenzen, sie zu protokollieren und nach dem Einsatz wieder zu entziehen. Nachweis: die Antworten des Dienstleisters und die Vertragsklausel. Mehr dazu: Lieferantenrisikomanagement.

4. Standard- und geteilte Passwörter ersetzen. Ändern Sie Werkspasswörter, geben Sie jeder Fachkraft ein eigenes Konto, wo das Gerät es erlaubt, und nutzen Sie die strengste Sicherheitseinstellung, die der Hersteller anbietet. Nachweis: ein datierter Eintrag über die Änderung.

5. Nicht nur den Zugang, auch die Konfiguration prüfen. Vergleichen Sie Sollwerte, Abtaupläne und Alarmschwellen mit der freigegebenen Konfiguration. CERT-FR weist darauf hin, dass ein Zurücksetzen auf Werkseinstellungen allein nicht ausreicht. Stellen Sie sicher, dass Temperaturalarme auch außerhalb der Öffnungszeiten jemanden erreichen, der handeln kann. Nachweis: die freigegebene Konfiguration und das Ergebnis des Vergleichs.

6. Aktualisieren oder ersetzen. Installieren Sie auf unterstützten Geräten die aktuelle Firmware. Planen Sie für Geräte am Ende ihres Lebenszyklus den Austausch und halten Sie sie bis dahin vom Internet getrennt. Nachweis: Firmware-Stände und ein Austauschplan.

7. Den Ablauf für Sicherheitsvorfälle vorbereiten. Legen Sie fest, wer wen anruft, wie ein Gerät sicher vom Netz genommen wird, welche Protokolle aufbewahrt werden, wann Ware aus dem Verkauf genommen werden muss und welche Behörde zu informieren ist. In Deutschland ist das BSI die Anlaufstelle; Pflichtmeldungen nach dem BSIG gehen an die gemeinsame Meldestelle von BSI und BBK. Nachweis: ein schriftlicher Ablauf und eine Kontaktliste.

Die Originalhinweise: BSI-Pressemitteilung, CERT-FR-Warnung CERTFR-2026-ALE-012 (Französisch), ACN-Bulletin BL01/261013/CSIRT-ITA (Italienisch), NCSC-NL (Niederländisch) und NCSC Schweden (Schwedisch).

Wie Formalize unterstützt

Formalize ist eine Plattform für Compliance und Risikomanagement. Formalize überwacht keine Geräte und erkennt keine Angriffe; das bleibt Aufgabe Ihrer Netzwerk-Sicherheitswerkzeuge und Ihres Kältetechnik-Dienstleisters. Formalize hilft bei dem Teil, der leicht liegen bleibt, sobald die Schlagzeilen vorbei sind: dass jeder Prüfpunkt eine verantwortliche Person, eine Frist und Nachweise hat, über alle Standorte und Lieferanten hinweg.

• Ein Inventar der vernetzten Anlagen. Erfassen Sie Kühlsteuerungen und andere vernetzte Geräte als Assets, verknüpft mit den Standorten, Prozessen und Lieferanten, die von ihnen abhängen.

• Zugriffe von Dienstleistern im Blick. Mit dem Drittparteienmanagement senden Sie Fragebögen an Kältetechnik- und Wartungsdienstleister, sammeln Antworten und Nachweise, verfolgen vereinbarte Service-Levels und planen jährliche Neubewertungen.

• Behördenempfehlungen als Kontrollen. Übersetzen Sie die sieben Prüfpunkte in Kontrollen und Aufgaben mit Verantwortlichen, Erinnerungen und Eskalation und legen Sie die Nachweise an einem Ort ab.

• Risikobewertung. Bewerten Sie das Risiko vernetzter Anlagen mit inhärentem Risiko (Bruttorisiko) und Restrisiko, verknüpft mit den betroffenen Assets und Lieferanten.

• Incident-Management. Erfassen Sie Vorfälle, folgen Sie einem Melde-Workflow und behalten Sie die Fristen im Blick, auch die nach NIS-2 und BSIG.

• Interne Audits. Prüfen Sie mit dem Audit-Modul, ob die Maßnahmen umgesetzt sind, mit Feststellungen, die eine verantwortliche Person, ein Zieldatum und eine unabhängige Freigabe haben.

• NIS-2, wo sie gilt. Der Compliance Blueprint für NIS-2 und unsere nationalen Blueprints ordnen diese Schritte den geltenden Anforderungen zu.

Dieser Beitrag gibt den öffentlich verfügbaren Stand vom 6. November 2026 wieder. Die Ermittlungen laufen, Zahlen können sich ändern. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung. Prüfen Sie für Ihre konkrete Situation die geltenden nationalen Regeln oder wenden Sie sich an eine Rechtsberatung.