Cyberangriff auf Kühlanlagen: Welche Abhängigkeiten gefährden deinen Betrieb?

Ein Betrieb kann seine Büro-IT absichern und trotzdem eine kritische Abhängigkeit übersehen: die Steuerung einer Anlage, die ein externer Dienstleister wartet. Der aktuelle Vorfall in Frankreich macht diese Frage greifbar. Kennst du die Systeme und Zugänge, von denen dein Geschäft tatsächlich abhängt?

TL;DR: Was du heute prüfen solltest

• Nicht nur Server zählen: Nimm auch betriebskritische Anlagen und deren Steuerungen in die Bestandsaufnahme auf.
• Fernzugriff zuordnen: Halte fest, welcher Dienstleister über welchen Zugang welches System administriert.
• Auswirkung bewerten: Kläre mit dem Fachbereich, was bei einem Ausfall passiert und wann der Schaden nicht mehr tragbar ist.
• Arbeit abschließen: Jede erkannte Lücke braucht einen Verantwortlichen, einen Termin und einen überprüfbaren Nachweis.

Stand: 13. Oktober 2026. Bestätigte Meldungen und unsere Empfehlungen sind im Folgenden getrennt. Das Titelbild ist eine KI-generierte Illustration, keine Aufnahme des Vorfalls.

Was über den Vorfall bestätigt ist

In der Nacht vom 11. auf den 12. Oktober wurden Kühlanlagen französischer Supermärkte angegriffen. Le Monde berichtet am 13. Oktober über Warenverluste und Betriebsunterbrechungen. Zum Nachrichtenbericht.

CERT-FR bestätigt zahlreiche kompromittierte Danfoss-Steuerungen der Serien AK-SM und AK-SC. Die Behörde empfiehlt, Zugänge zu trennen oder zu filtern, und nennt bei Kompromittierungsverdacht weitere Wiederherstellungsschritte. Maßnahmen an laufenden Anlagen gehören in die Hände der verantwortlichen Betriebs- und Sicherheitsteams.

Noch nicht aus dieser Warnung ableitbar: welche Schwachstelle konkret genutzt wurde, wer verantwortlich ist oder ob alle betroffenen Anlagen denselben Angriffsweg hatten. Danfoss veröffentlicht Sicherheitshinweise für einzelne Produkte und Versionen. Deren Existenz belegt für sich keinen Zusammenhang mit diesem Angriff.

Die Frage für deinen Betrieb: Was hängt woran?

Unsere Einordnung: Eine reine Geräteliste beantwortet die entscheidende Geschäftsfrage nicht. Du musst erkennen können, welcher Prozess von welchem Asset und welchem Dienstleister abhängt.

Das gilt auch außerhalb des Lebensmittelhandels. Als eigene Prüfszenarien kommen etwa Produktionssteuerungen, Gebäudeautomation oder eine für den Betrieb notwendige technische Versorgung infrage. Damit behaupten wir keine weiteren Opfer dieses Vorfalls. Wir übertragen die Abhängigkeitsfrage auf andere Unternehmen.

Für jedes kritische Asset sollten mindestens Zweck, Standort, betroffener Geschäftsprozess, Betriebsverantwortlicher, Wartungspartner und vorhandene Zugänge nachvollziehbar sein. Ergänze den Supportstatus und die Quelle dieser Information. „Wird vom Dienstleister betreut“ ist ohne Zuständigkeit und vereinbarten Umfang keine belastbare Antwort.

Fünf Fragen für IT, Fachbereich und Einkauf

Die folgende Tabelle ist unsere praktische Arbeitsvorlage, keine behördliche Checkliste. Nutze sie für eine gemeinsame Bestandsaufnahme.

Frage	Was ihr festhalten solltet	Wer die Antwort liefern kann
Welche Anlage darf nicht ausfallen?	Prozess, Asset und konkrete Auswirkung	Fachbereich und Betriebsverantwortlicher
Wer hat Fernzugriff?	Dienstleister, Zugang, Berechtigung und Zuständigkeit	IT und Wartungspartner
Wer hält das System aktuell?	Supportstatus, Updateverantwortung und Wartungsfenster	Betrieb und Lieferant
Was tun wir bei einer Störung?	Eskalationskontakt, Ausweichverfahren und Wiederanlauf	Prozessverantwortlicher und Notfallteam
Woran erkennen wir erledigte Arbeit?	Maßnahme, Termin, Nachweis und Prüfung	Maßnahmenverantwortlicher

Eine BIA macht aus „kritisch“ eine Entscheidung

Ein Asset als „hoch“ einzustufen, sagt noch nicht, wie lange der zugehörige Prozess ausfallen darf. In einer Business Impact Analysis (BIA) betrachtet ihr die Auswirkungen einer Unterbrechung über die Zeit und die Voraussetzungen für einen Wiederanlauf.

Fiktives Beispiel: Ein Betrieb benötigt eine gekühlte Lagerung. Der Fachbereich prüft, wann Waren unbrauchbar würden, welche Ausweichkapazität besteht und welche Schritte vor einer Wiederaufnahme nötig sind. Temperaturgrenzen und zulässige Unterbrechungen müssen aus dem konkreten Betrieb stammen; wir erfinden dafür keine pauschalen Werte.

Prozesse und BIA in Kopexa helfen dir, solche Bewertungen im Zusammenhang mit den benötigten Ressourcen und Zuständigkeiten zu führen. Der Nutzen ist eine begründete Priorität: Welche Abhängigkeit muss zuerst abgesichert werden?

Lieferanten prüfen, ohne bei einer ausgefüllten Umfrage stehenzubleiben

Eine Lieferantenbewertung ist dann hilfreich, wenn ihre Ergebnisse in konkrete Arbeit münden. Fragt den Wartungspartner beispielsweise nach Zuständigkeiten für Zugänge, Aktualisierung und Eskalation. Prüft Antworten und beigefügte Nachweise auf eure tatsächliche Anlage und den vereinbarten Leistungsumfang.

In Kopexa lassen sich Fragebögen und Erinnerungen automatisch versenden. Antworten können nach konfigurierten Regeln in eine Risikobewertung einfließen. Ein automatisch berechneter Wert ersetzt aber nicht die Prüfung eines konkreten Betriebsrisikos. Unklare Antworten oder fehlende Nachweise sind Anlass für Nachfragen und Maßnahmen.

Das Lieferantenmanagement und die Lieferantenbewertung verbinden diese Arbeit mit dem jeweiligen Dienstleister. Eine verschachtelte Lieferantenkette hilft außerdem, bekannte weitere Abhängigkeiten zu dokumentieren.

Von der Feststellung zur überprüften Umsetzung

Statt „Fernwartung prüfen“ braucht eine Aufgabe ein klares Ergebnis. Unser fiktives Beispiel:

• Feststellung: Zuständigkeit und Zugriffsweg der Anlagenwartung sind nicht dokumentiert.
• Arbeitsauftrag: Betrieb, IT und Wartungspartner klären den Zugriff und dokumentieren das vereinbarte Verfahren.
• Ergebnis: Ein benannter Verantwortlicher, ein bestätigter Leistungsumfang und ein nachvollziehbarer Zugangsprozess liegen vor.
• Prüfung: Eine verantwortliche Person prüft den Nachweis; offene Punkte bleiben sichtbar.

So wird eine Nachricht zum Anlass, die eigene Arbeit zu verbessern. Im Risikomanagement kannst du Auswirkung, Behandlung und Nachweise zusammenführen. Ein ISMS gibt dieser Arbeit einen regelmäßigen Rahmen, statt sie nur nach Schlagzeilen anzustoßen.

Dein nächster Schritt

Wähle einen kritischen Prozess und gehe die fünf Fragen mit den beteiligten Teams durch. Entscheidend ist, dass ihr anschließend offene Punkte tatsächlich zuordnen und nachverfolgen könnt.

Wenn eure Antworten heute in mehreren Listen und Postfächern liegen, zeigt dir das Lieferantenmanagement in Kopexa, wie du Bewertungen, Risiken und Aufgaben im Zusammenhang steuern kannst. In einer persönlichen Demo könnt ihr genau einen solchen Ablauf ansehen. Kopexa unterstützt die Umsetzung und Nachweissteuerung; es ist kein technischer Schutz für Anlagen und ersetzt keine Incident Response.