BSI bestätigt Angriffe auf Supermarkt-Kühlanlagen: Smart-Kühlschränke gehören ins Gästenetz

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) kennt Cybervorfälle bei einzelnen Supermärkten in Deutschland. Unbefugte haben dabei Steuerungen von Kühlanlagen manipuliert, die direkt aus dem Internet erreichbar waren. Die Warnung richtet sich an Betreiber, für den Kühlschrank zu Hause hat das BSI eigene Empfehlungen.

Was das BSI zu den Vorfällen sagt

Die Behörde veröffentlichte ihre Warnung am 13. Oktober 2026 in Bonn und aktualisierte sie am 3. November 2026. Anfang Oktober gab es vergleichbare Vorfälle, unter anderem in Frankreich. Laut Update sind dem BSI inzwischen Fälle bei einzelnen Supermärkten in Deutschland und in zahlreichen weiteren europäischen Ländern bekannt.

Betroffen waren über das Internet erreichbare Steuerungssysteme von Kühlanlagen, die Dritte ohne Berechtigung verändert haben. In einigen Fällen mussten Lebensmittel vernichtet werden. Die Versorgungssicherheit in Deutschland sieht die Behörde nicht gefährdet.

Welche Betreiber das BSI anspricht

Die Empfehlung richtet sich an Betreiber kleiner industrieller oder vergleichbarer Anlagen, etwa zur Kühlung von Lebensmitteln oder zur Stromerzeugung. Das BSI nennt vier Schritte:

• direkten Zugriff aus dem Internet auf Steuerungssysteme unterbinden, das gilt als wichtigste Maßnahme
• VPN-Systeme und Zugriffe mit Multifaktor-Authentifizierung einsetzen
• Systeme aktuell halten und Sicherheitsupdates zeitnah einspielen
• prüfen, ob Geräte oder Anlagen aus dem Internet erreichbar sind

Für die technischen Maßnahmen verweist das BSI auf seine Cybersicherheitsempfehlung zu internetverbundenen OT-Systemen. Die Schritte sollen dauerhaft zur Routine werden.

Welche Meldepflicht für Hersteller seit September gilt

Auch die Hersteller sind gefordert. Seit dem 11. September 2026 gelten EU-weit die Meldepflichten des Cyber Resilience Act. Hersteller von Produkten mit digitalen Elementen müssen Sicherheitslücken melden, die bereits aktiv ausgenutzt werden, sowie schwerwiegende Sicherheitsvorfälle, die die Produktsicherheit betreffen.

Die Meldung läuft über die Single Reporting Platform der EU-Agentur ENISA an das zuständige CSIRT und an ENISA. In Deutschland ist dafür das CERT-Bund im BSI zuständig, eine vorherige Registrierung ist nicht nötig.

Was rät das BSI für den vernetzten Kühlschrank zu Hause?

Auf seiner Verbraucherseite erklärt das BSI, wie sich smarte Kühlschränke sicher nutzen lassen. Wer die Vernetzung braucht, lässt das Gerät dem BSI zufolge in einem separaten Netzwerk laufen, etwa im Gäste-WLAN, und konfiguriert WLAN und Router sicher.

• automatische Updates für die Kühlschrank-Software und die zugehörige App aktivieren
• Smartphone und Router regelmäßig aktualisieren, Firewalls einschalten und sichere Passwörter verwenden
• vor dem Kauf beim Hersteller erfragen, wie lange Sicherheitsupdates bereitgestellt werden
• klären, welche Daten das Gerät erhebt und ob sie lokal oder in der Cloud liegen