Organisationen, die auf Kühltechnik angewiesen sind, sollten den Internetzugang zu ihren Controllern sperren, da Angreifer weltweit Kühl- und Temperaturüberwachungssysteme ins Visier nehmen. Das warnten CISA und FBI am 5. November 2026. Die gemeinsame Warnung beschreibt Angriffe, die Waren verderben, Geräte beschädigen und Betreibern die Temperaturwerte nehmen könnten, mit denen sich Probleme erkennen lassen.
Die Empfehlungen betreffen Gesundheitsdienstleister, chemische Anlagen, Unternehmen der Lebensmittel- und Agrarwirtschaft sowie Transportbetreiber, einschließlich Kühltransportdienste. Die Behörden nennen ausdrücklich elektronische Temperaturregler und gewerbliche Kühlsteuerungen in Supermärkten und Kühlhäusern als mögliche Ziele. Ungepatchte Geräte oder über das Internet erreichbare Controller können Schwachstellen offenlegen, die Angreifer ausnutzen können.
Auch das US-Gesundheitsministerium (HHS), das Landwirtschafts- und das Verkehrsministerium haben die gemeinsame Faktenübersicht mitgetragen. Diese Systeme schalten Kühlgeräte nicht nur ein und aus: Sie ermöglichen dem Personal, Temperaturen aus der Ferne abzurufen, lückenlose Temperaturprotokolle zu speichern, Abtauzyklen zu planen und den Energieverbrauch zu steuern.
Separat gemeldete Vorfälle in Europa
Das US-Informationsblatt nennt diese europäischen Vorfälle nicht. BleepingComputer berichtete, dass Angreifer im Oktober die Kühlsteuerungen von schätzungsweise 250 bis 350 französischen Supermärkten kompromittiert und Abtaufunktionen aus der Ferne aktiviert hätten, wodurch die Temperaturen in Kühl- und Gefriergeräten stiegen.
Laut BleepingComputer betraf eine zweite Welle im November mehr als 115 Filialen in sechs europäischen Ländern. Einige Kühlsysteme seien vollständig abgeschaltet worden, andere hätten Temperaturen von bis zu 50 °C (122 °F) erreicht.
Laut BleepingComputer bestätigte der französische Blutspendedienst (French Blood Establishment, EFS) am 3. November, dass ein Vorfall bei einem Anbieter von Kühltechnik die Temperatur- und Abtaueinstellungen an drei Standorten verändert hat, an denen Blutprodukte gelagert werden.
In der Ankündigung der CISA erklärte der amtierende Executive Assistant Director for Cybersecurity, Chris Butera, die Behörde beobachte die Bedrohung gemeinsam mit Partnern aus Regierung, Industrie und internationalen Organisationen. Er forderte alle Organisationen, die auf Kühl- und Überwachungstechnik angewiesen sind, auf, sich selbst als mögliches Ziel zu betrachten. Auch Brett Leatherman, Operations Director der FBI Cyber Branch, sagte, die Behörde verzeichne weltweit Angriffe auf kritische Infrastruktursektoren. Er rief Betreiber dazu auf, die Empfehlungen umzusetzen und verdächtige Aktivitäten zu melden.
Wie der Controller-Zugriff Ware und Geräte gefährdet
Die Behörden beschreiben drei mögliche Wege in die Controller: die Umgehung der Authentifizierung, bei der Anmeldeprüfungen umgangen werden; das Einschleusen beliebigen Codes, bei dem ein vom Angreifer gewählter Code eingebracht wird; und unsichere Konfigurationen.
Sobald Angreifer Einstellungen aus der Ferne manipulieren können, könnten sie Geräte dauerhaft heizen oder abtauen lassen. Die daraus resultierenden Temperaturänderungen könnten Bestände vernichten, die Lebensdauer der Geräte verkürzen oder eine Brandgefahr schaffen. Auch Verbraucher könnten Schaden nehmen, wenn sie Produkte verzehren, die unter unsicheren Bedingungen gelagert wurden.
Ein Angriff könnte neben der Kühlung auch die Überwachung stören. Das Informationsblatt bezeichnet den Verlust aktueller Temperaturwerte als „Denial-of-View“-Zustand: Betreiber verlieren den Überblick über die Bedingungen, die ihre Geräte aufrechterhalten.
Fernzugriffslücken schließen und sichere Betriebsgrenzen durchsetzen
Die Behörden fordern sofortiges Handeln. Ihre Empfehlungen orientieren sich an den von CISA und dem National Institute of Standards and Technology entwickelten Cross-Sector Cybersecurity Performance Goals. Diese Ziele legen einen Mindestumfang empfohlener Schutzmaßnahmen fest.
Eigentümer und Betreiber sollten zunächst Systeme ausfindig machen, die aus dem Internet erreichbar sind, und diese Exposition beseitigen, insbesondere bei Controller-Panels. Deaktivieren Sie Fernzugänge, die keinem notwendigen Zweck dienen. Wo Verbindungen bestehen bleiben müssen, setzen Sie eine Firewall oder ein Edge-Gerät ein – also die Hardware, die die Netzwerkgrenze schützt – und halten Sie es auf dem neuesten Stand.
Halten Sie Kühlsteuerungen von Geschäftsnetzen getrennt. Die Empfehlungen sehen ein eigenes virtuelles lokales Netz (VLAN) vor, um Operational Technology – also die Systeme, die physische Geräte steuern – von gewöhnlichen Geschäftssystemen zu trennen. Führen Sie Listen zugelassener Geräte und IP-Adressen, damit nur autorisierte Systeme Änderungen vornehmen können.
Ersetzen Sie Standardpasswörter, erzwingen Sie über verbindliche Richtlinien stärkere Passwörter und führen Sie, wo immer machbar, phishingresistente Multi-Faktor-Authentifizierung ein. Damit kommt eine Authentifizierung über das Passwort hinaus zum Einsatz, die auf Verfahren setzt, die gegen betrügerische Anmeldeseiten resistent sind. Halten Sie die Firmware der Controller, also die im Gerät eingebettete Software, auf dem neuesten Stand. Richten Sie einen gesteuerten Prozess ein, um Geräte zu erkennen, außer Betrieb zu nehmen und zu ersetzen, deren Lebensdauer abgelaufen ist und für die der Hersteller keinen Support mehr leistet.
Zur Erkennung aktivieren Sie Aktivitätsprotokolle und prüfen Sie diese regelmäßig auf ungewöhnliches Verhalten. Bieten Geräte keine Protokolle oder verwenden sie nicht standardisierte Formate, erfassen Sie den Netzwerkverkehr und die Kommunikation zwischen den Geräten. Halten Sie aktuelle Sicherungen sowohl offline als auch außerhalb des Standorts vor und testen Sie diese.
Betreiber sollten außerdem angemessene Grenzen für die Solltemperaturen setzen, die nachgeschaltete Geräte hinter den Controllern annehmen können. Richten Sie zudem Warnmeldungen ein, sobald die Werte aus sicheren Bereichen herausfallen.
US-Organisationen sollten verdächtige oder kriminelle Aktivitäten dem rund um die Uhr besetzten Operations Center der CISA melden, per E-Mail an [email protected] oder telefonisch unter 1-844-729-2472. Alternativ können sie sich an das FBI wenden, über dessen Internet Crime Complaint Center oder eine lokale Außenstelle. Geben Sie nach Möglichkeit Datum, Uhrzeit und Ort des Vorfalls an, die betroffenen Aktivitäten und Geräte, die Zahl der betroffenen Personen sowie Name und benannte Kontaktperson der meldenden Organisation.
Gesundheitseinrichtungen, die Unterstützung bei möglichen Versorgungsstörungen durch Auswirkungen auf Gesundheits- und Medizinlieferketten benötigen, können sich an das HHS wenden: per E-Mail an [email protected] oder über das 24-Stunden-Operations-Center unter 202-619-7800.
