--- title: "Tiefkühler bei 50 Grad: was ein offenes Login im Internet kostet" summary: "Angriffe auf Kühlsteuerungen in der Schweiz und zehn EU-Ländern. Der Weg hinein: offene Verwaltungsseiten und Werkspasswörter. Was jetzt zu prüfen ist." author: "Samuel Krauss" author_title: "Founder" publisher: "Elchi Studios" published: 2026-11-09 updated: 2026-11-09 url: https://elchi.dev/de/journal/tiefkuehler-bei-50-grad-was-ein-offenes-login-kostet language: de translation_of: https://elchi.dev/en/journal/freezers-at-50-degrees-the-price-of-an-open-login tags: ["security","switzerland","passwords","infrastructure"] words: 1312 --- # Tiefkühler bei 50 Grad: was ein offenes Login im Internet kostet *Von Samuel Krauss, Founder. Veröffentlicht am 9. November 2026.* > Angriffe auf Kühlsteuerungen in der Schweiz und zehn EU-Ländern. Der Weg hinein: offene Verwaltungsseiten und Werkspasswörter. Was jetzt zu prüfen ist. Anfang November fand der Inhaber einer Metzgerei in Köniz bei Bern die Temperatur in seinem Tiefkühler bei 50 bis 70 Grad vor. Jemand hatte die Einstellungen der Kühlsteuerung von aussen verändert. Auch drei Volg-Filialen waren betroffen. Es ist das Schweizer Kapitel einer Angriffswelle auf Kühlanlagen von Supermärkten, die im Oktober in Frankreich begann und am 2. November neun weitere europäische Länder erreichte. Der Weg hinein war nicht raffiniert: Verwaltungsoberflächen, die jeder im Internet erreichen konnte, manche noch mit dem Passwort geschützt, mit dem sie das Werk verlassen hatten. ## Was geschehen ist Am 12. Oktober 2026 veröffentlichte CERT-FR, das von der ANSSI betriebene Computer-Notfallteam der französischen Regierung, eine Warnung zu „zahlreichen Kompromittierungen“ von Fernsteuerungen für Kälteanlagen. Sie nennt vier Produktlinien: Danfoss AK-SC und AK-SM, Copeland xweb und Dixell xweb. Am 13. Oktober wurde die Warnung um weitere Geräte ergänzt, am 16. Oktober wurden ihre Empfehlungen aktualisiert. Ihr letzter Warnsatz gilt weiterhin: Angriffskampagnen gegen diese Geräte laufen „wahrscheinlich noch immer“. Am 21. Oktober schilderte Vincent Strubel, Generaldirektor der ANSSI, die französischen Angriffe vor dem Ausschuss für auswärtige Angelegenheiten und Verteidigung des Senats. Gemäss dem Bericht von Génération NT über die Anhörung nutzten die Angreifer Geräte, die direkt im Netz erreichbar waren, und schwache Passwörter, und die ANSSI hat keine gesetzliche Befugnis, Händler zur Absicherung ihrer Systeme zu zwingen. In der Nacht auf Montag, den 2. November, kam die zweite Welle. Euronews zählte neun Länder: Belgien, Estland, Finnland, Irland, Italien, Luxemburg, die Niederlande, Portugal und Schweden. Carrefour meldete rund 15 seiner mehr als 700 Filialen in Belgien, Musgrave 13 SuperValu-Läden in Irland, Intermarché 7 Filialen in Portugal, Coop 6 von rund 800 in Schweden. In Belgien wurden Kühlgeräte in den Abtaumodus geschaltet. Christophe Hansen, EU-Kommissar für Landwirtschaft, nannte die Vorfälle „einen bewussten Versuch, unsere Lebensmittelversorgungskette zu stören und das Vertrauen der Konsumentinnen und Konsumenten in sie zu untergraben“. Niemand hat sich zu den Angriffen bekannt, und das belgische Zentrum für Cybersicherheit sagte, wer dahinterstecke, lasse sich vielleicht nie feststellen. Was die Branche über den Weg hinein sagte, ist deutlich. Ein Sprecher von Danfoss sagte dem niederländischen Sender NOS, die betroffenen Systeme in den Niederlanden seien nicht in einem sicheren Netz gewesen und hätten noch Standardpasswörter verwendet. Danfoss sagte, die meisten in Frankreich betroffenen Geräte seien ältere Modelle, die das Unternehmen nicht mehr aktualisiere: AK-SM 800 und AK-SC 355. In Belgien sagte der Branchenverband der Kältetechnik, Sabcobel, die Angreifer seien in die Systeme einzelner Supermärkte eingedrungen, nicht in jene der Firmen, die sie warten. In der Schweiz schrieb Lüthi's Fleischwaren in Köniz auf seiner Website: „Durch einen gezielten Cyberangriff wurde die elektronische Steuerung unserer Kühl- und Tiefkühlanlagen manipuliert.“ Der Inhaber sagte SRF, das Fleisch sei „wie gekocht“ gewesen und die Preisschilder seien geschmolzen. Die Metzgerei trennte die Anlagen vom Netz, schloss und will am 20. November wieder öffnen, sofern die Anlagen dann zuverlässig kühlen. Volg bestätigte verstellte Parameter in den Kühlgeräten von drei Filialen und teilte mit, Massnahmen ergriffen und verstärkt zu haben. Die Kantonspolizei Bern wurde informiert und hat Ermittlungen aufgenommen, auch wenn bis zum 6. November noch keine formelle Anzeige eingegangen war. Am 9. November führte die Seite mit aktuellen Vorfällen des Bundesamts für Cybersicherheit (BACS) die Angriffe auf Kühlanlagen noch nicht auf. ## Was es für ein Unternehmen oder eine Verwaltung bedeutet Die Lehre handelt nicht von Kühlschränken. Eine Kühlsteuerung mit Webseite und Passwort ist dasselbe wie die Heizungssteuerung eines Gebäudes, eine Zutrittskontrolle, ein Solar-Wechselrichter, eine Netzwerkkamera oder die Verwaltungsseite eines Druckers. Oft hat ein Dienstleister sie einmal eingerichtet, damit jemand von aussen hineinschauen kann, und danach hat niemand mehr daran gedacht, weil sie funktionierte. Der Satz von CERT-FR gilt für alle: Eine Verwaltungsoberfläche im Internet zu exponieren, „widerspricht der guten Praxis“. Drei Dinge machten die Angriffe leicht, und jedes davon ist verbreitet. **Die Oberfläche war für alle erreichbar.** Fernwartung ist nützlich. Dafür muss die Anmeldeseite nicht dem ganzen Internet offenstehen. Eine Verbindung über ein VPN oder ein Zugang, den der Dienstleister nur öffnet, wenn ein Techniker ihn braucht, leistet dasselbe für weit weniger Leute. **Das Passwort war das des Herstellers.** Ein Standardpasswort steht in einem Handbuch, das jeder herunterladen kann. Vor einer Oberfläche im offenen Internet ist es kein Schloss. Ebenso wenig ein gemeinsames Konto, das jeder Techniker des Dienstleisters seit Jahren benutzt. **Das Gerät hatte keinen Support mehr.** Danfoss sagt, es aktualisiere die in Frankreich am stärksten betroffenen Modelle nicht mehr. CERT-FR warnt, ein Gerät ohne Sicherheitskorrekturen im Internet erreichbar zu lassen, bedeute „eine sehr hohe Wahrscheinlichkeit einer Kompromittierung“, und ein Zurücksetzen auf die Werkseinstellungen allein genüge nicht: Das Gerät bleibe verwundbar und werde „sicher“ erneut kompromittiert. Für eine Gemeinde ist die Liste länger als für einen Laden: die Heizung des Schulhauses, die Fernüberwachung der Wasserversorgung, die Lüftung der Turnhalle. Für ein Unternehmen lautet die Frage, wer was installiert hat und wer noch einen Weg hinein hat. Es braucht keine Personendaten, damit ein solcher Angriff einen Betrieb schliesst: Die Metzgerei in Köniz rechnet damit, mindestens bis zum 20. November geschlossen zu bleiben. ## Wie es Elchi Studios und seine Kunden betrifft Wir bauen, installieren und warten keine Kälte-, Heizungs- oder Gebäudesteuerungen. Wir bieten dafür keine Produkte an, und EAuth ist kein Gateway für die eingebaute Webseite einer Steuerung: EAuth ist ein OpenID-Connect-Anbieter und meldet Personen bei Webanwendungen an, die dafür gebaut sind. Was wir sagen können, ist, wie wir mit unseren eigenen Türen umgehen, denn das Prinzip ist dasselbe. Bei EAuth wird jede Stelle, die ein Anmeldemerkmal entgegennimmt, doppelt gezählt: nach der Adresse, von der eine Anfrage kommt, und nach dem Konto, das sie nennt. Fünf falsche Passwörter pro Konto von einer Adresse in 15 Minuten, zwanzig pro Konto von überall in derselben Zeit. Jeder Versuch wird gezählt, bevor er geprüft wird, und wenn der Speicher, der zählt, nicht antwortet, wird die Anmeldung verweigert, statt alles durchzulassen. Die Einzelheiten stehen in unserem Beitrag über [den Umzug auf eauth.me](https://elchi.dev/de/journal/eauth-zieht-auf-eauth-me-und-jede-tuer-wird-gezaehlt). Jede Anwendung, bei der man sich über EAuth anmeldet, bietet zudem [Passkeys neben dem Passwort](https://elchi.dev/de/journal/passkeys-neben-passwoertern) an. Ein Passkey ist an eauth.me gebunden, und sein privater Teil verlässt das Gerät der Person nie: Es gibt kein gemeinsames Geheimnis, das in einem Handbuch stehen, erraten oder aus unserer Datenbank abfliessen könnte. Auch unsere eigene Entwicklerkonsole und unser Dashboard nutzen dieselbe Anmeldeseite. Für Kunden, die eigene Webanwendungen betreiben, sind die Angriffe ein Anlass, ihre Verwaltungsseiten mit denselben Augen anzusehen: das Login des Content-Management-Systems einer Website, ein internes Werkzeug, ein Testsystem, das nach einem Projekt online geblieben ist. Läuft eines davon noch allein mit einem Passwort, sind eine Begrenzung der Versuche und ein zweiter Faktor oder ein Passkey das Minimum. ## Was Sie diese Woche prüfen sollten 1. **Erfassen Sie, was von aussen erreichbar ist.** Jedes Gerät und jede Verwaltungsseite mit öffentlicher Adresse: Kühlung, Heizung, Lüftung, Zutrittskontrolle, Kameras, Wechselrichter, Drucker, Router. Wenn Sie es nicht wissen, fragen Sie die Stelle, die Ihr Netz betreibt, nach der Liste. 2. **Fragen Sie Ihre Dienstleister, wie sie hineinkommen.** Für jeden Fernzugang: welcher Weg, welches Konto, wer das Passwort hat und ob er sich nur bei Bedarf öffnen lässt. 3. **Schliessen Sie die offenen Oberflächen.** Zugang über ein VPN oder ein geschütztes Netz. Eine Filterung nach den IP-Adressen des Dienstleisters ist als Notmassnahme vertretbar, sagt CERT-FR, aber nicht als Dauerlösung. 4. **Ändern Sie jedes Standardpasswort.** Ein Konto pro Person, wo das Gerät es zulässt, und die Härtungseinstellungen des Herstellers, wo es sie gibt. Für Danfoss-Steuerungen nennt CERT-FR die Sicherheitsstufe Strict. 5. **Finden Sie die Geräte ohne Updates.** Eine Steuerung, die ihr Hersteller nicht mehr aktualisiert, sollte aus dem Internet gar nicht erreichbar sein. Planen Sie ihren Ersatz. 6. **Prüfen Sie Konfiguration und Alarme.** CERT-FR empfiehlt, die ganze Konfiguration zu prüfen, auch die Abtauzeiten. Ein Alarm sollte einen Menschen erreichen, wenn ein Tiefkühler um zwei Uhr morgens warm wird. 7. **Lesen Sie zuerst Ihre Versicherungsbedingungen.** CERT-FR empfiehlt, sie zu prüfen, bevor die Datenverbindung zum Kältetechniker getrennt wird. 8. **Wurde ein Gerät angegriffen, ist ein Zurücksetzen nicht das Ende.** Trennen, wiederherstellen, neu konfigurieren, aktualisieren und erst dann wieder verbinden, über den geschlossenen Weg. ## Quellen 1. [Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (CERTFR-2026-ALE-012)](https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-012), CERT-FR, ANSSI, gelesen am 2026-11-09 2. [Aktuelle Vorfälle](https://www.bacs.admin.ch/de/aktuelle-vorfaelle), Bundesamt für Cybersicherheit BACS, gelesen am 2026-11-09 3. [Cyberattaque des frigos de supermarchés : l'Anssi pointe des défauts de sécurisation élémentaires](https://www.generation-nt.com/actualites/cyberattaque-frigos-supermarches-anssi-defauts-2083209), Génération NT, gelesen am 2026-11-09 4. [New Wave of Refrigeration Cyberattacks Hits Supermarkets Across Europe, Forcing Stores to Pull Food](https://thehackernews.com/2026/11/second-wave-of-cyberattacks-hits.html), The Hacker News, gelesen am 2026-11-09 5. [Which countries in Europe have been hit by supermarket fridge cyber incidents?](https://www.euronews.com/2026/11/03/which-countries-in-europe-have-been-hit-by-supermarket-fridge-cyber-incidents), Euronews, gelesen am 2026-11-09 6. [Kühlanlage manipuliert: Berner Metzgerei Opfer von Hackerangriff, auch Volg betroffen](https://www.srf.ch/news/schweiz/kuehlanlage-manipuliert-berner-metzgerei-opfer-von-hackerangriff-auch-volg-betroffen), SRF, gelesen am 2026-11-09 7. [Cyberkriminelle verderben Fleischvorrat einer Berner Metzgerei](https://www.inside-it.ch/cyberkriminelle-verderben-fleischvorrat-einer-berner-metzgerei-20261106), Inside IT, gelesen am 2026-11-09 8. [First known cyberattack on a refrigeration system in Switzerland](https://www.swissinfo.ch/eng/various/first-known-cyberattack-on-a-refrigeration-system-in-switzerland/92333384), SWI swissinfo.ch, gelesen am 2026-11-09