Kaffee läuft. Wir auch. Noch bis 18:00 Uhr erreichbar.

Steuerung offen im Internet? Was Betriebe jetzt prüfen sollten

·

Blogger Bernhard

Rund um den 11. und 12. Oktober 2026 haben Unbekannte in Frankreich die Kühlanlagen von mehreren hundert Supermärkten manipuliert. Die Anlagen liefen längere Zeit im Abtaubetrieb, gekühlte und tiefgekühlte Ware musste entsorgt werden. Am 13. Oktober hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) reagiert und Betreibern kleiner Anlagen dringend geraten, vernetzte Steuerungen abzusichern – allen voran: keinen direkten Zugriff aus dem Internet.

Klingt nach einem Thema für Supermarktketten und Industrie. Ist es aber nicht nur. Kühlzellen in Bäckerei, Metzgerei oder Gastronomie, Heizungs- und Lüftungssteuerungen, Stromerzeugungsanlagen, Kamerasysteme: Viele dieser Geräte haben eine Weboberfläche, und die wurde irgendwann „für die Fernwartung“ aus dem Internet erreichbar gemacht. Oft weiß der Betrieb davon nichts mehr. Dieser Beitrag zeigt, wie Sie herausfinden, ob das bei Ihnen der Fall ist, und was eine vernünftige Lösung ist.

Was passiert ist – und was noch offen ist

Bestätigt ist laut der französischen Behörde CERT-FR: Zahlreiche Fernsteuerungen für Kälteanlagen wurden kompromittiert. Betroffen sind die Produktreihen Danfoss AK-SC und AK-SM sowie Copeland xweb und Dixell xweb. Danfoss erklärte laut Fachpresse, überwiegend seien ältere Geräte betroffen, die keine Software- oder Sicherheitsupdates mehr erhalten; einzelne neuere Geräte liefen mit veralteter Firmware.

Nicht geklärt ist, wie die Angreifer hineingekommen sind. Für die Danfoss-Geräte sind Sicherheitslücken dokumentiert, ob eine davon ausgenutzt wurde, ist öffentlich nicht belegt. Auch Täter und Motiv sind unbekannt. Fälle in Deutschland waren laut Berichten bis zum 15. Oktober weder dem BSI noch dem Bundesverband des Deutschen Lebensmittelhandels (BVLH) bekannt. CERT-FR geht allerdings davon aus, dass die Angriffskampagnen noch laufen.

Unabhängig vom genauen Einfallstor benennen CERT-FR und BSI dasselbe Kernproblem: Verwaltungsoberflächen von Steuerungen, die direkt aus dem Internet erreichbar sind. Und genau das lässt sich prüfen.

Warum das auch kleine Betriebe betrifft

Das BSI richtet seine Warnung ausdrücklich an Betreiber kleiner industrieller oder vergleichbarer Anlagen und nennt als Beispiele Lebensmittelkühlung und Stromerzeugung. Die US-Behörde CISA hat schon 2025 beschrieben, warum solche Geräte ein dankbares Ziel sind: Sie sind im Internet leicht auffindbar, haben oft keine starke Anmeldung, und Standard- oder schwache Passwörter lassen sich mit frei verfügbaren Werkzeugen durchprobieren.

Unsere Einordnung: Die konkreten Geräte aus Frankreich stehen in den wenigsten Handwerksbetrieben. Das Muster dahinter – Technikgerät mit Weboberfläche, irgendwann per Portfreigabe nach außen geöffnet, danach jahrelang nicht mehr angefasst – ist dagegen alltäglich. Es betrifft die Kühlzelle genauso wie die Heizungssteuerung im Mehrfamilienhaus, den Rekorder der Videoüberwachung oder die Zutrittskontrolle der Praxis.

Wie solche Geräte überhaupt ins Internet kommen

Ein Gerät hinter dem Router ist aus dem Internet zunächst nicht erreichbar. Dass es das trotzdem ist, hat fast immer einen von drei Gründen:

  • Manuelle Portfreigabe: Der Installateur oder Kältetechniker hat im Router eine Weiterleitung eingerichtet, damit er die Anlage von unterwegs erreicht. Bequem, schnell eingerichtet – und danach oft vergessen.
  • Automatische Portfreigabe: Manche Geräte dürfen sich per UPnP oder PCP selbst eine Freigabe im Router anlegen. Bei der FRITZ!Box geht das nur, wenn es in der Oberfläche erlaubt wurde – bei aktuellen Versionen pro Gerät. Heise rät, solche selbstständigen Freigaben im Blick zu behalten, weil sie auch von Schadsoftware missbraucht werden können.
  • Eigener Fernwartungsweg des Dienstleisters: Cloud-Portal des Herstellers, VPN-Box oder ein separater Mobilfunk-Router im Technikschrank. Das BSI beschreibt diese Spannbreite bei Fernwartungslösungen ausdrücklich. Ein solcher Zugang taucht in Ihrem eigenen Router gar nicht auf.

Der dritte Punkt ist der unbequemste: Ein Blick in die eigene FRITZ!Box kann nur zeigen, was über die FRITZ!Box läuft. Ohne Gespräch mit dem Dienstleister bleibt die Bestandsaufnahme deshalb unvollständig.

Schritt 1: Liste machen – welche Technik ist vernetzt?

Bevor Sie im Router suchen, hilft eine einfache Liste. Gehen Sie durch Betrieb oder Haus und notieren Sie alles, was eine App, eine Weboberfläche oder einen „Fernwartungsvertrag“ hat:

  • Kühl- und Tiefkühltechnik mit Temperaturüberwachung oder Störmeldung aufs Handy
  • Heizung, Wärmepumpe, Lüftung, Gebäudesteuerung
  • Stromerzeugung und Energiemanagement, sofern mit Fernzugriff
  • Videorekorder und Kameras, Alarmanlage, Zutrittskontrolle
  • Geräte, bei denen „der Techniker manchmal von außen draufschaut“

Zu jedem Eintrag gehören zwei Fragen: Wer betreut das Gerät? Und wie kommt diese Person von außen darauf? Wenn die Antwort „weiß nicht“ lautet, haben Sie Ihren ersten Kandidaten gefunden.

Schritt 2: Im Router nachsehen

Bei der FRITZ!Box finden Sie die Freigaben unter Internet → Freigaben, im Reiter Portfreigaben. Dort ist pro Gerät zu sehen, welche Freigaben eingerichtet sind – auch MyFRITZ!-Freigaben und solche, die ein Gerät selbstständig angelegt hat. Die Bezeichnungen können je nach Modell und FRITZ!OS-Version leicht abweichen; die Suchfunktion der Oberfläche hilft.

Achten Sie auf:

  • Geräte, die Sie nicht zuordnen können. Gerätenamen wie „AK-SM“, „DVR“, „Controller“ oder eine nackte IP-Adresse sind ein Grund, nachzufragen.
  • Freigaben auf Weboberflächen, typischerweise die Ports 80, 443, 8080 oder 8443. Eine Weboberfläche ist genau das, was CERT-FR und BSI nicht im Internet sehen wollen.
  • Geräte mit erlaubten selbstständigen Portfreigaben. Brauchen sie das wirklich? Bei einer Spielkonsole mag das vertretbar sein, bei einer Steuerung eher nicht.
  • Freigaben für Geräte, die es gar nicht mehr gibt. Die gehören gelöscht – das ist der einfachste Fund.

Andere Router nennen die Funktion „Portweiterleitung“, „Port Forwarding“ oder „Virtual Server“. Steht im Betrieb eine Firewall, die ein Dienstleister verwaltet, gehört die Frage nach freigegebenen Diensten an ihn.

Schritt 3: Den Dienstleister fragen – aber die richtigen Fragen

Auch CISA empfiehlt, regelmäßig mit Dienstleistern, Integratoren und Herstellern zu sprechen, weil Fehlkonfigurationen oft bei Installation und Betrieb entstehen. Ein kurzer Anruf oder eine Mail genügt. Diese Fragen bringen Klarheit:

  1. Ist die Weboberfläche unserer Anlage direkt aus dem Internet erreichbar – ja oder nein?
  2. Über welchen Weg greifen Sie aus der Ferne zu (VPN, Herstellerportal, eigener Router)?
  3. Ist für diesen Zugang eine Zwei-Faktor-Anmeldung aktiv?
  4. Wurden die voreingestellten Passwörter des Geräts geändert?
  5. Bekommt das Gerät noch Sicherheitsupdates – und ist die aktuelle Version installiert?

Bei Frage 5 lohnt Hartnäckigkeit. Laut Danfoss waren die meisten betroffenen Geräte in Frankreich Modelle ohne Updates. CERT-FR warnt deutlich: Ein Gerät ohne Sicherheitsupdates, das aus dem Internet erreichbar bleibt, wird mit sehr hoher Wahrscheinlichkeit kompromittiert – und ein Zurücksetzen auf Werkseinstellungen hilft dann nur kurz, weil die Lücke bleibt.

Wie eine saubere Lösung aussieht

Fernwartung ist nicht das Problem. Eine Störmeldung aus der Kühlzelle am Sonntagabend ist sinnvoll, und dass der Techniker nicht für jede Kleinigkeit anfahren muss, spart Geld. Das Problem ist der Weg. BSI, CERT-FR und CISA empfehlen übereinstimmend:

  • Keine direkte Erreichbarkeit aus dem Internet. Das ist die erste und wichtigste Maßnahme.
  • Fernzugriff über VPN oder ein geschütztes Netz, abgesichert mit Mehr-Faktor-Anmeldung. Ein erbeutetes Passwort allein reicht dann nicht.
  • Standardpasswörter ändern und Zugänge nur so weit freigeben, wie sie gebraucht werden; ungenutzte Konten deaktivieren.
  • Updates zeitnah einspielen – und Geräte ohne Updates mittelfristig ersetzen.
  • Prüfen zur Routine machen, nicht nur nach Schlagzeilen.

Den Zugang nur für bestimmte IP-Adressen des Dienstleisters zu öffnen, nennt CERT-FR ausdrücklich eine Notlösung, keine Dauerlösung. Wer eine FRITZ!Box nutzt, hat mit WireGuard-VPN bereits ein Werkzeug an Bord, mit dem man sich erst ins eigene Netz verbindet und dann die Oberfläche aufruft – ein Einstieg steht in „Die wichtigsten Ersteinstellungen für Ihre FRITZ!Box“. Ob das für eine bestimmte Anlage und den jeweiligen Dienstleister praktikabel ist, muss man im Einzelfall klären.

Ergänzend begrenzt eine Netztrennung den Schaden, falls doch ein Gerät übernommen wird: Die Kühlungssteuerung muss nicht im selben Netz hängen wie der Buchhaltungs-PC. Die Grundidee erklärt „Smart Home im selben WLAN?“. Und dass auch der Router selbst keine offene Verwaltungsoberfläche im Internet braucht, zeigte bereits der Fall „MikroTik RouterOS unter Beschuss“.

Vorsicht: Nicht einfach den Stecker ziehen

Wer eine verdächtige Freigabe findet, ist versucht, sie sofort zu löschen. Bei reinen Altlasten ist das richtig. Bei einer Anlage, die gerade Temperaturen überwacht, sollten Sie vorher kurz klären, was daran hängt: Läuft die Störmeldung über diesen Weg? Verlangt der Wartungsvertrag oder die Versicherung eine Fernüberwachung? CERT-FR rät ausdrücklich, vor dem Trennen der Verbindung zum Kältedienstleister die vertraglichen Versicherungsbedingungen zu prüfen.

Die sinnvolle Reihenfolge: Dienstleister informieren, einen sicheren Ersatzweg vereinbaren, dann die offene Freigabe schließen. Gibt es Hinweise, dass jemand bereits an der Anlage war – unbekannte Benutzer, geänderte Zeitpläne, unerklärliche Abtauphasen –, ist das kein Fall mehr für „Freigabe löschen und gut“, sondern für den Dienstleister und gegebenenfalls einen Fachbetrieb für IT-Sicherheit.

Grenzen und offene Punkte

  • Der Angriffsweg in Frankreich ist öffentlich nicht geklärt (Stand 16. Oktober 2026). Ob die Geräte über offene Weboberflächen, eine konkrete Sicherheitslücke oder auf anderem Weg übernommen wurden, ist nicht belegt.
  • Die Zahl betroffener Märkte schwankt je nach Quelle. Bestätigte Fälle in Deutschland gibt es bislang nicht.
  • Der Router zeigt nur Freigaben, die über ihn laufen. Fernwartung über Herstellerportale oder eigene Mobilfunk-Router des Dienstleisters ist dort nicht sichtbar.
  • Menüpfade unterscheiden sich je nach Router, Modell und Firmware-Stand.
  • Ob eine Hersteller-Cloud als Fernwartungsweg ausreichend sicher ist, hängt vom Anbieter ab und lässt sich nicht pauschal beantworten.

Fazit: Eine Liste, ein Blick, ein Anruf

Die Angriffe in Frankreich sind spektakulär, die Lehre daraus ist es nicht: Steuerungen gehören nicht offen ins Internet. Für die meisten kleinen Betriebe ist die Prüfung überschaubar: vernetzte Technik auflisten, die Freigaben im Router durchsehen und beim Dienstleister nachfragen, wie er auf die Anlage kommt. Was danach bleibt, sind meist ein paar gelöschte Altlasten und ein Gespräch über VPN und Updates. BSI-Präsidentin Claudia Plattner sagt dazu, die Sicherheitsmaßnahmen lägen auf der Hand und seien unkompliziert umzusetzen. Man muss sie nur einmal angehen, statt zu hoffen, dass die offene Oberfläche schon niemand findet.

Sie finden in Ihrer FRITZ!Box Freigaben, die niemand erklären kann, oder möchten den Fernzugang für Ihren Dienstleister sauber über VPN lösen? DGH-IT schaut sich das gern mit Ihnen an – ohne Verkaufsdruck.

Quellen & weiterführende Informationen

Alle Quellen abgerufen am 01.11.2026.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert