BSI mahnt nach Frankreich-Angriff: Vernetzte Geräte besser absichern

Der Angriff, der die Behörde aufschreckte

In der Nacht zum Montag haben unbekannte Angreifer die Kühl- und Gefriersysteme Hunderter französischer Supermärkte manipuliert. Die vernetzten Anlagen wurden stundenlang auf bis zu 50 Grad Celsius erhitzt [2]. Nach Angaben von Frankreichs Finanzminister Roland Lescure waren rund 700 der etwa 10.000 Supermärkte des Landes betroffen [2]. In mehreren Filialen verdarben Lebensmittel, es kam zu Bränden [1].

Die französische Handelskette Cooperative U meldete, 80 ihrer 2.000 Filialen seien betroffen gewesen; die meisten hätten Störungen verhindern können, einige hätten aber Waren entsorgen müssen [2]. Der dänische Kältetechnikhersteller Danfoss erklärte, die meisten betroffenen Systeme seien ältere Produkte gewesen, für die es keine Software- oder Sicherheitsupdates mehr gebe [2]. Auch die niederländische Supermarktkette Ahold Delhaize meldete Störungen und nahm Kühlsysteme vorsorglich vom Netz [2]. Die Pariser Staatsanwaltschaft ermittelt; die französische Cybersicherheitsbehörde ANSSI stimmt sich nach Angaben eines Insiders mit europäischen Partnern ab [2].

Was das BSI konkret empfiehlt

Das BSI hat am 13. Oktober 2026 die Cybersicherheitsempfehlung BSI-CS 154 mit dem Titel "Gefährdung durch internet-verbundene OT-Systeme" veröffentlicht [4]. Sie richtet sich ausdrücklich an Betreiber kleiner und kleinster industrieller Anlagen – etwa zur Kühlung von Lebensmitteln, zur Stromerzeugung oder zur Wasseraufbereitung, die industrielle Steuerungsgeräte einsetzen [3] [4].

Die Kernbotschaft ist so einfach wie konsequent: "Der wichtigste und zugleich einfachste Schutz ist es, die Anlagen vom Internet zu trennen", heißt es in der Empfehlung [3]. Konkret rät die Behörde,

• den direkten Zugriff aus dem Internet auf Steuerungssysteme zu unterbinden,

• VPN-Tunnel und multifaktorgeschützte Zugriffe zu nutzen,

• Positivlisten für Zugriffsberechtigungen einzurichten,

• Systeme auf dem aktuellen Stand zu halten und Sicherheitsupdates sowie Fehlerkorrekturen kurzfristig einzuspielen [2] [3] [5].

Zudem sollten Betreiber prüfen, ob ihre Geräte oder Anlagen aus dem Netz erreichbar sind, und dann gezielt gegensteuern [5]. Das BSI verlinkt dafür Werkzeuge, mit denen sich exponierte vernetzte Steuerungen für "Operational Technology" (OT) auffinden lassen [3].

BSI-Präsidentin Claudia Plattner ordnet die Dringlichkeit ein: "Die Vorfälle in Frankreich zeigen deutlich, wie Cyberangriffe unseren Alltag beeinflussen und stören können. Dieser Angriff hätte jedes Land treffen können und kann auch jetzt jederzeit Nachahmer finden" [2] [5]. Und weiter: "Derartige 'Einfallstore' laden regelrecht zu Sabotage ein. Wir fordern die Betreiber solcher Anlagen eindringlich auf, ihre Systeme sicher zu betreiben!" [5]

Warum auch das Smart Home in den Blick gerät

Die formale Empfehlung BSI-CS 154 zielt auf gewerbliche und industrielle Betreiber – nicht auf private Haushalte. Doch die Behörde nutzt den Anlass, um auch Verbraucher zu sensibilisieren. BSI-Sprecher Joachim Wagner sagte dem MDR, auch Privatpersonen mit Smart Home seien gefragt, sich mit den digitalen Geräten, die sie verwenden, auseinanderzusetzen [1].

Angst müsse niemand haben, so Wagner, aber es sei ratsam, sich mit den Geräten im Alltag zu beschäftigen [1]. Sein konkretes Beispiel: Kühlschränke oder Waschmaschinen, die nur mit einem Standard-Passwort ausgeliefert werden. Werde dieses nicht geändert, nutzten viele Geräte dasselbe Passwort – was Angreifern den Zugriff erleichtere [1]. Vor allem auf sichere Passwörter und Zwei-Faktor-Authentifizierung müsse geachtet werden [1].

Diese Unterscheidung ist wichtig: Die Smart-Home-Hinweise sind eine begleitende Verbraucherbotschaft, nicht der Kern der technischen Empfehlung. Wer als Privatperson nach konkreten Schutzmaßnahmen sucht, findet sie in der BSI-Empfehlung nur mittelbar – die technischen Vorgaben sind auf Steuerungsanlagen zugeschnitten.

Typische Risiken im vernetzten Zuhause

Die Parallelen zwischen Supermarkt-Kühlregal und privatem Smart Home sind struktureller Natur. In beiden Fällen treffen drei Faktoren zusammen:

• Werkseitige Standardzugänge: Viele Geräte kommen mit voreingestellten Passwörtern, die nie geändert werden.

• Fehlende Updates: Ältere Geräte erhalten keine Sicherheitsupdates mehr – genau das war laut Danfoss ein zentrales Problem in Frankreich [2].

• Direkte Erreichbarkeit aus dem Internet: Wer Ports freigibt oder UPnP aktiviert, macht Geräte von außen ansprechbar. Das BSI nennt genau das den entscheidenden Fehler [3].

Hinzu kommt die fehlende Trennung der Netze: Wer Smart-Home-Geräte im selben WLAN wie Computer und Smartphone betreibt, vergrößert die Angriffsfläche. Ein separates Gastnetz für vernetzte Geräte ist eine vergleichsweise einfache Gegenmaßnahme.

Der regulatorische Rahmen: CRA und NIS2

Ein Teil des Problems liegt bereits in der Herstellerverantwortung. Ein BSI-Sprecher sagte heise security, die Passwörter für die Steuerungsanlagen seien nach derzeitigem Kenntnisstand offenbar bereits bei Auslieferung unzureichend abgesichert gewesen. "Das sollte idealerweise bei einer Konformitätsbegutachtung im Rahmen des Cyber Resilience Acts auffallen" [3].

Der Cyber Resilience Act (CRA) verpflichtet Hersteller vernetzter Geräte ab Dezember 2027 zu verschärften Sorgfaltspflichten, die schon im Auslieferungszustand ein hohes Maß an IT-Sicherheit garantieren sollen [3]. Für Unternehmen, die nicht unter die NIS2-Richtlinie fallen, empfehlen Fachleute dennoch, sich ihrer Verantwortung in Liefer- und Leistungsketten bewusst zu sein [5].

Einordnung und Ausblick

Bemerkenswert ist, dass das BSI ausdrücklich betont, die Maßnahmen würden unabhängig von den konkreten Vorfällen in Frankreich empfohlen [3]. Die Behörde warnt allgemein vor "rein destruktiven Sabotageakten", die "einfach vermeidbar" gewesen wären [3]. Die Botschaft ist damit keine neue – aber ihre Dringlichkeit hat sich verschärft.

Für Deutschland gibt es bislang Entwarnung: Dem Bundesverband des Deutschen Lebensmittelhandels zufolge waren keine hiesigen Märkte betroffen, die Versorgung der Bevölkerung sei zu keinem Zeitpunkt gefährdet gewesen [3]. heise security fand im Internet zwar ebenfalls potenziell verwundbare Systeme in Deutschland, allerdings nur in geringer Zahl; ob sie tatsächlich angreifbar sind, wurde nicht geprüft [3].

Ob der Angriff Nachahmer findet, hängt auch davon ab, wie schnell Betreiber und Hersteller die Grundlagen umsetzen. Für Verbraucher bleibt als Kern: Standardpasswörter ändern, Zwei-Faktor-Authentifizierung aktivieren, Updates nicht aufschieben – und Geräte, die keine Sicherheitsupdates mehr erhalten, im Zweifel ersetzen.