Ein Cyberangriff auf Kühlanlagen französischer Supermärkte hat im Oktober 2026 eindrucksvoll gezeigt, wie schnell ein digitales Sicherheitsproblem physische und wirtschaftliche Folgen haben kann.

Angreifer verschafften sich Zugriff auf die Fernsteuerung von Kühl- und Gefriersystemen. Berichten zufolge wurden Temperaturen und Abtauzyklen manipuliert. Lebensmittel verdarben, Anlagen fielen aus und einzelne Märkte meldeten weitere Sachschäden. Nach Angaben der französischen Regierung waren etwa 700 Supermärkte betroffen.

Die französische Cybersecurity-Behörde CERT-FR bestätigte zahlreiche Kompromittierungen verschiedener Steuerungssysteme. Sie warnte insbesondere vor direkt aus dem Internet erreichbaren Administrationsschnittstellen und empfahl, Fernzugriffe nur über abgesicherte Netze oder VPN-Verbindungen zu ermöglichen.

Der Vorfall ist mehr als eine ungewöhnliche Cybersecurity-Meldung. Er verdeutlicht ein grundsätzliches Problem: Viele Unternehmen denken Informationssicherheit noch immer überwiegend innerhalb der klassischen IT-Grenzen.

Doch Geschäftsprozesse halten sich nicht an diese Grenze.

Ein Cybervorfall mit physischen Folgen

Kühlanlagen in einem Supermarkt wirken auf den ersten Blick nicht wie ein typisches Ziel für Cyberangriffe. Sie speichern keine großen Mengen sensibler Kundendaten und gehören normalerweise weder zum Rechenzentrum noch zur klassischen Arbeitsplatz-IT.

Trotzdem sind sie für den Geschäftsbetrieb unverzichtbar.

Fallen sie aus oder werden sie manipuliert, entstehen direkte Konsequenzen:

  • Frische und gefrorene Waren können nicht mehr verkauft werden.
  • Lebensmittel müssen vernichtet werden.
  • Filialbereiche oder ganze Standorte können vorübergehend ausfallen.
  • Lieferketten und Nachschubprozesse werden beeinträchtigt.
  • Sachschäden und Sicherheitsrisiken können entstehen.
  • Kundenvertrauen und Reputation leiden.

Damit wird aus einer kompromittierten technischen Steuerung ein Business-Continuity-Ereignis.

Genau darin liegt die größere Bedeutung des Vorfalls. Ein System muss keine klassische IT-Anwendung sein, um für Informationssicherheit und Unternehmensresilienz relevant zu werden.

Informationssicherheit ist mehr als IT-Sicherheit

Informationssicherheit wird in vielen Organisationen noch immer stark mit dem Schutz von Computern, Netzwerken, Identitäten, Cloud-Plattformen und Datenbanken verbunden.

Diese Systeme sind zweifellos wichtig. Sie bilden jedoch nur einen Teil der digitalen Abhängigkeiten eines modernen Unternehmens.

Auch operative Prozesse werden zunehmend durch vernetzte Technologien gesteuert oder überwacht. Dazu gehören beispielsweise:

  • Produktionsanlagen und Industriesteuerungen
  • Energie- und Versorgungssysteme
  • Logistik- und Lagersysteme
  • Gebäudeautomation
  • Zutrittskontrollen und physische Sicherheitstechnik
  • Klima-, Kühl- und Lüftungsanlagen
  • medizinische und labortechnische Geräte
  • Sensoren und vernetzte Betriebsmittel
  • externe Wartungs- und Managementplattformen

Diese Systeme werden häufig unter dem Begriff Operational Technology, kurz OT, zusammengefasst.

Aus Sicht der Informationssicherheit ist jedoch nicht allein entscheidend, ob ein System organisatorisch zur IT, zur Produktion, zum Facility Management oder zu einem externen Dienstleister gehört. Entscheidend ist, von welchen Systemen ein kritischer Geschäftsprozess abhängt und welche Auswirkungen ihr Ausfall oder ihre Manipulation hätte.

Die technische Kategorie eines Systems bestimmt nicht seine geschäftliche Relevanz.

Informationssicherheit muss deshalb alle digitalen und informationsverarbeitenden Abhängigkeiten eines Geschäftsprozesses berücksichtigen – unabhängig davon, in welchem organisatorischen Bereich sie betrieben werden.

OT ist anders – darf aber nicht getrennt betrachtet werden

Die Forderung nach einer integrierten Betrachtung bedeutet nicht, dass OT-Systeme genauso behandelt werden können wie klassische IT-Systeme.

OT besitzt besondere technische und betriebliche Rahmenbedingungen.

Viele Komponenten haben Lebenszyklen von zehn, zwanzig oder mehr Jahren. Updates können häufig nur in festgelegten Wartungsfenstern installiert werden. Manche Systeme dürfen während des laufenden Betriebs nicht unterbrochen oder aktiv gescannt werden. Andere verwenden proprietäre Protokolle, spezialisierte Hardware oder Softwareversionen, die vom Hersteller nicht mehr unterstützt werden.

Während in der klassischen IT häufig Vertraulichkeit und Integrität im Vordergrund stehen, besitzen in der OT die Verfügbarkeit des Prozesses und teilweise auch die physische Sicherheit eine besondere Bedeutung.

Ein unkritisch eingespieltes Update kann im schlechtesten Fall einen betrieblichen Prozess unterbrechen. Eine aggressive Schwachstellenprüfung kann ältere Anlagen beeinträchtigen. Eine über Jahre stabile Komponente kann gleichzeitig bekannte Sicherheitslücken enthalten, für die kein Patch mehr verfügbar ist.

OT Security braucht daher spezialisierte technische Maßnahmen, erfahrene Fachleute und ein tiefes Verständnis des jeweiligen Betriebsprozesses.

Diese Unterschiede rechtfertigen jedoch keine vollständig getrennte Governance.

OT Security benötigt spezialisierte Kontrollen. Sie darf aber nicht außerhalb des Informationssicherheits-, Risikomanagement- und Resilienzmodells des Unternehmens stattfinden.

Die Trennung zwischen IT und OT kann technisch und organisatorisch sinnvoll sein. Problematisch wird sie, wenn dadurch Abhängigkeiten, Risiken und Verantwortlichkeiten nicht mehr gemeinsam betrachtet werden.

Die Lücke im Risikomanagement

Ein wirksames Cyber-Risikomanagement beginnt nicht mit einer Liste von Schwachstellen. Es beginnt mit dem Verständnis der Geschäftsprozesse und ihrer Abhängigkeiten.

Bei OT-Systemen ist dieses Verständnis häufig unvollständig.

Anlagen werden möglicherweise von einem operativen Bereich beschafft. Die Wartung erfolgt durch einen externen Dienstleister. Fernzugänge werden vom Hersteller eingerichtet. Netzwerkverbindungen entstehen über Jahre hinweg. Einzelne Komponenten erreichen ihr Supportende, bleiben aber weiterhin im Einsatz, weil ein Austausch teuer oder betrieblich schwierig wäre.

Jede einzelne Entscheidung kann nachvollziehbar sein. In ihrer Gesamtheit entsteht jedoch eine Risikolandschaft, die niemand vollständig überblickt.

Ein integriertes Risikomanagement sollte daher unter anderem folgende Fragen beantworten können:

  • Welche geschäftskritischen Prozesse hängen von OT-Systemen ab?
  • Welche Anlagen sind direkt oder indirekt mit anderen Netzen verbunden?
  • Welche Systeme sind aus dem Internet erreichbar?
  • Welche externen Dienstleister besitzen Fernzugänge?
  • Wie werden diese Zugänge authentifiziert, protokolliert und regelmäßig überprüft?
  • Welche Komponenten werden nicht mehr vom Hersteller unterstützt?
  • Welche bekannten Risiken werden akzeptiert und durch welche Maßnahmen kompensiert?
  • Welche Auswirkungen hätte eine Manipulation auf Betrieb, Sicherheit, Lieferfähigkeit oder Kunden?
  • Welche Abhängigkeiten bestehen von einzelnen Herstellern, Dienstleistern oder Ersatzteilen?

Dabei reicht es nicht, ein technisches Risiko wie „veraltete Steuerung“ in einem Register zu dokumentieren.

Das Risiko muss in seine geschäftliche Wirkung übersetzt werden.

Aus einer veralteten und aus dem Internet erreichbaren Steuerung kann beispielsweise ein Szenario entstehen, in dem ein kritischer Prozess manipuliert wird, Waren verloren gehen, ein Standort ausfällt oder eine sichere Wiederaufnahme des Betriebs mehrere Tage dauert.

Erst diese Verbindung ermöglicht eine fundierte Risikobewertung.

Warum OT Security ein BCM-Thema ist

Security-Maßnahmen sollen Vorfälle verhindern oder ihre Wahrscheinlichkeit reduzieren. Vollständig ausschließen lassen sich Störungen jedoch nicht.

Deshalb ist OT Security untrennbar mit Business Continuity Management verbunden.

Ein Unternehmen muss nicht nur wissen, wie es eine Anlage schützt. Es muss auch verstehen, wie der betroffene Geschäftsprozess fortgeführt oder wiederhergestellt werden kann, wenn der Schutz versagt.

Dabei stellen sich andere Fragen als bei der Wiederherstellung eines gewöhnlichen IT-Systems:

  • Kann der Prozess sicher manuell weitergeführt werden?
  • Können Anlagen lokal betrieben werden, wenn externe Verbindungen abgeschaltet werden?
  • Sind aktuelle und geprüfte Konfigurationen vorhanden?
  • Können Steuerungen nach einer Kompromittierung zuverlässig zurückgesetzt und neu aufgebaut werden?
  • Wie wird festgestellt, ob eine Anlage wieder sicher betrieben werden kann?
  • Sind Ersatzgeräte und kompatible Komponenten kurzfristig verfügbar?
  • Stehen interne Fachkräfte und externe Spezialisten auch außerhalb der Geschäftszeiten bereit?
  • Muss vor dem Wiederanlauf eine technische oder sicherheitsbezogene Prüfung erfolgen?
  • Wie lange dauert eine kontrollierte Wiederinbetriebnahme tatsächlich?
  • Welche Auswirkungen entstehen während dieser Zeit für Kunden, Lieferanten und weitere Standorte?

Klassische Kennzahlen wie Recovery Time Objective und Recovery Point Objective bleiben wichtig, erfassen aber möglicherweise nicht alle Besonderheiten physischer Prozesse.

Bei OT können zusätzlich Ersatzteilverfügbarkeit, Anlagenzustand, Kalibrierung, Safety-Prüfungen, Herstellerunterstützung und die Reihenfolge des Wiederanlaufs entscheidend sein.

Ein Backup der Konfiguration allein stellt noch keinen belastbaren Wiederanlaufplan dar.

Business Impact Analysis muss digitale und physische Abhängigkeiten verbinden

Eine Business Impact Analysis sollte deshalb nicht bei Anwendungen und Datenbanken enden.

Für jeden kritischen Geschäftsprozess müssen auch die zugrunde liegenden operativen Systeme betrachtet werden:

  1. Welcher Prozess ist für das Unternehmen wesentlich?
  2. Welche IT-, OT- und Dienstleisterabhängigkeiten besitzt dieser Prozess?
  3. Welche Störungen könnten ihn unterbrechen oder manipulieren?
  4. Welche Auswirkungen entstehen im Zeitverlauf?
  5. Welche Übergangslösungen sind möglich?
  6. Welche Ressourcen werden für die Wiederherstellung benötigt?
  7. Wie wurde der Wiederanlauf praktisch getestet?

Der Angriff auf französische Kühlanlagen verdeutlicht diese Kette sehr klar: Eine fernzugängliche Steuerung wird manipuliert, die Kühltechnik fällt aus, die Kühlkette wird unterbrochen und es entstehen Warenverluste und Betriebsstörungen. Was zunächst wie eine technische Fehlkonfiguration oder unzureichend geschützte Fernwartung aussieht, entwickelt sich innerhalb kurzer Zeit zu einem operativen und wirtschaftlichen Problem.

Integration bedeutet nicht Zentralisierung

OT in die Informationssicherheit einzubeziehen bedeutet nicht zwangsläufig, alle Systeme und Entscheidungen unter einer einzigen zentralen Funktion zusammenzufassen.

Operations kennt die Anlagen und Prozesse. Die Fachbereiche verstehen die betrieblichen Anforderungen. Facility Management betreibt spezialisierte Gebäudetechnik. Hersteller und Dienstleister besitzen technisches Produktwissen. InfoSec bringt Methoden für Cyberrisiken, Sicherheitsarchitektur, Zugangsschutz und Incident Response ein. BCM betrachtet Auswirkungen, Notbetrieb und Wiederanlauf.

Keine dieser Perspektiven reicht allein aus.

Erforderlich ist deshalb kein organisatorischer Machtwechsel, sondern ein gemeinsames Modell für Risiken und Abhängigkeiten.

Dazu gehören beispielsweise:

  • eine abgestimmte Erfassung kritischer IT- und OT-Komponenten
  • die Zuordnung zu den unterstützten Geschäftsprozessen
  • gemeinsame Risiko- und Business-Impact-Bewertungen
  • abgesicherte und regelmäßig überprüfte Fernwartungszugänge
  • kontrollierte Netzwerkverbindungen und Segmentierung
  • ein belastbares Lifecycle- und End-of-Life-Management
  • gesicherte und getestete Anlagenkonfigurationen
  • abgestimmte Incident-Response- und Wiederanlaufpläne
  • gemeinsame Übungen von Operations, InfoSec, BCM und Krisenmanagement
  • klare Eskalationswege für technische und operative Auffälligkeiten

Besonders wichtig sind dabei die Übergänge zwischen den Bereichen. Genau dort entstehen häufig blinde Flecken: Ein externer Zugang, den die IT nicht kennt. Eine nicht mehr unterstützte Steuerung, deren Austausch betrieblich verschoben wurde. Eine Abhängigkeit, die in keiner Business-Impact-Analyse auftaucht. Oder ein Wiederherstellungsplan, der nie unter realistischen Bedingungen getestet wurde.

Fünf Fragen für die eigene Organisation

Der französische Vorfall bietet Anlass, die eigene Situation kritisch zu prüfen.

1. Kennen wir alle digital erreichbaren betrieblichen Systeme?

Dazu gehören auch Gebäudeautomation, Klima- und Kühltechnik, Energieversorgung, Zutrittskontrollen und spezialisierte Steuerungen.

2. Wissen wir, welche Geschäftsprozesse davon abhängen?

Ein vollständiges Anlageninventar ist hilfreich. Entscheidend ist jedoch die Verbindung zwischen Anlage, Prozess und möglicher Geschäftsauswirkung.

3. Sind externe Wartungszugänge angemessen geschützt?

Fernwartung kann betrieblich notwendig sein. Direkte und unkontrollierte Erreichbarkeit aus dem Internet sollte jedoch vermieden werden. Zugänge benötigen abgesicherte Verbindungen, starke Authentifizierung, Protokollierung und regelmäßige Überprüfung.

4. Sind OT-Szenarien Bestandteil von Risikomanagement und BCM?

Eine Cyberübung sollte nicht nur den Ausfall von E-Mail, Identitäten oder zentralen IT-Anwendungen behandeln. Auch die Manipulation oder Nichtverfügbarkeit physischer Prozesse gehört in realistische Szenarien.

5. Haben wir den Wiederanlauf tatsächlich getestet?

Dokumentierte Verfahren sind wichtig. Erst eine Übung zeigt, ob Konfigurationen, Ersatzteile, Ansprechpartner, Kommunikationswege und technische Fähigkeiten im Ernstfall wirklich verfügbar sind.

Die Grenze darf nicht zum blinden Fleck werden

Die Unterscheidung zwischen IT und OT wird weiterhin notwendig bleiben. Beide Bereiche besitzen unterschiedliche Technologien, Betriebsmodelle und Sicherheitsanforderungen.

Diese Unterschiede dürfen jedoch nicht dazu führen, dass OT außerhalb der übergreifenden Informationssicherheit betrachtet wird.

Cyberrisiken folgen keiner Organisationsstruktur. Ein Angreifer unterscheidet nicht danach, ob ein System im Verantwortungsbereich von IT, Operations, Facility Management oder einem Dienstleister liegt. Entscheidend ist, ob das System erreichbar, verwundbar und für den Geschäftsbetrieb relevant ist.

Informationssicherheit muss deshalb dort ansetzen, wo digitale Abhängigkeiten entstehen – nicht dort aufhören, wo die klassische IT endet.

Die Grenze zwischen IT und OT bleibt für Technik und Betrieb relevant. Sie darf aber nicht die Grenze von Informationssicherheit, Risikomanagement und Business Continuity bestimmen.

Quellen