Zum Inhalt springen
Sascha Böhm Software & App
← Alle Beiträge
OT-Security13. November 2026Sascha Böhm

Kühlanlagen gehackt: Was der CRA für Geräte im Bestand bedeutet

Gemeldet und informiert werden muss. Nachgerüstet werden muss nicht, solange die Geräte nicht wesentlich geändert werden. Warum das für Hersteller und Betreiber zum Problem wird.

Rechtlich durchgesehen von Dr. iur. Judith Behr, crAIready

Inhalt

1. Kühlung aus, per Fernzugriff

Anfang Oktober 2026 waren es Supermärkte in Frankreich. Am 2. und 3. November traf es Supermärkte in neun europäischen Ländern, in Frankreich zusätzlich mehrere Blutbanken. Die Angreifer schalteten die Kühlanlagen aus der Ferne in den Abtaumodus. Die Anlagen heizten sich teils auf bis zu 50 Grad auf, die Ware musste entsorgt werden.

Möglich war das, weil die Steuerungsboxen für die Fernwartung direkt am Internet hingen. Zum Teil liefen veraltete Systeme, die seit Jahren keine Sicherheitsupdates mehr bekommen hatten. Zunächst bekannten sich zwei pro-russische Hackergruppen zu den Angriffen. Inzwischen schreibt Frankreich sie den iranischen Revolutionsgarden zu.

2. Das Muster dahinter

Die Kühlanlagen sind kein Einzelfall. Sie zeigen ein Muster, das auf viele vernetzte Geräte zutrifft:

  • ein Gerätemodell, tausendfach verkauft
  • überall die gleiche Firmware
  • gesteuert über eine Hersteller-Cloud oder per Fernwartung direkt aus dem Internet
  • einmal eingerichtet, dann laufen die Geräte oft jahrelang ohne Updates

Eine Lücke betrifft dann nicht ein Gerät, sondern alle auf einmal. Egal ob in Paris, Brüssel oder Tallinn.

3. Neu ist das nicht

2016 wurden Hunderttausende Kameras und Router zum Mirai-Botnetz. Ein Angriff auf den DNS-Anbieter Dyn machte große Websites wie Twitter, Netflix und Spotify zeitweise unerreichbar. Viele der Geräte hatten noch ihre Standardpasswörter.

2022 fiel durch den Angriff auf das Satellitennetz KA-SAT von Viasat die Fernüberwachung von rund 5.800 Enercon-Windrädern in Mitteleuropa aus. Die Windräder liefen weiter, ließen sich aber nicht mehr aus der Ferne steuern. Enercon war nicht das Ziel, sondern ein Kollateralschaden.

Und schon 2018 haben Forscher der Princeton University in Simulationen gezeigt, dass gekaperte Geräte mit hoher Leistung das Stromnetz stören können, wenn sie gleichzeitig ein- und ausschalten. Damals ging es um Klimaanlagen und Heizungen. Heute kommen Wärmepumpen und Wallboxen dazu. Spätere Untersuchungen sehen die bestehenden Schutzmechanismen im Netz als wirksam gegen großflächige Folgen. Das Risiko verschwindet damit aber nicht, es wächst mit jedem vernetzten Gerät.

4. Es wird schneller

Am 6. November 2026 berichtete ComputerBase über eine KI-Pipeline von OpenAI, die im Linux-Kernel autonom 948 Schwachstellen gefunden hat. Über jede davon kann ein Nutzer mit eingeschränkten Rechten Root-Zugriff bekommen. Während der zehntägigen Untersuchung wurden 61 davon geschlossen.

Getestet wurde auf einer normalen Desktop-Distribution. Linux steckt aber auch in vielen Routern, Kameras und Steuerungen. Und diese Geräte werden nicht schneller gepatcht, nur weil Lücken schneller gefunden werden.

5. Was ist geregelt? Für neue Geräte einiges

  • 5G: Komponenten von Huawei und ZTE müssen bis Ende 2026 aus den deutschen 5G-Kernnetzen raus, bis Ende 2029 aus Zugangs- und Transportnetz.
  • Wechselrichter: Die EU schließt Projekte mit Wechselrichtern von Hochrisiko-Herstellern von EU-Förderung aus. Ein generelles Verbot ist das nicht.
  • Funkanlagen (RED): Seit 1. August 2025 gelten Cybersicherheitsanforderungen für neue internetfähige Funkgeräte, zum Beispiel Wallboxen oder Kameras mit WLAN.
  • Cyber Resilience Act (CRA): Die meisten Pflichten gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden; maßgeblich ist jedes einzelne Gerät, nicht das Modell. Die Meldepflichten nach Art. 14 gelten bereits seit dem 11. September 2026, auch für ältere Geräte (dazu Abschnitt 6).

Das meiste davon betrifft neue Produkte; beim CRA reichen die Melde- und Informationspflichten allerdings schon heute in den Bestand hinein. Die Frage ist: Was ist mit den Millionen Geräten, die heute schon verbaut sind?

6. Was der CRA für den Bestand regelt

Die Antwort steht in der Verordnung (EU) 2024/2847 selbst:

  • Art. 69 Abs. 2: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen des CRA nur, wenn sie danach wesentlich geändert werden. Wesentlich ist eine Änderung, die sich auf die Konformität mit den grundlegenden Cybersicherheitsanforderungen nach Anhang I Teil I auswirkt oder den bestimmungsgemäßen Zweck des Produkts ändert (Art. 3 Nr. 30 CRA). Reine Sicherheitsupdates, die die Zweckbestimmung nicht ändern, gehören nicht dazu; neue Funktionen können dagegen eine wesentliche Änderung sein (Erwägungsgrund 39 CRA).
  • Art. 69 Abs. 3: Abweichend davon gelten die Pflichten aus Art. 14 auch für diese älteren Produkte, sofern sie in den Anwendungsbereich fallen.
  • Art. 71 Abs. 2 UAbs. 2: Art. 14 gilt seit dem 11. September 2026. Nach der Auslegung der Kommission müssen Schwachstellen, deren aktive Ausnutzung dem Hersteller schon vorher bekannt war, nicht nachgemeldet werden; erfährt er erst danach von der Ausnutzung, greift die Meldepflicht (Leitlinie C(2026) 5252, Rn. 217).
  • Art. 14 Abs. 1 bis 4: Erlangt der Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle in seinem Produkt oder von einem schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt, meldet er dies gleichzeitig dem als Koordinator benannten CSIRT und der ENISA, über die einheitliche Meldeplattform (Frühwarnung unverzüglich, spätestens binnen 24 Stunden; Meldung spätestens binnen 72 Stunden; danach Abschlussbericht).
  • Art. 14 Abs. 8: Nach Kenntnis informiert der Hersteller die betroffenen und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall und, soweit erforderlich, über Maßnahmen, mit denen sie die Auswirkungen mindern können, gegebenenfalls in einem strukturierten, maschinenlesbaren Format.

Kurz gesagt

Für Geräte im Bestand gilt aus dem CRA die Meldepflicht und die Pflicht, Nutzer zu informieren. Eine allgemeine Pflicht zum Nachrüsten enthält der CRA für diese Geräte nicht, solange sie nach dem 11. Dezember 2027 nicht wesentlich geändert werden. Andere Vorschriften, etwa aus dem Produktsicherheitsrecht oder NIS2, können daneben gelten; sie sind nicht Gegenstand dieses Beitrags.

7. Das praktische Problem: Wer sind eigentlich die Nutzer?

Die Pflichten aus Art. 14 treffen den Hersteller (Art. 3 Nr. 13 CRA). Ab dem 11. Dezember 2027 gilt als Hersteller auch ein Einführer oder Händler, der ein Gerät unter eigenem Namen oder eigener Marke in Verkehr bringt oder es wesentlich ändert (Art. 21 CRA), sowie ein Dritter, der es wesentlich ändert und auf dem Markt bereitstellt (Art. 22 CRA). Um Nutzer zu informieren, muss der Hersteller sie aber erreichen können. Und genau da wird es schwierig.

Viele Hersteller kennen ihre installierte Basis nur bis zum Händler oder Installateur. Wer eine Anlage heute betreibt, ob sie verkauft oder umgebaut wurde, weiß oft keiner genau.

Art. 14 Abs. 8 schreibt keinen bestimmten Weg vor; er nennt nur, gegebenenfalls, ein strukturiertes, maschinenlesbares Format. Erwägungsgrund 67 nennt für schwerwiegende Sicherheitsvorfälle beispielhaft die Website und die direkte Kontaktaufnahme, Mehnert (NK-CRA, Art. 14 Rn. 19) zusätzlich E-Mail und Post. Das Gerät muss also nicht online sein, um Nutzer zu informieren. Aus Sicherheitssicht ergibt sich trotzdem ein Widerspruch: Der direkte Weg über das Produkt setzt in der Regel voraus, dass es online ist. Steuerungen sollen aber gerade nicht direkt am Internet hängen. Für den Bestand bleibt dann oft nur die Webseite des Herstellers. Und die liest der Betreiber einer Kühlanlage eher selten.

Einordnung: Dr. iur. Judith Behr, Juristin, Mitgründerin und CEO der codAIx GmbH (crAIready)

Für die Information der Nutzer schreibt Art. 14 Abs. 8 CRA keinen bestimmten Kanal vor. Erwägungsgrund 67 nennt für schwerwiegende Sicherheitsvorfälle beispielhaft die Website des Herstellers oder, wenn der Hersteller die Nutzer erreichen kann und die Risiken es rechtfertigen, die direkte Kontaktaufnahme. Mehnert (NK-CRA, Art. 14 Rn. 19) empfiehlt den „kürzesten möglichen Weg“: idealerweise über das Produkt selbst, bei registrierten oder namentlich bekannten Nutzern eine „direkte Kontaktaufnahme per E-Mail oder Post“, alternativ eine „auffällige Meldung auf der Webseite des Herstellers oder des Händlers“. Nach Wiebe (Das neue Recht der Cyberresilienz, § 6 Rn. 53) hängt der Kanal „von den dabei in Rede stehenden Cybersicherheitsrisiken und den Einzelfallumständen ab“; eine – soweit mögliche – direkte Kontaktaufnahme dürfte vorzugswürdig sein, wenn eine „öffentlichkeitswirksame Informationskampagne (weitere) Angriffe provozieren könnte“. Informiert der Hersteller nicht rechtzeitig, können die als Koordinatoren benannten CSIRTs die Nutzer selbst informieren, wenn sie dies für verhältnismäßig und erforderlich halten (Art. 14 Abs. 8 Satz 2 CRA).

Zum Bestand sagt Dr. Behr:

„Eine allgemeine Nachrüstpflicht enthält der CRA für Geräte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nicht. Anders ist es, wenn ein solches Gerät danach wesentlich geändert wird: Dann greifen die Anforderungen des CRA, je nach Auswirkung für den geänderten Teil oder für das gesamte Gerät. Und wer im Ernstfall seine Nutzer informieren muss, ist gut beraten zu wissen, wer seine Geräte betreibt und wie er sie erreicht. Eine Pflicht, die Betreiber nachträglich zu erfassen, enthält der CRA nach meinem Verständnis nicht.“

Und zur Rolle der Servicepartner:

„Die Pflicht, die Nutzer zu informieren, kann ein Servicepartner dem Hersteller nicht abnehmen. Aber er kann der Weg zu den Nutzern sein. Wer Partner einbindet, sollte vertraglich regeln, wer die Betreiberdaten pflegt und wie schnell eine Information weitergegeben wird, und dabei den Datenschutz mitdenken.“

Nimmt ein Servicepartner allerdings eine wesentliche Änderung vor, können ihn ab dem 11. Dezember 2027 selbst Herstellerpflichten treffen (Art. 21, 22 CRA).

Allgemeine Einordnung auf Grundlage der zitierten Fachliteratur, Rechtsstand 11. November 2026; keine Rechtsberatung im Einzelfall.

8. Lösungswege

Für Hersteller

Bei Industrie- und Kühlanlagen gibt es oft schon Wartungsverträge, nur eben beim Servicepartner oder Kältetechniker und nicht beim Hersteller. Das Wissen, wer die Anlage betreibt, ist also da. Es liegt nur an anderer Stelle.

  • Servicepartner vertraglich einbinden: Wer pflegt die Betreiberdaten, wie schnell wird eine Warnung weitergegeben? Datenschutz dabei mitdenken.
  • Bei Massenprodukten wie Wallboxen: Registrierung über App oder Garantie anbieten und aktiv dafür werben.
  • Wichtig: Die Pflicht bleibt beim Hersteller. Ein Partner ist nur ein Weg zu den Nutzern. Nimmt er eine wesentliche Änderung vor, können ihn ab dem 11. Dezember 2027 zusätzlich eigene Herstellerpflichten treffen (Art. 21, 22 CRA).

Für Betreiber

  • Anlagensteuerungen nie direkt aus dem Internet erreichbar machen, sondern in ein eigenes Netz.
  • Fernwartung nur auf Freigabe, getrennt und protokolliert.
  • Den Bestand kennen: Was hängt am Netz, wer ist der Hersteller, wer kümmert sich um Updates?
  • Beim Hersteller registrieren oder Kontaktdaten hinterlegen, damit eine Warnung auch ankommt.

9. Fazit

Der CRA wird neue Produkte sicherer machen. Für die Geräte, die heute schon im Feld stehen, sorgt er vor allem für Transparenz: Gemeldet und informiert werden muss, wenn der Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall erfährt. Eine allgemeine Pflicht zum Nachrüsten enthält der CRA für diese Geräte nicht, solange sie nach dem 11. Dezember 2027 nicht wesentlich geändert werden. Ob Kühlanlagen, Wärmepumpen und Wallboxen im Bestand sicherer werden, hängt deshalb an Herstellern und Betreibern gemeinsam.

Und wie gehst du mit den fast täglich neuen Sicherheitsmeldungen um? Was passiert bei dir mit Geräten, die schon lange im Einsatz sind?

Rechtliche Durchsicht der Aussagen zum Cyber Resilience Act (Abschnitte 5 bis 9): Dr. iur. Judith Behr, Mitgründerin und CEO der codAIx GmbH (crAIready). Die Angaben zu den Angriffen und zu anderen Regelwerken stammen vom Autor.

Dieser Artikel ersetzt keine Rechtsberatung.

Quellen