Supermarkt-Tiefkühltruhen müssen ein Thermometer haben, kein Internet

Wird die Supermarkt-Kühlung gehackt, muss der Markt das in der Regel nicht als Cyberangriff melden. Gehackt werden die Kühlregler, die kleinen Steuerrechner, die Truhen und Kühlräume regeln. Melden muss der Markt der Lebensmittelbehörde, sobald die Ware Kunden schaden kann. Für eine ausgenutzte Sicherheitslücke in der Steuerung muss seit dem 11. September 2026 der Hersteller melden, nach dem Cyber Resilience Act der EU. Am Internet hängen müssen die Kühlanlagen nach EU-Recht und deutschem Recht nicht: Für die Tiefkühltruhe im Verkaufsraum genügt ein gut sichtbares Thermometer.

In der Nacht zum 12. Oktober 2026 wurden in Hunderten französischen Märkten Kühlregler verstellt, auch auf Abtauen, den Betrieb zum Enteisen. In der Nacht zum 2. November traf es Märkte in Belgien, Luxemburg, Schweden, Irland, den Niederlanden und Estland, wie mehrere Häuser berichten. Nach Angaben des belgischen Kältedienstleisters Sabcobel wurden die Anlagen aus der Ferne in den Abtaumodus versetzt.

Muss der Supermarkt melden, wenn die Kühlung gehackt wird?#

Ja, an die Lebensmittelbehörde, und nur unter einer Bedingung. Nach Art. 19 Abs. 3 der Basisverordnung zum Lebensmittelrecht¹ unterrichtet ein Lebensmittelunternehmer die Behörde „unverzüglich“, wenn er erkennt oder „Grund zu der Annahme“ hat, dass ein von ihm in Verkehr gebrachtes Lebensmittel „möglicherweise die Gesundheit des Menschen schädigen kann“. In Verkehr gebracht ist schon die Ware in der Truhe: Die Verordnung zählt das „Bereithalten von Lebensmitteln … für Verkaufszwecke“ dazu (Art. 3 Nr. 8).

Die Pflicht hängt also an der Ware, nicht daran, ob ein Angreifer oder ein Defekt die Kühlung abgeschaltet hat. Räumt der Markt die Truhe und vernichtet alles, bevor jemand kauft, lässt der Wortlaut offen, ob dann noch Grund zur Annahme einer Gefahr besteht.

NIS2 und das BSI-Gesetz fragen nach der Firma, nicht nach dem Laden#

Die NIS2-Richtlinie der EU, in Deutschland seit 6. Dezember 2025 als neues BSI-Gesetz in Kraft, verpflichtet Unternehmen bestimmter Sektoren zu Risikomanagement und zur Meldung erheblicher Sicherheitsvorfälle. Für Lebensmittel nennen Anhang II der Richtlinie eur-lex.europa.eu ↗ und Anlage 2 des BSI-Gesetzes gesetze-im-internet.de ↗ nur Lebensmittelunternehmen, „die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind“. Erfasst ist eine solche Firma nach § 28 BSI-Gesetz gesetze-im-internet.de ↗ ab 50 Beschäftigten oder ab jeweils über 10 Millionen Euro Jahresumsatz und Bilanzsumme.

Ein reiner Einzelhändler fällt damit nicht unter den Sektor Lebensmittel. Betreibt dieselbe Gesellschaft auch Großhandel, kann sie erfasst sein. Dann zählt als erheblicher Sicherheitsvorfall auch einer, der „schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung“ verursacht, also auch ein Angriff auf ihre Märkte. Wie viel Großhandel dafür reicht, regelt das Gesetz nur grob: Tätigkeiten, die für das ganze Geschäft „vernachlässigbar“ sind, können unberücksichtigt bleiben.

Als „Anbieter verwalteter Dienste“ erfasst die Richtlinie auch Firmen, die die Wartung „jeglicher anderer Netz- und Informationssysteme“ für Kunden „aus der Ferne“ erbringen; das BSI-Gesetz führt sie als „Managed Services Provider“ in Anlage 1. Ob ein Kältedienstleister, der Supermarktsteuerungen fernwartet, dazu zählt, hat keine Behörde gesagt, soweit zu finden war. Der Wortlaut schließt es nicht aus.

Eine Supermarktkette wird ab 434.500 Tonnen im Jahr KRITIS#

Für kritische Infrastrukturen zählt die BSI-Kritisverordnung gesetze-im-internet.de ↗ im Sektor Ernährung Anlagen oder Systeme „zum Inverkehrbringen von Lebensmitteln“; als Beispiel nennt sie „eine Verkaufsstelle des Einzel- oder Großhandels“. Die Schwelle liegt bei 434.500 Tonnen Lebensmitteln außer Getränken im Jahr, gerechnet als 0,869 Tonnen je Person für 500.000 Versorgte, nach derselben Logik wie bei Wasserversorgern². Mit dem Umrechnungssatz der Verordnung von 3,90 Euro je Kilogramm sind das 434.500 × 1.000 kg × 3,90 € ≈ 1,69 Milliarden Euro Umsatz im Jahr, gezählt je Anlage oder System, nicht je Konzern.

Daneben nennt die Verordnung eine „Anlage oder System zur zentralen Steuerung oder Überwachung“, gemessen an den Lebensmitteln aller Anlagen, die es steuert oder überwacht. Ob eine zentrale Fernüberwachung der Kühlung so ein System ist, sagt die Verordnung nicht. Sie gilt nur noch, bis die Verordnung zum KRITIS-Dachgesetz³ in Kraft tritt (§ 12).

Seit dem 11. September 2026 muss der Hersteller melden#

Nach Art. 14 des Cyber Resilience Act⁴, der EU-Verordnung über Cybersicherheit vernetzter Produkte, meldet ein Hersteller „jede aktiv ausgenutzte Schwachstelle“ in seinem Produkt, von der er erfährt, an die zuständige nationale Notfallstelle (CSIRT) und an die EU-Cybersicherheitsagentur ENISA: eine Frühwarnung binnen 24 Stunden, die Meldung binnen 72 Stunden. Im Wesentlichen gilt die Verordnung erst ab 11. Dezember 2027, Art. 14 schon seit 11. September 2026, und nach Art. 69 Abs. 3 auch für Produkte, die vor Dezember 2027 in Verkehr kamen. Eine Ausnahme für Geräte, die der Hersteller nicht mehr pflegt, steht nicht im Wortlaut; die Danfoss-Steuerung AK-SM 800 etwa bekommt laut einer Untersuchung des Sicherheitsunternehmens Forescout forescout.com ↗ seit Mai 2021 keine Herstellerpflege mehr.

Ob die Pflicht in diesen Fällen greift, ist offen. „Aktiv ausgenutzt“ heißt nach Art. 3 Nr. 42, dass „verlässliche Nachweise“ vorliegen, dass ein Angreifer die Schwachstelle ohne Zustimmung des Eigners ausgenutzt hat. Für Frankreich ist laut Forescout unbestätigt, wie die Angreifer hineinkamen und ob sie eine Schwachstelle nutzten oder offene Oberflächen mit Standard- oder gekauften Passwörtern.

Wann ist Tiefkühlware im Laden zu warm?#

In Deutschland muss Tiefkühlware nach der Verordnung über tiefgefrorene Lebensmittel gesetze-im-internet.de ↗ „bis zur Abgabe an den Verbraucher an allen Punkten des Erzeugnisses ständig“ bei −18 °C oder kälter bleiben. In den Tiefkühlgeräten des Einzelhandels sind höchstens 3 Grad Abweichung erlaubt, die Truhe darf also nicht wärmer als −15 °C werden.

Der Hinweis „nach dem Auftauen nicht wieder einfrieren“ auf der Packung ist eine Kennzeichnungspflicht (§ 5 Nr. 3 der Verordnung). Er richtet sich an den Käufer zu Hause; für den Laden gilt die Temperatur bis zur Kasse.

Vorgeschrieben sind Thermometer, Aufzeichnung und Leckalarm#

Wie die Temperatur tiefgefrorener Lebensmittel überwacht wird, regelt die Verordnung (EG) Nr. 37/2005⁵. Transportmittel und Lager sind mit „geeigneten Aufzeichnungsgeräten“ auszustatten, die Aufzeichnung wird mindestens ein Jahr aufbewahrt. Für den Laden macht Art. 3 eine Ausnahme: In Verkaufsmöbeln des Einzelhandels wird die Lufttemperatur „nur mit mindestens einem leicht sichtbaren Thermometer gemessen“. Dasselbe gilt für Kühlräume unter 10 Kubikmetern, in denen der Laden Vorräte lagert. Auch kleinen Geräten im Einzelhandel Aufzeichnungen vorzuschreiben, „wäre übertrieben“, schreibt die Kommission in Erwägungsgrund 6.

Kälteanlagen mit fluorierten Treibhausgasen ab 500 Tonnen CO2-Äquivalent brauchen nach Art. 6 der F-Gas-Verordnung⁷ ein Leckage-Erkennungssystem, „das den Betreiber oder ein Wartungsunternehmen bei jeder Leckage warnt“.

Für die Verkaufstruhe verlangt das Recht ein Thermometer, für das Lager ab 10 Kubikmetern eine Aufzeichnung, für große F-Gas-Anlagen einen Leckalarm; einen Fernzugang aus dem Internet verlangt keine dieser Regeln.

Warum die Steuerungen trotzdem am Netz hängen#

Kältedienstleister überwachen und warten die Anlagen aus der Ferne, und die Hersteller sehen das vor. Als Ziele der Angriffe nennt das französische Computer-Notfallteam CERT-FR Danfoss-Steuerungen der Reihen AK-SM und AK-SC sowie XWEB von Copeland und Dixell. Für die AK-SM 800 beschreibt die Herstellerdokumentation laut Forescout den Zugang aus dem Internet über eine Portweiterleitung, mit HTTP-Port 80 als Voreinstellung. Danfoss beschrieb im Oktober 2025 in einem technischen Bulletin Angriffe aus dem Jahr 2022 auf 16 russische Supermärkte und 40 israelische Geschäfte über dieses Gerät.

Vor dem Kappen der Leitung rät CERT-FR in seiner Warnung⁸ zur Vorsicht: „Die vertraglichen Versicherungsbedingungen prüfen, bevor die Datenübertragung über das Internet zum Kältedienstleister gekappt wird“ (eigene Übersetzung). Ob Versicherungen oder Wartungsverträge eine Fernüberwachung verlangen, ist nicht belegt.

Eine Verwaltungsoberfläche offen ins Internet zu stellen, widerspricht laut CERT-FR „den guten Praktiken“. Das BSI forderte am 13. Oktober 2026⁹ Betreiber kleiner Anlagen, „etwa zur Kühlung von Lebensmitteln“, auf, ihre Steuerungen abzusichern. Beides sind Empfehlungen, keine Pflichten.

Die Regeln im Überblick#

Stand: 2. November 2026