Wer die Abtauung startet, kontrolliert nicht die Schadensgrenze

Kurzfassung: Kompromittierte Kühlanlagen zeigen, wie normale Bedienfunktionen physische Schäden ermöglichen können. Fernzugriff, Temperaturregelung und Schadensbegrenzung sind verschiedene Schutzaufgaben. Entscheidend ist, ob derselbe Zugang auch Alarmgrenzen und Überwachung verändern kann. Eine zusätzliche Anzeige schützt wenig, wenn sie dieselben Einstellungen und denselben Meldeweg übernimmt.

Eine Kühlanlage muss regelmäßig abtauen. Der dafür vorgesehene Befehl ist kein Fehler, sondern Teil ihres Betriebs. Wer ihn zum falschen Zeitpunkt oder über eine unpassende Dauer auslöst, kann dennoch die Kühlleistung beeinträchtigen. Für Betreiber liegt darin eine wichtige Unterscheidung: Eine erlaubte Funktion ist nicht unter allen Bedingungen eine verträgliche Handlung. Die betriebliche Schutzgrenze lässt sich deshalb nicht allein daran festmachen, wer die Anlage bedienen darf.

Den konkreten Anlass liefern kompromittierte Fernsteuerungen von Kühlanlagen. Das französische CERT-FR bestätigt in seiner Warnung vom 12. Oktober 2026, aktualisiert am 16. Oktober, zahlreiche Kompromittierungen bei Geräten der Danfoss-Reihen AK-SM und AK-SC sowie Copeland- und Dixell-XWEB-Systemen. Zu seinen Empfehlungen gehört ausdrücklich die Prüfung der gesamten Konfiguration, insbesondere der Abtauzeiten. Das ist mehr als eine Aufforderung, neue Passwörter zu setzen: Nach einem Eingriff muss auch wieder stimmen, was die Anlage tatsächlich tut.

Der Normalbetrieb enthält bereits wirksame Eingriffe

Vernetzte Betriebstechnik unterscheidet sich hier von einem reinen Auskunftssystem. Eine geänderte Einstellung kann unmittelbar auf einen physischen Prozess wirken. Dafür ist nicht zwingend eine eigens entwickelte Schadfunktion nötig. Auch eine Wartungsfunktion kann außerhalb ihres vorgesehenen Zusammenhangs Schaden ermöglichen.

Die erste Schutzaufgabe bleibt deshalb, unberechtigten Zugriff zu verhindern. CERT-FR empfiehlt, öffentlich erreichbare Verwaltungsoberflächen aus dem Internet zu nehmen und den Fernzugang nur über ein gesichertes VPN oder ein geschütztes Netz wiederherzustellen. Hinzu kommen Herstellermaßnahmen wie aktuelle Firmware und geänderte Standardpasswörter. Ein bloßes Zurücksetzen eines weiterhin verwundbaren, öffentlich erreichbaren Geräts genügt nach der Warnung nicht.

Die zweite Aufgabe beginnt hinter diesem Zugangsschutz. Auch ein berechtigter Wartungszugang kann fehlerhaft benutzt werden; ein kompromittierter Zugang kann nach außen wie ein regulärer erscheinen. Für die Schadensbegrenzung zählt dann nicht nur die Identität des Bedieners. Entscheidend sind der ausgelöste Betriebszustand, seine Dauer und die tatsächliche Temperaturentwicklung.

Das ist auch für KI-gestützte Anlagenbedienung relevant. Die genannten Vorfälle belegen keinen Einsatz von KI durch Angreifer. Sie zeigen aber eine Bedingung jeder weitergehenden Automatisierung: Ein System, das gültige Steuerbefehle ausgeben darf, benötigt nicht automatisch auch das Recht, deren betriebliche Grenzen umzuschreiben.

Ein Alarm kann dieselbe Verwaltungsgrenze teilen

Wie viel von einer Schutzwirkung an Einstellungen hängt, zeigt ein Herstellerhandbuch. Die Anwendungsanleitung für Danfoss-Regler der ERC-21X-Reihe beschreibt eine maximale Abtaudauer unter dem Parameter d04. Bei temperaturbeendeter Abtauung dient diese Dauer als zeitliche Begrenzung, wenn die Beendigung über die Temperatur nicht erfolgt.

Daneben dokumentiert die Anleitung eine obere Temperaturalarmgrenze A13 und eine besondere Alarmverzögerung A12 für Anlauf, Abkühlung und Abtauung. Ein Temperaturalarm hängt also nicht allein vom Messwert ab. Auch Grenzwert, Betriebsart und Wartezeit bestimmen, wann er ausgelöst wird.

Diese Reglerreihe ist hier ein Funktionsbeispiel, kein Nachweis der Ausstattung eines angegriffenen Geschäfts. Das Handbuch belegt auch nicht, welche dieser Parameter ein konkreter Fernwartungszugang verändern kann. Genau diese Frage muss der Betreiber für seine Installation beantworten lassen.

Kann derselbe Zugang sowohl den Betriebsmodus als auch Alarmgrenzen und Verzögerungen verändern, liegen Steuerung und ein Teil ihrer Überwachung innerhalb derselben Verwaltungsgrenze. Ein zweites Bildschirmfenster hebt diese Abhängigkeit nicht auf. Zeigt es nur dieselben Werte und Alarmzustände an, kann es dieselbe fehlerhafte Konfiguration übernehmen.

Unabhängigkeit ist eine Eigenschaft des gesamten Meldewegs

Eine zusätzliche Überwachung wird nicht schon durch ihren Namen unabhängig. Zu prüfen sind Messung, Änderungsrechte und Meldung zusammen. Nutzt sie einen eigenen Messpunkt? Wer kann ihre Grenzwerte ändern? Bleibt die Warnung erreichbar, wenn die Anlagensteuerung oder deren Verbindung ausfällt? Und kann der Wartungszugang sie ebenfalls stummschalten?

Daraus folgt keine universelle Bauanleitung. Eine getrennte Temperaturaufzeichnung kann eine Abweichung dokumentieren, verhindert aber für sich genommen noch keinen Schaden. Ein Alarm kann eine Reaktion ermöglichen, setzt dafür jedoch eine erreichbare und handlungsfähige Stelle voraus. Eine automatische technische Begrenzung greift weiter in den Prozess ein und muss für die jeweilige Anlage fachgerecht ausgelegt werden.

Insbesondere wäre „bei auffälliger Temperatur alles abschalten“ keine allgemeine Lösung: Das Abschalten der Kühlung kann die unerwünschte Erwärmung fortsetzen. Welcher Eingriff sicher ist, hängt von Anlage, Betriebszustand und gelagerter Ware ab. Zulässige Temperaturen und Zeiträume gehören deshalb in die fachliche Betriebsplanung, nicht in einen pauschalen IT-Standardwert.

Eingekauft wird eine Schutzwirkung, nicht nur Fernwartung

Für Betreiber verändert sich damit die Leistungsbeschreibung. Neben einem geschützten Wartungszugang lässt sich gesondert vereinbaren, welche Temperatur- oder Zeitabweichung erkannt werden soll, welche Einstellungen der Wartungsdienst verändern darf und wer auf eine Meldung reagiert. Anlagenbetrieb, Kältefachbetrieb und IT-Sicherheit bearbeiten dabei unterschiedliche Teile derselben Wirkungskette.

Eine geplante Funktionsprüfung kann diese Trennung sichtbar machen, ohne Ware oder Betrieb zu gefährden. In einer geeigneten Testumgebung lässt sich prüfen, ob eine vereinbarte Abweichung trotz eines veränderten Steuerungsparameters erkannt und über den vorgesehenen Weg gemeldet wird. Die Durchführung gehört in fachkundige Hände; ein unangekündigter Versuch an einer gefüllten Kühlanlage wäre kein sinnvoller Sicherheitstest.

Auch das Entfernen eines öffentlichen Zugangs braucht einen betrieblichen Übergang. CERT-FR weist ausdrücklich darauf hin, vor dem Unterbrechen der Datenübertragung zum Kältedienstleister die Versicherungsbedingungen zu prüfen. Der Ersatzweg muss die notwendige Überwachung und Betreuung berücksichtigen. Zugangsschutz und Betriebsfähigkeit sind gemeinsam herzustellen.

So entsteht eine präzisere Aufgabenverteilung: Die Fernwartung ermöglicht Eingriffe in den Normalbetrieb. Die zusätzliche Grenzüberwachung soll eine unzulässige Wirkung auch dann sichtbar machen, wenn dieser Eingriff technisch gültig erscheint. Ob beide Leistungen ausreichend getrennt sind, entscheidet sich an der konkreten Installation — nicht an der Zahl ihrer Anzeigen.