Von der Kühlzelle bis zum Serverraum: Warum Cybersicherheit im Gebäude beginnt

Es war ein Wochenende, das die Supermarktbranche so schnell nicht vergessen wird. In der Nacht vom 11. auf den 12. Oktober 2026 versetzten Hacker in Frankreich die Kühlanlagen Hunderter Supermärkte aus der Ferne in einen erzwungenen Abtaumodus. Bei Intermarché, Système U, E.Leclerc und Monoprix mussten Frisch- und Tiefkühlprodukte weggeworfen werden. Zur gleichen Zeit standen in den Niederlanden die Websites, Apps und Lieferungen von Albert Heijn, Etos und Gall & Gall nach einem Cybersicherheitsvorfall still.

Zwei verschiedene Vorfälle, mit einer gemeinsamen Lehre. Bei Cybersicherheit geht es nicht mehr nur um gestohlene Daten oder einen gehackten Laptop. Es geht um Systeme, die die physische Welt steuern. Und viele dieser Systeme befinden sich im Gebäude.

Was geschah

Frankreich: die Kühlung als Ziel

Laut französischen Medien waren die Kühlanlagen von rund 300 bis über 400 Geschäften betroffen. Die Angreifer nutzten einen Fehler in der Software von Anlagen des Herstellers Danfoss. Der Hersteller hatte diesen Fehler bereits am 18. September gemeldet. Die Hacker versetzten die Anlagen in den Abtaumodus und erhöhten bei einigen Geräten die eingestellte Temperatur deutlich. Laut einer Fachzeitschrift verlor ein Geschäft Waren im Wert von rund € 220.000. Es wurden auch kleinere Brände gemeldet. Die Pariser Staatsanwaltschaft hat Ermittlungen eingeleitet.

Auffällig ist, was nicht geschah. Es wurden keine Daten gestohlen und kein Lösegeld für Dateien verlangt. Eine gewöhnliche Anlage im Gebäude wurde genutzt, um echten Schaden anzurichten.

Niederlande: die digitale Kette reißt

Bei Albert Heijn, Etos und Gall & Gall begann der Vorfall am Sonntagnachmittag, dem 11. Oktober. Das Unternehmen spricht von einem Cybersicherheitsvorfall und hat vorsorglich Systeme abgeschaltet. Online bestellen und liefern war nicht möglich, persönliche Rabatte funktionierten nicht und in einem Teil der Verteilzentren ruhte die Arbeit. In den Filialen gab es weniger Frischware. Zur Ursache nennt Albert Heijn nur wenige Einzelheiten, da die Untersuchung noch läuft. Was inzwischen bekannt ist, lesen Sie im Update weiter unten.

Das zeigt, wie abhängig eine Organisation von ihren digitalen Systemen ist. Fällt der digitale Teil aus, merkt der Kunde das bis ins Regal.

Update: was wir jetzt wissen

Seit dem Wochenende ist über beide Angriffe mehr bekannt geworden. Dies ist der Stand am 13. Oktober 2026.

Albert Heijn: verdächtiger Datenverkehr und ein kontrollierter Neustart

Laut Quellen der NOS bemerkte Albert Heijn verdächtigen Datenverkehr von Hackern in seinen Systemen. Dieser Datenverkehr lief über Server in den Vereinigten Staaten, Polen, Moldau und der Türkei. Wo die Täter selbst sitzen, sagt das nicht: Angreifer leiten ihren Datenverkehr oft über andere Länder. Albert Heijn bestätigt, dass es sich um einen Cybersicherheitsvorfall handelt, nennt aber keine technischen Einzelheiten. Das Unternehmen teilt jedoch Informationen über den Angriff mit anderen Unternehmen, damit diese sich schützen können.

Der Vorfall blieb nicht auf die Niederlande beschränkt. Auch Delhaize in Belgien hatte IT-Probleme, und die Websites der amerikanischen Supermärkte des Mutterkonzerns Ahold Delhaize, etwa Stop & Shop und Food Lion, waren eine Zeit lang nicht erreichbar.

In den Filialen war gut zu sehen, wie weit ein digitaler Vorfall reicht. Mehrere Verteilzentren standen still, sodass vor allem Frischware fehlte. Die elektronischen Preisschilder am Regal zeigten noch die Angebote der Vorwoche, sodass der Preis an der Kasse abweichen konnte. Am 13. Oktober funktionierten die Preisschilder wieder, und mehrere Verteilzentren arbeiteten wieder.

Laut Albert Heijn werden die Systeme jetzt Schritt für Schritt und kontrolliert wieder eingeschaltet. Bisher gibt es keine Hinweise darauf, dass Daten von Kunden oder Mitarbeitenden gestohlen wurden. Das Unternehmen warnt jedoch vor gefälschten Nachrichten, die sich als Albert Heijn ausgeben. Der Mutterkonzern Ahold Delhaize sieht keinen Grund für einen Zusammenhang mit dem Angriff in Frankreich.

Frankreich: alte Steuergeräte ohne Updates

Die Pariser Staatsanwaltschaft hat Ermittlungen eingeleitet, und auch die ANSSI, die französische nationale Behörde für Cybersicherheit, ist beteiligt. Der Hersteller Danfoss sagt, dass es vor allem um zwei Typen von Steuergeräten für die Kühlung geht, die das Ende ihrer Lebensdauer erreicht haben. Sie erhalten keine Updates mehr, waren aber noch in den Geschäften im Einsatz und aus dem Internet erreichbar. In mindestens einem Geschäft waren auch Geräte eines anderen Herstellers betroffen, Dixell.

Das Problem war nicht neu. Danfoss warnte bereits 2025 vor diesen Steuergeräten. Forscher fanden damals 2.765 Geräte, die aus dem Internet erreichbar waren. Fachleute weisen außerdem auf einen versteckten Wartungszugang in der Software hin, über den ein Installateur Zugriff erhalten konnte. Der Schaden geht in die Millionen Euro. An manchen Orten stieg die Temperatur in den Kühlungen auf bis zu 50 °C. Der Rat der ANSSI ist klar: Trennen Sie solche Steuergeräte vom Internet, oder schirmen Sie sie sehr streng ab.

Was können Gebäudeeigentümer daraus lernen?

• Was am Netzwerk hängt, merkt man im Gebäude. Preisschilder, Kühlung und Logistik laufen alle über das Netzwerk. Fällt es aus, steht nichts mehr im Regal. In einem Büro gilt dasselbe für Zutritt, Klima und Beleuchtung.
• Geräte halten länger als die Updates. Ein Steuergerät in einer Anlage bleibt oft zehn Jahre oder länger im Einsatz. Der Hersteller stellt die Updates früher ein. Wissen Sie deshalb, welche Geräte im Gebäude noch Updates erhalten und welche nicht.
• Ein Wartungszugang ist auch ein Zugang. Anlagen, die für den Installateur aus der Ferne erreichbar sind, sind das manchmal auch für einen Angreifer. Klären Sie, welcher Fernzugriff besteht, und schließen Sie, was nicht nötig ist.
• Schnell abschalten geht nur, wenn Netzwerke getrennt sind. Albert Heijn konnte Systeme abschalten, um Schlimmeres zu verhindern. Das gelingt nur, wenn klar ist, welches System wo angeschlossen ist, und wenn Anlagen und Büro-IT voneinander getrennt sind.

Genau diese Punkte prüft eine IT-Label Inspektion: welche Geräte am Netzwerk hängen, ob die Netzwerke getrennt sind und wie das Gebäude geschützt ist.

Ein Gebäude steckt heute voller Computer. Sie heißen nur Kühlung, Klima, Zutritt und Kamera.

Warum Cybersicherheit immer wichtiger wird

Immer mehr Geräte in einem Gebäude sind mit einem Netzwerk verbunden. Denken Sie an die Kühlung, die Klimaanlage, die Zutrittsschranken, die Kameras, die intelligenten Zähler und die Sensoren, die erfassen, wie voll ein Raum ist. Oft kann ein Installateur aus der Ferne darauf zugreifen, um Störungen zu beheben. Das ist praktisch, aber jede Verbindung ist auch ein möglicher Zugang für einen Angreifer.

Gleichzeitig werden Organisationen immer abhängiger von diesen Systemen. Büros laufen auf Cloud-Anwendungen, Videokonferenzen und Online-Zusammenarbeit. Geschäfte und Lager laufen auf Warenwirtschaft und Logistik. Fällt das Netzwerk aus, steht die Arbeit still. Mehr zu dieser Entwicklung lesen Sie in unserem Wissensartikel über Cybersicherheit in Immobilien.

Cybersicherheit beginnt bei Hardware und Infrastruktur

Bei Cybersicherheit denken viele an Virenscanner, Passwörter und Firewalls. Die sind wichtig. Aber sie helfen wenig, wenn die Basis nicht stimmt. Eine Firewall schützt nicht, wenn jeder in den Serverraum gehen kann. An diesen Punkten geht es in einem Gebäude oft schief:

• Der Serverraum und der Technikraum. Ist der Raum abgeschlossen? Wer hat einen Schlüssel oder eine Karte? Steht die Netzwerktechnik vielleicht einfach in einem offenen Schrank im Flur?
• Physischer Zugang zum Netzwerk. Kann ein Besucher ein Kabel in eine freie Netzwerkdose stecken und so ins Netzwerk gelangen? Gibt es eine elektronische Zutrittskontrolle und Kameras?
• Offenes WLAN. Ein WLAN ohne Passwort oder ein Gästenetz, das nicht vom Büronetz getrennt ist, ist eine offene Tür.
• Anlagen im selben Netzwerk. Hängen Kühlung, Klima oder Kameras am selben Netzwerk wie die Bürocomputer? Dann kann ein Angreifer über das eine System zum anderen gelangen.
• Fernzugriff. Welche Lieferanten können sich von außen anmelden, und wie ist das abgesichert? Werden Standardpasswörter verwendet?
• Veraltete Geräte. Geräte und Software, die keine Updates mehr erhalten, bleiben verwundbar. Gerade bei Anlagen bleiben Geräte oft zehn Jahre oder länger im Einsatz.

Über die physische Seite schrieben wir bereits in den Artikeln Wer kommt physisch an Ihr Netzwerk? und Cybersicherheit beginnt beim Fundament des Gebäudes.

Was das Gesetz jetzt verlangt

Der Gesetzgeber hat die Messlatte in letzter Zeit deutlich höher gelegt. Drei Gesetze sind hier von Bedeutung.

Das niederländische Cybersicherheitsgesetz

Seit dem 15. August 2026 gilt in den Niederlanden die Cyberbeveiligingswet (Cybersicherheitsgesetz). Sie ist die niederländische Umsetzung der europäischen NIS2-Richtlinie. Mehr als 8.000 Organisationen fallen darunter, in Sektoren wie Energie, Gesundheit, Verkehr, digitale Dienste, Produktion und Lebensmittel.

• Sorgfaltspflicht. Organisationen müssen angemessene Maßnahmen ergreifen, um ihre Netzwerke und Systeme zu schützen. Die europäische Richtlinie sagt dabei ausdrücklich, dass auch die physische Umgebung dieser Systeme geschützt werden muss. Das betrifft also auch den Serverraum, den Technikraum und wer dort hineinkommt.
• Meldepflicht. Ein schwerer Vorfall muss innerhalb von 24 Stunden gemeldet werden, mit einer ausführlichen Meldung innerhalb von 72 Stunden.
• Die Lieferkette. Organisationen sind auch für die Risiken bei ihren Lieferanten verantwortlich. Denken Sie an den Installateur, der sich aus der Ferne an der Kühlung oder der Klimaanlage anmeldet.
• Die Geschäftsleitung. Die Leitung ist persönlich für die Einhaltung verantwortlich. Cybersicherheit ist damit nicht allein Sache der IT-Abteilung.

Was dieses Gesetz für das Gebäude bedeutet, haben wir in das Cybersicherheitsgesetz und die digitale Gebäudeschicht ausgearbeitet.

Der Cyber Resilience Act

Der Cyber Resilience Act ist ein europäisches Gesetz für Produkte mit Netzwerkverbindung. Das gilt auch für die Steuerungen von Kühlung, Klima und Zutritt in einem Gebäude. Seit dem 11. September 2026 müssen Hersteller einen aktiv ausgenutzten Fehler innerhalb von 24 Stunden melden. Ab Dezember 2027 müssen neue Produkte Sicherheitsanforderungen erfüllen. Der Angriff in Frankreich lief genau über einen solchen Fehler in der Software eines Herstellers. Mehr dazu lesen Sie in was der CRA für Immobilien bedeutet.

Die DSGVO

Konnten bei einem Angriff personenbezogene Daten eingesehen oder gestohlen werden? Dann muss eine Organisation dies innerhalb von 72 Stunden der Datenschutzbehörde melden. Auch wenn der Angriff bei einer Anlage im Gebäude begann.

Alle drei Gesetze legen die Verantwortung bei der Organisation oder dem Hersteller. Ein großer Teil der Risiken liegt jedoch im Gebäude: im Serverraum, im Netzwerk und in den Anlagen. Ein Mieter kann die Sorgfaltspflicht nur erfüllen, wenn klar ist, wie das Gebäude aufgebaut ist.

Was das für Mieter und Vermieter bedeutet

In vielen Gebäuden ist nicht klar, wer wofür verantwortlich ist. Der Vermieter denkt in Anlagen, der Mieter in der eigenen IT. Das Gebäudenetz, an dem Kühlung, Klima und Zutrittskontrolle hängen, liegt oft dazwischen.

Für den Mieter bedeutet das: Fragen Sie vor der Unterschrift, wie das Gebäude geschützt ist. Wer kommt in den Serverraum, welche Netzwerke gibt es und wer verwaltet sie? Für den Vermieter bedeutet das: Ein Gebäude, dessen Basis nachweislich in Ordnung ist, ist attraktiver für Mieter, die unter das Cybersicherheitsgesetz fallen. Legen Sie gemeinsam fest, wer was verwaltet, damit bei einem Vorfall nichts zwischen die Stühle fällt.

Was eine IT-Label Inspektion prüft

Das IT-Label bewertet die digitale Infrastruktur eines Gebäudes. Sicherheit gehört dazu. Ein Certified Partner prüft bei der Inspektion unter anderem:

• ob Serverraum und Technikräume abschließbar sind;
• ob es eine elektronische Zutrittskontrolle und Kameraüberwachung gibt;
• ob sichtbare Netzwerksicherheit vorhanden ist, etwa eine Firewall und geschützte Geräte;
• welche IoT-Geräte und Sensoren angeschlossen sind;
• wie das WLAN eingerichtet ist;
• ob die Netzwerke getrennt sind.

Das Ergebnis fließt in den Ausbaustandard von PREMIUM bis SHELL ein. So wissen Mieter und Vermieter, wo das Gebäude steht und was noch zu tun ist.

Wir sagen offen, was das Label nicht ist. Es ist kein Penetrationstest und kein Nachweis, dass eine Organisation das Cybersicherheitsgesetz erfüllt. Das IT-Label bewertet das Gebäude, nicht die eigene IT-Umgebung des Mieters. Aber es liefert das Fundament, auf dem eine Organisation ihre Sicherheit aufbauen kann.

Möchten Sie schnell wissen, wo ein Gebäude steht? Die IT-Label Vorbesichtigung gibt innerhalb weniger Tage eine Einschätzung des digitalen Ausbaustandards, ab € 750 zzgl. MwSt. pro Standort.

Sechs Fragen, die Sie jetzt stellen sollten

• Wer kommt in den Serverraum? Ist er abgeschlossen, und wird festgehalten, wer hineingeht?
• Gibt es offenes WLAN? Und ist das Gästenetz vom Büronetz getrennt?
• Welche Anlagen hängen am Netzwerk? Kühlung, Klima, Zutritt, Kameras: Sind sie von der Büro-IT getrennt?
• Wer kann sich von außen anmelden? Welche Lieferanten haben Fernzugriff, und wie ist er abgesichert?
• Welche Geräte erhalten keine Updates mehr? Gibt es Steuergeräte oder andere Geräte, für die der Hersteller die Updates eingestellt hat, und sind diese aus dem Internet erreichbar?
• Wer ist verantwortlich? Ist festgelegt, was der Vermieter verwaltet und was der Mieter?

Die Vorfälle dieses Wochenendes zeigen, dass ein Angriff nicht immer über den Computer auf dem Schreibtisch kommt. Manchmal kommt er über die Kühlzelle, die Klimaanlage oder einen offenen Schrank im Flur. Wer das digitale Fundament des Gebäudes kennt, kann diese Türen rechtzeitig schließen.

Quellen: RTS, Journal du Geek, Je bosse en grande distribution, Albert Heijn (Medienerklärung), NOS, ICT Magazine, NL Times, DutchNews, franceinfo, L'Usine Digitale, L'Avenir, Cyberattaque.org, NJB (Staatsblad 2026, 187), NCSC, ICTRecht, Stibbe, Jones Day, Digital Trust Center. Dieser Artikel wurde am 13. Oktober 2026 aktualisiert. Die Untersuchungen bei Albert Heijn und in Frankreich laufen noch.