Ich habe im Oktober über die erste Welle an Angriffen auf Kühlanlagen in Frankreich geschrieben; diese Woche gab es eine zweite Runde quer über Europa.

Die gute Nachricht ist, dass wir von keinem Vorfall in Österreich wissen. Die schlechte Nachricht ist, wir wissen nicht, warum bei uns nichts passiert ist.

Betroffen waren initial in Frankreich Geräte von Danfoss und Copeland/Dixell XWEB.

Zu Danfoss haben wir im Oktober nur eine Handvoll Systeme gefunden, inzwischen sollte nur noch ein System – mit aktueller Software – in Österreich erreichbar sein.

XWEB ist eine spannendere Geschichte.

Das sind per se keine kompletten Kühlanlagen, sondern Controller, die von Integratoren verbaut werden, um die eigentlichen Kühlaggregate von anderen Herstellern fernwartbar zu machen. Das betrifft sowohl das Monitoring, Alerting als auch die Konfiguration/Bedienung.

Was wissen wir dazu?

Erreichbar in Österreich sind (laut den diversen Organisationen, die regelmäßig das Internet scannen) eine mittlere zweistellige Zahl.

Claroty hat im August 2026 beschrieben , dass diese Systeme per ssh und Web Administrator-logins mit „credentials [derived] from the current date, the device's MAC address, and hard-coded cryptographic keys embedded in the firmware” erlauben. Im Zeitalter von LLM-unterstütztem Reverse-Engineering ist das kein große Hürde mehr.

Schaut man auf die “Product Security Advisories” Seite von Copeland , dann sieht man, dass die passenden Updates schon im Februar 2026 veröffentlicht wurden. Claroty hat anscheinend einen sauberen CVD-Prozess gemacht und genug Zeit vor der Veröffentlichung verstreichen lassen.

Nach den Analysen eines Kollegen im CSIRTs Network nach hat Copeland das Konzept des Backup-Accounts nicht komplett eingestellt, sondern nur die Passworterzeugung so gestaltet, dass auch ein Reverse-Engineering der Firmware nicht mehr ausreichen sollte, um das Passwort ermitteln zu können. Es basiert jetzt auf Public-/Private Key Crypto, wobei das relevante Secret nur der Hersteller kennt. Das klingt deutlich besser.

Wie dieser Recovery-Prozess aussieht, dokumentiert der Hersteller Copeland auf seiner Webseite . Es muss ein Jumper gesetzt werden, um die Netzwerkkonfiguration zurückzusetzen, dann kann das Device mit dem vom Hersteller erfragten Passwort wieder konfiguriert werden. Ob dieser Jumper auch erst den Recovery-Login ermöglicht, ist mir nicht bekannt – ich gehe aber davon aus, dass das unabhängig ist.

Vorausgesetzt, dass das alles überhaupt nötig war. Es kann gut sein, dass manche der manipulierten Systeme mit Default- oder trivialen Passwörtern gelaufen sind.

Von Copeland gab es in den letzten Tagen auch eine Meldung im Rahmen des Cyber Resilience Acts (CRA) der EU, in der sie ihrer Kundenkommunikation wiederholen. Diese empfiehlt, genau wie auch die von Danfoss, die Systeme nicht aus dem Internet erreichbar zu machen, die Software auf aktuellem Stand zu halten und die Sicherheitsfeatures richtig zu konfigurieren.

Wo ist dann das Problem?

Im Wesentlichen geht es um den Paradigmenwechsel im Betrieb von solchen Steuerungssystemen, der noch nicht bei allen Kunden angekommen ist.

Solche Geräte wurden früher oft nach dem Prinzip

• Einbauen
• Connecten, damit der Dienstleister den Rest remote machen kann
• So weit konfigurieren, bis sie tun, was man braucht
• Dann nie wieder angreifen, bis sie kaputt gehen

betrieben. Das geht schlicht nicht mehr. Dazu ist der Angriffsdruck im offenen Internet zu groß geworden.

Nach allem, was wir etwa von Danfoss gehört haben, werden neue Steueranlagen auch in einem deutlich verbesserten Sicherheitszustand ausgeliefert. Der CRA hilft hier sicher auch.

Es gibt nur eben noch alte Geräte im Netz, die von irgendwelchen Dienstleistern vor Jahren installiert wurden, und für die sich keiner mehr zuständig fühlt.

Was müssen wir also tun?

Eigentlich sind sich alle einig: die Mitglieder der EU CSIRTs Network und die Hersteller sagen alle, dass wir daran arbeiten müssen, diese Geräteklasse aus dem offenen Internet zu bekommen. Sie sollten nur per VPN erreichbar sein, egal wie aktuell die Firmware ist.