Hackerangriff auf Kühltruhen und Borchardt-Reservierungen: Warum KI alte Sicherheitslücken gefährlich macht

Die kurze Antwort vorab: Bei beiden Angriffen wurden keine Hochsicherheitssysteme geknackt, sondern Technik, die jahrelang unbeachtet am Internet hing. Bei den Kühlanlagen in Supermärkten waren es nach Angaben der Sicherheitsfirma Sekoia überwiegend Steuerungen mit veralteter Firmware[1], beim Reservierungssystem Reservision, das unter anderem das Berliner Borchardt nutzt, eine Sicherheitslücke, über die Unbefugte ab dem 8. November Gästedaten automatisiert abriefen[2]. Dass die Täter KI eingesetzt haben, ist für beide Fälle öffentlich nicht belegt. KI verändert aber die Rechnung dahinter: Lücken finden, Firmware auswerten und glaubwürdige Phishing-Mails schreiben kostet heute nur noch einen Bruchteil des früheren Aufwands[1][3]. Systeme, die vor allem deshalb sicher waren, weil sich ein Angriff nicht lohnte, sind es nach unserer Einschätzung nicht mehr.

Transparenzhinweis: Avolang entwickelt lokale KI-Agenten und betreut Websites, Microsoft 365 und IT-Systeme von Unternehmen; ein wirtschaftliches Interesse am Thema besteht. Die Lage ist in Bewegung: Ermittlungen laufen, Angaben von Behörden und Unternehmen können sich ändern. Wir stützen uns auf Behördenmeldungen, Analysen von Sicherheitsfirmen und Medienberichte, nennen zu jeder Angabe die Quelle und kennzeichnen eigene Einschätzungen als solche. Stand aller Angaben: 11. November 2026. Die Ausführungen ersetzen keine Rechtsberatung.

Hackerangriff auf Kühltruhen: Was in den Supermärkten passiert ist

In der Nacht vom 11. auf den 12. Oktober 2026 griffen Unbekannte in Frankreich die Kühlsteuerungen von Supermärkten an. Betroffen waren Systemmanager der Reihen AK-SM und AK-SC von Danfoss, die Kühltheken, Kühlräume und Tiefkühltruhen eines Marktes zentral regeln. Die Angreifer schalteten die Anlagen auf Dauerabtauung und setzten Sollwerte von bis zu 50 °C; in einzelnen Tiefkühltruhen stieg die Temperatur auf über 25 °C[4]. Allein bei Les Mousquetaires, der Gruppe hinter Intermarché, waren rund 150 Märkte betroffen, bei Carrefour rund 80[4].

Inzwischen ist das Ausmaß deutlich größer. The Hacker News berichtet von rund 700 betroffenen Handelsstandorten in Frankreich, von Lebensmittelschäden in Höhe mehrerer zehn Millionen Euro und von mindestens 15 bis 20 Bränden[5]. Nach Sekoia stellten die Angreifer in drei Kühlräumen des französischen Blutspendedienstes 110 °C ein[1]. Damit niemand rechtzeitig eingriff, veränderten sie neben Sollwerten und Abtauzyklen auch die Alarmgrenzen[1][9].

Zweite Welle: Auch in Deutschland Kühltruhen gehackt

In der Nacht zum 2. November folgte eine zweite Welle, diesmal in rund einem Dutzend Ländern, darunter Belgien, die Niederlande, Schweden und Deutschland[1][6]. In Belgien traf es nach Berichten rund 60 Filialen von Delhaize, Carrefour und Spar, in Irland 13 Supermärkte; in Estland lief ein altes, nie aktualisiertes System[10]. Versuche bei Coop in der Schweiz scheiterten[10].

In Deutschland meldeten drei Märkte Schäden: ein Edeka-Markt in Reisbach in Niederbayern, ein Rewe-Markt im westfälischen Raesfeld und ein CAP-Markt in Wuppertal[6][11]. In Reisbach und Raesfeld standen die Anlagen auf bis zu 50 °C. In Raesfeld wurde die Kühlung am Morgen auf Abtauen gestellt, ohne dass ein Alarm auslöste; Fleisch, Wurst, Käse, Joghurt und Tiefkühlpizza waren verdorben. Die Steuerung stammt nach Angaben des Betreibers von Danfoss, eine Cyberversicherung hatte er nicht[6]. Der Wartungsdienst kennt laut Bericht weitere Fälle in Deutschland, die nicht namentlich bekannt sind[6]. Nach einer Meldung der dpa befassen sich inzwischen Geheimdienste mit den Angriffen[12].

Wer steckt hinter dem Hackerangriff auf die Supermärkte?

Am 9. November ordnete die französische Regierung die Angriffe der Einheit „Shahid Kaveh“ der iranischen Revolutionsgarden zu, die unter Namen wie CyberAveng3rs und Cyber Isnaad Front auftritt. Das Ministerium spricht von der ersten offensiven Cyberkampagne auf französischem Boden, die allein der Sabotage diente, und hat Haftbefehle beantragt[5]. Das gemeinsame Merkblatt von CISA, FBI und weiteren US-Behörden nennt keinen Urheber[13]. Für Betreiber ändert die Zuschreibung wenig: Das Vorgehen ist inzwischen öffentlich beschrieben, und Sekoia rechnet mit Nachahmern[1].

Abbildung 1: Zeitachse der Angriffe auf Kühlanlagen (Stand 11. November 2026)

Warum sind Kühlschränke im Supermarkt mit dem Internet verbunden?

Diese Frage stellen gerade viele. Die Antwort ist nüchtern: Die Kälte ist im Supermarkt der größte Stromverbraucher, die Fernüberwachung meldet Störungen rund um die Uhr, viele Fehler lassen sich aus der Ferne beheben, und die Temperaturdokumentation für die Lebensmittelhygiene läuft automatisch. Danfoss nennt bis zu 30 Prozent weniger Technikereinsätze[10]. Das Problem ist nicht die Vernetzung, sondern ihre Umsetzung: Managementoberflächen, die direkt aus dem Internet erreichbar sind, und mobile Zugänge von Servicefirmen, die an der IT-Überwachung des Marktes vorbeilaufen[4]. Die französische Behörde CERT-FR hält fest, dass „direkt über das Internet erreichbare Managementschnittstellen ein erhebliches Sicherheitsrisiko darstellen“[4].

Borchardt und Reservision: Hackerangriff auf das Reservierungssystem

Fast zeitgleich traf es die Gastronomie. Reservision ist ein externes Online-Reservierungssystem für Restaurants und Hotels, das unter anderem das Berliner Borchardt einsetzt. Das Restaurant bestätigte: „Unser Reservierungssystem Reservision ist Opfer eines Cyberangriffs geworden“; die internen Daten des Restaurants seien sicher[7]. Auch das Frankfurter Restaurant Tiger und Palmen warnte seine Gäste und informierte die Datenschutzbehörde[7], das Restaurant Tim Raue bestätigt einen Phishing-Vorfall bei seinem externen Dienstleister[16].

Was genau abgeflossen ist, beschreibt der Hinweis des Münchner Wirtshauses am Bavariapark, das ebenfalls Reservision nutzt: Unbefugte riefen über eine Sicherheitslücke ab dem 8. November 2026 automatisiert Daten aus dem System ab. Alle dort gespeicherten Gästedaten gelten als potenziell betroffen, also Name, E-Mail-Adresse, Telefonnummer, gegebenenfalls Firmenangaben und die Reservierungsdetails. Bank- und Kartendaten speichert das System nicht; sie wurden auch nicht abgegriffen. Der Hosting-Anbieter sperrte die Konten der Angreifer, das Wirtshaus änderte die Passwörter für den E-Mail-Versand und informierte die Aufsichtsbehörde[2].

So sehen die Phishing-Mails zu Reservierungen aus

Mit den Daten verschickten die Täter Mails, die kaum von echten Reservierungsbestätigungen zu unterscheiden sind. Laut Berliner Kurier bittet etwa „Ihr Reservierungsteam“, die Daten über einen Link zu bestätigen. Eine andere Mail behauptet, eine Reservierung für drei Personen sei noch nicht vollständig bestätigt, und droht mit automatischer Stornierung, wenn man nicht binnen 24 Stunden seine Kontaktdaten eingibt. Als Absender tauchten echte Adressen anderer Restaurants auf, unter anderem aus Frankfurt und der Schweiz. Reservision stellt klar, dass Zahlungsaufforderungen per Mail weder vom Restaurant noch vom System stammen[7].

Einschätzung Avolang: Dass die Mails von echten Restaurantadressen kamen und Restaurants ihre Passwörter für den E-Mail-Versand änderten, spricht dafür, dass auch Versandzugänge missbraucht wurden. Solche Mails bestehen die technischen Absenderprüfungen und landen nicht im Spam. Der übliche Rat, auf den Absender zu achten, greift dann zu kurz. Verlässlicher ist eine einfache Regel: nie über einen Link aus einer Mail bezahlen oder Kartendaten eingeben.

Phishing-Mail erhalten: Was Gäste jetzt tun sollten

• Keine Links, keine Zahlung: Nicht auf Links in der Mail klicken und nichts bezahlen. Betroffene Restaurants raten genau dazu und fordern keine Zahlungen per Mail an[2].
• Selbst nachfragen: Im Zweifel das Restaurant über die Telefonnummer auf seiner offiziellen Website anrufen, nie über Kontaktdaten aus der Mail.
• Karte sperren: Wer Kartendaten eingegeben hat, sperrt die Karte sofort über den Sperr-Notruf 116 116, informiert die Bank und prüft die Abbuchungen[7].
• Anzeige erstatten: In Berlin geht das etwa online bei der Internetwache der Polizei[7].
• Wachsam bleiben (Einschätzung Avolang): Die Täter kennen Name, Telefonnummer und Reservierungsdatum. Mit weiteren gezielten Mails, SMS oder Anrufen ist zu rechnen.

Das gemeinsame Muster: Legacy-Systeme, für die sich niemand zuständig fühlt

Auf den ersten Blick haben eine Kühltheke und ein Reservierungsformular wenig gemeinsam. Das Muster ist trotzdem dasselbe: ein Fachsystem, das ein Dienstleister eingerichtet hat, das zuverlässig läuft und das deshalb jahrelang niemand anfasst. Sekoia beschreibt bei den Kühlanlagen genau diese Lücke zwischen Eigentümern, Integratoren, Wartungsfirmen und Herstellern: Die Anlagen waren erreichbar, weil die Zuständigkeit für ihre Sicherheit ungeklärt war[1]. Ein Danfoss-Sprecher sagte dem niederländischen Sender NOS, die betroffenen Anlagen in den Niederlanden hätten nicht in einem geschützten Netz gestanden und noch Standardpasswörter genutzt[6]. Sekoia beobachtete Anmeldeversuche mit dem Passwort „12345“[1].

Auch die Technik selbst war alt. Die meisten angegriffenen Steuerungen liefen nach Sekoia mit veralteter Firmware[1]. Die französische Behörde CERT-FR stuft Geräte ohne Herstellerunterstützung als besonders gefährdet ein; ein Zurücksetzen auf Werkseinstellungen reiche nicht[5][6]. Neuere Firmware bietet zwar einen strengen Sicherheitsmodus, ein Kompatibilitätsmodus lässt aber alte Protokolle weiter zu, und manche Updates lassen sich nur vor Ort einspielen[4].

Bekannt waren Lücken in dieser Gerätefamilie seit Langem. Im Mai 2025 veröffentlichte die US-Behörde CISA eine Warnung zu drei Schwachstellen in Danfoss-Systemmanagern, darunter eine Umgehung der Anmeldung über ein datumsbasiertes Passwort und das Einschleusen von Befehlen; Updates gab es bereits[14]. Im August 2026 zeigte Claroty, wie sich der Tageszugangscode rekonstruieren lässt[15]. Welche Lücke die Täter im Oktober genau nutzten, ist öffentlich nicht vollständig geklärt. Sekoia beschreibt eine bis dahin nicht öffentliche Schwachstelle, mit der sich das Administratorkonto ohne Anmeldung umbenennen ließ[1]. Nach unserer Einschätzung macht das für Betreiber kaum einen Unterschied: Eine Steuerung, die seit 2025 aktualisiert und nicht direkt aus dem Internet erreichbar ist, wäre deutlich schwerer anzugreifen gewesen.

Abbildung 2: Zwei Angriffe, ein Muster (Einschätzung Avolang auf Basis der genannten Quellen)

Im Mittelstand finden sich solche Systeme fast überall: der alte Windows-Server im Keller, das NAS mit Fernzugriff, die VPN-Box ohne Updates, eine Website mit veralteten Plug-ins, die Gebäudetechnik, die Zeiterfassung oder die Maschinensteuerung mit Fernwartungszugang. Jedes davon ist ein Legacy-System im eigentlichen Sinn: Es funktioniert, aber niemand weiß mehr genau, auf welchem Stand es ist und wer es aktualisiert.

Welche Rolle spielt KI bei den Hackerangriffen? Fünf Gründe, warum alte Lücken jetzt gefährlich werden

Vorweg: Für die Angriffe auf Kühlanlagen und Reservision ist öffentlich nicht belegt, dass die Täter KI eingesetzt haben. Belegt ist aber, dass KI die Kosten genau der Schritte senkt, die solche Angriffe bisher teuer gemacht haben. Wir sehen fünf Gründe.

1. Schwachstellen zu finden kostet kaum noch etwas

Das BSI zählte im ersten Quartal 2026 10.803 neu bekannt gewordene Schwachstellen, im zweiten Quartal 17.539. Das Amt schreibt, der deutliche Anstieg könnte auf KI-getriebene Schwachstellensuche zurückzuführen sein[17]. Wie weit diese Suche reicht, zeigt Anthropic: Bei der Vorstellung von Claude Mythos Preview im April 2026 berichtete das Unternehmen, das Modell habe unter anderem eine 27 Jahre alte Lücke in OpenBSD gefunden und eine 16 Jahre alte in FFmpeg, in einer Codezeile, die automatische Testwerkzeuge fünf Millionen Mal ausgeführt hatten, ohne den Fehler zu bemerken[18]. Anthropic gibt das Modell bewusst nicht allgemein frei, bis Schutzmechanismen gegen Missbrauch bereitstehen, und rechnet damit, dass sich solche Fähigkeiten verbreiten[18].

2. Vom Update zum Angriff vergehen Stunden statt Wochen

Jedes Sicherheitsupdate verrät, wo die Lücke saß. Früher brauchte es Fachleute und Zeit, um aus dem Unterschied zwischen alter und neuer Version einen Angriff zu bauen. Nach dem Microsoft Digital Defense Report 2026 liegt die mittlere Zeit zwischen der Veröffentlichung einer Lücke und ihrer Ausnutzung inzwischen deutlich unter 24 Stunden; KI-gestützte Analyse von Binärcode beschleunige den Weg vom Patch zum Exploit[19]. Microsoft rechnet für 2026 mit rund 72.000 neuen Schwachstellenmeldungen (CVE)[19]. Für ein System, das erst Monate nach einem Update aktualisiert wird, heißt das nach unserer Einschätzung: Es ist in dieser Zeit praktisch offen.

3. Lokale KI ohne Leitplanken: unzensierte und abliterierte Modelle

Kommerzielle Anbieter wie Anthropic, OpenAI oder Google setzen Leitplanken ein, im Fachjargon Guardrails: Sie erkennen Missbrauch und können Konten sperren; Anthropic hält Claude Mythos Preview genau deshalb zurück[18]. Ganz verhindern lässt sich Missbrauch damit nicht: Google berichtete im Mai 2026 vom ersten beobachteten Zero-Day-Exploit, den Kriminelle mit KI-Hilfe entwickelt hatten, eine Umgehung der Zwei-Faktor-Anmeldung in einem verbreiteten Open-Source-Werkzeug für die Webadministration. Er wurde entdeckt und gestoppt, bevor er breit eingesetzt wurde[20].

Wer diese Kontrolle ganz umgehen will, nutzt offene Modelle, deren Ablehnungsverhalten entfernt wurde. Das Verfahren heißt Abliteration; die Ergebnisse kursieren als „abliterated“, „uncensored“ oder „unfiltered“, im Deutschen meist als KI ohne Zensur oder unzensierte KI. ThreatDown zählte im Juli 2026 über 6.000 solcher Modelle auf Hugging Face mit mehr als 22 Millionen Downloads in einem einzigen 30-Tage-Zeitraum. Lokal betrieben hinterlassen sie nach ThreatDown nichts, was sich überwachen, protokollieren, abfangen oder einschränken ließe[8]. Flare zählte in kriminellen Foren einen Anstieg der Beiträge zu abliterierten Modellen von DeepSeek, GLM und Kimi von 11 (Stand Ende Januar) auf 93 (Stand Mitte Oktober 2026), darunter eine Anleitung, einen KI-Agenten mit einem abliterierten GLM-5.3 auf IoT-Geräte anzusetzen, um sie zu finden und anzugreifen[21].

Bemerkenswert ist die Doppelrolle: Dasselbe Modell, GLM 5.3, nutzte Sekoia auf der Verteidigerseite, um den Angriff auf die Kühlsteuerungen zu verstehen[1]. Und offene Modelle liegen nach Microsoft nur rund sieben Monate hinter den stärksten kommerziellen Modellen[19]. Was heute nur hinter Schutzmechanismen verfügbar ist, steht damit absehbar auch ohne sie bereit.

4. Phishing mit echten Daten wirkt echt

In der KI-Sicherheitsstudie von BSI und TÜV-Verband berichteten 17 Prozent von über 500 befragten Unternehmen von einem KI-bezogenen Angriff oder Betrugsversuch. 90 Prozent davon betrafen täuschend echte Phishing-Mails, 40 Prozent automatisierte Skripte zur Schwachstellensuche und 11 Prozent Deepfakes. KI-spezifische Notfallprozesse haben nur 11 Prozent der Unternehmen[3]. Der Fall Reservision zeigt, warum das gefährlich ist: Wer Name, Datum, Uhrzeit und Personenzahl einer echten Reservierung kennt, braucht für eine überzeugende Mail kein Geschick mehr; ein Sprachmodell schreibt sie fehlerfrei und tausendfach. Ob die Täter hier KI nutzten, ist nicht bekannt.

5. Sicherheit durch Aufwand funktioniert nicht mehr

Viele Altsysteme waren nie wirklich sicher, sondern nur unattraktiv: proprietäre Protokolle, Firmware, die niemand zerlegt hatte, und ein Ertrag, der den Aufwand nicht lohnte. Genau diesen Schutz baut KI ab. Sekoia gab Firmware-Abbilder der Kühlsteuerungen an ein Sprachmodell und konnte den Zweck des Exploits innerhalb von Minuten bestätigen; die Forscher warnen, dass Sprachmodelle die Hürde für zuverlässige Massen-Exploits und für Nachahmer senken[1]. Microsoft berichtet, dass KI-Modelle im Labor die Übernahme einer Netzwerkdomäne in 32 Schritten selbstständig ausführten[19]. Das ist gemeint, wenn von alten Sicherheitslücken die Rede ist, die erst mit KI nutzbar werden: Technisch waren sie immer da, nur war ihre Ausnutzung bisher zu teuer.

Lokale KI ist nicht das Problem, fehlende Leitplanken sind es

Nach diesen Zahlen liegt ein falscher Schluss nahe: Lokale KI sei gefährlich. Gefährlich ist KI, die niemand kontrolliert. Ein abliteriertes Modell auf dem Rechner eines Angreifers hat keine Regeln, kein Protokoll und niemanden, der verantwortlich ist. Ein lokaler KI-Agent im Unternehmen sollte das Gegenteil sein: Er läuft auf Servern, deren Standort und Betreiber feststehen, er hat nur die Rechte, die ihm jemand gegeben hat, und jede folgenreiche Aktion braucht eine Freigabe.

„Lokal“ heißt bei uns: komplett in Deutschland, getrennt von anderen Kunden, in einer von drei Betriebsarten, von Avolang gehostet, auf einem eigenen Server oder vor Ort auf eigener Hardware. Unser lokaler KI-Agent Alwisr Company OS arbeitet nach diesem Prinzip: ein abgeschotteter Bereich je Unternehmen, jede Verbindung einzeln und nur mit den nötigen Rechten, Senden, Löschen, Ändern und Befehle nur nach Freigabe und kein Training mit Ihren Inhalten durch uns. Leitplanken bedeuten im Unternehmen also weniger, dass ein Modell Fragen ablehnt, als dass das System drumherum Rechte, Freigaben und Nachvollziehbarkeit erzwingt. Welche offenen Modelle sich dafür eignen, zeigt unsere Tier-Liste lokaler KI-Modelle; den Vergleich mit ChatGPT und Claude finden Sie im Beitrag ChatGPT und Claude versus lokaler KI-Agent.

Checkliste: Altsysteme gegen KI-gestützte Angriffe härten

Die folgenden Punkte leiten sich aus den Empfehlungen von BSI, CERT-FR und den genannten Sicherheitsfirmen ab. Sie gelten weit über Kühlanlagen hinaus.

Wie Avolang hilft: gegen KI härten, Altsysteme warten und modernisieren

Wir arbeiten jeden Tag mit KI und entwickeln lokale KI-Agenten. Deshalb wissen wir, wie Angreifer KI einsetzen: um Lücken zu finden, Updates auszuwerten und glaubwürdige Mails zu schreiben. Dieses Wissen setzen wir für Sie auf der Verteidigerseite ein.

• Gegen KI-gestützte Angriffe härten: Bestandsaufnahme aller erreichbaren Systeme, Zugänge und Konten, danach ein priorisierter Plan, was abgeschaltet, abgeschottet, aktualisiert oder überwacht wird.
• Ältere Systeme warten und verwalten: Wir übernehmen Betreuung und Updates, von der Website-Wartung über die Einrichtung und Verwaltung von Microsoft 365 bis zu Servern und Netzwerk.
• Auf den neuesten Stand bringen: Veraltete Systeme modernisieren oder ablösen, Schritt für Schritt und mit möglichst wenig Unterbrechung, auf Wunsch mit lokaler IT-Infrastruktur in Deutschland.
• Spezialtechnik gemeinsam: Bei Kälte-, Gebäude- oder Maschinentechnik arbeiten wir mit Ihrem Fachdienstleister zusammen und kümmern uns um Netz, Zugänge und Überwachung.
• KI mit Leitplanken: Wenn Sie selbst KI einsetzen, dann als lokaler KI-Agent mit Rechten, Freigaben und Standort in Deutschland.

Häufige Fragen zum Hackerangriff auf Kühltruhen, Borchardt und KI

Fazit

Die Kühltruhen in Reisbach und die Reservierungsdaten der Borchardt-Gäste haben eines gemeinsam: Angegriffen wurde Technik, die funktionierte und deshalb niemand mehr ansah. KI hat diese Angriffe nach heutigem Stand nicht nachweislich ausgeführt. Sie macht aber die Analyse alter Firmware, die Auswertung von Updates und glaubwürdiges Phishing so billig, dass sich auch kleine Ziele lohnen. Unternehmen sollten deshalb nicht fragen, ob ein System für Angreifer interessant genug ist, sondern ob sie wissen, wo es steht, wer es pflegt und ob es aus dem Internet erreichbar ist. Wer diese drei Fragen für jedes System beantworten kann, ist nach unserer Einschätzung gegen die nächste Welle deutlich besser aufgestellt.