Eine manipulierte Kühlanlage in Köniz, betroffene Volg-Filialen und Angriffe in mehreren europäischen Ländern zeigen: Cybersecurity endet nicht bei IT-Systemen. Sobald Software physische Prozesse steuert, können digitale Schwachstellen direkte Auswirkungen auf Betrieb, Produkte und Sicherheit haben.
In einer Filiale von Lüthi’s Fleischwaren in Köniz wurde die elektronische Steuerung von Kühl- und Tiefkühlanlagen manipuliert. Temperaturen stiegen stark an, Waren wurden unbrauchbar und die Filiale musste vorübergehend geschlossen werden.
Ähnliche Angriffe wurden zuvor bereits aus verschiedenen europäischen Ländern gemeldet. Das französische CERT-FR bestätigt zahlreiche Kompromittierungen von Fernsteuerungen der Serien Danfoss AK-SM und AK-SC sowie Copeland xweb und Dixell xweb. Als grundlegendes Sicherheitsproblem nennt die Behörde Managementoberflächen, die direkt über öffentliche IP-Adressen erreichbar waren.
Der Vorfall zeigt ein Problem, das weit über Kühlanlagen hinausgeht: Sobald Software physische Prozesse steuert, können Cyberangriffe nicht nur Daten gefährden, sondern unmittelbar Produkte, Anlagen und Geschäftsprozesse beeinträchtigen.
Moderne Kühlanlagen sind vernetzte Systeme. Temperaturen, Alarme und Betriebsparameter lassen sich digital überwachen und aus der Ferne verändern. Das vereinfacht die Wartung, schafft aber gleichzeitig neue Angriffsflächen.
Besonders kritisch sind direkt erreichbare Managementoberflächen, unzureichend geschützte Fernzugänge, veraltete Systeme und schwache Zugriffskontrollen.
Entscheidend ist: Ein Produkt muss nicht vollständig ausfallen, damit ein hoher Schaden entsteht. Unter Umständen reicht es, legitime Betriebsparameter manipulieren zu können.
Bei einer Kühlanlage können dadurch Waren verderben. Bei einer Produktionsanlage könnten Prozesse beeinträchtigt werden. Bei einem medizinischen Kühlsystem könnten temperaturempfindliche Produkte gefährdet sein.
Cybersecurity wird damit zur Frage von Betriebssicherheit und Business Continuity.
Der Cyber Resilience Act (CRA) macht Cybersecurity über den Lebenszyklus von Produkten mit digitalen Elementen zur verbindlichen Anforderung. Der Anwendungsbereich reicht von Embedded und IoT/OT bis zu Software- und Cloud-Komponenten. Auch für Schweizer Unternehmen kann die Verordnung relevant sein, wenn sie Produkte auf dem EU-Markt bereitstellen oder Teil entsprechender Kunden- und Lieferketten sind.
Damit verändert sich die zentrale Frage für Hersteller. Es reicht nicht mehr zu fragen:
Ist unser Produkt bei der Markteinführung sicher?
Relevant ist ebenso:
Können wir seine Risiken über den vorgesehenen Lebenszyklus verstehen, reduzieren und beherrschen?
Gerade bei langlebigen Produkten ist das anspruchsvoll. Eine Anlage kann mechanisch noch einwandfrei funktionieren, während ihre digitale Steuerung technisch veraltet ist oder nicht mehr ausreichend aktualisiert werden kann.
Der CRA betrifft deshalb nicht nur Compliance. Er wirkt direkt auf Produktstrategie, Entwicklungsprozesse, Lieferketten, Wartung und Governance.
Die aktuellen Vorfälle zeigen auch, warum es nicht genügt, bekannte Schwachstellen abzuarbeiten.
Hersteller müssen verstehen, welcher Schaden entstehen kann, wenn ihr Produkt oder einzelne Komponenten kompromittiert werden.
Durch eine strukturierte Bedrohungs- und Risikoanalyse können mögliche Angriffsszenarien, Schwachstellen und Auswirkungen bewertet werden. Daraus lassen sich relevante Sicherheitsmassnahmen priorisieren.
Dass dieser Ansatz in der Praxis funktioniert, zeigt beispielsweise die Zusammenarbeit von Noser Engineering mit dormakaba: Für das exos-System wurden Systemkontext und Datenflüsse analysiert, Bedrohungen systematisch bewertet und daraus priorisierte Massnahmen sowie eine CRA-Roadmap entwickelt.
Das Ergebnis ist nicht «möglichst viel Security», sondern eine nachvollziehbare Verbindung zwischen Bedrohung, Risiko, Auswirkung und Schutzmassnahme.
Die Vorfälle zeigen, warum die klassische Trennung zwischen Produktentwicklung, Security und Compliance zunehmend an ihre Grenzen kommt.
CRA-Readiness betrifft Produktmanagement, Architektur, Software- und Embedded-Entwicklung, Testing, Dokumentation, Lieferketten, Wartung und Governance.
Für Hersteller bedeutet das: Risiken analysieren, Security-Anforderungen daraus ableiten, Architekturentscheidungen dokumentieren, Abhängigkeiten kennen, Produkte testen, Schwachstellen beobachten und behandeln sowie Updates über den Lebenszyklus ermöglichen.
Wer Security früh in die Produktentwicklung integriert, arbeitet nicht nur auf regulatorische Konformität hin. Security by Design kann gleichzeitig dazu beitragen, robustere Produkte zu entwickeln und Risiken früher zu erkennen.
Eine sicher entwickelte Steuerung kann trotzdem zum Risiko werden, wenn sie falsch konfiguriert, mit veralteter Firmware betrieben oder ungeschützt ins Internet gestellt wird.
Hersteller und Betreiber müssen deshalb zusammenspielen. Notwendig sind klare Update-Prozesse, sichere Betriebs- und Wartungskonzepte, geregelte Fernzugriffe und definierte Verantwortlichkeiten für Sicherheitsvorfälle.
Für Betreiber kritischer Infrastrukturen gilt in der Schweiz zusätzlich seit dem 1. April 2025 eine Meldepflicht. Meldepflichtige Cyberangriffe müssen dem Bundesamt für Cybersicherheit BACS innerhalb von 24 Stunden nach ihrer Entdeckung gemeldet werden. Fehlende Angaben können innerhalb von 14 Tagen ergänzt werden.
Heute sorgen Kühlanlagen für Schlagzeilen. Das zugrunde liegende Problem betrifft aber zahlreiche vernetzte Produkte in Industrie, Medizintechnik, Logistik und Gebäudetechnik.
Je stärker Software die physische Welt steuert, desto wichtiger wird die Verbindung von Cybersecurity und Engineering.
Der CRA verstärkt diesen Handlungsdruck. Gleichzeitig bietet er Herstellern einen Anlass, Security strukturiert in Produktentwicklung und Lifecycle Management zu integrieren.
Wer sich frühzeitig mit dem Thema beschäftigt, schafft nicht nur eine bessere Grundlage für CRA-Compliance. Er entwickelt robustere Produkte und reduziert das Risiko, dass aus einer digitalen Schwachstelle ein physischer oder wirtschaftlicher Schaden entsteht.
Eine strukturierte Risk Analysis und professionelles Threat Modeling schaffen Klarheit darüber, welche Bedrohungen tatsächlich relevant sind und welche Massnahmen daraus folgen.
Noser Engineering unterstützt Unternehmen dabei, Risiken systematisch zu analysieren, Threat Models als belastbare Entscheidungsgrundlage aufzubauen und daraus priorisierte Massnahmen sowie eine realistische Roadmap für die CRA-Umsetzung abzuleiten.
→ Risk Analysis & Threat Modeling kennenlernen
Wer sich zunächst einen Überblick über Anforderungen, Risiken und Handlungsfelder verschaffen möchte, findet im CRA-Whitepaper von Noser Engineering eine kompakte Orientierung für Schweizer Unternehmen.
→ CRA-Whitepaper herunterladen
Weitere Infos und einen echten Business-Case gibt es in unserem WebCast mit dormakaba.
→ WebCast: Cyber Resilience Act: Wie sicher ist sicher genug?