Cyberangriffe auf Supermärkte: 15 von 21 Tarifen decken Kühlgut nicht ab

Cyberangriffe auf Supermärkte entwickeln sich zu einem erheblichen Risiko für den Lebensmittelhandel. Nachdem bereits im Oktober zahlreiche französische Märkte von manipulierten Kühlanlagen betroffen waren, kam es Anfang November zu einer weiteren Angriffswelle in mehreren europäischen Ländern – darunter auch Deutschland.
In der Nacht zum 2. November griffen Unbekannte aus der Ferne auf die Steuerungen von Kühl- und Tiefkühlanlagen zu. Betroffen waren nach Angaben der Versicherungsplattform CyberDirekt unter anderem ein Edeka-Markt in Niederbayern, zwei CAP-Märkte und ein Rewe-Markt in Nordrhein-Westfalen.
Die Täter manipulierten die Kühlsteuerungen so, dass die Anlagen in den Abtaumodus wechselten. Dadurch stiegen die Temperaturen in einzelnen Kühlbereichen auf bis zu 50 Grad Celsius. Lebensmittel verdarben und mussten entsorgt werden. Für die Händler stellt sich damit neben der Frage nach der IT-Sicherheit eine weitere: Wer ersetzt den entstandenen Warenschaden?

Nur sechs von 21 Cyberversicherungstarifen bieten Schutz

Eine aktuelle Auswertung der Versicherungsplattform CyberDirekt zeigt erhebliche Unterschiede im Versicherungsschutz. Von 21 auf der Plattform gelisteten Cyberversicherungstarifen für den Einzelhandel sehen lediglich sechs grundsätzlich eine Deckung für verdorbenes Kühlgut infolge eines Cyberangriffs vor. Bei fünf dieser Tarife ist die Entschädigung durch besondere Höchstgrenzen, sogenannte Sublimits, beschränkt. Diese liegen nach Angaben von CyberDirekt bei 50.000, 100.000 oder 250.000 Euro. Nur ein Tarif ermöglicht demnach eine Entschädigung bis zur vollen vereinbarten Versicherungssumme. Die übrigen 15 untersuchten Tarife sehen keine grundsätzliche Deckung für solche Schäden vor.
Die Auswertung bezieht sich auf das Tarifangebot der CyberDirekt-Plattform und ist damit keine vollständige Untersuchung des deutschen Cyberversicherungsmarktes. Auch sagt die grundsätzliche Deckung noch nichts darüber aus, ob ein konkreter Schadenfall sämtliche vertraglichen Voraussetzungen erfüllt.

Wenn der Cyberangriff einen Sachschaden verursacht

Das Problem liegt in der besonderen Art des Schadens. Cyberversicherungen sind häufig auf Kosten der IT-Forensik, die Wiederherstellung von Systemen, Datenschutzvorfälle, Cybererpressung und Betriebsunterbrechungen ausgerichtet. Werden durch einen Angriff auf die Kühlsteuerung Lebensmittel unbrauchbar, entsteht dagegen ein unmittelbarer Sachschaden an der Ware. Solche Schäden sind nicht automatisch Bestandteil einer Cyberversicherung. Gleichzeitig können klassische Sachversicherungen Schäden infolge von Cyberangriffen ausschließen oder einschränken. Für betroffene Unternehmen kann dadurch eine Deckungslücke entstehen: Der Angriff ist zwar digital, sein wirtschaftlicher Schaden aber physisch. „Viele Händler gehen davon aus, dass ihre Cyberversicherung jeden Schaden aus einem Hackerangriff trägt. Bei verdorbener Ware ist das in den meisten Tarifen nicht der Fall“, erklärt Ole Sieverding, Geschäftsführer von CyberDirekt. Besonders wichtig sei deshalb die Höhe der vereinbarten Entschädigungsgrenzen. Bei einem gut gefüllten Supermarkt könne der Warenwert in Kühlregalen und Tiefkühltruhen schnell sechsstellige Beträge erreichen. Hinzu kommen mögliche Entsorgungskosten und Umsatzausfälle, deren Versicherbarkeit ebenfalls gesondert zu prüfen ist.

Offene Fernwartungszugänge als Einfallstor

Die Angriffe zeigen zugleich, dass Cyberrisiken längst nicht mehr auf klassische Büro-IT beschränkt sind. Moderne Supermärkte verfügen über zentrale Steuerungssysteme, über die Temperaturen, Abtauzyklen und Alarme ihrer Kühlanlagen verwaltet werden. Damit Kältetechniker Störungen aus der Ferne beheben können, sind diese Systeme häufig mit Fernwartungsfunktionen ausgestattet. Sind solche Zugänge unzureichend geschützt oder unmittelbar über das Internet erreichbar, können Angreifer unter Umständen Einstellungen verändern, ohne zuvor in das übrige Unternehmensnetzwerk einzudringen.
Nach Angaben von CyberDirekt spielten bei den jüngsten Angriffswellen unter anderem offen erreichbare Verwaltungsoberflächen, veraltete Software und Schwachstellen bei der Anmeldung eine Rolle. Sicherheitsforscher des Unternehmens Forescout identifizierten demnach weltweit knapp 13.000 frei erreichbare Kühlmanagement-Dienste in 99 Ländern und Gebieten. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat vor entsprechenden Risiken gewarnt und Schutzmaßnahmen für vernetzte Kühlsteuerungen empfohlen.

Fehlende IT-Sicherheit kann den Versicherungsschutz gefährden

Für Versicherungsnehmer ist die technische Absicherung nicht nur eine Frage der Schadenprävention. Cyberversicherer verlangen regelmäßig bestimmte Sicherheitsstandards. Dazu können geschützte Fernzugriffe, Mehrfaktor-Authentifizierung, individuelle Passwörter und aktuelle Software gehören. Diese Anforderungen betreffen nicht zwangsläufig nur Computer, Server und Kassensysteme. Auch die Fernwartung einer Kühlanlage kann darunterfallen.
Problematisch wird es beispielsweise, wenn ein Unternehmen im Versicherungsantrag bestätigt, sämtliche Fernzugänge durch Mehrfaktor-Authentifizierung abzusichern, während die Kühlsteuerung weiterhin ungeschützt aus dem Internet erreichbar ist. Je nach Vertragsgestaltung und den Umständen des Einzelfalls können unzutreffende Angaben oder verletzte Sicherheitsobliegenheiten Auswirkungen auf die Versicherungsleistung haben. Eine Leistungskürzung oder Leistungsfreiheit tritt allerdings nicht automatisch bei jeder Sicherheitslücke ein. Entscheidend sind die vereinbarten Bedingungen sowie die jeweiligen gesetzlichen Voraussetzungen.

Beratungsbedarf reicht über Supermärkte hinaus

Die aktuellen Vorfälle betreffen nicht ausschließlich den Lebensmitteleinzelhandel. Auch Metzgereien, Bäckereien, Gastronomiebetriebe, Apotheken, Lebensmittelproduzenten und Logistikunternehmen sind auf funktionierende Kühl- und Tiefkühltechnik angewiesen.
Für Vermittler ergeben sich daraus mehrere konkrete Prüfungsfragen. Zunächst ist zu klären, ob Schäden an temperaturempfindlichen Waren infolge eines Cyberangriffs überhaupt versichert sind. Besteht eine entsprechende Deckung, muss deren Entschädigungsgrenze zum tatsächlichen Warenwert passen.
Darüber hinaus sollten mögliche Überschneidungen und Ausschlüsse zwischen Cyber-, Sach- und Betriebsunterbrechungsversicherung geprüft werden.
Ebenso wichtig ist die technische Risikosituation: Welche Anlagen verfügen über Fernwartungszugänge? Wer ist für deren Absicherung verantwortlich? Und entsprechen die Schutzmaßnahmen den Angaben im Versicherungsantrag?
Die jüngsten Angriffe verdeutlichen damit ein Risiko, das bei der Cyberberatung leicht übersehen werden kann: Nicht jeder digitale Angriff endet mit einem Datenverlust oder einem IT-Ausfall. Manchmal besteht der größte Schaden aus verdorbenen Lebensmitteln.

Zur Auswertung: CyberDirekt untersuchte im November 2026 insgesamt 21 auf der eigenen Plattform gelistete Cyberversicherungstarife für den Einzelhandel. Die Ergebnisse beziehen sich auf die grundsätzliche Versicherbarkeit von Kühlgut-Sachschäden nach Cyberangriffen sowie auf ausgewiesene Entschädigungsgrenzen. Eine vollständige Marktübersicht liegt damit nicht vor.