BSI-CS 154: Wenn Steuerungen am Internet hängen – Schutz, Versicherung und deine Pflichten

Kühltheke, Schmelzofen, Melkroboter, Heizungsanlage: Immer mehr Technik in Betrieben wird über das Internet gesteuert und gewartet. Nach den Angriffen auf Supermarkt-Kühlanlagen in ganz Europa hat das BSI eine eigene Empfehlung veröffentlicht: BSI-CS 154. Hier erfährst du, was drinsteht, welche Betriebe betroffen sind – und warum die Cyberversicherung allein nicht reicht, wenn du deine Pflichten nicht kennst.

Cyber-Schutz prüfen lassen

Das Wichtigste in Kürze

• BSI-CS 154 heißt „Gefährdung durch internet-verbundene OT-Systeme“ und erschien am 13. Oktober 2026, direkt nach den Angriffen auf Supermärkte in Frankreich.
• OT steht für Operational Technology: Steuerungen von Anlagen und Maschinen – nicht die Büro-IT.
• Vier Kernmaßnahmen: nicht direkt ins Internet, Fernzugriff nur per VPN mit Mehr-Faktor-Anmeldung, Updates einspielen, Sicherheit als Routine.
• Versicherung: Die Cyberpolice zahlt vor allem Vermögensschäden. Sachschäden und Warenverderb sind oft ausgeschlossen oder begrenzt.
• Deine Pflicht: Als Versicherungsnehmer musst du die Sicherheitsobliegenheiten erfüllen – auch wenn ein Dienstleister die Anlage wartet.

Was ist BSI-CS 154?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht unter dem Kürzel „BSI-CS“ Cybersicherheitsempfehlungen. Die Nummer 154 trägt den Titel „Gefährdung durch internet-verbundene OT-Systeme“ und ist seit dem 13. Oktober 2026 über die Allianz für Cyber-Sicherheit abrufbar. Anlass war der Angriff auf die Kühlsysteme Hunderter französischer Supermärkte in der Nacht zum 12. Oktober. Kurz darauf folgten Fälle in weiteren europäischen Ländern, auch in Deutschland – mehr dazu in unserem Beitrag Hacker heizen Kühltruhen auf.

Die Empfehlung richtet sich laut BSI an Betreiber kleiner industrieller oder vergleichbarer Anlagen, die industrielle Steuerungsgeräte einsetzen – etwa zur Kühlung von Lebensmitteln, zur Erzeugung von Strom oder zur Wasseraufbereitung. Gemeint sind also gerade nicht nur große Industriekonzerne, sondern Supermärkte, Handwerksbetriebe, Landwirte, Stadtwerke oder Betreiber von Solaranlagen.

Warum offene Steuerungen so gefährlich sind

Viele Steuerungen sind für den Betrieb vor Ort gebaut und nie dafür gedacht gewesen, direkt am Internet zu hängen. Damit Wartungsfirmen bequem aus der Ferne zugreifen können, werden sie trotzdem oft offen erreichbar gemacht – manchmal mit veralteter Firmware, Standard- oder Sammelpasswörtern und ohne zweiten Anmeldefaktor. Automatisierte Suchprogramme finden solche Geräte schnell. Nach Presseberichten waren bei den Angriffen auf Supermärkte unter anderem Kühlsteuerungen der Hersteller Danfoss, Copeland und Dixell betroffen; der Sicherheitsanbieter Forescout zählte im Oktober fast 13.000 aus dem Internet erreichbare Kühlmanagement-Systeme in 99 Ländern.

Die Folgen gehen über Datenverlust weit hinaus: Ware verdirbt, Maschinen stehen still, Halbfabrikate werden unbrauchbar, im schlimmsten Fall entstehen Sach- oder Personenschäden.

Die vier Kernmaßnahmen der Empfehlung

1. Keinen direkten Internetzugriff: Steuerungen dürfen nicht offen aus dem Internet erreichbar sein. Portweiterleitungen im Router abschalten, Industrieprotokolle (z. B. Modbus-TCP, S7Comm, Profinet) nicht nach außen freigeben.
2. Fernzugriff nur abgesichert: Fernwartung ausschließlich über ein verschlüsseltes VPN mit Mehr-Faktor-Authentifizierung.
3. Aktualisieren und prüfen: Systeme und Firmware zeitnah aktualisieren und regelmäßig kontrollieren, ob Geräte von außen erreichbar sind.
4. Routine statt Einmalaktion: Sicherheitsmaßnahmen und Überprüfungen fest in den Betriebsablauf einbauen.

Unsere Ergänzungen für die Praxis: Standard-Passwörter ersetzen und für jeden Zugang ein eigenes Konto anlegen, Steuerungsnetz und Büro-IT trennen, einen separaten Alarm (z. B. Temperatur per SMS) einrichten und einen Notfallplan festlegen: Wer wird nachts informiert, wer darf abschalten?

Die vollständige Empfehlung findest du beim BSI: BSI-CS 154 bei der Allianz für Cyber-Sicherheit.

30 Gewerke mit erhöhtem Risiko

Betroffen sein kann jeder Betrieb, dessen Anlagen über das Internet gesteuert oder gewartet werden. Besonders schwer wiegen die Folgen, wo Ware verdirbt, Produktion stillsteht oder Menschen versorgt werden. Unsere Einschätzung – ohne Rangfolge, nach Bereichen sortiert:

Handel & Lebensmittel

1. Supermärkte und Lebensmitteleinzelhandel
2. Lebensmittelproduktion
3. Metzgereien und Fleischverarbeitung
4. Bäckereien und Konditoreien
5. Molkereien und Käsereien
6. Brauereien und Getränkehersteller

Gastgewerbe & Logistik

7. Gastronomie, Großküchen und Kantinen
8. Hotels
9. Catering
10. Kühlhäuser und Kühllogistik
11. Speditionen mit Kühlfahrzeugen

Gesundheit

12. Apotheken
13. Arztpraxen mit Impfstoff- und Medikamentenkühlung
14. Kliniken, Reha- und Pflegeeinrichtungen (Gebäudetechnik)
15. Labore und Biotech

Produktion & Industrie

16. Pharma- und Chemieproduktion
17. Kunststoffverarbeitung (z. B. Spritzguss)
18. Metallverarbeitung und Gießereien (z. B. Schmelzöfen)
19. Holzverarbeitung und Schreinereien (CNC, Trocknung)
20. Maschinen- und Anlagenbau
21. Druckereien

Landwirtschaft

22. Milchviehbetriebe (Melkroboter, Milchkühlung, Stallklima)
23. Gewächshäuser und Gartenbau (Klimasteuerung)
24. Fischzucht und Aquakultur

Energie, Wasser & Gebäude

25. Trinkwasser- und Abwasserbetriebe
26. Betreiber von Photovoltaikanlagen (Wechselrichter)
27. Windkraft, Biogas und Blockheizkraftwerke
28. Wohnungswirtschaft und Hausverwaltungen (Heizung, Gebäudeleittechnik)
29. Schwimmbäder, Sport- und Freizeitanlagen
30. Rechenzentren und Serverräume (Klimatisierung)

Auch das gesamte produzierende Gewerbe gilt nach Einschätzung von Fachleuten als gefährdet: Läuft ein Schmelzofen aus dem Takt oder fällt eine Trocknungsanlage aus, wird die Charge unbrauchbar.

Was die Versicherung zahlt – und was nicht

„Eine Cyberversicherung ist klassisch eine Vermögensschadenversicherung“, sagt Jan Meurer vom Cyberversicherer Stoïk gegenüber AssCompact. Für die Praxis heißt das:

Wie das in einem konkreten Bedingungswerk aussieht – mit Verderbsklausel, Baustein für Sachsubstanzschäden und der Frage, ob Cyber- oder Sachversicherung zuerst zahlt –, zeigen wir in unserem Nachschlag am Beispiel Stoïk. Die Bedingungen unterscheiden sich von Versicherer zu Versicherer erheblich – wir klären im Einzelfall für dich, was dein Vertrag abdeckt.

Deine Pflichten als Versicherungsnehmer

Eine Cyberversicherung setzt voraus, dass du einen vereinbarten Sicherheitsstandard einhältst. Diese sogenannten Obliegenheiten stehen in den Bedingungen und unterscheiden sich je nach Versicherer. Typisch sind:

• Sicherheitsupdates zeitnah einspielen – manche Bedingungen nennen dafür feste Fristen.
• Veraltete Systeme ohne Updates nur abgeschottet betreiben, also ohne direkten Internetzugang.
• Individuelle Zugänge mit sicheren Passwörtern, zusätzlicher Schutz (z. B. Zwei-Faktor-Anmeldung) für Fernzugriffe.
• Datensicherung regelmäßig und geschützt – bei Stoïk etwa mindestens wöchentlich, zwei Wochen aufbewahrt, offline oder unveränderlich.
• Gesetzliche, behördliche und vertragliche Sicherheitsvorschriften einhalten.

Wer eine Obliegenheit grob fahrlässig verletzt, riskiert eine Kürzung der Leistung, bei Vorsatz sogar den kompletten Verlust. Mindestens genauso wichtig sind die Angaben im Antrag: Wer dort etwa bestätigt, dass alle Systeme aktuell sind, ohne es geprüft zu haben, riskiert die Anfechtung des Vertrags. So bestätigte das OLG Schleswig (16 U 63/24) die Anfechtung einer Cyberpolice, weil Fragen zum Sicherheitsstand „ins Blaue hinein“ beantwortet worden waren. Umgekehrt musste ein Versicherer nach einem Urteil des LG Tübingen (Mai 2023) trotz veralteter Server zahlen, weil die Lücken für den Schaden nicht ursächlich waren. Die Beispiele zeigen: Es kommt auf den Einzelfall und die genaue Formulierung an.

Ganz wichtig: Die Obliegenheiten treffen dich als Versicherungsnehmer – auch dann, wenn ein externer Dienstleister deine Kühlung, Heizung oder Maschine wartet. Die Aufgaben kannst du abgeben, die Verantwortung gegenüber dem Versicherer nicht.

Den Dienstleister in die Pflicht nehmen

Weil du gegenüber dem Versicherer verantwortlich bleibst, sollten die Sicherheitsanforderungen im Wartungs- und Servicevertrag stehen. Ohne ausdrückliche Regelung schuldet ein Dienstleister im Zweifel nur das, was vereinbart ist. Diese Punkte gehören hinein:

1. Fernzugriff: nur über VPN mit Mehr-Faktor-Anmeldung, keine offenen Ports, keine dauerhaft aktiven Zugänge.
2. Zugangsdaten: keine Standard- oder Sammelpasswörter, persönliche Konten je Techniker, Sperrung bei Personalwechsel.
3. Updates: Pflicht, Sicherheitsupdates und Firmware innerhalb fester Fristen einzuspielen, und Hinweispflicht, wenn ein Gerät keine Updates mehr erhält.
4. Stand der Technik: Ausrichtung an anerkannten Empfehlungen wie BSI-CS 154.
5. Meldepflicht: unverzügliche Information bei Sicherheitsvorfällen oder bekannten Schwachstellen.
6. Protokollierung: Nachvollziehbarkeit, wer wann aus der Ferne zugegriffen hat.
7. Notfallkontakt: Erreichbarkeit und Reaktionszeiten im Störfall, auch nachts und am Wochenende.
8. Haftung und Versicherung: klare Haftungsregelung und Nachweis einer ausreichenden Berufs- bzw. IT-Haftpflichtversicherung des Dienstleisters.
9. Datenschutz: Vertrag zur Auftragsverarbeitung, wenn der Dienstleister Zugriff auf personenbezogene Daten hat.

Verursacht der Dienstleister den Schaden schuldhaft, kann er schadensersatzpflichtig sein – und ein Versicherer, der den Schaden reguliert, kann ihn in Regress nehmen. Je klarer der Vertrag, desto besser sind deine Karten. Für die rechtliche Gestaltung des Vertrags wende dich an eine Anwältin oder einen Anwalt.

Dein Fahrplan in fünf Schritten

1. Liste aller vernetzten Anlagen erstellen und prüfen, welche von außen erreichbar sind.
2. Die vier Maßnahmen aus BSI-CS 154 mit deiner IT oder dem Wartungsdienstleister umsetzen.
3. Wartungs- und Serviceverträge um die Sicherheitspflichten ergänzen.
4. Cyber- und Sachversicherung nebeneinanderlegen: Sachschäden, Warenverderb, Betriebsunterbrechung, Obliegenheiten.
5. Die Angaben im Versicherungsantrag mit deiner IT abgleichen – und bei Änderungen aktualisieren.

Unser Angebot: Wir prüfen deine Cyber-, Inhalts- und Kühlgutversicherung im Zusammenspiel und zeigen dir, wo Lücken entstehen – zum Beispiel mit der Cyberversicherung von Stoïk. Was deren Bedingungen konkret leisten, liest du im Nachschlag am Beispiel Stoïk. Mehr dazu: Cyber-Security für Unternehmen.

Häufige Fragen

Was ist BSI-CS 154?

BSI-CS 154 ist eine Cybersicherheitsempfehlung des Bundesamts für Sicherheit in der Informationstechnik mit dem Titel „Gefährdung durch internet-verbundene OT-Systeme“, veröffentlicht am 13. Oktober 2026. Sie richtet sich an Betreiber kleiner industrieller oder vergleichbarer Anlagen mit Steuerungsgeräten, etwa zur Kühlung von Lebensmitteln, Stromerzeugung oder Wasseraufbereitung.

Zahlt meine Cyberversicherung, wenn eine Maschine oder Ware beschädigt wird?

Oft nicht vollständig. Eine Cyberversicherung ist in erster Linie eine Vermögensschadenversicherung. Sachschäden wie verdorbene Ware oder beschädigte Produktionsmittel sind häufig ausgeschlossen oder nur begrenzt versichert. Gleichzeitig schließen viele Sachversicherungen Cyberangriffe aus. Wir prüfen das Zusammenspiel deiner Verträge.

Kann ich die IT-Sicherheit an meinen Dienstleister abgeben?

Die Aufgaben ja, die Verantwortung gegenüber dem Versicherer nein. Die Obliegenheiten aus deiner Police treffen dich als Versicherungsnehmer. Deshalb gehören klare Sicherheitspflichten in den Wartungs- und Servicevertrag mit deinem Dienstleister.

Was passiert, wenn meine Angaben im Versicherungsantrag nicht stimmen?

Dann kann der Versicherer je nach Fall vom Vertrag zurücktreten, ihn anfechten oder die Leistung kürzen. Gerichte haben Antworten „ins Blaue hinein“ zum IT-Sicherheitsstand als arglistig gewertet. Lass die Angaben deshalb vor dem Abschluss von deiner IT prüfen.

Herzliche Grüße von der KiS

Hinweis: Allgemeine Information, Stand 05.11.2026, keine Rechtsberatung und keine individuelle Beratung. Die Liste der Gewerke ist unsere Einschätzung, keine amtliche Einstufung. Maßgeblich sind die Bedingungen des jeweiligen Versicherers. Quellen: BSI-CS 154 (13.10.2026); Berichte von dpa, ad-hoc-news, VWheute und AssCompact (Oktober/November 2026); Stoïk, Bedingungen Cyber Serenity – Standard (DE2609.2); Entscheidungen OLG Schleswig 16 U 63/24 und LG Tübingen vom 26.05.2023. KiS – Kontor im Schwarzwald GmbH, Versicherungsmakler mit Erlaubnis nach § 34d Abs. 1 GewO, Reg.-Nr. D-PS74-61V96-00.

👉 Cyber-Schutz prüfen lassen

← Alle Beiträge