Vernetzte Kühlung, Gigabyte-Abgabe und Führerschein-App: Drei Digitalthemen im Überblick

Veraltete Steuergeräte können besonders verwundbar sein

Wie ein Zugriff technisch möglich sein kann, erläuterte der heise-Sicherheitsexperte Christopher Kunz in einem Interview mit dem NDR: Ältere Kühlanlagen hätten Steuergeräte mit einer Weboberfläche, die direkt aus dem Internet erreichbar sei. Bei bestimmten älteren Geräten gebe es demnach zudem einen Zugang mit einem leicht zu erratenden, im Wesentlichen aus dem aktuellen Datum abgeleiteten Passwort. Wer sich anmelden könne, könne über den Browser Einstellungen wie die Temperatur verändern. Diese Beschreibung stammt aus Kunz’ Experteneinschätzung; sie ist kein Nachweis, dass genau dieser Weg bei jedem gemeldeten Vorfall verwendet wurde. [4]

Ein weiteres Problem ist der Lebenszyklus der Geräte. Kunz sagte dem NDR, betroffene Anlagen seien veraltet und erhielten keine Sicherheitsupdates mehr; nach Angaben des Herstellers sei vor dem Problem bereits gewarnt worden. Als dauerhafte Optionen nannte er, die Geräte vom Internet zu trennen oder sie auszutauschen. Heise berichtete für frühere Angriffe in Frankreich, dass Schwachstellen in älteren, mit dem Internet verbundenen Steuergeräten von Danfoss ausgenutzt worden seien. Ob die späteren deutschen Fälle auf derselben Schwachstelle oder Vorgehensweise beruhten, war laut Heise nicht bestätigt. [4][5]

Die Unternehmensrelevanz liegt damit nicht nur in der Frage nach einem starken Passwort. Wenn ein Gerät keine Sicherheitsupdates mehr erhält, kann eine technische Schwachstelle nicht zwingend durch eine Aktualisierung geschlossen werden. Eine Bestandsaufnahme sollte daher auch Alter, Supportstatus und externe Erreichbarkeit von Anlagen erfassen. Das ist eine aus den dokumentierten Geräteproblemen abgeleitete Empfehlung, keine im Quellenpaket wiedergegebene behördliche Checkliste. [4][5]

BSI-Hinweise und EU-Pflichten haben unterschiedliche Zeitpunkte

Heise fasste Empfehlungen des BSI für vernetzte Anlagen zusammen. Als vorrangigen Schutz nannte die Behörde dem Bericht zufolge, Anlagen vom Internet zu trennen. Wo ein Fernzugriff benötigt wird, erwähnte das BSI außerdem VPN-Verbindungen, Mehr-Faktor-Authentifizierung, Blocklisten, Protokollfilter und Updates als Maßnahmen, die den Zugriff erschweren können. Die Auswahl und konkrete Umsetzung hängt laut Quellenlage nicht von einer pauschalen Aussage über alle Kühlanlagen ab. [5]

Daneben verwies Heise auf den Cyber Resilience Act. Hersteller müssten nach dem Bericht ab Dezember 2027 verschärfte Sorgfaltspflichten für vernetzte Produkte beachten. Die Meldungspflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gelte demnach bereits seit dem 11. September 2026. Diese Termine betreffen unterschiedliche Anforderungen; aus ihnen lässt sich nicht ableiten, dass ältere Anlagen automatisch aktualisiert oder kurzfristig ersetzt werden. [5]

Für Betreiber folgt daraus analytisch eine Trennung zwischen Herstellerpflichten und dem eigenen Anlagenbetrieb. Selbst strengere Anforderungen an neue Produkte beheben nicht von selbst ein konkretes Altgeräteproblem, das laut NDR wegen fehlender Updates fortbesteht. Unternehmen, die auf Fernüberwachung angewiesen sind, müssen deshalb den verbleibenden Zugriff und mögliche Offline-Alternativen für ihre konkrete Umgebung bewerten. [4][5]

Frankreichs Gigabyte-Abgabe ist noch kein feststehender Tarif

Das zweite Thema der Sendung ist ein französischer Vorschlag für eine Abgabe von 5,5 Cent je an Nutzer übertragenem Gigabyte. Nach der Vorschau nahm die französische Nationalversammlung den Vorschlag mit knapper Mehrheit an. Als mögliche Zahlungspflichtige nennt die Ankündigung Anbieter von Inhalten, etwa Streaming-Dienste. Sie fragt zugleich, wie realistisch eine tatsächliche Einführung ist und ob Kosten an Verbraucher weitergegeben würden. Die verfügbaren Angaben beantworten diese Fragen nicht. [1]

Die Größenordnung lässt sich rechnerisch veranschaulichen: Bei unverändertem Satz entspräche die Abgabe für 100 Gigabyte übertragenen Datenvolumens 5,50 Euro. Das ist lediglich eine Multiplikation des angekündigten Satzes, keine Prognose einer konkreten Rechnung. Offen bleiben unter anderem der weitere Gesetzgebungsweg, die genaue Bemessungsgrundlage und die Frage, ob Anbieter die Kosten selbst tragen oder in Preise einrechnen. [1]

Für Streaming- und andere datenintensive Dienste wäre daher zunächst nicht ein bereits geltender Kostenaufschlag maßgeblich, sondern die Unsicherheit über die mögliche Ausgestaltung. Die heiseshow-Vorschau stellt als weitere Streitpunkte Auswirkungen auf Netzneutralität und europäische Streaming-Anbieter heraus, belegt aber keine bestimmte Folge. Unternehmen sollten den Vorschlag deshalb nicht mit einer beschlossenen, anwendbaren Abgabe gleichsetzen. [1]

Digitaler Führerschein: angekündigter Start, begrenzte Angaben

Beim dritten Thema geht es um einen Führerscheinnachweis auf dem Smartphone. Laut heise-Vorschau soll dieser Ende November verfügbar werden, voraussichtlich über die i-Kfz-App. Die bisherige Plastikkarte soll gültig bleiben; zunächst soll der digitale Nachweis nur in Deutschland verwendbar sein. Da die vorliegenden Quellen hierzu im Wesentlichen die Ankündigung wiedergeben, sind daraus keine weitergehenden Aussagen über konkrete Prüfabläufe, technische Sicherheitsmechanismen oder eine grenzüberschreitende Anerkennung abzuleiten. [1]

Für Unternehmen mit Fuhrparks könnte ein digitaler Nachweis grundsätzlich Verwaltungsabläufe berühren. Welche Prozesse sich tatsächlich ändern, hängt jedoch davon ab, wie die App eingeführt wird und welche Stellen den Nachweis akzeptieren. Die Vorschau führt Datenschutz und Sicherheit als offene Fragen an, liefert aber keine technischen Spezifikationen oder eine unabhängige Sicherheitsbewertung. Entsprechende Folgen bleiben daher vorerst eine Prüfaufgabe und keine belegte Wirkung des angekündigten Starts. [1]

Entscheidend ist der Status jeder Maßnahme

Die drei Themen verlangen unterschiedliche Formen der Einordnung. Bei Kühlanlagen sind Schäden berichtet und Ermittlungen im Gang, doch die Ursache einzelner deutscher Fälle ist nicht abschließend bestätigt. Bei der französischen Abgabe liegt laut Vorschau ein parlamentarisch angenommener Vorschlag vor, nicht der Nachweis einer bereits geltenden Abgabe. Beim Führerschein handelt es sich um einen angekündigten Einführungstermin mit begrenzten Angaben zu Betrieb und Anerkennung. [1][5]

Für B2B-Entscheidungen ist diese Trennung mehr als eine redaktionelle Feinheit. Betreiber vernetzter Anlagen können aktuelle Risiken prüfen, ohne unbestätigte Angriffsmuster als Tatsachen zu behandeln. Anbieter digitaler Inhalte können politische Entwicklungen beobachten, ohne einen Vorschlag als feststehende Kostenregel zu verbuchen. Und Fuhrparkverantwortliche können den angekündigten digitalen Nachweis erst dann in Prozesse einplanen, wenn Verfügbarkeit und Nutzungsbedingungen konkret feststehen. Das sind begrenzte, aus den jeweiligen Quellen abgeleitete Schlussfolgerungen. [1][4][5]

Quellen

1. [1] #heiseshow: Kühlschrank-Cyberangriffe, Internetsteuer, digitaler Führerschein | heise online — https://www.heise.de/news/heiseshow-Kuehlschrank-Cyberangriffe-Internetsteuer-digitaler-Fuehrerschein-11512629.html (abgerufen am 2026-11-05)
2. [2] #heiseshow: Kühlschrank-Cyberangriffe, Internetsteuer, digitaler Führerschein - YouTube — https://www.youtube.com/watch?v=bGuaS1tsY64 (abgerufen am 2026-11-05)
3. [4] Cyberangriffe auf Supermärkte: So gehen Hacker vor | ndr.de — https://www.ndr.de/nachrichten/niedersachsen/cyberangriffe-auf-supermaerkte-so-gehen-hacker-vor,hackerangriff-160.html (abgerufen am 2026-11-05)
4. [5] Cyberangriffe auf Kühlschränke: Erste deutsche Fälle in Bayern und NRW | heise online — https://www.heise.de/news/Cyberangriffe-auf-Kuehlschraenke-Erste-deutsche-Faelle-in-Bayern-und-NRW-11508922.html (abgerufen am 2026-11-05)
5. [7] Cyberangriff auf Supermärkte: Diese EU-Regel erklärt das Kühlschrank-Chaos — https://www.t-online.de/digital/aktuelles/id_101510640/cyberangriff-auf-supermaerkte-diese-eu-regel-erklaert-das-kuehlschrank-chaos.html (abgerufen am 2026-11-05)