Danfoss-Controller AK-SM 800A besonders anfällig

Das niederländische IT-Security-Beratungsunternehmen Midnight Blue hat am 11. November 2026 einen Bericht über sechs Schwachstellen in Danfoss-Controllern des Typs AK-SM 800A, Version 5.3.2, veröffentlicht. Nach Angaben der Forscher lassen sich anfällige Geräte damit vollständig übernehmen, dauerhaft kompromittieren und im Extremfall durch einen „Persistent Denial of Service“ dauerhaft außer Betrieb setzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Kenntnis von weiteren Schwachstellen in diesen Geräten, die in industriellen Kühlanlagen eingesetzt werden.

Betroffene Versionen und Schutzmaßnahmen

Nach aktuellen Informationen des BSI sind Firmwarestände bis mindestens einschließlich 5.3.2 betroffen. Ob auch neuere Firmwarestände, darunter das Softwarepaket 5.4.0 aus November 2026, betroffen sind, kann zum jetzigen Zeitpunkt nicht ausgeschlossen werden. Über eine bereits aktive Ausnutzung der Schwachstellen ist derzeit nichts bekannt.

Das BSI rät, betroffene Geräte nicht mit dem Internet zu verbinden. Falls eine Fernwartung dennoch erforderlich ist, sollten Betreiber dringend zumindest ein Virtual Private Network (VPN) vorschalten. Bei erfolgreicher Kompromittierung könnten Angreifer Schadsoftware auf die Geräte laden und sie unbrauchbar machen. Ein Ausfall würde vermutlich längere Zeit andauern.

Die Midnight-Blue-Forscher geben an, die Schwachstellen innerhalb einer Stunde durch manuelle Untersuchung gefunden zu haben, also ohne KI-Hilfe. Die dafür nötige Firmware samt Binärdateien sei frei auf der Herstellerseite herunterladbar gewesen. Midnight Blue steht nach eigenen Angaben im Rahmen eines Coordinated-Vulnerability-Disclosure-Prozesses mit dem Hersteller in Kontakt. Trotzdem enthält der Bericht Hinweise zur Untersuchung der Firmware und zum Aufbau der Umgebung.

Nach Danfoss-Fall: Was die BSI-Empfehlung zu OT-Systemen dazu sagt

Wie sich solche Risiken verringern lassen, beschreibt das BSI in der Cybersicherheitsempfehlung BSI-CS 154, Version 1.0 vom 9. Oktober 2026. Sie nennt die Danfoss-Controller nicht, ihre Empfehlungen decken sich aber mit dem Rat zum AK-SM 800A. Sie richtet sich vor allem an Betreiber kleiner und kleinster industrieller Anlagen und stellt einen einfachen Grundsatz an den Anfang: Anlagen vom Internet trennen.

Das BSI weist darauf hin, dass automatisierte Dienste das Internet permanent nach exponierten Steuerungssystemen durchsuchen. Angreifer nutzten die Ergebnisse immer schneller und teilautomatisiert, auch mit KI-generierten Skripten gegen bekannte, nicht gepatchte Schwachstellen und Fehlkonfigurationen. Die Behörde formuliert deutlich: Wer OT-Systeme ohne ausreichende Schutzmaßnahmen offen zugänglich mache, handle „grundsätzlich pflichtwidrig“.

Die Empfehlung setzt vier Schritte in fester Reihenfolge:

1. Direkten Internetzugriff unterbinden: Portweiterleitungen auf Endgeräte abschalten. Management-Oberflächen von Routern und Firewalls dürfen nicht aus dem Internet erreichbar sein.
2. Zugriffe absichern: Notwendige Fernzugriffe nur über ein vorgeschaltetes VPN, nach Möglichkeit mit Multifaktorschutz. Standardzugänge deaktivieren. Ein reiner Passwortschutz reiche nicht, weil Schwachstellen auch ohne Authentifizierung ausgenutzt werden könnten.
3. Systeme aktuell halten: Software- und Firmwarestände regelmäßig prüfen, Sicherheitsupdates schnellstmöglich einspielen.
4. Zur Routine machen: Angriffsflächenprüfung, Patch-Management, Inventar und Fernzugriffsdokumentation dauerhaft pflegen.

Gerade der dritte Schritt betrifft den AK-SM 800A unmittelbar: Betreiber sollten prüfen, welchen Firmwarestand ihre Geräte haben.

Prüfen, ob Geräte erreichbar sind

Betreiber können ihre Exposition selbst testen. Von innen lässt sich die Router-Konfiguration auf Portweiterleitungen, NAT-Regeln und UPnP-Einträge prüfen. Von außen helfen Suchdienste wie Shodan, Censys oder IVRE sowie ein Portscan der eigenen öffentlichen IP-Adresse, der nur am eigenen Anschluss oder mit ausdrücklicher Freigabe zulässig ist.

Das BSI warnt zudem vor unbekannten Zugängen: Fernwartung sei nicht immer dokumentiert und teils über WiFi-Gateways oder LTE-Modems realisiert, von denen Betreiber nichts wüssten. Es könne nötig sein, in jedem Schaltschrank nach Geräten mit Antennen oder der Aufschrift „Gateway“ zu suchen.

Private Mobilfunk-APNs bieten laut BSI allein keinen ausreichenden Schutz, weil der Verkehr oft unverschlüsselt läuft und Querbewegungen zwischen Anlagen möglich sind. Das BSI rät, undifferenzierte Firewall-Regeln durch Allow-Listing mit Default-Deny zu ersetzen und Netzbereiche wie Büro-IT, OT und Fernwartung konsequent zu segmentieren. Die vollständige Empfehlung enthält weitere Hinweise und Beispielbefehle.