Cyberangriffe auf Kühlgeräte: 800 Supermärkte binnen 24 Stunden betroffen

Gesetzliche Verbote und staatliche Regulierungen von künstlicher Intelligenz entfalten gegenüber Cyberkriminellen kaum abschreckende Wirkung. Wie René Mayrhofer vom Institut für Computer-Netzwerke und Sicherheit an der Johannes Kepler Universität Linz in einem Bericht vom 15. November 2026 darlegte, halten sich Angreifer naturgemäß nicht an gesetzliche Rahmenbedingungen.

Gleichzeitig beschleunige der Einsatz von KI Angriffsmuster erheblich, senke die Schwelle des dafür erforderlichen Expertenwissens und erleichtere automatisierte Kampagnen in großem Stil. Mayrhofer plädiert daher dafür, den Fokus weg von Verboten hin zu grundlegenden technischen Sicherheitsvorgaben zu verschieben.

Vernachlässigte IT-Basishygiene als Einfallstor

Trotz der Debatte über fortschrittliche Algorithmen beruht ein Großteil der aktuellen Cybervorfälle auf klassischen Versäumnissen. Mayrhofer verweist auf jüngste Sicherheitsvorfälle bei Institutionen wie der Arbeiterkammer, dem Unternehmen Loxone sowie Vorfällen in Frankreich.

Als eigentliche Ursachen benennt er veraltete Systeme, Standardpasswörter oder leere Kennwörter sowie Komponenten, die direkt aus dem Internet ansteuerbar sind. Hier liege oft grobe Fahrlässigkeit vor, die nicht durch KI verursacht werde.

Entscheidend sei stets die übergeordnete Systemarchitektur und nicht der fehlerhafte Klick einzelner Beschäftigter. Überlastete IT-Abteilungen und anhaltender Zeitdruck führten jedoch häufig dazu, dass elementare Schutzvorkehrungen verschleppt würden.

Die EU-KI-Verordnung stellt Unternehmen vor neue Herausforderungen, die weit über technische Fragen hinausgehen. Dieser kostenlose Umsetzungsleitfaden bietet Ihnen einen kompakten Überblick über alle relevanten Fristen, Pflichten und Risikoklassen des AI Acts. EU AI Act Umsetzungsleitfaden jetzt kostenlos herunterladen

Diese Einschätzung teilt auch der Cybersicherheitsexperte Fredrik Blix von der Universität Stockholm in einem Bericht vom 14. November 2026. Zwar erleichtere Technologie gegnerische Operationen, die gravierenden Schutzdefizite hätten jedoch andere Ursachen.

Blix bezifferte die Wahrscheinlichkeit, dass IT-Systeme bereits in ernsthaften Schwierigkeiten steckten, auf 100 Prozent. Zur Veranschaulichung verwies er auf Angriffe auf Kühlgeräte, von denen Mitte Oktober in Frankreich 800 Supermärkte binnen 24 Stunden betroffen waren. In Schweden wurden im November 30 solcher Systeme kompromittiert.

Blix identifizierte in Schweden 106 anfällige Steuerungssysteme desselben Herstellers, die frei online erreichbar waren; weltweit existierten davon 11.000 Installationen. Er forderte ein europaweites Neuinstallationsprojekt, um verdeckte Gefahren in kritischen Infrastrukturen zu beseitigen.

Technische Standards statt reiner Modellzertifizierung

Als Alternative zu Verboten fordert Mayrhofer verbindliche Sicherheitsstandards vor der Inbetriebnahme internetfähiger Geräte, etwa durch Prüfplaketten oder behördliche Konzessionen für vernetzte Systeme kritischer Infrastrukturen.

Zudem seien eine strikte Rechtevergabe nach dem Prinzip der geringsten Privilegien, verlässliche Offline- und Offsite-Back-ups sowie Sicherheitspatches binnen weniger Stunden nach Veröffentlichung von Schwachstellen erforderlich.

Dass formale Zertifizierungen von Algorithmen an praktische Grenzen stoßen, zeigt sich auch auf regulatorischer Ebene. Bei der europäischen KI-Verordnung wurden die Umsetzungsfristen für Hochrisikosysteme im Jahr 2026 verschoben: auf Dezember 2027 für bestimmte Kategorien und auf August 2028 für Systeme in regulierten Produkten.

Der Grund liegt darin, dass sich das kontextabhängige Verhalten komplexer Modelle kaum einmalig verlässlich zertifizieren lässt. Yanni Lozanov, Gründer von Ethera Technologies, betonte laut einem Bericht vom 14. November 2026, dass sich jedes System austricksen lasse und es keine vollkommen sicheren Modelle gebe.

Wer die rechtlichen Rahmenbedingungen der neuen KI-Gesetze ignoriert, riskiert neben Sicherheitslücken auch empfindliche Strafen. Erfahren Sie in diesem kostenlosen Report, welche regulatorischen Anforderungen Unternehmen jetzt konkret erfüllen müssen und wie Sie die Übergangsfristen optimal nutzen. Kostenlosen KI-Verordnungs-Report hier anfordern

Zielführender sei eine klassische Cybersicherheitsstrategie mit klaren Zuständigkeiten, begrenztem Datenzugriff, Reaktionsplänen und menschlicher Kontrolle.

Wachsender Zeitdruck durch automatisierte Angriffe

Die Dringlichkeit verbesserter Architekturen belegen aktuelle Kennzahlen der Europäischen Agentur für Cybersicherheit. In dem am 10. November 2026 gemeinsam mit der Europäischen Kommission verabschiedeten Lagebericht erreichte der Cybersicherheitsindex der EU durchschnittlich 71,53 von 100 Punkten.

Der Bericht zeigt zudem eine massive Beschleunigung der Angriffszyklen: Automatisierte Werkzeuge stünden oft bereits wenige Stunden oder Minuten nach dem Bekanntwerden von Lücken zur Verfügung.

Bei den erfassten Vorfällen des Jahres 2025 waren etwas über 57 Prozent ideologisch und etwas über 29 Prozent finanziell motiviert. Die Abwehr erfordert laut Fachleuten daher vor allem widerstandsfähige Architekturen, da rein rechtliche Schranken Angreifer nicht aufhalten.