Wenn Hacker die Kühlkette angreifen: Wie digitale Ausfälle ganze Warenbestände gefährden – Kreativbild zum Thema, mit KI: Xpert.Digital
Kühlanlagen manipuliert: Warum Cybersicherheit zur Aufgabe der Logistik wird
Die unterschätzte Schwachstelle im Lager: Wenn digitale Systeme Waren unbrauchbar machen
Wie sicher ist die Kühlkette? Cyberangriffe setzen Europas Supermärkte unter Druck
Digitale Systeme steuern längst nicht mehr nur Bestände und Warenbewegungen. Sie können auch darüber entscheiden, ob Lebensmittel gekühlt bleiben – und damit ihren wirtschaftlichen Wert behalten. Anfang November 2026 meldeten Supermärkte in Schweden, Belgien und Luxemburg Störungen an Kühl- und Gefrieranlagen. In einem Markt im schwedischen Sjöbo sollen Einstellungen der Anlagen auf 50 Grad Celsius verändert worden sein; Lebensmittel mussten entsorgt werden. Die technischen Ursachen und das Ausmaß der Vorfälle waren zunächst nicht abschließend geklärt. Doch schon die gemeldeten Auswirkungen zeigen, wie eng Cybersicherheit, Intralogistik und Versorgungssicherheit miteinander verbunden sind. Denn wenn digitale Steuerungen ausfallen oder manipuliert werden, kann nicht nur der Betrieb einer Anlage beeinträchtigt werden: Auch bereits produzierte, transportierte und eingelagerte Waren können unbrauchbar werden. Logistik muss deshalb mehr leisten, als Güter schnell von A nach B zu bewegen. Sie muss die Bedingungen sichern, unter denen Waren verfügbar, verwendbar und verkaufsfähig bleiben.
Wenn Hacker die Kühlkette steuern: Warum Logistik weit mehr als Warenbewegung ist
Die teuerste Schwachstelle im Lager kann ein Passwort sein
Logistik wird häufig daran gemessen, wie schnell Waren ein Lager verlassen, wie zuverlässig Transporte ankommen und wie effizient Förderanlagen, Kommissioniersysteme oder Lagerroboter arbeiten. Diese Sichtweise beschreibt wichtige Aufgaben, greift aber zu kurz. Eine Lieferkette schafft ihren wirtschaftlichen Nutzen nicht allein dadurch, dass sie Produkte bewegt. Sie muss deren Verfügbarkeit, Qualität, Sicherheit und Verwendbarkeit über sämtliche Prozessschritte hinweg erhalten. Sobald digitale Steuerungen diese Bedingungen beeinflussen, werden Datenintegrität, Cybersicherheit und organisatorische Reaktionsfähigkeit zu Bestandteilen der logistischen Leistung.
Wie unmittelbar dieser Zusammenhang ist, zeigen die Anfang November 2026 bekannt gewordenen Störungen an Kühl- und Gefrieranlagen europäischer Supermärkte. In Schweden waren Standorte von ICA und Coop betroffen. Ein ICA-Markt im südschwedischen Sjöbo meldete, dass seine Anlagen manipuliert und auf 50 Grad Celsius eingestellt worden seien. Lebensmittel mussten entsorgt werden, der Markt öffnete am Montagmorgen zunächst nicht und nahm den Betrieb später wieder auf. Auch aus Belgien und Luxemburg wurden vergleichbare Probleme gemeldet. Bei Delhaize waren in Belgien rund 40 Märkte von einem IT-Vorfall betroffen, der ihre Kühltechnik beeinträchtigte.
Der ökonomische Kern solcher Ereignisse liegt nicht nur in ausgefallener Technik. Ein digitaler Eingriff kann bereits produzierte, transportierte, eingelagerte und verkaufsfertige Ware innerhalb eines begrenzten Zeitfensters entwerten. Die gesamte vorausgegangene Wertschöpfung verliert dann ihren Zweck. Landwirtschaftliche Produktion, industrielle Verarbeitung, Verpackung, Transport und Handelslogistik haben stattgefunden, ohne dass am Ende ein nutzbares Produkt beim Kunden ankommt.
Damit verschiebt sich die zentrale Frage. Es geht nicht mehr ausschließlich darum, wie Unternehmen Waren effizient durch ihre Netzwerke bewegen. Entscheidend wird ebenso, ob sie die Bedingungen beherrschen, unter denen diese Waren ihren Wert behalten.
Was die Kühlanlagen-Vorfälle belegen – und was bislang offenbleibt
Eine belastbare Analyse muss zwischen gesicherten Auswirkungen, Angaben einzelner Geschäfte und noch ungeklärten technischen Ursachen unterscheiden. Bestätigt wurden Störungen an Kühl- und Gefrieranlagen mehrerer Handelsstandorte. Einzelne Märkte beschrieben diese ausdrücklich als Hackerangriffe. ICA sprach zunächst von einer begrenzten Zahl betroffener Filialen und unterstützte die Bearbeitung des Vorfalls. Für Coop nannten erste Meldungen sechs Märkte; spätere Berichte bezifferten die Zahl auf sieben. Diese Entwicklung zeigt, dass die Bestandsaufnahme während eines laufenden Ereignisses noch nicht abgeschlossen sein muss.
Auch die Angabe von 50 Grad Celsius erfordert eine präzise Einordnung. Ein manipulierter Sollwert ist nicht automatisch gleichbedeutend mit einer tatsächlich erreichten Lufttemperatur in jedem Kühlmöbel und erst recht nicht mit derselben Temperatur im Inneren sämtlicher Lebensmittel. Die Erwärmung hängt unter anderem von der Bauart der Anlage, der Umgebungstemperatur, dem Warenbestand und der Dauer des Ausfalls ab. Bei dem Markt in Sjöbo wurde insbesondere berichtet, dass Einstellungen auf 50 Grad verändert worden seien. Daraus lässt sich nicht ableiten, dass jedes betroffene Produkt diese Temperatur erreicht hat.
Diese Unterscheidung relativiert den wirtschaftlichen Schaden nicht. Schon deutlich geringere Temperaturabweichungen können eine Prüfung, Sperrung oder Aussonderung von Lebensmitteln erforderlich machen. Für tiefgefrorene Produkte ist die Aufrechterhaltung geeigneter Lager- und Transportbedingungen wesentlich; bei schnellgefrorenen Lebensmitteln bildet eine Produkttemperatur von minus 18 Grad Celsius oder darunter grundsätzlich den maßgeblichen Bezugspunkt. Die konkrete Bewertung einer Abweichung muss jedoch produktbezogen erfolgen.
Ungeklärt bleiben die vollständige Schadenshöhe, die technische Angriffskette und die Identität möglicher Täter. Vergleichbare Störungen in unterschiedlichen Ländern beweisen weder einen gemeinsamen Angreifer noch eine identische Schwachstelle. Bereits im Oktober waren ähnliche Vorfälle aus französischen Supermärkten bekannt geworden. Die Wiederholung macht das Risikofeld sichtbar, ersetzt aber keine technische Untersuchung der einzelnen Ereignisse.
Für Unternehmen ergibt sich daraus eine doppelte Anforderung: Sie müssen schnell genug handeln, um Schäden zu begrenzen, und zugleich sorgfältig genug analysieren, um aus vorläufigen Vermutungen keine falschen Sicherheitsentscheidungen abzuleiten.
Der eigentliche Auftrag der Logistik ist der Erhalt wirtschaftlicher Nutzbarkeit
Ein Produkt kann am richtigen Ort und dennoch wirtschaftlich wertlos sein. Eine Palette Tiefkühlware erfüllt ihren Zweck nicht, wenn sie pünktlich eintrifft, aber ihre Temperaturhistorie eine sichere Verwendung nicht mehr zulässt. Ebenso kann ein Ersatzteil physisch verfügbar sein, jedoch wegen einer falschen Identifikation nicht eingesetzt werden. Ein vollständig gefülltes Lager ist kein Beleg für Lieferfähigkeit, wenn Bestandsdaten, Qualitätsstatus und tatsächlicher Warenzustand nicht zusammenpassen.
Daraus folgt eine umfassendere Definition logistischer Leistung. Logistik organisiert nicht nur räumliche und zeitliche Verfügbarkeit. Sie erhält die Bedingungen, unter denen ein Gut verwendet, verarbeitet oder verkauft werden kann. Im Lebensmittelhandel zählen dazu insbesondere Temperaturführung, nachvollziehbare Warenzustände und kontrollierte Freigaben. In anderen Branchen übernehmen andere Parameter dieselbe Rolle: Feuchtigkeit, Erschütterung, Reinheit, Zugriffsberechtigung oder eine eindeutig dokumentierte Produktidentität.
Die Intralogistik ist dabei besonders relevant, weil hier physische Bewegung und digitale Entscheidung eng zusammenfallen. Ein Lagerverwaltungssystem bestimmt, welche Ware eingelagert, gesperrt oder ausgeliefert wird. Eine Anlagensteuerung beeinflusst, ob Fördertechnik läuft. Ein Gebäudeautomationssystem kann die Umgebungsbedingungen verändern. Solche programmierbaren Systeme gehören zur operativen Technologie, wenn sie physische Prozesse überwachen oder unmittelbar beeinflussen.
Die wirtschaftliche Verantwortung endet deshalb nicht an der mechanischen Funktionsfähigkeit einer Anlage. Ein Förderband kann technisch einwandfrei laufen und trotzdem falsche Waren zum falschen Ziel transportieren. Eine Kälteanlage kann elektrisch versorgt sein und dennoch ungeeignete Einstellungen ausführen. Entscheidend ist die Verlässlichkeit des Gesamtsystems aus Technik, Daten und Entscheidungen.
Wie digitale Vernetzung Effizienz schafft und gleichzeitig neue Risiken verteilt
Die Vernetzung logistischer Anlagen hat einen nachvollziehbaren wirtschaftlichen Nutzen. Fernüberwachung kann technische Probleme früher sichtbar machen. Zentral verfügbare Betriebsdaten erleichtern Vergleiche zwischen Standorten. Eine abgestimmte Steuerung kann helfen, Energieverbrauch, Wartung und Anlagenbetrieb besser aufeinander abzustimmen.
Diese Vorteile entstehen allerdings durch zusätzliche Verbindungen. Ein vormals lokal bedientes Gerät wird aus der Ferne erreichbar. Ein Servicedienstleister erhält Zugriff auf mehrere Standorte. Eine zentrale Plattform bündelt Zustandsdaten und möglicherweise auch Steuerungsrechte. Dadurch verändert sich nicht nur die Bedienbarkeit, sondern auch die Verteilung von Ausfallrisiken.
Eine einheitliche technische Plattform kann beispielsweise die Kosten je Standort senken. Gleichzeitig kann eine gemeinsame Schwachstelle mehrere Standorte gleichzeitig betreffen. Der Nutzen der Standardisierung und das Risiko eines gemeinsamen Ausfalls sind damit zwei Seiten derselben Architekturentscheidung. Wirtschaftlich problematisch wird es, wenn die Einsparungen ausdrücklich berechnet werden, die zusätzliche Abhängigkeit aber außerhalb der Investitionsrechnung bleibt.
Die Vorfälle im europäischen Lebensmittelhandel veranschaulichen die Bedeutung dieser Frage, ohne bereits eine bestimmte technische Ursache zu beweisen. Dass mehrere Unternehmen ähnliche Auswirkungen melden, ist ein Anlass, gemeinsame Abhängigkeiten zu untersuchen. Es ist kein hinreichender Beleg dafür, dass tatsächlich dieselbe Komponente oder derselbe Dienstleister verantwortlich war.
Für die Unternehmensführung folgt daraus eine wichtige Perspektive: Nicht jede zusätzliche Verbindung ist abzulehnen. Jede Verbindung, die betriebliche Eingriffe ermöglicht, muss jedoch hinsichtlich Berechtigung, Überwachung, Ausfallfolgen und Rückfallmöglichkeit bewertet werden.
Warum ein Warenverlust in der Bilanz nur einen Teil des Schadens zeigt
Der sichtbarste Schaden eines Kühlungsausfalls ist der Wert der entsorgten Ware. Diese Größe ist wichtig, bildet die wirtschaftliche Belastung aber nicht vollständig ab. Hinzu kommen möglicherweise Arbeitsstunden für Räumung, Reinigung und Dokumentation, Kosten der Entsorgung, technische Wiederherstellung, zusätzliche Transporte und entgangene Verkaufsbeiträge.
Dabei ist zwischen Umsatz und Ergebnisbeitrag zu unterscheiden. Ein ausgefallener Verkaufstag kostet nicht automatisch den gesamten erwarteten Tagesumsatz als Gewinn. Mit dem Verkauf verbundene Aufwendungen können teilweise entfallen. Umgekehrt bleiben viele Kosten bestehen, obwohl der Markt nicht oder nur eingeschränkt verkauft. Für eine nachvollziehbare Schadensrechnung müssen deshalb Warenabschreibungen, zusätzliche Ausgaben und entgangene Deckungsbeiträge getrennt erfasst werden.
Eine ausdrücklich hypothetische Modellrechnung verdeutlicht die Größenordnung. Angenommen, ein Markt muss Waren mit einem Einstandswert von 80.000 Euro abschreiben. Für Entsorgung, Reinigung, technische Unterstützung und zusätzliche Logistik entstehen weitere 15.000 Euro. Durch Schließung und eingeschränkte Warenverfügbarkeit entgehen ihm 12.000 Euro Deckungsbeitrag. Unter der Voraussetzung, dass sich diese Positionen nicht überschneiden, ergibt sich eine unmittelbare Belastung von 107.000 Euro.
Diese Zahlen beschreiben keinen der gemeldeten Märkte. Sie zeigen die Berechnungslogik. Ein Unternehmen, das nur den Warenwert erfasst, würde in diesem Beispiel 27.000 Euro unmittelbare Belastung übersehen. Noch nicht berücksichtigt wären längerfristige Kundenabwanderung, zusätzlicher Verwaltungsaufwand oder eine spätere Veränderung von Versicherungsbedingungen.
Ebenso wichtig ist die Vermeidung von Doppelzählungen. Wer den Warenverlust bereits als Aufwand erfasst, darf denselben Betrag nicht nochmals innerhalb eines pauschalen Umsatzausfalls ansetzen. Gerade bei komplexen Betriebsunterbrechungen entscheidet eine saubere Abgrenzung darüber, ob die wirtschaftliche Auswertung tatsächlich belastbar ist.
Verderbliche Ware macht Zeit zur entscheidenden Schadensgröße
Bei vielen digitalen Störungen besteht grundsätzlich die Möglichkeit, Daten aus einer Sicherung wiederherzustellen oder einen Prozess später fortzusetzen. Bei verderblicher Ware ist dieser Spielraum begrenzt. Eine technische Wiederherstellung kann verlorene Produktqualität nicht rückwirkend zurückbringen.
Damit unterscheidet sich die Kühlkettenlogistik von Prozessen, in denen vor allem Bearbeitungsrückstände entstehen. Die relevante Größe ist nicht nur die Dauer des IT-Ausfalls, sondern die Zeit bis zur Beeinträchtigung des physischen Bestands. Welche Frist tatsächlich zur Verfügung steht, hängt von Produkt, Verpackung, Ausgangstemperatur, Anlagenzustand und Umgebung ab. Pauschale Aussagen über eine generell sichere Überbrückungsdauer wären deshalb irreführend.
Für die betriebliche Planung lässt sich daraus eine klare Struktur ableiten. Zunächst muss feststehen, wie schnell eine Abweichung erkannt wird. Danach ist entscheidend, wie viel Zeit für die Bewertung und die Entscheidung über Gegenmaßnahmen benötigt wird. Anschließend folgt die tatsächliche Umsetzung: technische Stabilisierung, Umlagerung, Sperrung oder Aussonderung.
Eine Organisation kann über leistungsfähige Kühllager und zusätzliche Transportmöglichkeiten verfügen und trotzdem zu spät reagieren, wenn eine Meldung zunächst mehrere Zuständigkeitsebenen durchlaufen muss. Umgekehrt hilft eine schnelle Entscheidung wenig, wenn keine geeigneten Ausweichkapazitäten existieren.
Die wirtschaftlich relevante Reaktionszeit umfasst deshalb die gesamte Kette vom ersten erkennbaren Signal bis zur wirksamen Gegenmaßnahme. Sie lässt sich nicht allein an der Geschwindigkeit der IT-Abteilung messen.
Warum Betriebstechnik andere Schutzkonzepte benötigt als Büro-IT
Operative Technologie unterscheidet sich von klassischen Büroanwendungen vor allem durch ihre unmittelbare Wirkung auf die physische Umgebung. Eine manipulierte Datei kann Informationsschäden verursachen. Eine manipulierte Anlagensteuerung kann zusätzlich Maschinenbewegungen, Temperaturen oder Zugänge verändern. Sicherheitsmaßnahmen müssen deshalb nicht nur Vertraulichkeit, sondern auch Verfügbarkeit, Zuverlässigkeit und betriebliche Sicherheit berücksichtigen.
Daraus folgt, dass sich Schutzkonzepte nicht unverändert von einem Büroarbeitsplatz auf eine Kälteanlage oder Fördertechnik übertragen lassen. Auch eine grundsätzlich sinnvolle Maßnahme kann betriebliche Risiken erzeugen, wenn sie ohne Verständnis der Anlage umgesetzt wird. Ein ungeplanter Neustart, eine unterbrochene Kommunikation oder eine ungetestete Änderung kann einen Prozess beeinträchtigen.
Umgekehrt rechtfertigt der Wunsch nach einem störungsfreien Betrieb keine dauerhaft unkontrollierten Zugänge. Erforderlich ist eine abgestimmte Vorgehensweise, in der Änderungen geplant, technisch geprüft und mit den betrieblichen Anforderungen verbunden werden. Der Schutz operativer Systeme muss ihre besonderen Leistungs-, Zuverlässigkeits- und Sicherheitsanforderungen ausdrücklich einbeziehen.
Für die Intralogistik ist dies eine organisatorische Kernfrage. Wer nur die IT-Sicherheit betrachtet, kann physische Folgen übersehen. Wer ausschließlich die Anlagenverfügbarkeit betrachtet, kann digitale Schwachstellen bestehen lassen. Wirksamer Schutz entsteht erst, wenn beide Perspektiven in einer gemeinsamen Risikobewertung zusammengeführt werden.
Getrennte Netze begrenzen Schäden, lösen aber nicht jedes Problem
Netzsegmentierung bedeutet, technische Bereiche voneinander abzugrenzen und die Kommunikation zwischen ihnen gezielt zu beschränken. Eine solche Trennung kann verhindern, dass ein Problem in einem Bereich ungehindert auf weitere Systeme übergreift. Entscheidend ist, welche Verbindungen tatsächlich erforderlich sind und welche Zugriffe ausdrücklich zugelassen werden.
Für einen Handels- oder Logistikstandort erscheint es beispielsweise sinnvoll, Kunden-WLAN, Büroanwendungen, Kassensysteme und operative Anlagen nicht als gleichberechtigte Teilnehmer eines offenen Netzes zu behandeln. Ebenso muss ein Wartungszugang nicht automatisch umfassende Eingriffsrechte in sämtliche angeschlossenen Anlagen erhalten.
Allerdings ist die Trennung vom zentralen Unternehmensnetz kein vollständiger Sicherheitsnachweis. Bei den schwedischen Vorfällen wurde berichtet, dass betroffene Kühlverbindungen außerhalb der zentralen ICA-Infrastruktur betrieben wurden. Ein System kann somit vom Hauptnetz isoliert sein und dennoch über einen anderen Zugang erreichbar bleiben.
Die richtige Prüffrage lautet daher nicht nur, ob zwei Netze getrennt sind. Sie lautet, wer über welche Wege welche Funktion beeinflussen kann. Dazu gehören lokale Zugänge, Fernwartung, Herstellerverbindungen und gegebenenfalls zentrale Verwaltungsplattformen.
Auch die Folgen eines Kommunikationsverlusts sind zu berücksichtigen. Ein Schutzkonzept sollte nicht dazu führen, dass eine Anlage ihre notwendige lokale Regelung verliert, sobald eine zentrale Verbindung unterbrochen wird. Wo technisch möglich, ist ein sicherer lokaler Weiterbetrieb eine wertvolle Ergänzung zur Begrenzung externer Zugriffe.
Ihre Intralogistik-Experten
Beratung, Planung und Umsetzung von Komplettlösungen für Hochregallager und automatisierte Lagersysteme - Bild: Xpert.Digital
Mehr dazu hier:
Digitale Risiken in der Kühlkette erkennen und minimieren
Unabhängige Messung schützt vor dem trügerischen Vertrauen in Anzeigen
Ein Steuerungssystem ist zugleich Informationsquelle und Eingriffsmöglichkeit. Diese Doppelrolle kann problematisch werden, wenn die Verlässlichkeit des Systems selbst infrage steht. Eine Anzeige, die normale Werte meldet, ist dann nicht automatisch ein ausreichender Beleg für einen ordnungsgemäßen Zustand.
Für kritische Kühlprozesse lässt sich daraus ein wichtiges Gestaltungsprinzip ableiten: Messung, Alarmierung und Steuerung sollten so organisiert sein, dass nicht jede einzelne Störung alle Kontrollmöglichkeiten gleichzeitig ausschaltet. Eine zusätzliche Sensorik schafft allerdings nur dann einen wirklichen Sicherheitsgewinn, wenn sie nicht vollständig dieselben technischen Abhängigkeiten besitzt.
Wenn zwei Messsysteme dieselbe Stromversorgung, dieselbe Netzwerkverbindung und denselben administrativen Zugang nutzen, können sie gemeinsam ausfallen oder manipuliert werden. Die Anzahl der Sensoren allein sagt deshalb wenig über die tatsächliche Widerstandsfähigkeit aus.
Ebenso entscheidend ist die Alarmkette. Eine korrekt erkannte Abweichung begrenzt keinen Schaden, wenn die Meldung nachts unbeachtet bleibt oder niemand über die Befugnis zur Reaktion verfügt. Aus der technischen Meldung muss eine rechtzeitige betriebliche Handlung entstehen.
Ein sinnvoller Prüfmaßstab ist deshalb nicht nur, ob ein Sensor funktioniert. Geprüft werden sollte der vollständige Ablauf: Erkennen die Systeme die Abweichung, erreicht die Meldung eine verantwortliche Person, versteht diese die Dringlichkeit und kann sie eine wirksame Maßnahme auslösen?
Fernwartung ist ein wirtschaftlicher Vorteil mit kontrollbedürftiger Macht
Fernwartung kann Wege vermeiden und technische Unterstützung beschleunigen. Gerade bei räumlich verteilten Filialen oder Logistikstandorten ist das ein erheblicher Nutzen. Problematisch wird nicht die Fernwartung als solche, sondern eine unklare oder zu weitreichende Berechtigung.
Ein Wartungszugang ist wirtschaftlich betrachtet eine delegierte Eingriffsmacht. Wer ihn nutzt, kann unter Umständen Betriebsparameter verändern, Anlagenfunktionen beeinflussen oder Konfigurationen austauschen. Die Verantwortung dafür lässt sich nicht allein durch einen Dienstleistungsvertrag aus dem Unternehmen auslagern.
Als Gestaltungsprinzip bietet sich deshalb an, Zugriffe personenbezogen, aufgabenbezogen und nachvollziehbar zu organisieren. Nicht jede Wartung erfordert dieselben Rechte. Nicht jeder Zugang muss dauerhaft aktiv sein. Besonders kritische Änderungen können zusätzliche Freigaben oder eine zeitliche Begrenzung des Zugriffs rechtfertigen.
Die grundlegende Frage lautet dabei, welche Befugnis für welche Aufgabe tatsächlich erforderlich ist. Dieses Prinzip passt zu einem mehrstufigen Schutz operativer Systeme, bei dem technische Trennung, kontrollierte Kommunikation und klar definierte Zugänge zusammenwirken.
Unternehmen sollten außerdem zwischen der Absicherung einer Verbindung und der Begrenzung ihrer Wirkung unterscheiden. Auch ein rechtmäßig angemeldeter Nutzer oder ein kompromittiertes gültiges Konto sollte nicht ohne Weiteres sämtliche Standorte beeinflussen können. Je größer der mögliche Wirkungsbereich eines Zugangs, desto sorgfältiger muss seine Verwendung kontrolliert werden.
Die Kühlkette endet nicht am Wareneingang und nicht am Verkaufsregal
In einer rein transportorientierten Betrachtung gilt eine Lieferung als erfolgreich, wenn sie termingerecht und unbeschädigt am Ziel ankommt. Bei temperaturgeführten Produkten reicht das nicht aus. Auch nach dem Entladen müssen geeignete Bedingungen erhalten bleiben. Die Verantwortung für den Warenzustand setzt sich über Lagerung, interne Bewegung und Bereitstellung fort.
Damit wird der Supermarkt selbst zu einem logistischen Standort. Wareneingang, Zwischenlagerung, Kühlraum, Nachräumen und Verkaufspräsentation bilden eine zusammenhängende Prozesskette. Ein Ausfall der Kühltechnik ist nicht nur ein Problem der Gebäudetechnik, sondern ein Eingriff in die Verfügbarkeit und Verwendbarkeit des Bestands.
Dieser Zusammenhang ist auch für automatisierte Lager relevant. Höhere Bewegungsgeschwindigkeit kann wirtschaftlich wenig nützen, wenn Warenstatus und tatsächliche Qualität nicht verlässlich zusammengeführt werden. Eine effizient kommissionierte, aber zu Unrecht freigegebene Lieferung ist keine gute logistische Leistung.
Die Konsequenz lautet nicht, jede technische Funktion organisatorisch der Logistik zu unterstellen. Entscheidend ist vielmehr, die Schnittstellen so zu gestalten, dass keine Zuständigkeitslücke entsteht. Temperaturführung, Bestandsstatus, Störungsmeldung und Freigabe müssen miteinander verbunden sein, auch wenn verschiedene Fachbereiche dafür verantwortlich bleiben.
Ein lokaler Ausfall kann die gesamte Nachversorgung unter Druck setzen
Die unmittelbare Warenvernichtung ist nur der erste Teil einer möglichen Folgekette. Sobald ein Markt seine Kühltechnik wieder nutzen kann, benötigt er Ersatzware. Sind mehrere Standorte gleichzeitig betroffen, entsteht ein gebündelter zusätzlicher Bedarf, der in der regulären Planung nicht vorgesehen war.
In einem solchen Szenario können zusätzliche Kommissionieraufträge, kurzfristige Tourenänderungen und ein höherer Bedarf an temperaturgeführten Transportkapazitäten entstehen. Zentral verfügbare Bestände müssen unter Umständen neu verteilt werden. Die Entscheidung, welcher Standort zuerst beliefert wird, wird zu einer Frage der Netzsteuerung.
Dabei wäre es zu einfach, ausschließlich nach dem vorherigen Umsatz zu priorisieren. Auch die lokale Versorgungssituation, die Verfügbarkeit von Alternativgeschäften, die Zusammensetzung des Sortiments und die betriebliche Einsatzfähigkeit des jeweiligen Marktes können eine Rolle spielen.
Wichtig ist zugleich die Reihenfolge der Wiederherstellung. Eine technisch wieder eingeschaltete Anlage sollte nicht allein deshalb sofort vollständig neu befüllt werden. Zunächst muss ihr stabiler Betrieb ausreichend beurteilt werden. Andernfalls besteht das Risiko, frische Ware erneut einer unsicheren Umgebung auszusetzen.
Diese Überlegungen sind keine Beschreibung bereits nachgewiesener Folgeschäden der europäischen Vorfälle. Sie zeigen, welche Auswirkungen ein gleichzeitiger Ausfall mehrerer Standorte in einem vernetzten Versorgungssystem grundsätzlich auslösen kann und welche Entscheidungen deshalb vorbereitet sein sollten.
Sicherheitsinvestitionen brauchen eine Rechnung statt eines Bauchgefühls
Cybersicherheit wird häufig als zusätzlicher Kostenblock behandelt. Für eine ökonomische Bewertung ist jedoch entscheidend, wie sich die Maßnahme auf das erwartete Schadensrisiko auswirkt. Dazu gehören sowohl die Wahrscheinlichkeit eines Ereignisses als auch dessen mögliche Höhe.
Eine vereinfachte, ausdrücklich hypothetische Rechnung kann dies illustrieren. Angenommen, ein Unternehmen schätzt den wirtschaftlichen Schaden eines bestimmten Ausfallszenarios auf 500.000 Euro und seine jährliche Eintrittswahrscheinlichkeit auf acht Prozent. Daraus ergibt sich ein rechnerischer jährlicher Erwartungsschaden von 40.000 Euro. Wenn ein Maßnahmenpaket die Wahrscheinlichkeit auf zwei Prozent senken würde, läge der verbleibende Erwartungsschaden bei 10.000 Euro. Die rechnerische Risikominderung betrüge 30.000 Euro pro Jahr.
Diese Modellwerte sind keine empirischen Angaben zur Häufigkeit von Angriffen auf Kühlanlagen. Sie zeigen lediglich, wie eine Entscheidung strukturiert werden kann. In der Praxis sind Wahrscheinlichkeiten oft unsicher. Deshalb sollten Unternehmen mehrere Szenarien betrachten und prüfen, wie stark sich das Ergebnis bei anderen Annahmen verändert.
Zudem ist der Durchschnittsschaden nicht die einzige relevante Größe. Ein seltenes Ereignis kann die Liquidität oder die Fortführungsfähigkeit eines Unternehmens gefährden. Für einen einzelnen Marktbetreiber hat ein großer Warenverlust möglicherweise eine andere Bedeutung als für einen breit aufgestellten Konzern.
Eine vernünftige Investitionsentscheidung verbindet daher Erwartungswerte mit Belastungsgrenzen. Nicht jede Sicherheitsmaßnahme muss sich aus einer punktgenauen Prognose rechtfertigen lassen. Wohl aber sollte nachvollziehbar sein, welches Risiko sie reduziert, welche Restgefahr bleibt und welche betrieblichen Nebenwirkungen entstehen.
Versicherungen können Kosten auffangen, aber keine Kühlkette reparieren
Versicherungsschutz und betriebliche Vorsorge erfüllen unterschiedliche Aufgaben. Eine Versicherung kann je nach vereinbartem Umfang finanzielle Folgen abfedern. Sie stellt jedoch weder verdorbene Ware wieder her noch übernimmt sie automatisch die operative Wiederbelieferung eines geschlossenen Marktes.
Für die Unternehmensplanung ist deshalb eine getrennte Betrachtung sinnvoll. Zunächst muss das Unternehmen verstehen, welche physischen und wirtschaftlichen Schäden entstehen können. Anschließend lässt sich prüfen, welche davon unter den jeweiligen Vertragsbedingungen abgesichert sind.
Ohne Einsicht in einen konkreten Vertrag wäre die Aussage unseriös, ein bestimmter Vorfall sei versichert oder ausgeschlossen. Für die Praxis sind jedoch die Abgrenzung von Warenverlust, Betriebsunterbrechung, technischer Wiederherstellung und zusätzlichen Aufwendungen sowie eine belastbare Dokumentation zentral.
Auch bei bestehender Deckung bleibt die Liquiditätsfrage bestehen. Zwischen Schaden, Prüfung und möglicher Erstattung können Zeiträume liegen, in denen Ersatzware, Personal und Dienstleister bezahlt werden müssen. Die Finanzierung der Wiederaufnahme ist deshalb eine eigenständige Aufgabe des Risikomanagements.
Die wirtschaftlich sinnvolle Reihenfolge lautet somit nicht, Schutz durch Versicherung zu ersetzen. Zuerst sollten vermeidbare Risiken reduziert, kritische Abläufe vorbereitet und verbleibende finanzielle Belastungen bewusst getragen oder abgesichert werden.
Weniger Lebensmittelverlust ist auch ein Ergebnis sicherer Digitalisierung
Die Vernichtung gekühlter Ware verursacht nicht nur einen betriebswirtschaftlichen Verlust. In den Produkten stecken bereits eingesetzte Ressourcen: landwirtschaftliche Flächen, Wasser, Energie, Arbeitszeit, Verpackungsmaterial und Transportleistung. Wird die Ware unbrauchbar, ohne verzehrt zu werden, entfällt ihr vorgesehener Nutzen, während die bisherigen Aufwendungen bereits entstanden sind.
Die Größenordnung der weltweiten Lebensmittelverschwendung unterstreicht die Bedeutung des Themas. Für 2022 wurden auf der Ebene von Einzelhandel, Gastronomie und Haushalten rund 1,05 Milliarden Tonnen Lebensmittelabfälle geschätzt. Das entsprach etwa 19 Prozent der für Verbraucher verfügbaren Lebensmittel. Diese Größenordnung beschreibt das gesamte Problem auf diesen Stufen und nicht den Anteil, der durch Cybervorfälle verursacht wird.
Aus einzelnen Angriffen auf Kühlanlagen lässt sich daher kein belastbarer globaler Cyberanteil an Lebensmittelverlusten ableiten. Eine solche Zahl wäre spekulativ. Dennoch ist der Wirkungszusammenhang eindeutig: Wenn digitale Manipulationen die Lagerbedingungen verschlechtern und dadurch Ware entsorgt werden muss, wird Cybersicherheit zu einem Faktor des Ressourcenschutzes.
Für Unternehmen eröffnet das eine sinnvollere Verbindung zwischen Nachhaltigkeit und Betriebswirtschaft. Maßnahmen zur stabileren Temperaturführung und schnelleren Reaktion können gleichzeitig Warenverluste, Kosten und Ressourcenverschwendung verringern. Voraussetzung ist, dass die Wirkung tatsächlich gemessen wird und nicht lediglich ein zusätzliches digitales System angeschafft wird.
Klare Zuständigkeit ist häufig wertvoller als ein weiterer Bildschirm
Technische Transparenz schafft noch keine Handlungsfähigkeit. Ein Dashboard kann sämtliche Temperaturen anzeigen und trotzdem wirkungslos bleiben, wenn niemand eindeutig für die Reaktion verantwortlich ist. Ebenso kann eine formal zuständige Person praktisch machtlos sein, wenn sie weder Anlagenzugriffe sperren noch Ware umlagern oder zusätzliche Transporte auslösen darf.
Ein tragfähiges Betriebsmodell muss deshalb Verantwortlichkeiten und Befugnisse zusammenführen. Die Logistik beurteilt Bestände, Ausweichkapazitäten und Nachversorgung. Die Technik bewertet den Anlagenzustand. IT-Verantwortliche untersuchen digitale Zugänge und Veränderungen. Die Qualitätssicherung beurteilt Warenstatus und Freigabe. Die Geschäftsleitung trägt Entscheidungen, die erhebliche Kosten oder Betriebsunterbrechungen auslösen.
Diese Rollen sollten nicht erst während einer nächtlichen Störung ausgehandelt werden. Vorbereitete Entscheidungswege verkürzen die Zeit zwischen Erkenntnis und Wirkung. Zugleich verhindern sie, dass unklare Verantwortlichkeiten zu vorschnellen oder widersprüchlichen Eingriffen führen.
Dabei braucht nicht jede Organisation ein umfangreiches Krisenhandbuch. Ein kleiner Standort kann mit wenigen, klaren Regeln arbeiten. Entscheidend ist, dass sie zur realen Personalbesetzung passen und auch außerhalb üblicher Arbeitszeiten funktionieren.
Die Qualität einer Organisation zeigt sich somit weniger an der Zahl ihrer Zuständigkeitsdokumente als daran, ob im entscheidenden Moment jemand erreichbar ist, die Lage beurteilen kann und die notwendige Entscheidung treffen darf.
Welche Kennzahlen eine moderne Intralogistik zusätzlich benötigt
Klassische Kennzahlen wie Durchsatz, Kommissionierleistung, Liefertermintreue und Flächennutzung bleiben wichtig. Sie reichen jedoch nicht aus, um die Widerstandsfähigkeit eines digital gesteuerten Standorts zu beurteilen.
Ergänzend bietet es sich an, die Zeit bis zur Erkennung kritischer Abweichungen und die Zeit bis zur wirksamen Reaktion zu erfassen. Ebenso aufschlussreich ist, wie lange ein Standort ohne zentrale Dienste sicher weiterarbeiten kann und welcher Anteil der kritischen Anlagen vollständig hinsichtlich Zugängen und Abhängigkeiten dokumentiert ist.
Weitere nützliche Größen ergeben sich aus der praktischen Wiederherstellungsfähigkeit. Wie aktuell sind gesicherte Konfigurationen? Wurde eine Rückkehr zum Normalbetrieb tatsächlich erprobt? Welche temperaturgeführte Ausweichkapazität steht kurzfristig zur Verfügung? Wie schnell kann ein betroffener Bestand eindeutig gesperrt und von freigegebener Ware getrennt werden?
Dabei sollte die Kennzahl nicht mit dem Ziel verwechselt werden. Ein hoher Anteil dokumentierter Anlagen ist nur dann wertvoll, wenn die Dokumentation korrekt und im Störungsfall nutzbar ist. Ein durchgeführter Test sagt wenig aus, wenn seine Bedingungen unrealistisch waren oder erkannte Schwächen anschließend ungelöst bleiben.
Sinnvoll ist deshalb eine Verbindung von Leistungs- und Risikokennzahlen. Ein Standort sollte nicht ausschließlich danach beurteilt werden, wie effizient er unter idealen Bedingungen arbeitet, sondern auch danach, wie kontrolliert er Abweichungen bewältigt.
Automatisierung braucht einen beherrschbaren Ausnahmebetrieb
Je stärker ein Standort automatisiert wird, desto wichtiger wird die Frage nach seinem Verhalten außerhalb des Normalzustands. Eine hohe Automatisierungsquote ist kein Selbstzweck. Sie schafft dann einen wirtschaftlichen Vorteil, wenn Produktivität und Verlässlichkeit zusammen steigen.
Für kritische Prozesse sollte deshalb früh geprüft werden, welche Funktionen bei Ausfall zentraler Systeme erhalten bleiben müssen. Dazu können eine lokale Temperaturregelung, eine begrenzte manuelle Bedienung, gesicherte Anlagenparameter oder alternative Kommunikationswege gehören. Die konkrete Ausgestaltung hängt von der jeweiligen Technik und ihren Sicherheitsanforderungen ab.
Ein manueller Ersatzprozess ist allerdings nur dann glaubwürdig, wenn er unter realistischen Bedingungen funktioniert. Es reicht nicht, theoretisch auf Papierlisten oder lokale Bedienung zurückfallen zu können. Benötigt werden verfügbare Unterlagen, geschultes Personal und ein nachvollziehbarer Übergang zurück in den regulären Betrieb.
Auch darf ein Notbetrieb nicht neue Gefahren erzeugen. Eine improvisierte Umgehung von Schutzfunktionen kann kurzfristig Aktivität ermöglichen und gleichzeitig die Sicherheit verschlechtern. Deshalb muss die Vorbereitung zwischen sinnvoller Flexibilität und unkontrollierter Improvisation unterscheiden.
Die ökonomisch überzeugende Automatisierung beseitigt nicht jede Redundanz. Sie entscheidet bewusst, an welchen Stellen zusätzliche Absicherung günstiger ist als das Risiko eines vollständigen Stillstands.
Technischer Fortschritt muss an der beherrschten Abhängigkeit gemessen werden
Die Vorfälle an europäischen Kühlanlagen machen eine grundlegende Veränderung sichtbar. Digitale Systeme unterstützen die physische Logistik nicht mehr nur von außen. Sie bestimmen zunehmend die Bedingungen, unter denen Waren ihren Wert behalten. Ein Eingriff in eine Steuerung kann deshalb eine Warenbewegung wirtschaftlich entwerten, obwohl kein Lkw ausfällt und kein Regal beschädigt wird.
Daraus folgt keine Absage an Vernetzung, zentrale Plattformen oder Automatisierung. Diese Technologien können erhebliche Vorteile bieten. Die entscheidende Frage ist, ob Unternehmen neben ihrer Effizienz auch ihre Abhängigkeiten gestalten. Eine Plattform ist nicht allein deshalb wirtschaftlich überlegen, weil sie Betriebskosten senkt. Sie muss auch danach beurteilt werden, welche Ausfälle sie ermöglichen kann und wie begrenzbar deren Folgen bleiben.
Die klar begründete Perspektive lautet daher: Logistik ist als System zum Erhalt von Verfügbarkeit und Verwendbarkeit zu führen. Materialfluss, Informationsqualität, Anlagenzustand, Cybersicherheit und Reaktionsorganisation gehören in dieselbe wirtschaftliche Betrachtung.
Wer ausschließlich in schnellere Bewegung investiert, kann am eigentlichen Engpass vorbeiplanen. Der größte Verlust entsteht unter Umständen nicht, weil Ware zu langsam transportiert wird, sondern weil ihre Lagerbedingungen, ihr Status oder ihre Freigabe nicht mehr verlässlich sind. Die leistungsfähige Intralogistik der Zukunft zeichnet sich deshalb nicht nur durch Geschwindigkeit aus. Sie beherrscht die digitalen Entscheidungen, von denen der physische Wert ihrer Bestände abhängt.
Ihr globaler Marketing und Business Development Partner
☑️ Unsere Geschäftssprache ist Englisch oder Deutsch
☑️ NEU: Schriftverkehr in Ihrer Landessprache!
Konrad Wolfenstein
Gerne stehe ich Ihnen und mein Team als persönlicher Berater zur Verfügung.
Sie können mit mir Kontakt aufnehmen, indem Sie hier das Kontaktformular ausfüllen oder rufen Sie mich einfach unter +49 7348 4088 965 an. Meine E-Mail Adresse lautet: wolfenstein∂xpert.digital
Ich freue mich auf unser gemeinsames Projekt.
