Bei einem Cyberangriff auf Kühlregale und Kühltruhen im Einzelhandel, beispielsweise bei REWE, EDEKA, Lidl oder Kaufland, stellt sich tatsächlich eine interessante Haftungsfrage. Denn wenn durch einen Hackerangriff Kühlanlagen ausfallen, können schnell Schäden in Millionenhöhe entstehen.
Entscheidend ist, wer für die IT-Sicherheit verantwortlich war, wie der Angriff ermöglicht wurde und ob vertragliche oder gesetzliche Pflichten verletzt wurden.
Dabei muss man zwischen dem unmittelbaren Schaden des Supermarkts und möglichen Schadensersatzansprüchen gegen Dritte unterscheiden.
Wer haftet für den Schaden?
| Beteiligter | Mögliche Haftung |
|---|---|
| Hacker | Grundsätzlich für die durch den rechtswidrigen Angriff verursachten Schäden |
| Supermarktbetreiber | Trägt zunächst eigene Schäden und kann gegenüber Kunden haften, etwa bei Verkauf verdorbener Lebensmittel |
| Hersteller der Kühlanlagen | Bei nachweisbaren Produktfehlern oder verletzten Sicherheits- und Vertragspflichten |
| IT-Dienstleister | Wenn vereinbarte Sicherheitsmaßnahmen schuldhaft unterlassen wurden |
| Wartungsunternehmen | Wenn vertraglich geschuldete Updates oder Sicherheitskontrollen pflichtwidrig ausblieben |
| Cyberversicherung | Übernimmt Schäden, soweit der Versicherungsvertrag diese abdeckt |
Wichtig: Ein Cyberangriff führt nicht automatisch zur Haftung des Herstellers oder IT-Dienstleisters. Es muss grundsätzlich eine rechtliche Anspruchsgrundlage bestehen und nachgewiesen werden, dass eine Pflichtverletzung den Schaden verursacht hat.
Was bedeutet das für den aktuellen Angriff auf die Kühltruhen?
Am 2. November 2026 wurde unter anderem über einen mutmaßlichen Cyberangriff auf einen REWE-Markt in Raesfeld (Nordrhein-Westfalen) berichtet. Die Kühlsteuerungen sollen manipuliert worden sein, sodass Lebensmittel verdarben. Betroffen war Technik des Herstellers Danfoss. Ob ein Sicherheitsfehler des Herstellers, eine mangelhafte Installation oder ein anderer Zugangsweg ursächlich war, ist bislang nicht geklärt.
Gerade hier ergeben sich drei zentrale Rechtsfragen:
-
War die Kühltechnik unzureichend abgesichert? Dann könnten Ansprüche gegen Hersteller oder Softwareanbieter nach §§ 280 ff. oder § 823 BGB in Betracht kommen. Die klassische Produkthaftung ersetzt dagegen regelmäßig nicht den gewerblichen Warenverlust.
-
Hat der Wartungsdienstleister Sicherheitsupdates versäumt oder Fernzugänge unzureichend geschützt? Dann könnte eine vertragliche Haftung bestehen.
-
Hat der Supermarkt selbst grundlegende Sicherheitsmaßnahmen unterlassen? Dann kann ein Mitverschulden nach § 254 BGB mögliche Schadensersatzansprüche reduzieren.
Wer bezahlt die verdorbenen Lebensmittel?
Zunächst bleibt der Schaden beim jeweiligen Marktbetreiber. Er kann aber Ersatz verlangen, wenn sich eine haftungsbegründende Pflichtverletzung eines Dritten nachweisen lässt. Eine Cyberversicherung könnte ebenfalls einspringen; der betroffene REWE-Betreiber soll allerdings keine eigene abgeschlossen haben.
Mein juristischer Schwerpunkt wäre deshalb die Verantwortung für die Fernwartung. Wer hatte Zugriff auf die Kühlsteuerung, wer musste die Zugänge absichern und wer hätte den Angriff verhindern können?
Daraus ergibt sich auch eine interessante investigative Frage für diebewertung.de: Müssen Hersteller und Wartungsfirmen für millionenschwere Schäden haften, wenn vernetzte Kühlanlagen aus der Ferne manipuliert werden können?
Eine Haftung von Danfoss oder einem anderen Beteiligten ist derzeit nicht nachgewiesen. Gerade die technischen Gutachten und Wartungsverträge dürften darüber entscheiden, ob die Supermärkte ihre Verluste ersetzt bekommen.
