17. Oktober 2026The Guardian · SicherheitKuratiert

Aufgeheizte Kühltruhen: Was der Angriff auf französische Supermärkte lehrt

Zusammenfassung

In der Nacht zum 12. Oktober 2026 haben Unbekannte in Hunderten französischen Supermärkten die Kühlsteuerungen übernommen und Tiefkühltruhen stark aufgeheizt, die Ware verdarb. Ursache waren nach Angaben des Herstellers Danfoss und der französischen Behörde CERT-FR Kühlsteuerungen, die direkt aus dem Internet erreichbar waren und keine aktuelle Firmware hatten. Der Beitrag ordnet den Vorfall ein und fasst zusammen, was CERT-FR und BSI Betreibern vernetzter Steuerungen jetzt raten.

Was passiert ist

Kurz vor Mitternacht am Sonntag, dem 11. Oktober 2026, stiegen in französischen Supermärkten die Temperaturen in Kühlregalen und Tiefkühltruhen. Laut Guardian wurden Sollwerte aus der Ferne von bis zu minus 27 Grad auf über 50 Grad verstellt, ein Markt in der Normandie meldete 80 Grad. Innerhalb weniger Stunden taute die Ware auf; in einzelnen Märkten lösten Brände die Sprinkler aus.

Betroffen waren Filialen von Intermarché, Netto, Coopérative U, Carrefour, Leclerc und Monoprix sowie unabhängige Märkte. Die Zahlen gehen auseinander: Cybernews nennt nach BFMTV rund 400 Märkte, der Guardian bis zu 700. Zwei Märkte im Elsass meldeten zusammen 270.000 Euro Schaden; Intermarché-Chef Thierry Cotillard rechnet mit Verlusten in zweistelliger Millionenhöhe, die nach Angaben der Händler kaum versichert sind. Die Pariser Staatsanwaltschaft ermittelt, bekannt hat sich bisher niemand.

Die Ursache: offene Fernwartung und alte Firmware

Kühlanlagen in Supermärkten werden meist von Kältetechnik-Dienstleistern aus der Ferne gewartet; die Steuerungen melden Störungen und lassen sich über eine Weboberfläche bedienen. Viele dieser Oberflächen waren direkt aus dem Internet erreichbar. Danfoss erklärte, die betroffenen Geräte liefen mit veralteter Firmware; der Hersteller habe Sicherheitslücken bereits im Vorjahr erkannt und seit Langem empfohlen, Updates einzuspielen oder nicht mehr unterstützte Geräte zu ersetzen.

Das Sicherheitsunternehmen Claroty hatte im August 2026 drei Schwachstellen in der Danfoss-Systemzentrale AK-SM 800A veröffentlicht (CVE-2025-41450, CVE-2025-41451, CVE-2025-41452), darunter eine Umgehung der Anmeldung. Danfoss hat sie mit Firmware R4.3.1 behoben. Claroty zählte damals über Internet-Suchmaschinen 2.765 erreichbare Geräte dieses Typs. Ob genau diese Lücken genutzt wurden, haben die Behörden nicht öffentlich bestätigt; Danfoss und CERT-FR sprechen von ungepatchten, aus dem Internet erreichbaren Systemen.

Laut CERT-FR waren nicht nur Danfoss-Geräte der Serien AK-SM und AK-SC betroffen, sondern auch die Systeme xweb von Copeland und Dixell. Ein ähnlicher Vorfall traf laut Guardian und Hackaday im August Kühlanlagen in Supermärkten des US-Militärs.

Was CERT-FR empfiehlt

CERT-FR veröffentlichte am 12. Oktober die Warnung CERTFR-2026-ALE-012 und ergänzte sie bis zum 16. Oktober. Erster Schritt für nicht kompromittierte Geräte: die Erreichbarkeit aus dem Internet beenden, vorher die Versicherungsbedingungen prüfen, falls der Dienstleister die Daten für Alarme braucht, und die gesamte Konfiguration kontrollieren, besonders die Abtauzeiten.

Danach soll der Zugang nur noch über ein gesichertes VPN oder ein geschütztes Netz laufen. Eine Freigabe nur für die IP-Adressen des Kältedienstleisters in der Firewall sei als Notlösung möglich, aber nicht auf Dauer. Für Danfoss-Geräte nennt CERT-FR Firmware-Updates, den Sicherheitsmodus „Strict“ und geänderte Standardpasswörter. Kompromittierte Geräte sollen neu gestartet oder auf Werkseinstellungen zurückgesetzt werden. CERT-FR warnt ausdrücklich: Bei Geräten ohne Sicherheitsupdates reicht ein Reset nicht, sie bleiben angreifbar und werden mit hoher Wahrscheinlichkeit erneut übernommen.

Die Empfehlung des BSI

Das BSI hatte bereits am 9. Oktober 2026, also vor dem Angriff, die Empfehlung BSI-CS 154 „Gefährdung durch internet-verbundene OT-Systeme“ herausgegeben. Sie richtet sich an Betreiber kleiner Anlagen, ausdrücklich auch zur Kühlung von Lebensmitteln, und nennt vier Schritte in fester Reihenfolge: direkten Zugriff aus dem Internet unterbinden, Zugriffe absichern, Systeme aktuell halten, Maßnahmen zur Routine machen.

Konkret heißt das: keine Portweiterleitungen auf Steuerungen, Bedienoberflächen oder Industrieprotokolle wie Modbus-TCP; Fernzugriff mindestens über VPN; Standardzugänge abschalten und eigene Passwörter setzen. Das BSI betont, dass ein Passwort allein nicht reicht, weil manche Schwachstellen ohne Anmeldung ausnutzbar sind, und dass eine dynamische IP-Adresse kein Schutz ist. Wer Steuerungen ungeschützt ins Internet stellt, handle „grundsätzlich pflichtwidrig“. Als Beispiele nennt das BSI Angriffe auf über 30 US-Wasserversorger im August 2026 und auf polnische Windparks und Kraftwerke im Dezember 2025.

Wer steckt dahinter?

Gérôme Billois von der Beratung Wavestone hält gegenüber dem Guardian zwei Szenarien für möglich: Jugendliche oder Aktivisten, die zeigen wollten, was sie können, oder eine gezielte Destabilisierung durch staatliche Akteure; er nennt Iran und Russland. Der Sicherheitsforscher Kevin Beaumont widersprach am 12. Oktober der Darstellung als ausgefeilter Angriff: Die Ursache sei fehlende Absicherung beim Hersteller und beim Betrieb, nicht eine besondere Fähigkeit der Angreifer.

Belegt ist keine der Thesen. Erste Ermittlungen deuten laut Guardian darauf hin, dass die Angreifer Alarme abschalteten oder Abtauprogramme verlängerten, damit der Schaden erst morgens auffiel. Billois kritisiert außerdem, dass Frankreich den EU Cyber Resilience Act von 2024 noch nicht umgesetzt habe, der Mindestanforderungen an die Sicherheit vernetzter Produkte stellt.

Ideen

Kühlsteuerungen im Internet sind Teil der Lebensmittelversorgung.
Fernwartung über Dienstleister gehört hinter ein VPN, nicht ins offene Netz.
Firmware-Updates helfen nur, wenn sie auch eingespielt werden.
Geräte ohne Herstellerunterstützung muss man ersetzen oder vom Netz nehmen.
Abgeschaltete Alarme verwandeln eine Störung in einen Totalschaden.
Ein Reset entfernt die Angreifer, nicht die Lücke.

Einsichten

Der Schaden entstand nicht durch eine neue Angriffstechnik, sondern durch bekannte und behobene Lücken in Geräten, die offen im Internet standen. Verantwortung verteilt sich auf Hersteller, Kältedienstleister und Händler, und genau dadurch fühlte sich lange niemand zuständig.
Betriebstechnik (OT) folgt anderen Rhythmen als die Büro-IT: Steuerungen laufen jahrelang unverändert, Updates verantwortet oft ein externer Dienstleister. Ohne vertragliche Pflichten zu Updates und Zugriffswegen bleibt die Lücke offen.
Behördenempfehlungen wie BSI-CS 154 lagen vor dem Angriff vor. Der Engpass ist nicht das Wissen, sondern die Umsetzung bei kleinen Betreibern.

Fakten

Der Angriff begann in der Nacht von Sonntag, 11. Oktober, auf Montag, 12. Oktober 2026.
CERT-FR nennt Danfoss AK-SM und AK-SC sowie Copeland und Dixell xweb als betroffene Systeme.
Danfoss hat die von Claroty gemeldeten Lücken mit Firmware R4.3.1 für die AK-SM 800A behoben.
Claroty zählte 2.765 aus dem Internet erreichbare AK-SM-800A-Geräte.
Das BSI veröffentlichte die Empfehlung BSI-CS 154 am 9. Oktober 2026.

Referenzen

Kritik

Die Debatte über Russland oder Iran als Täter lenkt ab: Belege für einen staatlichen Angreifer gibt es nicht, belegt sind dagegen offen erreichbare Steuerungen mit veralteter Firmware.
Geräte mit längst behobenen Lücken liefen ohne Updates offen im Netz weiter, und die Händler verwiesen nach dem Angriff auf ihre Dienstleister; Coopérative U erklärte, man sei gar kein Danfoss-Kunde. Wer Fernwartung einkauft, muss Zugriffswege und Update-Pflichten selbst vertraglich festlegen.

Bemerkungen

Die Zahl der betroffenen Märkte schwankt je nach Quelle zwischen rund 400 und 700; eine amtliche Zahl gibt es bisher nicht.
Laut Guardian ist Frankreich nach Zahlen der Firma Upguard, gemessen an offengelegten Datensätzen, das am häufigsten gehackte Land Europas.

Empfehlungen

Prüfen, ob eigene Steuerungen, Bedienoberflächen oder Router-Verwaltungen aus dem Internet erreichbar sind, und Portweiterleitungen auf solche Geräte entfernen.
Fernwartung durch Dienstleister nur über VPN zulassen und Zugriffswege, Updates und Meldepflichten im Wartungsvertrag festschreiben.
Firmware von Steuerungen regelmäßig prüfen und Geräte ohne Herstellerunterstützung ersetzen.
Alarme so einrichten, dass ihre Abschaltung selbst gemeldet wird, etwa über eine unabhängige Temperaturüberwachung.

Originalartikel lesen

Im Webarchiv suchen