Zum Inhalt springen
Alle Beiträge

· von NetProtector Security Team

Gehackte Kühlanlagen: Wenn Supermarkt-Truhen zu Heizungen werden

Illustration: Schneeflocke, Einkaufswagen und steigendes Thermometer, daneben ein fernzugängliches Kühlungs-Steuergerät mit +7 °C

In der Nacht auf den 12. Oktober 2026 heizten sich in Hunderten französischen Supermärkten die Kühltruhen auf – bis auf 50 °C, in einem Markt in der Normandie sogar auf 80 °C. Angreifer hatten die Steuerungen der Kühlanlagen über das Internet in den Abtaumodus versetzt. Am 2. November folgte eine zweite Welle in mehreren europäischen Ländern. Der Fall zeigt, wie verwundbar Betriebstechnik ist, an die selten jemand denkt.

Was passiert ist

Frankreich, 11./12. Oktober: Betroffen waren nach Medienberichten bis zu 700 Märkte, darunter über 300 Intermarché- und Netto-Filialen, je rund 80 Märkte von Coopérative U und Carrefour sowie Monoprix und E.Leclerc. Die Angreifer aktivierten über Nacht den Abtauzyklus der Kühlregler: Die Heizelemente an den Verdampfern liefen dauerhaft, die Temperaturen stiegen. Alarme schlugen nicht an, viele Märkte waren unbesetzt. Waren mussten tonnenweise entsorgt werden, Anlagen schmolzen, Sprinkler verursachten Wasserschäden. Die Schäden werden auf mindestens zehn Millionen Euro geschätzt, einzelne Berichte sprechen von mehreren Dutzend Millionen. Die französische Regierung beauftragte die Cybersicherheitsbehörde ANSSI, CERT-FR gab eine Warnung heraus.

Europa, 2. November: Eine ähnliche Welle traf über 115 Märkte in Belgien, Luxemburg, den Niederlanden, Schweden, Irland und Estland – darunter Filialen von Ahold Delhaize, Carrefour, Intermarché, ICA, Coop und SuperValu. Auch drei Blutbanken des französischen Blutspendedienstes EFS waren Ziel; dort griff das Personal nach Alarmen rechtzeitig ein.

Wer hinter den Angriffen steckt, ist offen. Bekannt hat sich zu den Angriffen niemand.

Wie die Angreifer hineinkamen

In Frankreich standen nach bisherigen Erkenntnissen Kühlregler von Danfoss (AK-SM800, AK-SC355) sowie XWEB-Steuerungen von Copeland/Dixell im Fokus. Ihre Weboberflächen waren direkt aus dem Internet erreichbar. Bei den betroffenen Danfoss-Geräten bestand das Passwort für das Administratorkonto aus einem „Tagescode“, der aus dem aktuellen Datum abgeleitet wird. Die Schwachstellen waren seit März 2025 öffentlich bekannt (Danfoss-Advisory DSA-2025-03-01); die Modelle sind teils seit Jahren abgekündigt, Danfoss empfahl ihren Austausch. Sicherheitsforscher fanden mehrere Tausend solcher Geräte offen im Netz.

Mit anderen Worten: Für den Angriff brauchte es kein besonderes Können. Die Hürde war niedrig – und genau das macht die Lage so ernst.

Was Betreiber jetzt tun sollten

Das gilt nicht nur für den Lebensmittelhandel, sondern für alle, die Kälte-, Klima-, Gebäude- oder Produktionstechnik mit Fernzugang betreiben – von der Apotheke bis zum Rechenzentrum:

  1. Inventur: Welche Steuerungen hängen am Netz – und wer betreut sie? Kältetechnik wird oft von Dienstleistern installiert und gewartet, die IT weiß davon nichts.
  2. Keine Steuerung direkt ins Internet. Fernwartung gehört hinter ein VPN oder eine abgesicherte Fernzugangslösung mit eigener Anmeldung und MFA.
  3. Netze trennen. Betriebstechnik in ein eigenes Segment, mit Firewall-Regeln, die nur die nötigen Verbindungen erlauben.
  4. Veraltete Geräte ersetzen oder abschotten. Abgekündigte Steuerungen erhalten keine Sicherheitsupdates mehr.
  5. Unabhängig überwachen. Ein separater Temperaturfühler mit eigener Alarmierung meldet, wenn die Steuerung versagt – oder manipuliert wurde.
  6. Mit Dienstleistern Sicherheitsanforderungen vereinbaren – etwa zu Updates, Zugangsdaten und Fernzugriff.

Unsere Einschätzung

Die Angriffe auf Kühlanlagen sind ein Weckruf: Geräte, die „nur“ Temperaturen regeln, können Millionenschäden verursachen und die Lebensmittelversorgung stören. Der britische NCSC-Chef Richard Horne sprach von „dem Anfang“ – weil KI das Finden und Ausnutzen alter Technik weiter vereinfacht. Wer seine Betriebstechnik segmentiert und den Netzwerkverkehr dorthin überwacht, sieht ungewöhnliche Zugriffe, bevor die Truhen warm werden.

Quellen