Cyberangriff auf Kühlanlagen: Hunderte Supermärkte in Frankreich müssen Lebensmittel vernichten

In der Nacht vom 11. auf den 12. Oktober 2026 haben Unbekannte in Frankreich die Kühlung Hunderter Supermärkte aus der Ferne sabotiert. Statt zu kühlen, heizten Kühltheken und Tiefkühltruhen auf. Betroffen sind vor allem Filialen von Intermarché und Coopérative U, außerdem Märkte von E.Leclerc. Tausende Kilo frischer und tiefgekühlter Lebensmittel mussten vernichtet werden. Im Mittelpunkt steht die Kühlsteuerung des dänischen Herstellers Danfoss.

Was passiert ist

Die Angreifer haben laut übereinstimmenden Berichten die Abtaufunktion der Kühlanlagen ausgelöst. Normalerweise heizt eine Kühltheke dabei nur kurz, um Eis an den Verdampfern zu schmelzen, programmiert etwa für ein paar Minuten am Tag. Hier wurde das Abtauen dauerhaft erzwungen, mit einer Solltemperatur von bis zu 50 °C. Die Anlagen liefen so stundenlang im Heizbetrieb. Ein Intermarché in der Normandie nennt 4:44 Uhr als Zeitpunkt des Angriffs, in anderen Märkten soll er schon gegen Mitternacht begonnen haben. Als die Mitarbeiter morgens kamen, waren Tiefkühltruhen im Plusbereich.

Die Pariser Staatsanwaltschaft spricht von einem „großangelegten Cyberangriff auf die vernetzten Kühlsysteme mehrerer großer Lebensmittelhändler im ganzen Land“. In einigen Märkten seien zudem Brände ausgebrochen. Ob diese direkt mit der Überhitzung zusammenhängen, sollen die Ermittlungen klären.

Wie viele Märkte betroffen sind

• Intermarché und Netto (Groupement Les Mousquetaires): zunächst 150 bis 200 Filialen, nach einer späteren Angabe gegenüber BFMTV rund 300 Märkte. Der Konzern beziffert die Verluste auf „mehrere Millionen Euro“.
• Coopérative U (Système U): knapp 100 Märkte.
• E.Leclerc: bestätigt, dass ein Angriff auf einen Lieferanten von Kühltechnik sich auf mehrere Märkte ausgewirkt hat.
• Weitere Ketten: Medien nennen auch Carrefour Market, Monoprix und Metro. Bestätigt haben diese Unternehmen das bislang nicht.

Die Zahlen beruhen auf Angaben der Händler und können sich noch ändern. Betroffene Märkte müssen die Kühlmöbel leeren, den Schaden von einem Gerichtsvollzieher protokollieren lassen und die Ware vernichten. Intermarché weist darauf hin, dass Versicherungen solche Schäden im Markt in der Regel nicht abdecken. Einzelne Märkte sprechen von Verlusten von mehr als 200.000 Euro.

Coopérative-U-Chef Dominique Schelcher schrieb auf X, einen Angriff auf Anlagen, die für die Lebensmittelversorgung der Franzosen unverzichtbar sind, halte er für „äußerst schwerwiegend und beispiellos“. Laut franceinfo hat der Premierminister die französische Cybersicherheitsbehörde ANSSI eingeschaltet. Ermittelt wird von der Abteilung für Cyberkriminalität der Pariser Staatsanwaltschaft und dem Office anti-cybercriminalité (OFAC).

Die Rolle von Danfoss

Danfoss ist einer der größten Hersteller von Kühltechnik für den Lebensmittelhandel. Die Steuerungen des Konzerns regeln Kühltheken, Kühlräume und Kälteanlagen und lassen sich aus der Ferne überwachen und einstellen. Genau diese Fernwartung wurde zum Einfallstor.

Danfoss bestätigte gegenüber franceinfo Vorfälle „bei einer begrenzten Zahl von Kühlsteuerungssystemen“ in Frankreich. Bei den meisten betroffenen Geräten handle es sich um veraltete Produkte, nämlich die Systemmanager AK-SM 800 und AK-SC 355. Beide sind am Ende ihres Lebenszyklus und erhalten keine Software- und Sicherheitsupdates mehr. Das AK-SM 800 hat Danfoss bereits im Mai 2021 abgekündigt und Kunden geraten, auf das Nachfolgemodell AK-SM 800A umzusteigen. Danfoss arbeite mit den Kunden an Gegenmaßnahmen: Firmware-Updates, wo verfügbar, bessere Netzwerkabsicherung und das Entfernen direkter Internetverbindungen.

Ob die Zentrale von Danfoss selbst kompromittiert wurde, ist nicht bekannt. Nach den bisherigen Informationen spricht mehr dafür, dass die Angreifer einzelne Steuerungen direkt aus dem Internet erreicht haben. Ebenfalls denkbar sind gestohlene Wartungszugänge oder ein Zugang über einen Kältetechnik-Dienstleister. Eine Täterschaft hat bislang niemand übernommen.

Die Lücken waren bekannt

Dass Kühlsteuerungen in Supermärkten angreifbar sind, ist keine neue Erkenntnis:

• Danfoss selbst nannte in einer technischen Mitteilung vom Oktober 2025 reale Angriffe auf seine Steuerungen, darunter 2022 auf 16 Supermärkte in Russland und 40 Märkte in Israel.
• Im August 2026 stellte das Forschungsteam Team82 der Sicherheitsfirma Claroty unter dem Titel „Freeze the Controller, Defrost the Food“ drei Schwachstellen im AK-SM 800A vor. Die schwerste, CVE-2025-41450, ist ein versteckter „Code des Tages“: Das Gerät berechnet ein Admin-Passwort allein aus dem aktuellen Datum. Wer den Algorithmus kennt, kommt ohne das eigentliche Passwort hinein. Hinzu kommen eine Befehlseinschleusung über die E-Mail-Einstellungen (CVE-2025-41451) und ein Absturz-Fehler (CVE-2025-41452). Danfoss hat sie mit Firmware R4.3.1 behoben.
• Claroty fand damals 2.765 AK-SM-800A-Steuerungen, die direkt aus dem Internet erreichbar waren.

Wichtig für die Einordnung: Ob der Angriff in Frankreich genau diese Lücken ausgenutzt hat, ist nicht belegt. Betroffen waren nach Danfoss-Angaben vor allem die noch älteren Modelle AK-SM 800 und AK-SC 355, für die es gar keine Updates mehr gibt.

Was Betreiber jetzt tun sollten

Danfoss-Steuerungen sind auch in Deutschland, Österreich und der Schweiz weit verbreitet, in Supermärkten ebenso wie in Kühlhäusern, Gastronomie und Lebensmittelbetrieben. Betreiber sollten jetzt prüfen:

• Keine Steuerung direkt ins Internet: Die Weboberfläche eines Systemmanagers gehört hinter ein VPN oder einen abgesicherten Fernwartungszugang, nicht per Portfreigabe ins Netz.
• Veraltete Geräte ersetzen: AK-SM 800 und AK-SC 355 bekommen keine Updates mehr. Wer sie weiter betreibt, sollte sie vom Internet trennen und den Austausch planen.
• Firmware aktualisieren: Beim AK-SM 800A mindestens auf R4.3.1.
• Zugänge prüfen: Welche Dienstleister haben Fernzugriff, mit welchen Zugangsdaten? Standardpasswörter ändern, nicht mehr benötigte Konten löschen.
• Alarme ernst nehmen: Temperaturalarme sollten auch nachts jemanden erreichen, idealerweise über ein unabhängiges System. In Frankreich lösten die Alarme zwar aus, es war aber niemand vor Ort.

Einordnung

Bisherige Cyberangriffe auf den Handel zielten fast immer auf Daten: Kundendaten, Zahlungsdaten, Erpressung mit verschlüsselten Servern. Dieser Angriff richtet sich gegen die Ware selbst, ohne dass ein einziger Datensatz gestohlen werden musste. Er zeigt, dass Kühltechnik, Gebäudeleittechnik und andere vernetzte Anlagen oft nicht von der IT-Abteilung betreut werden, sondern von externen Dienstleistern, und dabei aus dem Blick geraten.

Das Muster ist dasselbe wie im Heimnetz: Ein Gerät, das bequem aus der Ferne erreichbar ist und keine Updates mehr bekommt, ist ein offenes Fenster. Wie man das zu Hause vermeidet, beschreiben wir im Beitrag zur IoT-Sicherheit zu Hause. Auch die Behördenwarnung zu Flax Typhoon zeigt, wie gezielt Angreifer nach solchen veralteten Geräten suchen.

Quellen: ORF, franceinfo, AFP über La Gazette France, Silicon.fr, Je bosse en grande distribution, IT-Connect, Cyberattaque.org, Claroty Team82.