Neue Cyberangriffe auf Kühlanlagen: Supermärkte in ganz Europa müssen Ware aussortieren

Drei Wochen nach dem Cyberangriff auf die Kühlanlagen Hunderter französischer Supermärkte hat es erneut Läden in Europa getroffen. In der Nacht auf Montag, den 2. November 2026, haben Unbekannte aus der Ferne die Kühlsteuerungen von Supermärkten in Belgien, Schweden, Estland, Irland, den Niederlanden, Finnland, Portugal, Italien und Luxemburg verstellt. Kühltheken und Tiefkühltruhen wurden warm, mehrere Ketten mussten Ware aussortieren. Wieder steht Technik des dänischen Herstellers Danfoss im Mittelpunkt.

Das Wichtigste in Kürze

• Zweite Welle: In der Nacht auf den 2. November wurden Kühlanlagen in Supermärkten und kleinen Läden in mindestens neun europäischen Ländern manipuliert.
• Kleiner als in Frankreich: Keine Kette meldet mehr als ein paar Dutzend betroffene Filialen. In Frankreich waren es im Oktober laut Finanzminister rund 700 Märkte.
• Gleiche Masche: Die Anlagen wurden in den Abtaumodus geschaltet oder die Solltemperatur hochgesetzt, teils auf 50 °C.
• Einfallstor: Laut Danfoss und Kältefirmen vor allem alte Steuerungen ohne Updates, die direkt im Internet hingen, teils noch mit Standardpasswörtern.
• Täter unbekannt: Niemand hat sich bekannt. Ob dieselben Leute wie in Frankreich dahinterstecken, ist offen.

Was passiert ist

Die Angreifer gingen vor wie in Frankreich. In Belgien schalteten sie Kühlmöbel in den Abtaumodus, sagte Stephan Moelans, Chef der Kältefirma Sabcobel, belgischen Medien. Sabcobel betreut unter anderem die Kühlanlagen der Supermarktkette Delhaize. Der Abtaumodus soll eigentlich kurz Eis von den Verdampfern schmelzen. Dauerhaft eingeschaltet heizt er die Kühltheke auf, statt sie zu kühlen.

Anderswo wurde einfach die Solltemperatur hochgesetzt. Ein ICA-Markt im südschwedischen Sjöbo berichtete, seine Kühl- und Tiefkühlgeräte seien auf 50 °C eingestellt worden, das Personal musste die Ware wegwerfen. Bei einer Metzgerei in Hove bei Antwerpen standen die Kühlungen auf bis zu 18 °C. Der Inhaber schätzt den Schaden gegenüber Reuters auf rund 15.000 Euro an verdorbenem Fleisch.

Nicht überall ging es so schlimm aus. In einem Selver-Markt in Estland wurde ein Tiefkühler ebenfalls auf 50 °C gestellt. Die Temperatur stieg aber nur um etwa 2 bis 3 Grad, nach rund zehn Minuten war das Problem behoben, Ware ging nicht verloren.

Welche Ketten betroffen sind

Die Zahlen stammen aus Angaben der Unternehmen gegenüber Medien und sind eine Momentaufnahme. Nicht alle sprechen von einem Cyberangriff. Delhaize nennt es einen „IT-Vorfall“, Intermarché in Belgien „Probleme mit den Kühlungen“, ICA hat einen Angriff nicht bestätigt. Musgrave nahm in den 13 SuperValu-Märkten vorsorglich gekühlte und tiefgekühlte Ware aus dem Verkauf und meldete am Montagnachmittag, der Vorfall sei behoben.

Wie die Angreifer hineinkamen

Viele der betroffenen Anlagen stammen von Danfoss. Der Hersteller bestätigte, dass seine Produkte beteiligt waren, wie schon in Frankreich. Laut einer ICA-Sprecherin hingen alle betroffenen ICA-Märkte an einem externen Kühlsteuerungssystem von Danfoss. In Estland erreichten die Angreifer den Steuerrechner einer älteren Danfoss-Anlage. Ein belgischer Metzger sagte dem niederländischen Sender NOS, auch Technik des zweiten Herstellers Copeland sei angegriffen worden. Copeland äußerte sich dazu nicht klar.

Die Aussagen zum Einfallstor gleichen sich:

• Niederlande: Die betroffenen Anlagen hingen laut einem Danfoss-Sprecher nicht in einem gesicherten Netz und nutzten noch Standardpasswörter. Die meisten Läden hätten nach dem Angriff in Frankreich nachgebessert, die wenigen anderen wurden getroffen.
• Belgien: Die Schwachstelle liege vor allem in veralteter Software, so Danfoss gegenüber dem Sender VTM. Sabcobel zufolge drangen die Angreifer direkt in die Anlagen einzelner Märkte ein, nicht in die Systeme der Kältefirmen.
• Estland: Angegriffen wurden laut Kitman Coldtech alte Steuerungen ohne Updates. Selver sagt, der betroffene Markt sei der letzte gewesen, der noch nicht auf ein neues System umgestellt war.

Das passt zum Bild aus Frankreich. Dort waren laut Danfoss vor allem die Systemmanager AK-SM 800 und AK-SC 355 betroffen, die keine Sicherheitsupdates mehr bekommen. Die französische Cybersicherheitsbehörde warnte im Oktober außerdem vor Angriffen auf Steuerungen der Marken Copeland xweb und Dixell xweb. Eine neue Sicherheitswarnung zu den Angriffen vom 2. November hatte Danfoss am 3. November laut The Hacker News noch nicht veröffentlicht.

Wer dahintersteckt

Das ist offen. Danfoss, Sabcobel und Kitman beschreiben die Methode als gleich oder ähnlich wie in Frankreich. Das heißt aber nicht, dass dieselben Täter am Werk waren. Das belgische Zentrum für Cybersicherheit sagte, man wisse nicht, wer hinter den Angriffen stecke, und das werde sich womöglich nie klären lassen. Die belgische Bundesstaatsanwaltschaft hat Ermittlungen eingeleitet. Das schwedische Nationale Cybersicherheitszentrum verfolgt die Vorfälle und tauscht sich mit Behörden in anderen nordischen und europäischen Ländern aus.

Was Betreiber jetzt tun sollten

Die ausführlichsten Empfehlungen stammen weiter aus der Warnung CERTFR-2026-ALE-012 der französischen Behörde CERT-FR vom Oktober. Sie rechnet damit, dass die Angriffe weiterlaufen.

1. Steuerungen aus dem Internet nehmen: Keine Kühlsteuerung darf direkt über eine öffentliche IP-Adresse erreichbar sein. Vorher mit Kältefirma und Versicherung klären, was das Abschalten der Datenverbindung für Wartungsvertrag und Versicherungsschutz bedeutet.
2. Konfiguration prüfen, vor allem die Abtauzeiten.
3. Fernzugriff nur per VPN oder über ein geschütztes Netz wieder freigeben. Ein Filter auf die IP-Adressen der Kältefirma ist höchstens eine Notlösung.
4. Herstellerempfehlungen umsetzen: Firmware aktualisieren, bei Danfoss die Sicherheitsstufe „Strict“ einstellen und Standardpasswörter ändern.
5. Bei Befall: Gerät neu starten oder auf Werkseinstellungen zurücksetzen, neu konfigurieren und erst dann wieder in Betrieb nehmen.

Für Geräte am Ende ihres Lebenszyklus warnt CERT-FR deutlich: Bleiben sie im Internet erreichbar, ist eine Kompromittierung sehr wahrscheinlich. Ein Zurücksetzen allein hilft dann nicht, das Gerät wird einfach wieder angegriffen. Sabcobel-Chef Moelans ergänzt, ein Software-Update reiche oft nicht, weil die Anlagen auch bauliche Änderungen bräuchten. Die einfachste Lösung sei eine sichere Internetverbindung für die Fernwartung.

Einordnung

Dass es nach Frankreich wieder Läden trifft, ist wenig überraschend. Die Schwachstellen waren nach dem ersten Angriff öffentlich bekannt, die Warnungen auch. Getroffen hat es diesmal vor allem die Betriebe, die ihre Anlagen danach nicht abgeschottet hatten, oft kleine Läden und einzelne Filialen außerhalb der zentralen IT der Ketten. Das Grundproblem ist dasselbe wie bei vielen vernetzten Geräten: Eine Steuerung, die jahrelang zuverlässig läuft, hängt irgendwann offen im Internet, bekommt keine Updates mehr, und niemand fühlt sich zuständig. Der Schaden blieb diesmal kleiner als in Frankreich. Für einen einzelnen Metzger sind 15.000 Euro an verdorbener Ware trotzdem viel Geld.

Häufige Fragen

Sind auch deutsche Supermärkte betroffen?

Bisher gibt es keine Berichte über betroffene Läden in Deutschland. Die Steuerungen von Danfoss und Copeland sind aber auch hier weit verbreitet.

Ist die Ware im Supermarkt jetzt unsicher?

Betroffene Märkte haben die warm gewordene Ware aussortiert oder aus dem Verkauf genommen. Ware, die regulär im Regal liegt, ist davon nicht betroffen.

Hängt das mit dem Angriff in Frankreich zusammen?

Die Methode ist laut Danfoss und den Kältefirmen gleich oder ähnlich. Ob dieselben Täter dahinterstecken, ist nicht bekannt. Bekannt hat sich bisher niemand.

Wurden Daten gestohlen oder verschlüsselt?

Davon ist nichts bekannt. Die Angreifer haben die Einstellungen der Kühlanlagen verändert, nicht die Kassen- oder Kundensysteme angegriffen.

Quellen

• The Hacker News: New Wave of Refrigeration Cyberattacks Hits Supermarkets Across Europe (03.11.2026)
• CERT-FR: CERTFR-2026-ALE-012, Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (12.–16.10.2026)
• SecurityWeek: Supermarket Refrigeration Attack Widens to Copeland, Dixell Controllers (15.10.2026)