Cyberangriffe treffen Supermarkt-Kühlgeräte in ganz Europa trotz Warnungen

In einem ICA-Supermarkt in Stockholm fanden Mitarbeiter am Montagmorgen die Gefriertruhen bei 50 °C vor. Engla Ingwall, die Verkaufsleiterin des Ladens, sagte gegenüber Reuters, der Angriff habe am 2. November gegen 2 Uhr begonnen.

Als die Beschäftigten ihn entdeckten, mussten die Tiefkühlprodukte entsorgt werden.

Meldungen über Eingriffe kamen aus Belgien, Luxemburg, Irland, Estland und den Niederlanden. Einzelhändler berichteten von Temperaturänderungen, langwierigem Abtauen und Störungen der Systeme, die gewerbliche Kühl- und Gefriergeräte steuern.

Die Ermittler haben die Verantwortlichen für die Vorfälle im November nicht identifiziert. Ebenso wenig haben sie festgestellt, ob die Angriffe mit der Aktion im Oktober in Frankreich zusammenhingen.

Wie sich die Angriffe in Europa ausbreiteten

In Belgien hatten rund 40 Delhaize-Filialen Probleme mit der Kühlung, vor allem kleinere Filialen von Proxy Delhaize und Shop & Go. Carrefour meldete Vorfälle in 15 seiner rund 700 belgischen Filialen, während fünf Spar-Läden der Colruyt Group betroffen waren. Auch eine belgische IKEA-Filiale meldete Störungen.

Schwedens Coop teilte mit, sieben seiner rund 800 Filialen seien unbefugten Eingriffen ausgesetzt gewesen. ICA bestätigte Probleme an einer begrenzten Zahl von Standorten. In seinem Supermarkt in Sjöbo im Süden Schwedens leerten Mitarbeiter die Gefriertruhen, nachdem die Temperatureinstellungen auf 50 °C erhöht worden waren.

In Irland meldete die Musgrave Group einen Vorfall mit Kühlgeräten in 13 SuperValu-Supermärkten. Die Überwachungssysteme des Unternehmens erkannten Unregelmäßigkeiten, und die Beschäftigten nahmen gekühlte und tiefgekühlte Produkte vorsorglich aus dem Verkauf. Das Unternehmen teilte mit, das Problem sei bis Montagnachmittag behoben gewesen und die Wiederauffüllung der Regale habe begonnen.

In einem Selver-Supermarkt in Estland verschafften sich Angreifer Zugang zu einem Computer, der Kühlgeräte steuert, und änderten die Temperatureinstellung auf 50 °C. Jann Mutso, Geschäftsführer des Zulieferers Kitman Coldtech, sagte dem öffentlich-rechtlichen Sender ERR, Techniker hätten den Eingriff innerhalb von Minuten gestoppt. Es wurden keine erheblichen Schäden gemeldet.

Der dänische Kältetechnikhersteller Danfoss teilte mit, mindestens 17 Unternehmen in den Niederlanden seien betroffen gewesen. Dabei habe es sich vor allem um Metzgereien und kleine Lebensmittelhändler gehandelt, nicht um große Supermarktketten.

Die Gesamtkosten der Störungen im November waren bis zum Ende des 2. November nicht ermittelt. Delhaize teilte mit, die Verteilzentren seien weiter in Betrieb gewesen und die Lieferungen an die Filialen nicht unterbrochen worden. Ein Sprecher sagte, Kunden könnten in betroffenen Filialen vorübergehend ein reduziertes Sortiment an frischen und tiefgekühlten Produkten vorfinden. Das Unternehmen meldete keine weiterreichende Unterbrechung der Versorgung.

Frankreichs Angriff im Oktober: Hunderte Filialen betroffen

Die vorherige Welle begann in der Nacht vom 11. auf den 12. Oktober.

In Filialen von Intermarché, Carrefour, Coopérative U, E.Leclerc, Monoprix und anderen Einzelhändlern wurden Kühlsysteme manipuliert.

Le Monde identifizierte zunächst etwa 300 Intermarché- und Netto-Filialen, rund 100 Standorte von Coopérative U, 80 Carrefour-Supermärkte und 30 Monoprix-Standorte. Die Pariser Staatsanwaltschaft meldete später rund 700 Opfer des Angriffs.

In einem Intermarché in Gradignan bei Bordeaux sagte Inhaber Charles Dezon, ein Lieferfahrer habe gegen 4 Uhr Wasser im Lagerraum entdeckt. Der Angriff habe offenbar gegen 23 Uhr begonnen. Die Temperatur in einem Kühlraum sei auf 50 °C gestiegen, wodurch eine Sprinkleranlage ausgelöst worden sei.

Dezon sagte gegenüber Le Monde, der Laden habe Waren im Wert von 21.000 Euro zum Einkaufspreis verloren. In einem anderen Intermarché in La Haye in der Normandie seien Geräte Berichten zufolge geschmolzen, nachdem die Temperaturen etwa 80 °C erreicht hätten.

Zwei Supermärkte im Elsass meldeten Verluste von insgesamt 270.000 Euro. Andere Filialen schlossen vorübergehend, um Gefriertruhen zu leeren, beschädigte Geräte zu prüfen und neue Lieferungen zu organisieren. Die landesweiten Verluste wurden auf mehrere Millionen Euro geschätzt, möglicherweise auf Dutzende Millionen, wobei keine endgültige Summe vorlag.

Die Pariser Staatsanwaltschaft bestätigte Lebensmittelverluste und Brände. Frankreichs Premierminister Sébastien Lecornu wies die nationale Cybersicherheitsbehörde ANSSI an, die Vorfälle zu untersuchen. Die Vorfälle betrafen auch Unternehmen außerhalb der Supermarktketten. Le Monde berichtete über Probleme bei Fleischverarbeitungs- und Großhandelsunternehmen, während der Lebensmittelgroßhändler Metro mitteilte, ein Dienstleister sei angegriffen worden und man habe die Lagerbedingungen der Waren überprüft.

Weitere Vorfälle wurden am 13. Oktober gemeldet. In einer Filiale bei Bordeaux entdeckten Techniker, dass eine Gefriergeräte-Steuerung von -22 °C auf 150 °C geändert worden war. Dabei handelte es sich um die programmierte Einstellung, nicht um eine gemessene Lebensmitteltemperatur. Mitarbeiter griffen ein, bevor Ware verloren ging.

Wie die Kühlsysteme der Supermärkte angreifbar wurden

Gewerbliche Kühlgeräte sind üblicherweise mit zentralen Steuerungen verbunden. Diese Geräte regeln die Kühlung, planen das automatische Abtauen und senden Warnmeldungen, wenn sich die Temperaturen ändern. Wartungsfirmen können sie häufig aus der Ferne anpassen, statt jede Filiale aufzusuchen.

Einige Verwaltungsschnittstellen sind direkt mit dem öffentlichen Internet verbunden. Erlangt ein Angreifer Zugang, kann er Betriebseinstellungen ändern, ohne die Räumlichkeiten zu betreten oder die Zahlungssysteme des Einzelhändlers zu kompromittieren.

Bei den Vorfällen in Frankreich verlängerten Angreifer Berichten zufolge die Abtauzyklen von einer Stunde auf acht Stunden. Auch einige Alarm-Einstellungen wurden geändert, wodurch Warnungen verzögert wurden, während die Lebensmittel sich erwärmten.

Im August veröffentlichte das Cybersicherheitsunternehmen Claroty eine Untersuchung des Danfoss-Controllers AK-SM 800A. Seine Forscher fanden Schwachstellen in der Web-Management-Software, darunter eine Möglichkeit, normale Anmeldeprüfungen zu umgehen, und einen Fehler, der unbefugte Befehle ermöglichen könnte. Sie identifizierten Tausende exponierter Verwaltungsschnittstellen.

Danfoss veröffentlichte Software zur Behebung der Schwachstellen. Claroty empfahl die Firmware-Version R4.3.1 oder neuer und die Einschränkung des Fernzugriffs. Die Forscher untersuchten keine einzelnen Supermarkt-Eindringlinge. Die Ermittler haben nicht festgestellt, dass diese speziellen Schwachstellen bei einer der beiden Angriffswellen ausgenutzt wurden.

Danfoss teilte mit, in einigen französischen Betrieben seien ältere Steuerungen im Einsatz, die keine regelmäßigen Sicherheitsupdates mehr erhielten. Andere hätten unterstützte Geräte gehabt, aber nicht die neueste Software installiert. Die französischen Cybersicherheitsbehörden identifizierten zudem Kompromittierungen bei Geräten, die unter den Namen Copeland und Dixell geliefert wurden.

Eine Kühlsteuerung kann nach dem Ende der Software-Unterstützung weiter in Betrieb bleiben. Der Austausch kann Arbeiten durch spezialisierte Vertragsfirmen und Änderungen an der bestehenden Installation erfordern. In Franchise-Netzen können Wartungsentscheidungen zudem bei einzelnen Ladenbetreibern statt bei einer zentralen IT-Abteilung liegen.

Verderbte Lebensmittel, beschädigte Geräte und finanzielle Verluste

Bei Kühlausfällen müssen die Läden feststellen, wie warm die Produkte geworden sind und wie lange sie ungeeigneten Bedingungen ausgesetzt waren.

Die britische Food Standards Agency empfiehlt, gekühlte Lebensmittel bei 5 °C oder darunter zu lagern. In England, Wales und Nordirland müssen viele gekühlte Lebensmittel gesetzlich unter 8 °C gelagert werden. Tiefgekühlte Produkte werden in der Regel bei -18 °C aufbewahrt.

Eine auf 50 °C eingestellte Steuerung bedeutet nicht, dass jedes Produkt sofort diese Temperatur erreicht. Einzelhändler müssen die tatsächlichen Lagerbedingungen prüfen, bevor sie entscheiden, ob Lebensmittel sicher verkauft werden können. Die Wiederherstellung der normalen Kühleinstellung beseitigt nicht die Fragen zu Lebensmitteln, die sich möglicherweise bereits erwärmt haben. Diese Bewertung erfordert Informationen zu Zeit und Temperatur, nicht nur die Bestätigung, dass ein Gefriergerät wieder funktioniert.

In Belgien sagte Luc De Laet, Inhaber der Metzgerei De Laet & Van Haver, gegenüber Reuters, er sei gegen 3.30 Uhr angerufen worden. In seinem Betrieb südlich von Antwerpen seien die Kühltemperaturen auf 18 °C gestiegen. Er schätzte, dass Fleisch im Wert von 15.000 Euro verdorben sei.

Zu den finanziellen Folgen gehören auch beschädigte Maschinen, Notfallreparaturen, Reinigung, Arbeitszeit der Beschäftigten und Ersatzlieferungen. Nach Angaben der Staatsanwaltschaft kam es bei den Vorfällen in Frankreich an einigen Standorten zu Bränden.

Am 2. November wurde keine europaweite Unterbrechung der Supermarktversorgung gemeldet. Die dokumentierten Schäden konzentrierten sich auf einzelne Filialen und Unternehmen. Der EU-Landwirtschaftskommissar Christophe Hansen bezeichnete die Angriffe als Versuche, die Lebensmittelversorgung zu stören und das Vertrauen der Verbraucher zu untergraben; die vollen Folgen würden noch bewertet.

Warum frühere Warnungen weitere Angriffe nicht verhinderten

Frankreichs Computer-Notfallteam CERT-FR veröffentlichte am 12. Oktober eine Warnung und aktualisierte sie am 13. und 16. Oktober. Es identifizierte kompromittierte Kühlsteuerungen von Danfoss, Copeland und Dixell und forderte Betreiber auf, ihre Verwaltungsschnittstellen vom direkten Internetzugang zu trennen.

Die Behörde empfahl, Konfigurationen zu prüfen, insbesondere Abtaupläne; Software-Updates zu installieren; Standardpasswörter zu ersetzen; und Fernwartung nur über geschützte Verbindungen zuzulassen.

Ein virtuelles privates Netzwerk (VPN) ist eine Möglichkeit, autorisierten Technikern Zugang zu gewähren, ohne die Steuerung öffentlich zugänglich zu machen.

CERT-FR befasste sich auch mit kompromittierten Geräten. Ein Neustart einer Steuerung oder das Zurücksetzen auf Werkseinstellungen könnte bösartige Änderungen entfernen, würde aber Schwachstellen in einem nicht mehr unterstützten Produkt nicht beheben. Geräte, die erneut direkt mit dem Internet verbunden werden, könnten für Angreifer weiterhin zugänglich bleiben.

Das britische National Cyber Security Centre rät Organisationen ebenfalls, internetverbundene Steuerungsgeräte zu identifizieren, den Zugang zu beschränken und unterstützte Software aktuell zu halten. Eine separate Temperaturüberwachung kann eine zusätzliche Warnung liefern, wenn die Hauptsteuerung oder ihre Alarme kompromittiert sind. Sie ersetzt nicht die Notwendigkeit, den Zugang zur Steuerung selbst abzusichern.

In Estland stoppten Techniker den Eingriff im November innerhalb von Minuten. In Irland teilte Musgrave mit, Überwachungsgeräte hätten die Beschäftigten alarmiert, obwohl einige Produkte dennoch aus dem Verkauf genommen werden mussten.

In Belgien begann der Kältetechnik-Dienstleister Sabcobel in der Nacht mit der Mobilisierung von Technikern; sein Geschäftsführer sagte, einige Anlagen hätten physische Änderungen erfordert.

Keine Gruppe hat die Verantwortung für eine der beiden Wellen übernommen. Das belgische Zentrum für Cybersicherheit teilte mit, die Täter seien nicht identifiziert worden. Die Ermittler haben die genaue Zugriffsmethode bei jedem betroffenen Unternehmen nicht öffentlich festgestellt.

Neue EU-Regeln werden ältere Geräte nicht absichern

Der Cyber Resilience Act der EU führt Sicherheitspflichten für Hersteller von Produkten mit digitalen Komponenten ein.

Seit dem 11. September 2026 müssen Hersteller bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die zentralen Anforderungen zu Produktsicherheit und Schwachstellenmanagement sollen ab dem 11. Dezember 2027 gelten.

Diese Regeln aktualisieren nicht automatisch Kühlsteuerungen, die bereits in Geschäften in Betrieb sind. Eigentümer und Wartungsanbieter müssen weiterhin nicht mehr unterstützte Geräte identifizieren und Schutz oder Ersatz organisieren.

Die Niederlande sind ein Beispiel für die Warnungen vor den Vorfällen im November. Danfoss teilte dem niederländischen Sender NOS mit, man habe Kunden am 13. Oktober nach dem Angriff in Frankreich kontaktiert. Man habe ihnen geraten, anfällige Steuerungen vom Internet zu trennen und nur über sichere Netzwerke wieder zu verbinden.

Bis zum 2. November hatten mindestens 17 niederländische Unternehmen Eingriffe gemeldet. Ein Danfoss-Sprecher sagte, die meisten Kunden hätten den früheren Rat befolgt, eine kleinere Zahl jedoch nicht. Laut dem Hersteller befanden sich die betroffenen Systeme weiterhin außerhalb sicherer Netzwerke und verwendeten weiterhin Standardpasswörter.