Russland, Iran oder opportunistische Hacker? Wer hinter Europas Supermarkt-Cyberangriffen steckt

Laut BBC-Berichterstattung veröffentlichten NoName057(16) und die Z-Pentest Alliance Botschaften, in denen sie die Angriffe feierten, bevor die Beiträge und Kanäle nicht mehr verfügbar waren. Die Gruppen behaupteten, ihre technischen Fähigkeiten unter Beweis gestellt zu haben, doch die Ermittler haben nicht festgestellt, ob eine der beiden Organisationen die Eindringlinge tatsächlich ausgeführt hat.

Die Unsicherheit ist bedeutsam, weil die Angriffe mehr taten, als digitale Dienste vorübergehend lahmzulegen. Sie beeinträchtigten Geräte, die zur Konservierung von Lebensmitteln eingesetzt werden, verursachten finanzielle Verluste und zwangen Einzelhändler, Produkte aus dem Verkauf zu nehmen.

Wie Nexus Europa bereits berichtete, folgten die Vorfälle im November auf eine größere Welle von Angriffen auf Kühlsysteme in Frankreich im Oktober. Die frühere Operation betraf etwa 700 Standorte und führte zu Verlusten, die auf Millionen von Euro geschätzt werden.

Die jüngsten Entwicklungen lenken die Aufmerksamkeit weg von der Frage, wie die Geräte kompromittiert wurden, und hin zu einer schwierigeren Frage: ob die Angriffe Teil einer breiteren Kampagne gegen europäische Infrastruktur sind oder die Aktivitäten lose verbundener Hacker widerspiegeln, die zugängliche Systeme ausnutzen.

Pro-russische Hacker bekennen sich, dann verschwinden sie

NoName057(16) und die Z-Pentest Alliance sind etablierte Namen im pro-russischen hacktivistischen Umfeld. Beide haben eine Geschichte von Angriffen auf Organisationen in Ländern, die die Ukraine unterstützen, wobei sich ihre operativen Methoden unterscheiden.

Ihre gemeldeten Bekennerschreiben zu den Supermarkt-Vorfällen erschienen, nachdem Kühlsysteme in mehreren europäischen Ländern gestört worden waren.

Das anschließende Verschwinden der Botschaften und Telegram-Kanäle wirft Fragen nach der Verlässlichkeit dieser Behauptungen auf. Die Entfernung des Online-Materials belegt jedoch nicht, dass die Aussagen falsch waren. Ebenso wenig zeigt sie, dass die Gruppen verantwortlich waren.

Die Unterscheidung ist besonders wichtig in der Welt politisch motivierter Hackerangriffe, in der öffentliche Bekennerschreiben auch anderen Zwecken dienen können als der Meldung eines tatsächlichen Eindringens.

Hacktivistische Organisationen können erfolgreiche Angriffe nutzen, um Anhänger zu gewinnen, ihre Fähigkeiten zu demonstrieren oder politische Botschaften zu verstärken. Sie können auch das Ausmaß relativ begrenzter Operationen übertreiben.

Eine gemeinsame Cybersicherheitswarnung vom Dezember 2025, herausgegeben von US-Behörden und internationalen Partnern, warnte ausdrücklich davor, dass pro-russische Hacktivisten häufig falsche oder übertriebene Behauptungen über Angriffe auf kritische Infrastruktur aufstellen.

Die Warnung nannte NoName057(16), Z-Pentest und die Cyber Army of Russia Reborn unter den Gruppen, die opportunistische Operationen gegen industrielle Steuerungssysteme durchführen.

Sie stellte außerdem fest, dass Angreifer manchmal die Organisationen falsch identifizieren, deren Systeme sie angegriffen haben.

Dies macht eine Telegram-Erklärung zu einer potenziell nützlichen Ermittlungsspur, aber nicht zu einem unabhängigen Beweis der Verantwortung.

Was die Ermittler über die möglichen Täter wissen

Die Untersuchung hat keine öffentlich bestätigte Zuschreibung der Supermarkt-Angriffe ergeben.

Laut BBC haben Cybersicherheitsforscher, die die Vorfälle untersuchen, mehrere konkurrierende Möglichkeiten identifiziert.

Das französische Cybersicherheitsunternehmen Sequoia stellte Berichten zufolge fest, dass Aspekte der Angriffe mit Techniken übereinstimmten, die mit russlandnahen Hackern in Verbindung gebracht werden. Das Unternehmen brachte jedoch auch eine mögliche iranische Beteiligung ins Spiel und verwies auf Ähnlichkeiten mit früheren Operationen gegen Supermärkte in Israel.

Andere Cybersicherheitsfirmen, die die Vorfälle untersuchten, erwogen Berichten zufolge eine weniger politisch bedeutsame Erklärung: eine Einzelperson, möglicherweise ein Jugendlicher, die zugängliche Geräte aus Spaß oder zur Selbstdarstellung ausnutzt.

Diese Möglichkeiten sind nicht gleich gut belegt, und keine sollte als gesicherte Erklärung behandelt werden.

Die Ähnlichkeiten zwischen den Vorfällen können Ermittlern helfen, gemeinsame Methoden zu identifizieren, aber sie offenbaren nicht unbedingt, wer eine Operation geleitet hat.

Verschiedene Gruppen können dieselben Schwachstellen ausnutzen, ähnliche öffentlich verfügbare Werkzeuge verwenden und die Techniken anderer nachahmen.

Das Problem wird besonders akut, wenn Angriffe schlecht geschützte Industrieausrüstung betreffen und nicht ausgefeilte Malware, die für ein bestimmtes Ziel entwickelt wurde.

Unter solchen Umständen benötigen Ermittler mehr als Beweise dafür, wie ein Eindringen erfolgte. Die Feststellung der Verantwortung kann zuverlässige technische Aufzeichnungen, Beweise, die die Aktivität mit bekannten Akteuren verbinden, und Bestätigung aus anderen Ermittlungsquellen erfordern.

Für die europäischen Behörden ist die Unterscheidung zwischen einer politisch gesteuerten Operation und einem opportunistischen Eindringen bedeutsam. Beide können wirtschaftlichen Schaden verursachen, werfen aber unterschiedliche Fragen zur internationalen Verantwortung und zur angemessenen Reaktion auf.

Die russische Verbindung: Was ist bereits gesichert?

Obwohl die Verantwortung für die Supermarkt-Vorfälle ungewiss bleibt, sind die Aktivitäten und organisatorischen Hintergründe der beiden Gruppen deutlich besser dokumentiert.

Laut der multinationalen Cybersicherheitswarnung vom Dezember 2025 entstand NoName057(16) im Jahr 2022 und wurde vor allem durch verteilte Denial-of-Service-Angriffe gegen Regierungsinstitutionen und private Organisationen in NATO-Mitgliedstaaten und anderen europäischen Ländern bekannt.

Solche Angriffe überlasten typischerweise Online-Dienste mit Datenverkehr und machen Websites oder digitale Plattformen vorübergehend unzugänglich.

Die Warnung kam zu der Einschätzung, dass Russlands Zentrum für die Untersuchung und Netzwerküberwachung der Jugendumgebung, bekannt als CISM, NoName057(16) als verdecktes Projekt geschaffen hat.

Nach Angaben der beteiligten Sicherheitsbehörden entwickelten und passten CISM-Mitarbeiter das DDoSia-Angriffswerkzeug der Gruppe an, finanzierten ihre Netzwerkinfrastruktur, verwalteten Telegram-Kanäle und wählten Ziele aus.

Z-Pentest folgte einem anderen Weg.

Die im September 2024 gegründete Gruppe vereinte Mitglieder von NoName057(16) und der Cyber Army of Russia Reborn, allgemein bekannt als CARR.

Die Warnung kam zu der Einschätzung, dass die Bildung von CARR wahrscheinlich von einer Einheit des russischen Militärgeheimdienstes unterstützt worden war. Sie beschrieb zudem Meinungsverschiedenheiten über Umfang und Finanzierung der Unterstützung durch den russischen Geheimdienst als einen Faktor hinter der Gründung von Z-Pentest.

Anders als NoName057(16) hat sich Z-Pentest auf Eindringen in Betriebstechnik konzentriert, einschließlich Versuchen, Geräte zu manipulieren, die von Industrie- und Infrastrukturbetreibern genutzt werden.

Zu ihren Aktivitäten gehörte der Zugriff auf Steuerungsschnittstellen und die Veröffentlichung angeblicher Eindringversuche durch Bilder und Videos.

Diese dokumentierten Beziehungen zeigen, warum Ermittler die Möglichkeit einer russischen Beteiligung an Angriffen auf europäische Kühlgeräte prüfen würden.

Sie belegen jedoch nicht, dass der russische Geheimdienst die Supermarkt-Vorfälle im November gesteuert hat oder dass eine der beiden Gruppen sie durchgeführt hat.

Warum die EU Z-Pentest vor den Supermarkt-Angriffen sanktionierte

Die Europäische Union hatte bereits Monate vor den jüngsten Vorfällen Maßnahmen gegen Z-Pentest ergriffen.

Am 13. Juli 2026 kündigte der Rat der Europäischen Union Sanktionen gegen neun Personen und vier Einrichtungen an, die mit russischen Cyberoperationen und destabilisierenden Aktivitäten in Verbindung stehen.

Z-Pentest gehörte zu den sanktionierten Organisationen.

Der Rat beschrieb sie als pro-russische hacktivistische Gruppe, die international kritische Infrastruktur angreift, insbesondere die Energie- und Wasserwirtschaft.

Er schrieb Z-Pentest ausdrücklich einen Cyberangriff vom Dezember 2024 auf einen dänischen Wasserversorger zu.

Die Sanktionen richteten sich auch gegen Yuliya Pankratova, die als Anführerin der Gruppe identifiziert wurde, und Denis Degtyarenko, der als Haupt-Hacker beschrieben wurde. Beide standen mit CARR in Verbindung.

Der Rat erklärte, CARR sei mit dem russischen Militärgeheimdienst GRU verbunden und habe Cyberkampagnen gegen Organisationen in der Ukraine, EU-Mitgliedstaaten und anderen Ländern durchgeführt.

Die Maßnahmen umfassen das Einfrieren von Vermögenswerten und Beschränkungen für die Bereitstellung von Geldern oder wirtschaftlichen Ressourcen an die benannten Personen und Einrichtungen.

Für europäische politische Entscheidungsträger reicht die Bedeutung dieser Sanktionen über die einzelnen Organisationen hinaus.

Sie spiegeln eine etablierte Besorgnis wider, dass lose organisierte, politisch motivierte Hackergruppen an Operationen teilnehmen können, die wesentliche Infrastruktur betreffen, manchmal mit unterschiedlich starken Verbindungen zu staatlichen Institutionen.

Die Unterscheidung zwischen einer staatlich gesteuerten Operation und einer sympathisierenden Gruppe, die unabhängig handelt, kann im Einzelfall dennoch schwierig festzustellen bleiben.

Diese Unsicherheit ist zentral für die Untersuchung der Supermarkt-Vorfälle.

Von der Störung von Websites zu physischen Schäden an Infrastruktur

Die größere Bedeutung der Supermarkt-Vorfälle wird deutlicher, wenn man sie neben frühere Angriffe auf industrielle Systeme stellt.

Eine Bloomberg-Untersuchung vom Oktober untersuchte Cyberoperationen, die mit russlandnahen Gruppen in Verbindung stehen und über die Störung von Websites hinaus zur Beeinträchtigung physischer Geräte übergegangen waren.

Zu den beschriebenen Fällen gehörten Angriffe auf einen dänischen Wasserversorger, Industrieanlagen in Spanien und Infrastrukturbetreiber in den Vereinigten Staaten.

Solche Vorfälle zeigen eine Veränderung der möglichen Folgen relativ zugänglicher Cyberangriffsmethoden.

Ein Denial-of-Service-Angriff kann Kunden vorübergehend daran hindern, auf eine Website zuzugreifen. Ein Eindringen in ein industrielles Steuerungssystem kann stattdessen die Funktionsweise von Geräten verändern, die Wasser, Strom, Lebensmittellagerung oder Produktionsprozesse steuern.

Die erforderliche technische Raffinesse ist nicht zwangsläufig hoch.

Die multinationale Warnung vom Dezember 2025 warnte davor, dass pro-russische hacktivistische Gruppen häufig unzureichend geschützte Fernzugriffsverbindungen zu Industrieausrüstung ausnutzen.

Sie beschrieb Angreifer, die relativ einfache Methoden nutzen, um Zugang zu Steuerungsschnittstellen zu erlangen und Betriebsparameter zu manipulieren.

Die Behörden warnten zudem, dass diesen Gruppen oft detaillierte Kenntnisse der industriellen Prozesse fehlen, in die sie eingreifen.

Diese Einschränkung verringert nicht unbedingt die Gefahr. Angreifer, die die Geräte, die sie kontrollieren, missverstehen, können unbeabsichtigte Schäden oder Störungen über ihre ursprünglichen Ziele hinaus verursachen.

Die Warnung dokumentierte physische Schäden aus einigen Operationen, berichtete jedoch nicht über Verletzungen im Zusammenhang mit den erfassten Aktivitäten.

Für Europas Sicherheitsbehörden entsteht dadurch eine Bedrohung, die nicht allein durch die Untersuchung der technischen Fähigkeiten oder der politischen Bedeutung einer bestimmten Hackergruppe bewertet werden kann.

Selbst ein unerfahrener Angreifer kann möglicherweise Geräte beeinträchtigen, wenn deren Fernzugriffssysteme unzureichend geschützt sind.

Warum ungewisse Zuschreibung Europas Reaktion erschwert

Die Supermarkt-Vorfälle veranschaulichen zwei getrennte Probleme, die die europäischen Behörden gleichzeitig angehen müssen.

Das erste ist operativ: der Schutz vernetzter Geräte vor unbefugtem Zugriff.

Das zweite ist politisch und ermittlungstechnisch: die Feststellung, wer verantwortlich ist, wenn ein Eindringen erfolgt.

Das operative Problem kann gelöst werden, ohne die Identität des Angreifers zu kennen. Organisationen können Fernverbindungen einschränken, anfällige Geräte aktualisieren und die Überwachung verbessern.

Die Zuschreibung ist komplizierter.

Wenn ein Eindringen mit einer unabhängig handelnden Einzelperson verbunden ist, kann die Reaktion hauptsächlich strafrechtliche Ermittlungen und Strafverfolgung umfassen.

Wenn es mit einer grenzüberschreitend operierenden organisierten Gruppe verbunden ist, wird die internationale Zusammenarbeit der Strafverfolgungsbehörden wichtiger.

Wo glaubwürdige Beweise eine staatliche Beteiligung belegen, können Regierungen auch diplomatische Maßnahmen, Sanktionen oder andere Reaktionen im Rahmen bestehender rechtlicher Regelungen erwägen.

Die Europäische Union verfügt bereits über einen Mechanismus zur Reaktion auf böswillige Cyberaktivitäten durch ihren Cybersicherheits-Toolbox und ihr Sanktionsregime.

Die Anwendung von Maßnahmen gegen bestimmte Personen oder Organisationen erfordert jedoch eine belastbare Grundlage für die Identifizierung der Verantwortlichen.

Die Sanktionen vom Juli gegen Z-Pentest zeigen, dass europäische Institutionen gegen Gruppen vorgehen können, die mit feindlichen Cyberoperationen in Verbindung stehen. Sie bedeuten nicht, dass spätere Angriffe mit ähnlichen Methoden automatisch denselben Akteuren zugeschrieben werden können.

Es besteht auch ein Risiko darin, jedes Eindringen in anfällige Industrieausrüstung als Beweis einer koordinierten geopolitischen Kampagne zu behandeln.

Die multinationale Warnung beschreibt opportunistische Zielauswahl als Merkmal mehrerer pro-russischer hacktivistischer Gruppen. Angreifer können Systeme auswählen, weil sie zugänglich sind, und nicht, weil die sie betreibende Organisation besondere strategische Bedeutung hat.

Diese Unterscheidung ist wichtig bei der Bewertung von Angriffen auf Supermärkte in verschiedenen europäischen Ländern.

Ein Muster ähnlicher Eindringversuche kann auf gemeinsame Werkzeuge, gemeinsame Schwachstellen oder Zusammenarbeit zwischen Angreifern hindeuten. Es belegt nicht unbedingt eine zentrale Koordination.

Europas aufkommendes cyber-physisches Sicherheitsdilemma

Die jüngsten Angriffe haben ein Sicherheitsproblem offengelegt, das über Supermärkte hinausreicht.

Kommerzielle und industrielle Geräte stützen sich zunehmend auf vernetzte Steuerungssysteme, während einige Installationen weiterhin über unzureichend geschützte Fernverbindungen zugänglich bleiben.

Das schafft Möglichkeiten für Angreifer, deren technische Fähigkeiten begrenzt sein mögen, deren Handlungen aber unmittelbare physische Folgen haben können.

Gleichzeitig agieren politisch motivierte Hackergruppen in einem Umfeld, in dem das Bekennen zu einer Tat öffentliche Aufmerksamkeit erzeugen kann, unabhängig davon, ob die Behauptung belegt ist.

Das gemeldete Verschwinden der Telegram-Erklärungen von NoName057(16) und der Z-Pentest Alliance fügt der Untersuchung eine weitere Komplikation hinzu, löst aber nicht die Frage der Verantwortung.

Die Ermittler stehen weiterhin vor konkurrierenden Erklärungen, die russlandnahe Gruppen, mögliche iranische Akteure und opportunistische Einzelpersonen umfassen.

Die Beweise, die zur Unterscheidung zwischen diesen Szenarien erforderlich sind, sind getrennt von den Beweisen, die belegen, dass Kühlgeräte kompromittiert wurden.

Für die europäischen Regierungen besteht die unmittelbare Herausforderung daher nicht einfach darin, festzustellen, welcher geopolitische Gegner von der Störung profitiert haben könnte.

Sie besteht darin, die Fähigkeit zu entwickeln, Angriffe genau zu untersuchen und zugleich die physischen Systeme zu schützen, von denen Unternehmen und wesentliche Dienste zunehmend abhängen.