Supermarkt-Cyberangriff: Wie Hacker Kühlschränke auf 50 °C aufheizten und Europas Schwachstellen in der Lebensmittelversorgung offenlegten

Der Vorfall begann in den frühen Morgenstunden des Montag.

Kühltheken und Lagereinheiten in Hunderten französischer Supermärkte erhielten Fernbefehle, die Temperaturen zu erhöhen. Erzwungene Abtauzyklen liefen etwa sechs Stunden lang ununterbrochen, ließen gefrorene Bestände auftauen, verdarben Fleisch und trieben die Anzeigetemperaturen nach oben. An mehreren Standorten überhitzten Kompressormotoren und verursachten lokale Brände.

Bis Dienstag räumten Ladenmitarbeiter verdorbene Ware weg, während die Unternehmensleitungen die finanziellen Verluste bewerteten.

Die Pariser Staatsanwaltschaft leitete eine nationale strafrechtliche Untersuchung ein zu dem, was sie als "large-scale cyberattack affecting the connected refrigerators of several major food retailers across France" bezeichnete. Premierminister Sébastien Lecornu wies staatliche Stellen an, eine nationale technische Reaktion zu koordinieren, während Wirtschaftsminister Roland Lescure die Störung als "wake-up call for everyone" für den gesamten Vertriebssektor bezeichnete.

Mehrere große Einzelhandelsgruppen meldeten Auswirkungen, darunter Carrefour, Monoprix, Coopérative U, Auchan, E Leclerc und Les Mousquetaires.

Allein für ihre Kette Intermarché meldete Les Mousquetaires Verluste von "tens of millions of euros" an einem einzigen Tag in rund 150 betroffenen Filialen, wobei landesweite Schätzungen nahelegen, dass zwischen 350 und 700 Filialen kompromittiert wurden. Gleichzeitig isolierte der niederländische Betreiber Ahold Delhaize sein IT-Netz während eines "cybersecurity incident", der seine Kette Albert Heijn in den Niederlanden und Belgien betraf und Online-Bestellungen, Lieferungen nach Hause sowie digitale Preisschilder störte.

Niederländische Cybersicherheitsbehörden erklärten, es gebe keine technischen Hinweise, die die Ereignisse in Frankreich mit der Störung in den Niederlanden verbinden. Europol bestätigte, dass es sich mit nationalen Ermittlern in den Mitgliedstaaten berate.

Anders als herkömmliche Cyberangriffe auf Unternehmensdatenbanken umfasste das Eindringen keine Datenexfiltration und keine finanzielle Erpressung.

Die Täter umgingen traditionelle Ziele, um physische Kühlgeräte zu manipulieren, und zeigten damit, wie industrielle Maschinen für operative Störungen genutzt werden können.

Außer Betrieb

Lebensmitteleinzelhändler in ganz Europa haben Jahrzehnte damit verbracht, das Lieferkettenmanagement zu zentralisieren, um die operative Effizienz zu optimieren.

Geräte von Kühltheken bis zu HVAC-Systemen sind routinemäßig mit Portalen zur Fernverwaltung verbunden, sodass externe Facility-Management-Dienstleister Temperaturen anpassen oder Diagnosen durchführen können, ohne einzelne Filialen zu besuchen.

Die Sicherheitsmaßnahmen bei Peripheriegeräten blieben jedoch häufig hinter der Netzwerkkonnektivität zurück.

Die französischen Eindringlinge kompromittierten digitale Steuerungen des dänischen Unternehmens Danfoss und des US-Unternehmens Copeland, dem die Marke Dixell gehört.

Die Akteure nutzten integrierte Wartungsprotokolle – insbesondere Abtaufunktionen, die zum Entfernen von Eisablagerungen dienen – und entfernten betriebliche Temperaturgrenzen, ohne eigene Zero-Day-Exploits einzusetzen.

Sicherheitsforscher hatten diese Risiken bereits dokumentiert.

Im August veröffentlichte das Sicherheitsforschungsunternehmen Claroty Details zu einer Authentifizierungsumgehung in Danfoss-AK-SM-800A-Steuerungen und wies auf Mechanismen hin, die "could be abused" werden könnten, um "bypass normal authentication" und Temperatureinstellungen aus der Ferne zu ändern.

Monate später waren Tausende dieser Schnittstellen weiterhin in öffentlichen Suchmaschinen indexiert.

Installateure und externe Wartungsanbieter hatten die Hardware direkt mit dem offenen Web verbunden – ohne Firewalls, Unternehmens-VPNs oder aktuelle Firmware-Updates.

Diese Situation spiegelt ein umfassenderes strukturelles Problem der kommerziellen Cybersicherheit wider.

Unternehmensbudgets werden häufig für den Schutz von Kundenzahlungsdaten und Unternehmenssoftware bereitgestellt, während Peripheriegeräte von Drittanbietern verwaltet werden, die Altsteuerungen mit Software am Ende des Lebenszyklus betreiben.

Wie Ken Munro, Partner beim britischen Sicherheitsunternehmen Pen Test Partners, bemerkte: "This is about basic cyber hygiene. Get it wrong and you get a smelly mess of defrosted food." Munro fügte hinzu, es gebe "no business need for the fridge controllers to be accessible on the public internet", und merkte an, dass "it doesn’t take much for one blind spot in a business to lead to tonnes of trashed food."

Statt einer Standard-Datenpanne sahen sich Einzelhändler mit physischem Verderb, Betriebsausfällen und Geräteschäden konfrontiert.

Kein Lösegeld, kein Bekenntnis

Ermittler stellten fest, dass das Fehlen eines klaren Motivs oder einer Lösegeldforderung ein zentrales Rätsel bleibt.

Die meisten kommerziellen Cyber-Eindringlinge folgen etablierten Mustern: Kriminelle Syndikate verschlüsseln sensible Netzwerke, um Kryptowährungszahlungen zu fordern, oder staatliche Akteure betreiben langfristige Informationssammlung. In diesem Fall wurde kein Lösegeld gefordert, kein Erpressungsportal eingerichtet und keine Gruppe bekannte sich zu der Tat.

Sicherheitsanalysen identifizierten Tausende ähnlicher Steuerungen, die in Spanien, Portugal, Polen, Deutschland und Belgien offen online betrieben werden.

Da der Exploit nur begrenzte technische Komplexität erforderte, bleibt das Spektrum möglicher Akteure breit – von staatlich geförderten Einheiten, die die Widerstandsfähigkeit von Infrastruktur testen, bis hin zu Akteuren, die Störungen anstreben.

Félix Aimé, leitender Bedrohungsforscher beim französischen Cybersicherheitsunternehmen Sekoia, bemerkte, dass "an operation intended to destabilize certain economic activities, or infrastructure could also be considered", und wies darauf hin, dass die Täter offenbar keinen Schadcode auf den Steuerungen eingesetzt hätten.

Das Ereignis fügt sich in die breitere Besorgnis über hybride Bedrohungen in Europa ein.

Im September warnte der französische Präsident Emmanuel Macron politische Führungskräfte, die "Russian hybrid threat facing Europeans and France" habe in den vergangenen Wochen zugenommen und erfordere verstärkte Schutzpläne für kritische Infrastruktur.

Während die Verteidigungsplanung sich häufig auf Stromnetze, Unterseekabel oder Wasseraufbereitungsanlagen konzentriert, zeigt der Vorfall in Frankreich, dass private kommerzielle Netzwerke als Vektoren für öffentliche Störungen dienen können.

Dünne Margen, noch dünnere Puffer

Physische Lebensmittelversorgungsnetze arbeiten mit schlanken Logistikmodellen.

Forschungen des Clingendael-Instituts und der Erasmus-Universität zeigen, dass moderne europäische Lebensmittelnetze auf Just-in-Time-Logistik setzen, wobei Läden und Verteilzentren etwa sechs Tage Lebensmittelvorrat halten.

Wenn zentrale Kühlsysteme gleichzeitig an mehreren Standorten ausfallen, können lokale Bestandspuffer den Verlust nicht auffangen, was sofortige logistische Engpässe schafft.

Die offizielle Reaktion spiegelte die Schwere des operativen Risikos wider.

Dominique Schelcher, Vorstandsvorsitzender von Coopérative U, betonte: "Targeting equipment essential to the preservation of fresh products and to the food supply of the French people is of extreme gravity and is unprecedented." Der europäische Landwirtschaftskommissar Christophe Hansen schloss sich diesen Einschätzungen in sozialen Medien an und schrieb, Ernährungssicherheit erfordere auf allen Ebenen größere Aufmerksamkeit, denn "the weaponisation of food has become a reality."

Für Einzelhändler reichen die finanziellen Auswirkungen über weggeworfene Bestände hinaus und umfassen Notfallsanierung, Gerätereparaturen, Haftungsansprüche und entgangene Geschäfte. Gerätehersteller sehen sich zunehmender Prüfung ausgesetzt, was den weiteren Betrieb von Alt-Hardware betrifft, die in kommerziellen Umgebungen nicht gepatcht werden kann und für die keine verbindlichen Sicherheits-Upgrades vorgeschrieben sind.

Als Reaktion räumte Danfoss ein, dass viele betroffene Einheiten "reached end of life and no longer receive software or security updates" hätten oder "running outdated firmware" seien, und betonte, man habe "long advised customers to keep supported systems updated with the latest firmware and to migrate legacy systems to current-generation solutions."

Copeland identifizierte die Schwachstelle ebenfalls in einer "discontinued, end-of-life generation of controllers" und bestätigte, dass man mit betroffenen Kunden zusammenarbeite, um fortbestehende Risiken zu mindern.

Regulierungsbehörden haben kommerzielle Ladenausrüstung traditionell als Privateigentum betrachtet, das außerhalb des Geltungsbereichs der nationalen Sicherheitspolitik liegt.

Diese Unterscheidung wird derzeit überprüft.

Staatliche Stellen wie ANSSI werden voraussichtlich umfassendere Mandate verfolgen, um Sicherheitsgrundlagen für kommerzielle IoT-Netze durchzusetzen und private Betreiber zu verpflichten, Peripheriegeräte nach Standards zu verwalten, die mit kritischer Infrastruktur vergleichbar sind.