Hacker sollen in ganz Frankreich die Kühlsysteme von Supermärkten manipuliert haben. Dadurch stiegen die Temperaturen, Lebensmittel verdarben, und die Behörden untersuchen Berichte über Brände und andere mit dem Angriff in Verbindung stehende Schäden.
Der Cyberangriff vom 12. Okt. richtete sich gegen Kühlsysteme in Hunderten französischen Lebensmittelgeschäften, darunter Filialen von Intermarché, Netto, Coopérative U und E. Leclerc. Laut AFP lösten die Angreifer Berichten zufolge Abtauzyklen der Kühlsysteme aus und zwangen die betroffenen Händler, frische und tiefgefrorene Waren zu entsorgen.
„Dies sind genau die Systeme, vor denen die Sicherheitsbranche als nächster Angriffsfläche für Sabotageangriffe warnt“, sagte Muhammad Yahya Patel, vCISO und Cybersicherheitsberater für EMEA bei Huntress, gegenüber eSecurityPlanet. Er bezog sich dabei auf Kühlanlagen und andere Systeme der Betriebstechnik.
Für Cybersicherheitsteams zeigt der Vorfall, wie kompromittierte vernetzte Geräte den physischen Betrieb stören, Warenbestände vernichten und Sicherheitsrisiken verursachen können, ohne dass Ransomware oder Datendiebstahl erforderlich sind.
Hacker manipulieren Kühlsysteme in ganz Frankreich
Der Angriff ereignete sich über Nacht vom 11.–12. Okt. und betraf Kühlsysteme mehrerer großer französischer Supermarktketten.
Erste Berichte deuteten darauf hin, dass etwa 150 bis 200 Intermarché-Filialen angegriffen wurden. Spätere AFP-Berichte besagten, dass mindestens 300 Standorte von Intermarché und Netto betroffen waren. Die Associated Press berichtete, der CEO von Coopérative U habe erklärt, dass 80 Filialen betroffen seien. Der französische Finanzminister Roland Lescure sagte außerdem, insgesamt seien etwa 700 Supermärkte in ganz Frankreich betroffen gewesen.
Le Monde berichtete, dass etwa 80 Carrefour-Filialen betroffen waren. Separat berichtete die französischsprachige AFP, dass Monoprix bestätigt habe, dass etwa 30 seiner Standorte betroffen waren.
E. Leclerc bestätigte, dass ein Cyberangriff auf einen seiner Lieferanten von Kühlsystemen die Systeme in mehreren Filialen störte. Die Gesamtzahl der Filialen, in denen Geräte beschädigt wurden oder Warenbestände verloren gingen, ist weiterhin unklar.
Les Mousquetaires, der Betreiber von Intermarché und Netto, berichtete, dass die Angreifer die Kühlsteuerungen manipuliert hatten. Der Betreiber einer Intermarché-Filiale in Gradignan sagte gegenüber Le Monde, dass der Kühlraum eine Temperatur von 50 °C (122 °F) erreicht habe, wodurch ein automatisches Sprinklersystem ausgelöst worden sei.
Le Monde berichtete außerdem, dass die Angreifer die Abtauzyklen von einer auf acht Stunden verlängert hätten, wodurch Alarme verzögert und Schäden vergrößert wurden. Aufgrund von Bedenken hinsichtlich der Lebensmittelsicherheit mussten die betroffenen Filialen ihre Warenbestände entsorgen.
Die Pariser Staatsanwaltschaft leitete eine Untersuchung des groß angelegten Cyberangriffs ein. Laut Reuters umfassten die gemeldeten Schäden Lebensmittelverluste und Brände. Die Ermittler arbeiteten daran, die Opfer zu identifizieren und das vollständige Ausmaß des Vorfalls zu bestimmen.
Der französische Premierminister Sébastien Lecornu wies außerdem die nationale französische Cybersicherheitsbehörde ANSSI an, den Vorfall zu untersuchen und festzustellen, ob weitere Organisationen gefährdet sein könnten.
Der Fokus richtet sich inzwischen auf die von dem dänischen Hersteller Danfoss gelieferte Software zur Verwaltung von Kühlsystemen.
Danfoss identifizierte seine Kühlsteuerungen AK-SM800 und AK-SC355 als betroffene Systeme, die keine Software- oder Sicherheitsupdates mehr erhalten. Der Hersteller erklärte, dass einige betroffene Geräte mit veralteter Firmware liefen, und riet Kunden, nicht mehr unterstützte Altgeräte zu ersetzen und unterstützte Systeme zu aktualisieren.
Eine Quelle aus dem Umfeld des französischen Premierministers Sébastien Lecornu sagte, die ANSSI habe eine Schwachstelle in von Danfoss gelieferter Software identifiziert. Die Ermittler haben jedoch weder technische Einzelheiten öffentlich gemacht noch die ursprüngliche Zugriffsmethode der Angreifer bestätigt.
Der Vorfall wirft außerdem Fragen zu bereits offengelegten Schwachstellen in Danfoss-Kühlsteuerungen auf.
Danfoss legte 2025 CVE-2025-41450 offen, eine schwerwiegende Authentifizierungsschwachstelle in AK-SM-8xxA-Steuerungen mit Softwareversionen vor 4.2.
Die Schwachstelle hat einen CVSS-Wert von 8,2 und kann unter bestimmten Bedingungen eine Umgehung der Authentifizierung ermöglichen. Die Ermittler konnten jedoch nicht feststellen, ob sie beim Angriff auf die französischen Supermärkte eine Rolle spielte.
Was der Angriff auf die Kühlsysteme über die OT-Sicherheit offenlegt
Statt auf Datendiebstahl oder die Verschlüsselung durch Ransomware abzuzielen, umfasste dieser Angriff Berichten zufolge die Manipulation physischer Geräte über vernetzte Steuerungssysteme. Er zeigt damit, wie ein Cybersicherheitsvorfall den Geschäftsbetrieb direkt stören kann.
Gewerbliche Kühlsysteme sind zunehmend auf vernetzte Steuerungen, Fernüberwachungsplattformen und Software angewiesen, mit der Betreiber Einstellungen an mehreren Standorten anpassen können.
Diese Funktionen verbessern die Effizienz und vereinfachen die Wartung. Sie bringen jedoch auch Sicherheitsrisiken mit sich, wenn Zugriffskontrollen, Firmware oder Netzwerkschutz unzureichend sind. Ein Angreifer, der eine Verwaltungsschnittstelle kompromittiert, könnte möglicherweise Geräteeinstellungen verändern, den Betrieb unterbrechen oder physische Schäden verursachen.
Patel warnte, dass die finanziellen Folgen eines Angriffs auf die Kühlinfrastruktur weit über den unmittelbaren Ausfall der Geräte hinausgehen können.
„Die unmittelbaren finanziellen Folgen sind erheblich und sichtbar“, sagte er und verwies auf den möglichen Verlust verderblicher Warenbestände an den betroffenen Standorten.
Die Betriebsunterbrechung kann sich schnell verschärfen. Filialen können möglicherweise keine temperaturempfindlichen Produkte verkaufen oder nachbestücken, bis die Kühlsysteme wiederhergestellt und als sicher bestätigt wurden. So kann eine kompromittierte Steuerung zu einem umfassenderen Problem für die Geschäftskontinuität werden.
Der Vorfall in Frankreich wirft außerdem Fragen zur Sicherheit älterer Industriesysteme auf. Wie eSecurityPlanet bereits in seiner Berichterstattung über Sicherheitsrisiken eingebetteter Geräte erläuterte, bleiben viele OT- und Internet-of-Things-Geräte (IoT) jahrelang oder jahrzehntelang in Betrieb – oft lange nachdem die Pflege ihrer ursprünglichen Software schwierig geworden ist.
Der Austausch dieser Systeme kann teuer sein, während das Einspielen von Updates geplante Ausfallzeiten erfordern kann. Das stellt Organisationen, die auf vernetzte Infrastruktur angewiesen sind, aber anfällige Geräte nicht ohne Weiteres ersetzen können, vor eine Sicherheitsherausforderung.
Die Folgen gehen über Supermärkte hinaus. Ähnliche Risiken können Lagerhäuser, pharmazeutische Lagerstätten, Lebensmittelverarbeitungsanlagen und andere Umgebungen betreffen, in denen vernetzte Geräte wichtige Betriebsbedingungen aufrechterhalten.
Was Sicherheitsteams zum Schutz vernetzter Geräte tun sollten
Der Angriff auf die französischen Supermärkte ist eine Warnung für Organisationen, die Kühlsysteme, industrielle Steuerungen und andere vernetzte Betriebssysteme verwalten.
„Der Lebensmitteleinzelhandel in ganz Europa sollte dies als Signal verstehen, dass er aktiv angegriffen wird“, sagte Patel.
Sicherheitsteams sollten prüfen, ob Geräte, die den physischen Betrieb direkt beeinflussen, ebenso viel Aufmerksamkeit erhalten wie herkömmliche IT-Infrastruktur.
In einer am 13. Okt. aktualisierten Empfehlung meldete das französische CERT-FR Kompromittierungen von Kühlsystemsteuerungen des Typs Danfoss AK-SM und AK-SC, Copeland xweb sowie Dixell xweb. Es forderte Betreiber auf, den direkten Zugang aus dem Internet zu beseitigen, Fernverbindungen abzusichern und unterstützte Geräte zu aktualisieren. Die Behörde warnte außerdem, dass ein Zurücksetzen auf die Werkseinstellungen allein keinen Schutz für nicht unterstützte Systeme bietet, die weiterhin online zugänglich sind.
Fünf Sicherheitsprioritäten verdienen sofortige Aufmerksamkeit:
- Exponierte Geräte identifizieren. Eine Bestandsaufnahme vernetzter Kühlsteuerungen, Industriegeräte, Firmwareversionen und Fernverwaltungsschnittstellen führen. Feststellen, welche Systeme über externe Netzwerke oder Dienste von Drittanbietern zugänglich sind.
- Veraltete Firmware aktualisieren. Sicherheitshinweise der Hersteller prüfen und nicht unterstützte Geräte identifizieren. Administratoren von Danfoss AK-SM 8xxA sollten ihre Systeme anhand bereits offengelegter Schwachstellen wie CVE-2025-41450, CVE-2025-41451 und CVE-2025-41452 bewerten und die neuesten Empfehlungen des Herstellers zur Behebung befolgen. Wo sofortige Updates nicht praktikabel sind, sollten kompensierende Kontrollen eingesetzt und ein Austauschplan erstellt werden.
- Fernzugriff beschränken. Den administrativen Zugriff auf autorisierte Mitarbeiter und Anbieter beschränken. Eine starke Authentifizierung verwenden, einschließlich Mehrfaktor-Authentifizierung, sofern unterstützt, und unnötige Fernverwaltungsdienste deaktivieren.
- Betriebsnetzwerke segmentieren. Kühlsteuerungen und andere OT-Geräte von Unternehmens-IT-Systemen und unabhängigen Geräten trennen. Die Kommunikation auf genehmigte Systeme und Dienste beschränken.
- Physische Betriebsbedingungen überwachen. Unabhängige Temperaturwarnungen einrichten, unbefugte Konfigurationsänderungen untersuchen und sicherstellen, dass Mitarbeiter ungewöhnliches Geräteverhalten erkennen und darauf reagieren können.
Die Netzwerkisolierung ist besonders wichtig, weil ein Eindringen in ein vernetztes System nicht automatisch die gesamte weitere Infrastruktur einer Organisation gefährden sollte.
Organisationen sollten außerdem speziell für Betriebsunterbrechungen Verfahren zur Reaktion auf Sicherheitsvorfälle festlegen. Wie in der Analyse von Lehren aus der Sicherheit kritischer Infrastrukturen von eSecurityPlanet erläutert, bleiben Netzwerksichtbarkeit, sicherer Fernzugriff und eine auf OT zugeschnittene Planung für die Reaktion auf Sicherheitsvorfälle unverzichtbare Schutzmaßnahmen.
Für Lebensmittelhändler bedeutet das, auf mehr als ein getrenntes Netzwerk vorbereitet zu sein. Reaktionspläne sollten Lebensmittelsicherheit, die Wiederherstellung von Geräten, die Entsorgung von Warenbeständen, die Koordination mit Anbietern und die Möglichkeit abdecken, kritische Systeme, wo praktikabel, manuell zu betreiben.
Sicherheitsteams sollten sich außerdem mit den Facility-Managern abstimmen, um festzustellen, ob Temperaturüberwachung und Mechanismen zur Notabschaltung unabhängig von kompromittierter Verwaltungssoftware funktionieren können.
Organisationen, die Danfoss-Kühlsteuerungen einsetzen, sollten ihre konkreten Modelle ermitteln, Firmwareversionen prüfen und die Sicherheitshinweise des Herstellers konsultieren. Die zuvor offengelegte CVE-2025-41450 betrifft ausdrücklich AK-SM-8xxA-Softwareversionen vor 4.2 und sollte nicht automatisch als auf andere Danfoss-Steuerungen zutreffend angenommen werden.
Danfoss hat außerdem einen Sicherheitshinweis zu zwei weiteren Schwachstellen in AK-SM 8xxA veröffentlicht: CVE-2025-41451, eine nach der Authentifizierung ausnutzbare Schwachstelle zur Befehlsinjektion, die eine Remotecodeausführung ermöglichen könnte, und CVE-2025-41452, eine nach der Authentifizierung ausnutzbare Schwachstelle bei der Konfiguration der Webschnittstelle, die einen Denial-of-Service verursachen könnte. Beide betreffen Softwareversionen vor 4.3.1 und haben CVSS-Werte von 8,7 beziehungsweise 6,8.
Sicherheitsteams, die diese Systeme verwalten, sollten die neuesten Empfehlungen des Herstellers zur Behebung befolgen und nicht davon ausgehen, dass alle Danfoss-Steuerungen gleichermaßen gefährdet sind.
Die Untersuchung in Frankreich dauert an, und das vollständige Ausmaß der beteiligten Schwachstellen wurde öffentlich noch nicht festgestellt.
Für Organisationen, die vernetzte Infrastruktur betreiben, ist die unmittelbare Lehre eindeutig: Eine kompromittierte Steuerung kann zu einem unternehmensweiten Notfall werden. Sicherheitsteams, die anfällige Geräte identifizieren, den Fernzugriff beschränken und ihre Verfahren zur betrieblichen Wiederherstellung testen, werden besser in der Lage sein, den Schaden einzudämmen, bevor ein Cyberangriff zu einer physischen Krise wird.
Weiterführende Lektüre: Der Angriff auf die französischen Supermärkte erinnert an eine weitere kürzliche Bedrohung kritischer Infrastruktur: „Hacker greifen in einem einzigen Monat mehr als 100 US-Wassersysteme an“, die untersucht, wie Angreifer exponierte industrielle Steuerungssysteme ausnutzten, um den Betrieb zu stören.