Hacker haben Berichten zufolge in ganz Frankreich die Kühlsysteme von Supermärkten manipuliert. Dadurch stiegen die Temperaturen, Lebensmittel verdarben, und Behörden untersuchen Berichte über Brände und andere Schäden im Zusammenhang mit dem Angriff.
Der Cyberangriff vom 12. Oktober richtete sich gegen Kühlsysteme in Hunderten französischen Lebensmittelgeschäften, darunter Standorte von Intermarché, Netto, Coopérative U und E. Leclerc. Laut AFP lösten die Angreifer Berichten zufolge Abtauzyklen der Kühlsysteme aus und zwangen die betroffenen Händler, frische und tiefgekühlte Waren zu entsorgen.
„Dies sind genau die Systeme, vor denen die Sicherheitsbranche als nächster Angriffsfläche für Sabotageangriffe gewarnt hat“, erklärte Muhammad Yahya Patel, vCISO und Cybersecurity-Berater für die Region EMEA bei Huntress, gegenüber eSecurityPlanet und bezog sich dabei auf Kühlsysteme und andere Betriebstechnologiesysteme.
Für Cybersicherheitsteams zeigt der Vorfall, wie kompromittierte vernetzte Geräte den physischen Betrieb stören, Lagerbestände vernichten und Sicherheitsrisiken verursachen können – ganz ohne Ransomware oder Datendiebstahl.
Hacker manipulieren Kühlsysteme in ganz Frankreich
Der Angriff ereignete sich über Nacht zwischen dem 11. und 12. Oktober und betraf Kühlsysteme mehrerer großer französischer Supermarktketten.
Ersten Berichten zufolge waren etwa 150 bis 200 Intermarché-Filialen betroffen. Später bezifferte ein Bericht der AFP die Zahl der betroffenen Intermarché- und Netto-Standorte auf mindestens 300. Die Zahl der betroffenen Coopérative-U-Filialen wurde Berichten zufolge mit etwa 100 angegeben, wobei die veröffentlichten Schätzungen voneinander abwichen.
Le Monde berichtete, dass etwa 80 Carrefour-Filialen betroffen waren. Unabhängig davon erklärte ein französischsprachiger AFP-Bericht, Monoprix habe bestätigt, dass etwa 30 seiner Standorte betroffen waren.
E. Leclerc bestätigte, dass ein Cyberangriff auf einen seiner Lieferanten von Kühlausrüstung die Systeme in mehreren Filialen störte. Die Gesamtzahl der Filialen, in denen es zu Schäden an Geräten oder Warenbeständen kam, ist weiterhin unklar.
Les Mousquetaires, Betreiber von Intermarché und Netto, berichtete, dass die Angreifer die Kühlsteuerungen manipuliert hätten. Der Inhaber einer Intermarché-Filiale in Gradignan erklärte gegenüber Le Monde, dass die Temperatur in seinem Kühlraum auf 50 °C (122 °F) gestiegen sei, wodurch eine automatische Sprinkleranlage ausgelöst wurde.
Le Monde berichtete zudem, dass die Angreifer die Abtauzyklen von einer auf acht Stunden verlängerten, wodurch Alarme verzögert ausgelöst wurden und der Schaden zunahm. Wegen Bedenken hinsichtlich der Lebensmittelsicherheit mussten die betroffenen Filialen Warenbestände entsorgen.
Die Staatsanwaltschaft von Paris leitete eine Untersuchung des groß angelegten Cyberangriffs ein. Laut Reuters erklärten die Staatsanwälte, zu den gemeldeten Schäden gehörten Lebensmittelverluste und Brände. Die Ermittler arbeiteten daran, die Opfer zu identifizieren und das gesamte Ausmaß des Vorfalls zu bestimmen.
Der französische Premierminister Sébastien Lecornu wies außerdem die nationale französische Cybersicherheitsbehörde ANSSI an, den Vorfall zu untersuchen und festzustellen, ob weitere Organisationen gefährdet sein könnten.
Der Fokus richtet sich nun auf die von dem dänischen Hersteller Danfoss gelieferte Software zur Verwaltung von Kühlsystemen.
Danfoss identifizierte seine Kühlsteuerungen AK-SM800 und AK-SC355 als betroffene Systeme und erklärte, dass auf einer Version der AK-SM800 veraltete Firmware lief. Der Hersteller empfahl seinen Kunden, nicht mehr unterstützte Altgeräte zu ersetzen und unterstützte Systeme zu aktualisieren.
Eine dem französischen Premierminister Sébastien Lecornu nahestehende Quelle erklärte, ANSSI habe eine Schwachstelle in von Danfoss gelieferter Software identifiziert. Die Ermittler haben jedoch weder technische Details öffentlich gemacht noch die ursprüngliche Zugriffsmethode der Angreifer bestätigt.
Der Vorfall wirft auch Fragen zu bereits offengelegten Schwachstellen in Danfoss-Kühlsteuerungen auf.
Im Jahr 2025 legte Danfoss CVE-2025-41450 offen, eine schwerwiegende Authentifizierungsschwachstelle in AK-SM-8xxA-Steuerungen mit Softwareversionen vor 4.2.
Die Schwachstelle hat einen CVSS-Wert von 8,2 und kann unter bestimmten Bedingungen eine Umgehung der Authentifizierung ermöglichen. Die Ermittler konnten jedoch nicht feststellen, ob sie eine Rolle bei dem Angriff auf die französischen Supermärkte spielte.
Was der Angriff auf die Kühlsysteme über die OT-Sicherheit offenlegt
Statt Datendiebstahl oder der Verschlüsselung durch Ransomware ging es bei diesem Angriff Berichten zufolge um die Manipulation physischer Geräte über vernetzte Steuerungssysteme. Damit zeigt er, wie ein Cybersicherheitsvorfall den Geschäftsbetrieb unmittelbar stören kann.
Gewerbliche Kühlsysteme hängen zunehmend von vernetzten Steuerungen, Fernüberwachungsplattformen und Software ab, mit der Betreiber Einstellungen an mehreren Standorten anpassen können.
Diese Funktionen steigern die Effizienz und vereinfachen die Wartung, führen aber auch zu Sicherheitsrisiken, wenn Zugriffskontrollen, Firmware oder Netzwerkschutz unzureichend sind. Ein Angreifer, der eine Verwaltungsschnittstelle kompromittiert, könnte möglicherweise Geräteeinstellungen manipulieren, den Betrieb unterbrechen oder physische Schäden verursachen.
Patel warnte, dass die finanziellen Folgen eines Angriffs auf die Kühlinfrastruktur weit über den unmittelbaren Ausfall der Geräte hinausgehen können.
„Die unmittelbaren finanziellen Folgen sind erheblich und sichtbar“, erklärte er und verwies auf den möglichen Verlust verderblicher Warenbestände an den betroffenen Standorten.
Die Betriebsunterbrechung kann sich schnell verschärfen. Filialen können möglicherweise keine temperaturempfindlichen Produkte verkaufen oder nachbestücken, bis die Kühlsysteme wiederhergestellt und als sicher bestätigt wurden. Dadurch wird eine kompromittierte Steuerung zu einem umfassenderen Problem für die Geschäftskontinuität.
Der Vorfall in Frankreich wirft auch Fragen zur Sicherheit älterer Industriesysteme auf. Wie eSecurityPlanet bereits in seiner Berichterstattung über Sicherheitsrisiken eingebetteter Geräte erklärte, bleiben viele OT- und Internet-of-Things-Geräte (IoT) über Jahre oder Jahrzehnte in Betrieb – oft lange nachdem ihre ursprüngliche Software nur noch schwer zu warten ist.
Der Austausch dieser Systeme kann teuer sein, während die Installation von Updates geplante Ausfallzeiten erfordern kann. Das stellt Organisationen, die auf vernetzte Infrastruktur angewiesen sind, vor eine Sicherheitsherausforderung, wenn sie anfällige Geräte nicht ohne Weiteres ersetzen können.
Die Folgen gehen über Supermärkte hinaus. Ähnliche Risiken können Lagerhäuser, pharmazeutische Lagerstätten, Lebensmittelverarbeitungsbetriebe und andere Umgebungen betreffen, in denen vernetzte Geräte wichtige Betriebsbedingungen aufrechterhalten.
Was Sicherheitsteams zum Schutz vernetzter Geräte tun sollten
Der Angriff auf die französischen Supermärkte ist eine Warnung für Organisationen, die Kühlsysteme, industrielle Steuerungen und andere vernetzte Betriebssysteme verwalten.
„Der Lebensmitteleinzelhandel in ganz Europa sollte dies als Signal verstehen, dass er aktiv ins Visier genommen wird“, sagte Patel.
Sicherheitsteams sollten prüfen, ob Geräte, die den physischen Betrieb unmittelbar beeinflussen, ebenso viel Aufmerksamkeit erhalten wie die herkömmliche IT-Infrastruktur.
Fünf Sicherheitsprioritäten verdienen sofortige Aufmerksamkeit:
- Exponierte Geräte identifizieren. Ein Inventar vernetzter Kühlsteuerungen, industrieller Geräte, Firmwareversionen und Fernverwaltungsschnittstellen führen. Ermitteln, welche Systeme über externe Netzwerke oder Dienste von Drittanbietern zugänglich sind.
- Veraltete Firmware aktualisieren. Sicherheitshinweise der Hersteller prüfen und nicht unterstützte Geräte identifizieren. Administratoren von Danfoss AK-SM 8xxA sollten ihre Systeme anhand bereits offengelegter Schwachstellen wie CVE-2025-41450, CVE-2025-41451 und CVE-2025-41452 bewerten und die aktuellen Empfehlungen des Herstellers zur Behebung befolgen. Wo sofortige Updates nicht praktikabel sind, sollten kompensierende Kontrollen angewendet und ein Austauschplan erstellt werden.
- Fernzugriff beschränken. Den administrativen Zugriff auf autorisiertes Personal und autorisierte Anbieter beschränken. Eine starke Authentifizierung einsetzen, einschließlich einer Multifaktor-Authentifizierung, sofern unterstützt, und unnötige Fernverwaltungsdienste deaktivieren.
- Betriebsnetzwerke segmentieren. Kühlsteuerungen und andere OT-Geräte von den IT-Systemen des Unternehmens und nicht zugehörigen Geräten trennen. Die Kommunikation auf genehmigte Systeme und Dienste beschränken.
- Physische Betriebsbedingungen überwachen. Unabhängige Temperaturwarnungen einrichten, nicht autorisierte Konfigurationsänderungen untersuchen und sicherstellen, dass Mitarbeiter ungewöhnliches Geräteverhalten erkennen und darauf reagieren können.
Die Netzwerkisolierung ist besonders wichtig, denn ein Eindringen in ein vernetztes System sollte nicht automatisch die gesamte übrige Infrastruktur einer Organisation gefährden.
Organisationen sollten außerdem speziell für Betriebsunterbrechungen Verfahren zur Reaktion auf Vorfälle einrichten. Wie in der Analyse von Erkenntnissen zur Sicherheit kritischer Infrastrukturen von eSecurityPlanet erläutert, bleiben Netzwerksichtbarkeit, sicherer Fernzugriff und eine speziell auf OT ausgerichtete Planung der Vorfallreaktion wesentliche Schutzmaßnahmen.
Für Lebensmittelhändler bedeutet das, sich auf mehr als ein getrenntes Netzwerk vorzubereiten. Reaktionspläne sollten Lebensmittelsicherheit, die Wiederherstellung von Geräten, die Entsorgung von Warenbeständen, die Koordination mit Anbietern und die Möglichkeit abdecken, kritische Systeme, sofern machbar, manuell zu betreiben.
Sicherheitsteams sollten sich außerdem mit den Facility-Managern abstimmen, um zu klären, ob Temperaturüberwachung und Notabschaltmechanismen unabhängig von einer kompromittierten Verwaltungssoftware betrieben werden können.
Organisationen, die Danfoss-Kühlsteuerungen einsetzen, sollten ihre konkreten Modelle identifizieren, die Firmwareversionen prüfen und die Sicherheitshinweise des Herstellers konsultieren. Die bereits offengelegte CVE-2025-41450 betrifft ausdrücklich AK-SM-8xxA-Softwareversionen vor 4.2 und sollte nicht automatisch als auf andere Danfoss-Steuerungen zutreffend angenommen werden.
Danfoss hat außerdem Sicherheitshinweise zu zwei weiteren Schwachstellen in AK-SM 8xxA veröffentlicht: CVE-2025-41451, eine Schwachstelle zur Befehlsinjektion nach der Authentifizierung, die eine Remote-Code-Ausführung ermöglichen könnte, und CVE-2025-41452, eine Schwachstelle bei der Konfiguration der Webschnittstelle nach der Authentifizierung, die einen Denial-of-Service verursachen könnte. Beide betreffen Softwareversionen vor 4.3.1 und haben CVSS-Werte von 8,7 beziehungsweise 6,8.
Sicherheitsteams, die diese Systeme verwalten, sollten die aktuellen Empfehlungen des Herstellers zur Behebung befolgen und nicht davon ausgehen, dass alle Danfoss-Steuerungen gleichermaßen gefährdet sind.
Die französischen Ermittlungen dauern an, und das vollständige Ausmaß der beteiligten Schwachstellen ist noch nicht öffentlich geklärt.
Für Organisationen, die vernetzte Infrastruktur betreiben, ist die unmittelbare Lehre klar: Eine kompromittierte Steuerung kann zu einem unternehmensweiten Notfall werden. Sicherheitsteams, die anfällige Geräte identifizieren, den Fernzugriff beschränken und ihre Verfahren zur betrieblichen Wiederherstellung testen, sind besser aufgestellt, um den Schaden einzudämmen, bevor ein Cyberangriff zu einer physischen Krise wird.
Weiterführende Lektüre: Der Angriff auf die französischen Supermärkte erinnert an eine weitere aktuelle Bedrohung kritischer Infrastrukturen: „Hacker nehmen innerhalb eines Monats über 100 US-Wasserversorgungssysteme ins Visier“, in dem untersucht wird, wie Angreifer exponierte industrielle Steuerungssysteme ausnutzten, um den Betrieb zu stören.