In der Nacht auf Montag, den 2. November 2026, haben Angreifer in Supermärkten in ganz Europa die Einstellungen von Kühlsteuerungen verändert und Kühlregale und Tiefkühler aufgeheizt. Drei Wochen nach den Angriffen auf Hunderte französische Filialen ist klar: Das war kein Einzelfall.
Was passiert ist
Die Kühlmöbel eines Ladens werden von einer Kühlstellensteuerung geregelt, einem kleinen Computer, den Kältetechniker aus der Ferne überwachen und einstellen können. Genau dieser Fernzugriff ist das Ziel. The Hacker News hat zusammengetragen, was Ketten und Lieferanten bisher gesagt haben.
Die Angreifer gingen auf zwei Arten vor. In Belgien schalteten sie Kühlgeräte in den Abtaumodus, der eigentlich Eis entfernen soll, die Geräte hier aber aufheizte. Anderswo stellten sie einfach die Solltemperatur hoch: Ein Laden in Südschweden fand seine Kühlregale und Tiefkühler auf 50 °C eingestellt, und eine Metzgerei bei Antwerpen verlor bei bis zu 18 °C Fleisch im Wert von rund 15'000 Euro.
Keine Kette meldete mehr als einige Dutzend Filialen, aber die Liste ist lang:
- Belgien und Luxemburg: Delhaize, Carrefour, Intermarché, unabhängige Spar-Läden und ein IKEA in Mons
- Schweden: ICA und Coop
- Irland: 13 SuperValu-Filialen, die gekühlte und tiefgekühlte Ware aus dem Verkauf nahmen
- Niederlande: mindestens 17 Betriebe, darunter Metzgereien und kleine Quartierläden
- Estland, Finnland, Portugal und Italien: einzelne Läden
Nicht jedes Unternehmen spricht von einem Cyberangriff. Manche nennen es einen IT-Vorfall oder ungewöhnliche Temperaturen. Danfoss, der dänische Hersteller der Steuerungen, bestätigt, dass seine Produkte betroffen sind, wie schon in Frankreich. In Belgien soll es auch Geräte eines zweiten Herstellers, Copeland, getroffen haben.
Wie die Angreifer hineinkamen
Eine Schwachstelle wurde nicht genannt. Was die Unternehmen beschreiben, ist weniger spektakulär. Laut Danfoss hingen die betroffenen Anlagen in den Niederlanden nicht in einem geschützten Netz und liefen noch mit Standardpasswörtern. Die meisten Läden dort hatten nach dem Angriff in Frankreich gehandelt, getroffen hat es die wenigen, die das nicht getan hatten. Danfoss verweist ausserdem auf veraltete Software bei Kunden, die nicht aktualisiert hatten, und der Lieferant in Estland nennt alte Steuerungen ohne Updates als Ziel. In Estland war der betroffene Laden der letzte, der noch auf ein neues System wartete.
Wer dahintersteckt, ist offen. Niemand hat sich zu den Angriffen bekannt, und eine ähnliche Methode beweist nicht, dass es dieselben Täter sind. Das belgische Zentrum für Cybersicherheit hält es für möglich, dass es nie geklärt wird. Die belgische Bundesanwaltschaft hat ein Strafverfahren eröffnet.
Bist du betroffen?
Gut möglich, wenn dein Betrieb Ware kühlt und ein Kältetechniker die Anlage aus der Ferne betreut. Das betrifft nicht nur Supermärkte, sondern auch Metzgereien, Bäckereien, Restaurants, Hotels und Lager. Das französische CERT nennt Steuerungen der Serien Danfoss AK-SM und AK-SC sowie Copeland xweb und Dixell xweb und geht davon aus, dass die Kampagnen wahrscheinlich weiterlaufen. Die Berichte nennen bisher keine Fälle aus der Schweiz, aber an der Methode ist nichts an ein Land gebunden.
Was du jetzt tun solltest
- Beim Kältetechniker nachfragen. Wie ist die Steuerung von aussen erreichbar, welches Modell mit welcher Firmware läuft, und wurden die Standardpasswörter geändert? Lass dir die Antwort schriftlich geben.
- Die Steuerung vom Internet nehmen. Sie sollte von aussen nicht erreichbar sein, auch nicht über eine öffentliche IP-Adresse. Bevor du die Datenverbindung zum Kältetechniker kappst, wirf einen Blick in deinen Versicherungsvertrag.
- Fernzugriff nur über VPN oder ein geschütztes Netz. CERT-FR lässt das Filtern der IP-Adressen des Technikers an der Firewall als Notmassnahme gelten, nicht als dauerhafte Lösung.
- Die ganze Konfiguration prüfen. Achte besonders auf die Abtauzeiten, denn die Angriffe in Belgien liefen über den Abtaumodus.
- Aktualisieren und härten. Spiel die aktuelle Firmware ein. Bei Danfoss-Geräten stellst du die Sicherheitsstufe auf Strict.
- Geräte ohne Support ersetzen. Laut Danfoss waren die meisten in Frankreich betroffenen Geräte AK-SM 800 und AK-SC 355, die keine Updates mehr erhalten. CERT-FR rechnet damit, dass solche Geräte kompromittiert werden, wenn sie am Internet bleiben, und ein Zurücksetzen allein ändert daran nichts.
- Dafür sorgen, dass es jemand merkt. Ein Temperaturalarm, der auch nachts einen Menschen erreicht, begrenzt den Schaden, egal was die Ursache ist.
Wurde eine Steuerung bereits manipuliert, empfiehlt CERT-FR, sie neu zu starten oder auf Werkseinstellungen zurückzusetzen und vollständig neu zu konfigurieren, bevor sie wieder in Betrieb geht. Das schwedische Nationale Zentrum für Cybersicherheit ergänzt den Schritt, der hinter all dem steht: alle Geräte auflisten, die am Internet hängen, für jedes entscheiden, ob das wirklich nötig ist, und den Rest aktuell halten.
Ein belgischer Kältetechniker weist darauf hin, dass ein Software-Update oft nicht reicht, weil ältere Anlagen bauliche Änderungen brauchen, die Geld kosten. Das plant man besser jetzt als nach der nächsten Welle.
Unsicher, welche deiner Geräte vom Internet aus erreichbar sind? Pentesting und Beratung →