Kühlanlagen gehackt: Welche Spuren Frankreich zum Iran führen

Ja, Frankreich macht die iranischen Revolutionsgarden offiziell für den Cyberangriff auf Supermarkt-Kühlanlagen vom 11. und 12. Oktober 2026 verantwortlich. Das französische Außenministerium veröffentlichte dazu eine Erklärung und verwies auf gemeinsame Ermittlungen der Sicherheitsbehörden. Ein öffentlich zugänglicher Bericht erläutert die Indizien für diese Zuschreibung.

Woher Frankreich seine Einschätzung nimmt

Das französische Außenministerium veröffentlichte am 9. November eine offizielle Erklärung. Darin nennt es die Einheit Shahid Kaveh als ausführende Gruppe und ordnet sie dem Elektronik- und Cyberzentrum der iranischen Revolutionsgarden zu. Frankreich kündigte an, seinen europäischen Partnern neue Sanktionen gegen beteiligte Personen und Organisationen vorzuschlagen. Das ist eine Ankündigung, noch kein Nachweis bereits beschlossener neuer EU-Sanktionen.

Auch die Justiz verfolgt die Spur zu Shahid Kaveh. Wie Le Monde unter Berufung auf eine Mitteilung der Pariser Staatsanwaltschaft berichtet, wurde am 9. November eine gerichtliche Untersuchung gegen den Leiter der Einheit und seine beiden Stellvertreter bekanntgegeben. Die Staatsanwaltschaft beantragte internationale Haftbefehle. Ein solcher Antrag bedeutet noch nicht, dass die Haftbefehle bereits erlassen wurden; die Beschuldigten sind damit auch nicht verurteilt.

Die technische Einschätzung stammt aus dem französischen Koordinierungszentrum für Cyberkrisen, kurz C4. Dort arbeiten unter anderem die Cybersicherheitsbehörde ANSSI sowie der Inlands- und der Auslandsnachrichtendienst zusammen. Ihr fünfseitiger Bericht wurde ebenfalls am 9. November über CERT-FR veröffentlicht.

Nach Darstellung der Behörden wurden bei rund 700 französischen Handelsstandorten die Einstellungen zum Abtauen der Kühlanlagen manipuliert. Hohe Temperaturen hätten große Warenverluste verursacht; in mindestens 15 Fällen seien Brände entstanden.

Welche Spuren laut Bericht zum Iran führen

Für die Zuschreibung nennen die Behörden auf den PDF-Seiten 2 und 3 ein Bündel von Indizien. Die für den Kühlanlagenangriff verwendete technische Infrastruktur sei im selben Zeitraum auch zum Auskundschaften von Schneider-Electric-Anlagen eingesetzt worden. Die dabei beobachteten Methoden seien bereits von Shahid Kaveh bekannt gewesen. Damit verknüpfen die Ermittler den aktuellen Fall mit früher beobachteten Aktivitäten.

Zusätzlich nennt der Bericht das Suchwerkzeug FOFA, mit dem die Angreifer nach erreichbaren Systemen gesucht hätten. Die Einheit verwende dieses Werkzeug regelmäßig. In der Angriffsinfrastruktur seien außerdem Spuren der persischen Sprache gefunden worden. Als weiteren Hinweis führen die Behörden an, dass CyberbanNews, ein der Einheit zugeordnetes Propagandaorgan, bereits am 13. Oktober über den Angriff berichtet habe.

Die französischen Stellen stützen ihre Schlussfolgerung auf das Zusammenpassen mehrerer Beobachtungen. Ein einzelnes Werkzeug oder eine Sprache würde für sich genommen keine bestimmte Täterschaft beweisen. Der öffentliche Bericht legt nicht sämtliche technischen Ermittlungsdaten offen. Wir können die Zuordnung daher nicht vollständig selbst nachprüfen und geben die Verantwortung als Zuschreibung der französischen Behörden wieder. Das ändert nichts daran, dass Frankreich den Vorwurf offiziell erhoben und öffentlich begründet hat.

Bei den IP-Spuren unterscheiden sich die veröffentlichten Quellen: Die im C4-Bericht erwähnten zwei IP-Adressen iranischer Internetanbieter betreffen den Fall im Umfeld der Olympischen Spiele 2024. Zusätzlich erklärte Staatsanwältin Laure Beccuau aber laut einem Bericht der Nachrichtenagentur ANSA, dass die Ermittler zum Kühlanlagenangriff auch IP-Adressen festgestellt hätten, die zu Geräten im Iran führten. Das ist ein zusätzlicher Hinweis aus der Justizmitteilung, den der C4-Bericht in seinem Abschnitt zu den Kühlanlagen nicht ausführt.

Was daraus für die Fälle in Deutschland folgt

Die französische Erklärung bezieht sich auf die Angriffe in Frankreich vom 11. und 12. Oktober. Sie klärt damit nicht automatisch, wer hinter späteren ähnlichen Vorfällen in anderen Ländern steckt. Der BR berichtete am 9. November, dass sich die deutschen Sicherheitsbehörden zur Verantwortung für die hiesigen Angriffe noch nicht festgelegt hätten. Für eine Zuschreibung auch der deutschen Fälle braucht es eigene Ermittlungsergebnisse; die Ähnlichkeit des Vorgehens reicht dafür allein nicht.