Cyberangriffe auf Supermarktkühlungen: Wie digitale Eingriffe Lebensmittel verderben lassen

Ein Supermarkt kann geöffnet sein und trotzdem einen Teil seiner Waren verlieren: wenn über Nacht die Kühlung ausfällt und der Schaden erst am nächsten Morgen auffällt. In Frankreich haben Cyberangriffe auf vernetzte Kühlsteuerungen genau dieses Problem ausgelöst. In mehreren Geschäften mussten Lebensmittel entsorgt werden. Nach Angaben von Finanzminister Roland Lescure waren rund 700 der etwa 10.000 französischen Supermärkte betroffen, berichtete die Tagesschau am 13. Oktober 2026. Eine Gefährdung der Lebensmittelversorgung des Landes insgesamt sah der Minister zu diesem Zeitpunkt nicht.

Die Angriffe richten den Blick auf eine Technik, die beim Einkaufen kaum jemand wahrnimmt. Hinter den Kühlregalen arbeiten elektronische Steuerungen, deren Einstellungen aus der Ferne verändert werden können. Wer unbefugt darauf zugreift, kann in den Betrieb der Anlage eingreifen. Der Fall zeigt damit eine unmittelbare Verbindung zwischen Computersicherheit und dem Zustand der Lebensmittel im Regal.

Die Angriffe betreffen inzwischen mehrere Steuerungssysteme

Die ersten Berichte bezogen sich auf Kühlsteuerungen von Danfoss. Inzwischen werden auch andere Systeme genannt. Laut der am 13. Oktober aktualisierten CERT-FR-Warnung betrifft die bekannte Kompromittierung die Danfoss-Serien AK-SM und AK-SC sowie Copeland XWEB und Dixell XWEB. Die französische Behörde nennt zahlreiche kompromittierte Geräte und hält weitere Angriffe für wahrscheinlich. Le Monde berichtete ebenfalls über neue Vorfälle bei Anlagen mit Dixell-Technik.

Damit ist die Entwicklung mehr als eine nachträglich korrigierte Herstellerbezeichnung. Betreiber können sich bei der Prüfung ihrer Anlagen nicht auf die zunächst genannte Danfoss-Technik beschränken. Aus der Erweiterung folgt allerdings noch kein Beweis, dass sämtliche Vorfälle von denselben Tätern oder mit derselben technischen Methode verursacht wurden. Mehrere betroffene Produktfamilien sind für die Absicherung relevant; für eine Zuschreibung braucht es weitere Ermittlungsergebnisse.

Ein veränderter Sollwert ist keine gemessene Temperatur

Le Monde schildert einen Fall aus der Region Bordeaux: Ein Kältetechniker berichtete, dass Angreifer Abtau- und Temperatureinstellungen veränderten. Bei Tiefkühlware wurde der Sollwert von minus 22 auf plus 150 Grad Celsius gesetzt. Das beschreibt einen manipulierten Steuerungswert, keine gemessene Temperatur von 150 Grad. Durch rasches Eingreifen ging dort laut dem Techniker keine Ware verloren. Ein E.Leclerc-Markt im Département Tarn meldete hingegen Warenverluste.

Die Unterscheidung hilft, die Berichte richtig zu lesen. Ein Sollwert gibt der Steuerung eine Vorgabe; der tatsächlich gemessene Wert beschreibt den Zustand an einem Sensor. Aus einer absurd hohen Vorgabe lässt sich daher nicht ableiten, dass das gesamte Gerät oder sämtliche Lebensmittel diese Temperatur erreichten. Für einen Schaden genügt bereits, dass die vorgesehene Kühlung länger ausbleibt.

Davon getrennt ist die Angabe von 50 Grad Celsius zu behandeln. Die Tagesschau berichtete unter Berufung auf die Pariser Staatsanwaltschaft, dass vernetzte Kühlgeräte über Nacht stundenlang auf diese Temperatur erhitzt worden seien. Der Bericht ersetzt keine Messprotokolle einzelner Anlagen. Die 50-Grad-Angabe wird deshalb hier als Aussage der Staatsanwaltschaft wiedergegeben und nicht pauschal auf alle betroffenen Supermärkte übertragen.

Der Fernzugang verbindet Wartung und Sicherheitsrisiko

Eine Fernsteuerung kann im Alltag nützlich sein. Ein Fachbetrieb kann Einstellungen prüfen oder auf eine Störung reagieren, ohne für jede Kontrolle in die Filiale fahren zu müssen. Der Zugang zu solchen Funktionen braucht allerdings Schutz. Eine über das öffentliche Internet erreichbare Verwaltungsoberfläche bietet auch Unbefugten einen möglichen Ansatzpunkt.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik fordert deshalb ausdrücklich, direkte Internetzugriffe auf Steuerungssysteme zu unterbinden. Seine aktuelle Warnung richtet sich auch an Betreiber kleiner industrieller und vergleichbarer Anlagen, darunter Systeme zur Kühlung von Lebensmitteln. Damit macht die Behörde deutlich, dass betriebliche Cybersicherheit über Bürocomputer und Kassensysteme hinausreicht.

Bei dieser sogenannten Betriebstechnik, häufig als OT für „Operational Technology“ bezeichnet, steuert Software physische Abläufe. Ein veränderter Parameter kann sich unmittelbar auf eine Anlage auswirken. Für die Verantwortlichen reicht es deshalb nicht, nach einem Vorfall nur zu prüfen, ob Kundendaten gestohlen wurden. Auch der tatsächliche Betriebszustand muss kontrolliert werden.

Eine funktionierende Anlage kann veraltete Software haben

Die Tagesschau gibt eine Stellungnahme von Danfoss wieder, wonach die meisten betroffenen Systeme ältere Produkte gewesen seien, für die keine Software- oder Sicherheitsupdates mehr bereitgestellt würden. Das ist eine Herstellerangabe zu den gemeldeten Vorfällen, keine vollständige technische Untersuchung aller betroffenen Geräte. Sie beschreibt aber ein Problem, das Betreiber berücksichtigen müssen: Die Nutzbarkeit einer Anlage und der Sicherheitsstatus ihrer Steuerung können auseinanderfallen.

Bekannte Schwachstellen in Danfoss-Geräten sind dokumentiert. In seinem Sicherheitshinweis DSA-2023-08-01 vom 21. August 2023 beschrieb das Unternehmen mehrere Sicherheitsprobleme beim Modell AK-SM 800A, darunter die Möglichkeit, aus der Ferne Befehle auszuführen. Danfoss verwies damals auf eine korrigierte Softwareversion. Damit ist eine frühere Schwachstelle belegt. Ob sie bei den aktuellen Angriffen ausgenutzt wurde, lässt sich daraus nicht feststellen.

Für Betriebe entsteht daraus eine konkrete Prüfaufgabe: Welches Modell ist eingebaut, welche Software läuft darauf und bekommt es noch Sicherheitsupdates? Ein Hinweis auf einen verfügbaren Patch für ein bestimmtes Modell hilft nur den Anlagen, auf die er tatsächlich passt. Bei Geräten ohne weitere Herstellerunterstützung muss die Absicherung beziehungsweise ein Austausch mit dem zuständigen Fachbetrieb bewertet werden.

Warum ein Zurücksetzen allein das Problem offenlassen kann

Bei einer manipulierten Kühlsteuerung liegt es nahe, zunächst den regulären Betrieb wiederherzustellen. Die CERT-FR-Warnung betont jedoch, dass ein Zurücksetzen auf Werkseinstellungen allein keinen dauerhaften Schutz schafft, wenn ein weiterhin verwundbares Gerät anschließend wieder ungesichert mit dem Internet verbunden wird. Wiederherstellung und Schutz des Zugangs erfüllen unterschiedliche Aufgaben.

Das BSI empfiehlt für notwendige Fernzugriffe VPN-Verbindungen und Mehrfaktor-Authentifizierung. Ein VPN ermöglicht einen abgesicherten Zugang zu einem Netzwerk; ein zusätzlicher Anmeldefaktor ergänzt den Schutz durch das Passwort. Die Behörde fordert außerdem zeitnahe Sicherheitsupdates und eine Prüfung, welche Geräte von außen erreichbar sind. Die Umsetzung gehört in die Hände der zuständigen IT-Verantwortlichen und Anlagenfachbetriebe, damit die Schutzmaßnahmen zum Betrieb der Kühlung passen.

Nach einem Eingriff muss zudem die Konfiguration geprüft werden. Dazu gehören laut CERT-FR insbesondere die Abtauzyklen. Eine wieder erreichbare Bedienoberfläche sagt für sich genommen noch nichts darüber aus, ob sämtliche Einstellungen wieder korrekt sind. Für den Betrieb zählt, dass die Anlage kontrolliert arbeitet und ihre vorgesehenen Funktionen erfüllt.

Eine Warnung für andere Länder ist noch kein bestätigter Angriff

Das BSI sieht in den französischen Vorfällen ein Risiko, das auch andere Länder betreffen und Nachahmer anziehen könnte. In den für diesen Artikel geprüften Quellen sind jedoch keine konkreten betroffenen Filialen in Österreich, Deutschland oder der Schweiz belegt. Die geografische Reichweite einer Warnung darf deshalb nicht mit der Reichweite nachgewiesener Angriffe gleichgesetzt werden.

Auch die Zahl von rund 700 betroffenen französischen Märkten braucht eine klare Zuordnung. Sie stammt aus der Aussage des Ministers. Sie besagt weder, dass in jeder dieser Filialen Lebensmittel vernichtet werden mussten, noch dass die Differenz zu früheren Angaben vollständig auf neue Angriffe zurückgeht. Eine umfassendere Erfassung kann höhere Zahlen ergeben. Eine unabhängig überprüfte Gesamtzählung liegt diesem Artikel nicht zugrunde.

Wer hinter den Angriffen steckt und welche Zugangswege im Einzelnen genutzt wurden, bleibt nach den vorliegenden Informationen ungeklärt. Für die Betreiber ist dennoch bereits ein überprüfbarer Handlungsansatz vorhanden: Sie müssen wissen, wer ihre Kühlanlagen aus der Ferne bedienen kann und wie dieser Zugang geschützt ist. Beim Kauf einer Anlage gehört damit auch die Frage dazu, wie lange ihre Steuerung sicher betrieben und gewartet werden kann.