Danfoss Kühlsteuerung: Cyberangriff auf französische Märkte

In der Nacht vom 11. auf den 12. Oktober 2026 haben unbekannte Angreifer die Kühl- und Gefrieranlagen in mehreren hundert französischen Supermärkten per Fernzugriff in einen dauerhaften Abtaubetrieb gezwungen. Im Zentrum steht die Danfoss Kühlsteuerung: Regeltechnik des dänischen Herstellers Danfoss, die in zahlreichen Filialen die Temperaturführung übernimmt und offenbar aus dem Internet erreichbar war. Statt Kälte erzeugten die Anlagen über Stunden Hitze – mit verdorbenen Lebensmitteln, Millionenschäden und ersten Ermittlungen der Pariser Staatsanwaltschaft.

Betroffen sind mehrere große Handelsketten, deren Namen die französische Justiz inzwischen bestätigt hat: Intermarché mit rund 150 bis 200 Filialen, Coopérative U mit weniger als 100, Carrefour mit etwa 80 seiner 6.000 Standorte und Monoprix mit rund 30. E. Leclerc soll ebenfalls betroffen sein, hat dies aber bislang nicht bestätigt.

Danfoss Kühlsteuerung: 50 Grad statt Kühlbetrieb

Der eigentliche Schaden entstand nicht durch gestohlene Daten, sondern durch Physik. Die manipulierten Regler fuhren den Abtauzyklus nicht wie vorgesehen für rund zwei Stunden am Tag, sondern dauerhaft. Über etwa sechs Stunden stieg die Temperatur in den Anlagen auf rund 50 Grad Celsius. Fleisch, Tiefkühlware und Gemüse mussten entsorgt werden; in einigen Filialen kam es zu Bränden.

Bemerkenswert ist die Geschwindigkeit: Der Angriff traf die Filialen in einer einzigen Nacht. Solche Gleichzeitigkeit deutet auf ein automatisiertes Vorgehen hin – auf ein Skript, das viele erreichbare Geräte in kurzer Zeit umkonfiguriert, statt auf manuelle Einzelangriffe.

Die wirtschaftlichen Folgen lassen sich bereits beziffern: Zwei Filialen im Elsass meldeten einen kombinierten Schaden von 270.000 Euro (rund 302.000 Dollar). Landesweit rechnen Branchenbeobachter mit mehreren Millionen Euro – eine belastbare Gesamtsumme liegt aber noch nicht vor.

Die Schwachstelle war seit August bekannt

Besonders brisant ist der zeitliche Zusammenhang. Bereits im August 2026 hatte das Sicherheitsforschungsteam Claroty Team82 Schwachstellen in Danfoss-Kühlreglern dokumentiert. Demnach erlaubte ein versteckter Login, der auf einem täglich wechselnden Code basierte, administrativen Zugriff auf die Geräte. Tausende Regler waren über das Internet erreichbar. Danfoss hatte daraufhin eine Firmware-Korrektur veröffentlicht.

Ob genau diese Lücke für den Angriff genutzt wurde, ist unbestätigt. Weder Danfoss noch die betroffenen Ketten haben öffentlich erklärt, welcher Einbruchsvektor verwendet wurde. Auch eine Stellungnahme von Danfoss zum konkreten Vorfall liegt bislang nicht vor.

Bemerkenswert ist die Reaktion des Intermarché-Betreibers Mousquetaires: Das Unternehmen nannte Danfoss als Systemlieferanten und erklärte, die Meldepflicht an die Behörden liege beim Lieferanten. Ob das rechtlich trägt, ist offen – die Verantwortung für den sicheren Betrieb der Anlagen liegt faktisch beim Händler.

OT-Sicherheit: Warum Patch-Zyklen hier versagen

Der Fall ist ein Lehrstück über einen blinden Fleck der OT-Sicherheit. Kühlregler sind keine klassische IT: Sie laufen jahrelang unbeobachtet, werden selten inventarisiert und noch seltener aktualisiert. Ein Firmware-Fix, der bereits zwei Monate vor dem Vorfall existierte, nützt wenig, wenn ihn niemand einspielt. Genau dieses Muster – ein bekannter, bereits korrigierter Fehler, der in der Fläche ungepatcht bleibt – nutzen Angreifer systematisch aus.

Erschwerend kommt hinzu, dass viele dieser Geräte überhaupt nur erreichbar sind, weil sie unnötig am offenen Internet hängen. Eine Kühlsteuerung braucht Fernwartung und Monitoring – aber keine Verbindung für jedermann. Solange Hersteller solche Regler mit versteckten Login-Hintertüren und ohne erzwungene Netzsegmentierung ausliefern, bleibt jede einzelne Filiale ein potenzielles Ziel.

Hinzu kommt ein organisatorisches Problem: In vielen Handelsketten fällt die Kühltechnik in den Zuständigkeitsbereich der Filial- oder Facility-Leitung, während IT-Sicherheit zentral sitzt. Wer für ein Gerät verantwortlich ist, das weder klassische IT noch reine Haustechnik ist, bleibt oft unklar. Genau in dieser Lücke verschwindet die Zuständigkeit für Updates – und mit ihr die Sicherheit.

Ermittlungen und offene Widersprüche

Die Pariser Staatsanwaltschaft hat Ermittlungen zu einem großangelegten Cyberangriff auf vernetzte Kühlanlagen mehrerer großer Lebensmittelhändler eingeleitet. Noch unklar ist, ob es sich um eine koordinierte Kampagne gegen alle Ketten handelte oder um mehrere zeitgleiche Vorfälle.

Auch die Zahl der betroffenen Filialen ist nicht abschließend geklärt. Unabhängige Berichte bestätigen zwar die Größenordnung von mehreren hundert Standorten. Während die belastbaren Angaben von deutlich unter 300 bestätigten Filialen ausgehen, nennt eine einzelne, nur eingeschränkt zugängliche Quelle rund 400 Filialen inklusive Netto. Diese höhere Zahl lässt sich bislang nicht unabhängig bestätigen und ist mit Vorsicht zu behandeln.

Fazit: Ein Patch ist nur die halbe Miete

Der Vorfall zeigt, dass der wichtigste Hebel nicht neue Technik ist, sondern Konsequenz im Bestand: Kühlanlagen inventarisieren, aus dem offenen Internet nehmen, Segmentierung erzwingen und Firmware-Updates als wiederkehrende Routine etablieren. Für Betreiber kritischer Kühlketten gilt: Ein verfügbarer Patch ist nur die halbe Miete – die andere Hälfte ist die Frage, wer ihn wann einspielt.

Ob die betroffenen Ketten Lehren ziehen, wird sich in den nächsten Wochen zeigen: Entscheidend ist nicht die Ankündigung eines Audits, sondern ob der vorhandene Firmware-Fix tatsächlich auf jedem erreichbaren Regler landet. Bleibt der Angriffsweg unaufgeklärt, droht die nächste Welle – dann womöglich in einem anderen Land, mit demselben blinden Fleck.

Quellen