Cyberangriff auf Kälteanlagen: BSI warnt vor Nachahmern

Der Cyberangriff auf Kälteanlagen in Frankreich hat die Sicherheitsdebatte in Deutschland erreicht: Nachdem unbekannte Angreifer in der Nacht vom 11. auf den 12. Oktober 2026 die Kühl- und Gefriertechnik in hunderten Supermärkten manipuliert hatten, warnte BSI-Präsidentin Claudia Plattner vor Nachahmern. Betroffen waren nach dem Alert der französischen Cybersicherheitsbehörde ANSSI Steuerungen der Danfoss-Baureihen AK-SC und AK-SM. Einen CVE gibt es bislang ebenso wenig wie einen bestätigten Patch; belastbare Angaben zu einem CVSS-Score oder einer Angreifergruppe liegen nicht vor.

Wie der Cyberangriff auf Kälteanlagen ablief

Die Angreifer schalteten die Anlagen nicht einfach ab — sie übernahmen die Kontrolle über deren Betriebsparameter. Nach der bislang detailliertesten Rekonstruktion des Angriffs erzwangen sie ferngesteuert die Abtauung der Kühlsysteme. Ein Abtauzyklus ist ein regulärer Vorgang, bei dem sich der Verdampfer kurzzeitig erwärmt; im Dauerbetrieb steigen die Temperaturen auf bis zu 50 °C. In einem Intermarché in La Haye in der Normandie sollen sogar 80 °C erreicht worden sein, wodurch Ausrüstung schmolz — diese Angabe geht auf eine Facebook-Mitteilung des Marktes selbst zurück und ist nicht behördlich bestätigt.

Das Ergebnis waren Brände, verdorbene Lebensmittel und lahmgelegte Tiefkühlsysteme in hunderten Märkten. Die früheste deutschsprachige Vorberichterstattung zum Angriff hatte zunächst nur dokumentiert, dass unbekannte Angreifer Kühl- und Gefriersysteme außer Betrieb setzten. Die eigentliche Mechanik und das Ausmaß wurden erst mit den Ermittlungen deutlich.

Betroffen waren nach Händlerangaben rund 180 Intermarché- und Netto-Märkte der Gruppe Les Mousquetaires, mindestens 100 Filialen von Coopérative U, 80 Carrefour-Märkte, 30 Monoprix-Filialen und mehrere E.Leclerc-Märkte. Auch unabhängige Lebensmittelgeschäfte und Metzgereien mit demselben Kühlsystem könnten betroffen sein. Diese Zahlen stammen aus Händlerangaben und Medienberichten, nicht aus behördlicher Bestätigung.

Was das BSI Betreibern jetzt empfiehlt

BSI-Präsidentin Claudia Plattner warnte am Dienstag mit deutlichen Worten: „Dieser Angriff hätte jedes Land treffen können und kann auch jetzt jederzeit Nachahmer finden." Nach den dort dokumentierten BSI-Empfehlungen sollten Betreiber aus dem Internet erreichbare Steuerungsanlagen „nach dem Stand der Technik" absichern — die Maßnahmen seien „unkompliziert umzusetzen". Konkret rät die Behörde, den direkten Zugriff aus dem Internet auf Steuerungssysteme zu unterbinden, stattdessen ein VPN zu nutzen und „multifaktorgeschützte Zugriffe" einzusetzen.

Die französische Regierung argumentiert in dieselbe Richtung: Eine Management-Oberfläche ins Internet zu exponieren, sei „contrary to best practices"; die Fernadministration solle auf vertrauenswürdige Wege beschränkt werden. Eine erste öffentliche BSI-Reaktion fasst die Haltung zusammen: „Die Vorfälle in Frankreich zeigen deutlich, wie Cyberangriffe unseren Alltag …" — der Satz ist in der vorliegenden Überlieferung abgeschnitten und daher nicht vollständig zitierfähig.

In Frankreich selbst wird der Fall inzwischen politisch eingeordnet. Nach den Berichten über die lahmgelegten Tiefkühlsysteme sprach Frankreichs Finanzminister von einem „Weckruf an alle". Das ist bemerkenswert, weil es die Kühltechnik aus der Nische der Facility-Steuerung in die Kategorie kritischer Versorgungssysteme hebt.

Danfoss AK-SC und AK-SM: veraltete Firmware, kein Patch

Der ANSSI-Alert benennt zwei Kälte-Management-Produktreihen von Danfoss als betroffen: AK-SC und AK-SM. Danfoss erklärte, die betroffenen Geräte „liefen mit veralteter Firmware"; das Unternehmen habe Kunden seit langem geraten, Systeme aktuell zu halten und Altsysteme zu migrieren. Ein konkretes Sicherheitsupdate oder eine CVE-Nummer ist im vorliegenden Material nicht belegt. Die Pariser Staatsanwaltschaft eröffnete eine Untersuchung; ANSSI prüft den Angriff nach eigenen Angaben sowohl auf nationaler Ebene, um potenzielle Opfer zu begleiten, als auch auf europäischer Ebene zur Abstimmung mit ihren Counterparts.

Bemerkenswert ist die Konstellation: Ein Hersteller verweist auf Wartungsversäumnisse, eine Behörde untersucht — und eine Angreifergruppe ist bislang nicht benannt. Eine Attribution ist damit zum jetzigen Zeitpunkt nicht möglich und sollte auch nicht spekulativ hergestellt werden.

Was belegt ist – und was offen bleibt

Die Schadenszahlen sind erheblich, aber unterschiedlich belegt. Der Intermarché-CEO Thierry Cotillard nannte Verluste in Höhe von „zig Millionen Euro landesweit an einem einzigen Tag"; Les Mousquetaires sprach von möglichen Verlusten in Höhe mehrerer Millionen Euro. Zwei Supermärkte im Elsass meldeten Verluste von 270.000 Euro. Alle diese Angaben stammen von den betroffenen Händlern selbst und sind nicht unabhängig bestätigt.

Auf EU-Ebene verurteilte der Kommissar für Landwirtschaft und Lebensmittel, Christophe Hansen, den Angriff: „Food security requires more attention at all levels, because the exploitation of food has become a reality." Der Satz markiert die eigentliche Tragweite: Nicht der Ausfall einer einzelnen Kühlung ist das Problem, sondern die gezielte Störung der Lebensmittelversorgung.

Fazit: Kühltechnik gehört ins Patch-Management

Betreiber vernetzter Kälte- und Steuerungsanlagen sollten den französischen Fall als konkreten Anlass für eine Bestandsaufnahme nehmen. Dazu gehört, jede erreichbare Management-Oberfläche zu inventarisieren, den Direktzugriff aus dem Internet zu unterbinden, Fernzugriffe über VPN und Multifaktor-Authentifizierung abzusichern und Firmware-Versionen systematisch zu überwachen — gerade bei Altsystemen, für die der Hersteller selbst die Migration empfiehlt.

Ob es einen Patch geben wird und welche Lücke genau ausgenutzt wurde, ist offen. Klar ist dagegen die Richtung der Empfehlungen: Ein Steuerungssystem, das aus dem Internet erreichbar ist, bleibt ein Angriffsziel — unabhängig davon, ob es in einem Supermarkt, einem Rechenzentrum oder einer Produktionshalle steht.

Quellen