In der Nacht des 11. Oktober griffen Angreifer auf Hunderte französischer Supermärkte zu und manipulierten das Betriebsverhalten der dortigen Kälteanlagen. Bis zum Morgen erreichten Kühlregale, die Lebensmittel eigentlich knapp über dem Gefrierpunkt halten sollten, Temperaturen von bis zu 50 °C. Drei Wochen später, in der Nacht des 1. November, wiederholte sich das Ereignis – diesmal in Belgien, Luxemburg, Schweden, Irland, Estland, den Niederlanden und Finnland. 

Dieser Cyberangriff auf den Lebensmitteleinzelhandel im Jahr 2026 ist eines der deutlichsten aktuellen Beispiele für einen Cyberangriff auf Kühlsysteme mit direkten physischen Auswirkungen. Er beinhaltete weder Ransomware noch Lösegeldforderungen, und bislang liegt keine öffentliche Bekennung vor. Zudem offenbart der Vorfall eine zentrale Schwachstelle der OT-Sicherheit im Einzelhandel: Einige der folgenschwersten Steuerungssysteme in den Filialen laufen auf Systemen, die von der IT-Abteilung nie inventarisiert wurden. 

Dieser Fachbeitrag unterscheidet verifizierte Fakten von Medienberichten und derzeit noch offenen Fragen. Anschließend wird erläutert, wie Kältesteuerungssysteme aufgebaut sind, warum sie exponiert waren, wie Angreifer sie manipulieren konnten und welche Maßnahmen Betreiber nun zwingend ergreifen sollten. 

Management Summary 

• Das Lagebild. Angreifer änderten per Fernzugriff Parameter auf Kältereglern, erzwangen Abtauzyklen und trieben die Temperaturen in die Höhe. Das CERT-FR bestätigte „zahlreiche Kompromittierungen“ von Danfoss AK-SM- und AK-SC-Reglern sowie Copeland/Dixell XWEB-Supervisors. [S8] 

• Zwei Angriffswellen. Die erste Welle traf Frankreich am 11./12. Oktober. Die zweite Welle erfasste am 1./2. November mindestens sieben Länder. [S6, S1, S4] 

• Angriffsvektor öffentlich unbestätigt. Das CERT-FR verweist auf aus dem Internet erreichbare Management-Schnittstellen. Danfoss gab an, dass die betroffenen niederländischen Systeme in Welle 2 in einem ungesicherten Netzwerk betrieben wurden und Standardpasswörter nutzten. Eine offizielle Bestätigung über eine spezifisch ausgenutzte Schwachstelle liegt bislang nicht vor. [S8, S12, S13] 

• Zahlreiche Legacy-Systeme ohne Support. Nach Angaben von Danfoss hatten viele der betroffenen Geräte den End-of-Life-Status erreicht oder liefen mit veralteter Firmware. [S15] 

• Keine Attribution. Bislang hat sich keine Gruppierung zu den Angriffen bekannt, Lösegeldforderungen wurden nicht gemeldet; die Ermittlungsbehörden in Frankreich und Belgien sind eingeschaltet. [S15, S6] 

• Zentrale Erkenntnis. Ein Steuerungsgerät, das lebensmittelsicherheitskritische Solltemperaturen regelt und aus dem Internet erreichbar ist, stellt ein kritisches OT-Asset dar. Es erfordert dieselben Sicherheitsstandards wie eine speicherprogrammierbare Steuerung (PLC) in der industriellen Fertigung. 

Verifizierter Ablauf des Vorfalls 

Welle 1: Frankreich, 11.–12. Oktober 

Leclerc, Intermarché und Coopérative U bestätigten der AFP einen Cyberangriff. Leclerc erklärte, dass ein Dienstleister für Kältetechnik betroffen gewesen sei. Die Pariser Staatsanwaltschaft leitete ein Ermittlungsverfahren wegen eines „großangelegten Cyberangriffs“ auf vernetzte Kühlsysteme mehrerer Handelsketten ein. [S6] Nach Berichten des französischen Senders BFM initiierten die Angreifer ferngesteuert manuelle Abtauprozesse. [S6] Reuters berichtete von mindestens 350 betroffenen Supermärkten. [S15] In einigen Filialen brachen Brände aus; ein kausaler Zusammenhang mit dem Cyberangriff ist bisher jedoch durch keine Quelle belegt. [S7] 

Welle 2: Sieben Länder, 1.–2. November 

Delhaize meldete einen „IT-Vorfall“, der die Kälteanlagen in mehreren Dutzend Filialen in Belgien und Luxemburg beeinträchtigte. Carrefour Belgien teilte mit, dass ein Angriff auf Kälteinstallationen „äußerst begrenzte Auswirkungen“ auf 15 von mehr als 700 Filialen gehabt habe. [S4] Die Colruyt Group gab an, etwa fünf von selbstständigen Kaufleuten betriebene Spar-Märkte seien betroffen gewesen. [S2] In Schweden meldete ein Markt in Sjöbo, dass Kühl- und Tiefkühlgeräte auf 50 °C hochgeregelt worden seien. [S4] Coop berichtete von 7 betroffenen Standorten unter 800 Filialen. [S1] In Irland gab der Mutterkonzern von SuperValu an, dass 13 von 223 Märkten betroffen gewesen seien, beschränkt auf ein bestimmtes Kälteanlagenmodell. [S3] Das estnische Unternehmen Kitman Coldtech meldete einen betroffenen Kunden nach einem unberechtigten Zugriff auf einen Steuerungs-PC. [S3, S4] 

In den Niederlanden teilte Danfoss dem Sender NOS mit, dass mindestens 17 Betriebe betroffen gewesen seien – überwiegend Metzgereien und Nachbarschaftsläden sowie ein Tiefkühllager, dessen Sollwert von −20 °C auf −10 °C verstellt wurde. Große niederländische Supermarktketten waren nicht betroffen. [S12, S13] 

Faktenlage: Bestätigt, gemeldet und ungeklärt im Überblick 

Architektur von Kälteanlagen im Lebensmitteleinzelhandel 

Eine Kälteanlage im Supermarkt stellt de facto ein Prozessleitsystem (Distributed Control System, DCS) dar, auch wenn es in der Praxis selten so bezeichnet wird. 

Thermodynamische Ebene. Verdichter, meist in Verbundanlagen auf einer gemeinsamen Saugleitung angeordnet, saugen Kältemittel aus den Kühlstellen ab und verdichten es. Ein Verflüssiger (Kondensator), typischerweise auf dem Gebäudedach montiert, führt die Wärme an die Umgebung ab. Das Kältemittel gelangt anschließend über Expansionsventile, welche den Massenstrom regeln, zu den Verdampfern in Kühlmöbeln und Kühlzellen. Ventilatoren gewährleisten die Luftzirkulation über den Verdampfern. Temperatur- und Drucksensoren liefern Messwerte kontinuierlich an die Steuerungen zurück. 

Abtauprozess. Verdampferlamellen bereisen im Betrieb und müssen zyklisch abgetaut werden. Je nach Anlagendesign geschieht dies über elektrische Heizstäbe, Heißgasabtauung oder temporäre Unterbrechung der Kältemittelzufuhr. Das Abtauen ist eine reguläre Betriebsfunktion. Genau das macht es für Angreifer attraktiv: Ein Controller, der in einen permanenten Abtaumodus versetzt wird, führt lediglich eine vorgesehene Systemfunktion aus. 

Steuerungsebene (Automatisierungspyramide): 

1. Feldebenengeräte: Sensoren, Ventile, Lüfter, Heizelemente. 

2. Kühlstellen- und Verbundregler: Dedizierte Kälteregler zur Steuerung einzelner Kühlstellen und Verdichterverbunde. Einige Anlagen nutzen hierfür PLCs. 

3. System-Manager bzw. Supervisors: Gateways und Leitgeräte wie die Serien Danfoss AK-SM und AK-SC sowie Copeland/Dixell XWEB. Sie bündeln Dutzende Regler über herstellerspezifische Feldbusse, speichern Sollwerte und Abtauzeitpläne, verwalten Alarmmeldungen und stellen ein Webinterface für das Bedienpersonal bereit. [S8, S10] 

4. Filial- und Gebäudenetzwerke: Der Supervisor ist mit dem lokalen Filialnetz (LAN) verbunden, häufig parallel zu einem Gebäudeleittechnik-System (GLT/BMS), das HLK- und Beleuchtungssysteme über Protokolle wie BACnet steuert. 

5. Fernüberwachung und Fernwartung (Remote Maintenance): Dienstleister, Hersteller oder zentrale Betriebsteams greifen remote auf den Supervisor zu, um Temperaturdaten zu erfassen, Alarme zu empfangen und Parameter anzupassen. Dies reduziert Betriebskosten und Vor-Ort-Einsätze erheblich. [S10] 

Relevanz für die IT/OT-Sicherheit. Der Supervisor bildet den zentralen Aggregationspunkt. Er besitzt die Berechtigung, Parameter auf allen untergeordneten Feldgeräten zu modifizieren, und stellt über Web-Schnittstelle und IP-Adresse die Verbindung zur Außenwelt dar. Eine Kompromittierung des Supervisors ermöglicht den uneingeschränkten Zugriff auf jede Kühlstelle im Markt. 

Heterogene Betriebsmodelle. Einige Handelsunternehmen betreiben ihre Kältetechnik selbstständig, viele lagern sie an externe Dienstleister aus. Leclerc benannte einen Kältetechnik-Zulieferer als primär betroffene Stelle, und auch bei Intermarché verwaltete ein Dienstleister die Kälteanlagen. [S6, S25] Die detaillierte Netzwerkarchitektur der betroffenen Märkte ist nicht öffentlich publiziert und unterscheidet sich stark nach Betreiber, Dienstleister und Modernisierungsgrad der Liegenschaft. 

Einstufung von Kälteanlagen als OT-Angriffsfläche 

Kälteregler erfüllen alle Kriterien Operational Technology (OT): Sie erfassen und steuern physische Prozesse, laufen auf Embedded-Firmware mit langen Lebenszyklen und können im laufenden Betrieb unterbrechungsfrei kaum neu gestartet werden, ohne Risiken für verderbliche Waren zu erzeugen. 

Folgende Faktoren erhöhen das Schadenspotenzial: 

• Unmittelbare physische Auswirkung: Parameteränderungen führen innerhalb von Minuten zu kritischen Temperaturanstiegen. 

• Exposition im Internet: Claroty identifizierte im August 2026 bei Scans 2.765 öffentlich über das Internet erreichbare Interfaces des Typs AK-SM 800A. [S9] Dies betrifft lediglich ein Modell und quantifiziert die Erreichbarkeit, nicht zwingend das Vorliegen ausnutzbarer Sicherheitslücken. 

• Hoher Anteil an Legacy-Systemen: Der AK-SM 800 erreichte sein End-of-Life (EoL) im Mai 2021; der AK-SC 355 wurde bereits 2016 abgekündigt. Für beide Geräte werden keine Sicherheitsupdates mehr bereitgestellt. [S20, S21] 

• Unklare Zuständigkeiten: Das Facility Management beschafft die Anlagen, externe Kältetechniker verwalten die Fernwartungszugänge, und in den IT-Asset-Datenbanken tauchen diese Systeme nicht auf. Diese von hard2bit beschriebene Diskrepanz deckt sich mit den Aussagen betroffener Händler. [S21] 

• Verzögerte Erkennung: Ein beginnender Temperaturanstieg wird zunächst oft als rein mechanische Störung fehlinterpretiert. Berichten zufolge bemerkten manche Filialen die Manipulation erst Stunden nach dem Eingriff. [S1] 

Mögliche Manipulationsszenarien bei Kältesteuerungen 

Die folgende Tabelle stellt Manipulationsmöglichkeiten dar, die durch unbefugten Zugriff auf einen Supervisor realisierbar sind, inklusive ihrer betrieblichen Folgen. Lediglich die ersten beiden Szenarien wurden im aktuellen Vorfall verifiziert. Die weiteren Punkte dienen defensiven Sicherheits- und Monitoring-Analysen. Es handelt sich nicht um Handlungsanleitungen. 

Hinweis zum letzten Tabellenpunkt: Laut CERT-FR genügt das bloße Zurücksetzen eines exponierten, nicht mehr unterstützten Geräts auf Werkseinstellungen nicht, solange die Exposition bestehen bleibt. Das Prinzip ist eindeutig: Wird ein Gerät ohne Härtung und Schließung des Zugangs zurückgesetzt, bleibt die Verwundbarkeit vollständig bestehen. 

Analyse der Angriffskette 

Evidenzbasierte Rekonstruktion 

Bislang lassen sich nur einzelne Phasen der Angriffskette zweifelsfrei belegen. 

1. Zielaufklärung (Reconnaissance): Methode unbestätigt. Mittels Suchmaschinen wie Censys oder Shodan lassen sich exponierte Controller automatisiert identifizieren. [S9] Dies belegt die technische Machbarkeit, jedoch nicht zwingend das Vorgehen der Akteure. 

2. Initialer Zugriff (Initial Access): Methode unbestätigt. Für ein Teilsegment (niederländische Systeme in Welle 2) verweist Danfoss auf Standardpasswörter in Verbindung mit ungesicherten Netzwerken. [S12, S13] 

3. Konfigurationsänderung (Execution): Bestätigt: Erzwingen von Abtauzyklen und unzulässiges Anheben von Solltemperaturen. [S2, S6, S8] 

4. Schadensausmaß (Impact): Bestätigt: Gravierende Temperaturanstiege, Warenverderb, massive Störung des Geschäftsbetriebs. [S1, S6] 

5. Detektion und Incident Response: Delhaize trennte die Kälteanlagen umgehend vom Internet. Techniker des Dienstleisters Sabcobel führten in Nachtschichten Notabschaltungen der Remote-Anbindungen durch. [S12, S18] 

Aus keiner Quelle geht hervor, dass Schadsoftware (Malware) auf den Controllern platziert wurde. Ein ehemaliger Vertreter der ANSSI äußerte gegenüber CNN, dass die Täter vermutlich ohne Schadcode agiert hätten. [S16] Ebenso fehlen Nachweise über laterale Bewegungen in die administrative Filial-IT oder über Datenexfiltration. Das Fehlen von Nachweisen stellt jedoch keinen Gegenbeweis dar. 

Hypothetische Angriffspfade (für die defensive Notfallplanung) 

Da der exakte Vektor nicht abschließend gesichert ist, dienen folgende plausible Szenarien der Überprüfung eigener Abwehrmechanismen. Keines der Szenarien ist offiziell bestätigt. 

Drei im Jahr 2025 geschlossene Sicherheitslücken in Danfoss AK-SM 800A (CVE-2025-41450, CVE-2025-41451 und CVE-2025-41452) liefern technischen Kontext, sind aber nicht zwingend die Ursache. Claroty veröffentlichte hierzu im August 2026 Untersuchungen; offizielle Stellen haben eine Ausnutzung in diesem Kontext bisher nicht bestätigt. [S10, S27, S28] Berichte, die Gegenteiliges behaupten, entbehren einer belastbaren Faktenbasis. 

Mapping auf MITRE ATT&CK for ICS 

Das nachfolgende Mapping ist bewusst konservativ gehalten. Techniken und Kennungen wurden mit der ICS-Matrix von MITRE ATT&CK abgeglichen. Aufgrund fortlaufender Aktualisierungen der Matrix sollten Kennungen vor internen Audits überprüft werden. 

Auf die Zuordnung von „Unauthorized Command Message“ (T0855) wurde verzichtet, da die Berichterstattung nicht eindeutig belegt, ob Befehle über das Webinterface oder über ein unterlagertes Feldbusprotokoll abgesetzt wurden. 

Plausible initiale Zugangsvektoren (nach Evidenz priorisiert): 

1. Direkte Internet-Exposition mit schwachen/Standard-Zugangsdaten: Belastbare Hinweise für Teilbereiche der Welle 2. [S12, S13] 

2. Direkte Internet-Exposition mit ungepatchter oder EoL-Firmware: Gestützt durch Aussagen von Danfoss bezüglich Altsystemen, aber bisher ohne Nachweis eines spezifischen Exploits. [S15, S20] 

3. Missbrauch von Fernwartungszugängen Dritter / Dienstleister-Kompromittierung: Technisch denkbar, forensisch nicht belegt. 

4. Lateral Movement aus dem IT-Netzwerk in die Filial-OT: Durch keinerlei Berichte gestützt. 

Diese Rangfolge ist im Lichte weiterer Ermittlungsergebnisse zu bewerten. Der CEO von Sabcobel gab gegenüber Belga an, rund 10 % der eigenen Anlagen seien nach der Frankreich-Welle ungesichert verblieben – ein Teil davon war am 2. November betroffen. [S2, S19] Dies deutet darauf hin, dass die zweite Welle vor allem das Zeitfenster zwischen Warnung und tatsächlicher Härtung ausnutzte. Es handelt sich hierbei um eine plausible Lagebeurteilung, nicht um ein juristisches Faktum. 

IT/OT-Konvergenz und Risiken unregulierter Fernzugriffe 

Typische Angriffsszenarien beginnen mit einer Phishing-Mail im Office-Netz, bewegen sich lateral durch die Unternehmens-IT und dringen schließlich zur speicherprogrammierbaren Steuerung (PLC) vor. Dieser Vorfall wich von diesem Muster ab. 

Der Angriffsvektor war direkter: Die OT-Supervisors waren unmittelbar über das Internet erreichbar. Ein Durchdringen des klassischen IT-Netzwerks war nicht erforderlich. IT/OT-Konvergenz bedeutete in diesem Fall eine durch Bequemlichkeit getriebene Exposition: Um Technikern den unkomplizierten Fernzugriff zu ermöglichen, wurden Steuerungen ohne Schutzmaßnahmen im Netz exponiert. 

Daraus erwachsen IT/OT-Risiken in beiden Richtungen: 

• Filialnetzwerke: Der Supervisor teilt sich häufig dieselbe LAN-Infrastruktur mit der Gebäudeautomation (GLT) und mitunter Kassensystemen (PoS) oder Büro-PCs. Ein kompromittierter Controller kann als Brückenkopf für laterale Bewegungen dienen. Claroty warnt explizit vor solchen Übergangspunkten in operative Netze. [S9] Entsprechende Angriffsaktivitäten wurden bislang nicht gemeldet. 

• Zentralisierte Leitstände: Ein einzelnes Portal oder geteilte Zugangsdaten über hunderte Standorte hinweg machen aus einem Einzelfall ein flächendeckendes Großschadensereignis. 

• Dienstleisteranbindungen: Das Outsourcen der Kältetechnik verlagert ein kritisches Vertrauensverhältnis außerhalb der direkten Kontrollsphäre der internen IT-Sicherheit. 

• Identitätsmissbrauch: Filialübergreifend wiederverwendete Administrationskonten potenzieren die Wirkung kompromittierter Anmeldedaten. 

• Cloud-Integration: Cloudbasierte Wartungsdienste stellen einen zusätzlichen authentifizierten Pfad zur Steuerungsebene dar. 

Zentrale IT-Sicherheitsregel: Gehen Sie niemals davon aus, dass IT-Sicherheitsrichtlinien Komponenten schützen, die in den IT-Bestandsverzeichnissen gar nicht aufgeführt sind. 

Betriebliche und finanzielle Folgewirkungen 

Betriebliche Auswirkungen 

Die unmittelbar sichtbare Folge waren geleerte Kühlregale. Bildmaterial aus einem Delhaize Shop & Go in Linkebeek dokumentierte Hinweisschilder über außer Betrieb genommene Kühlungen. [S1] Betroffene Filialen mussten Frisch- und Tiefkühlware entsorgen; teilweise kamen Kühlauflieger zum Einsatz, um Bestände zu retten. [S2] In Belgien trennten Kältetechniker die Systeme nachts manuell vom Netz. [S18] Delhaize isolierte alle Kälteanlagen unmittelbar vom Internet. [S12] 

Die Bereinigung erfordert hohen personellen Aufwand: Die Integrität jedes einzelnen Reglers muss sichergestellt, Parameter (insbesondere Abtaubereiche und Grenzwerte) müssen verifiziert und mechanische Komponenten nach extremen thermischen Belastungen überprüft werden. Erst danach kann über eine sichere Wiederinbetriebnahme entschieden werden. Danfoss und das niederländische NCSC empfehlen die Wiederanbindung ausschließlich über abgesicherte Netze oder VPNs. [S12, S14] 

Finanzielle Belastungen 

Valide Gesamtzahlen liegen nicht vor. Berichte zur ersten Welle in Frankreich beziffern Schäden auf mehrere hunderttausend Euro. [S9] Einzelne Betriebe meldeten die Vernichtung mehrerer Tonnen Ware. Die Schadenskategorien sind klar umrissen: 

• Warenverderb und Kosten der fachgerechten Entsorgung. 

• Inspektion, Instandsetzung oder Ersatz von Kältekomponenten inklusive nicht mehr schützbarer EoL-Steuerungen. 

• Umsatzausfälle durch unterbrochenen Geschäftsbetrieb und leere Regale. 

• Aufwände für Incident Response, Forensik und externe Notdienste. 

• Versicherungsrechtliche Auseinandersetzungen über die Deckung durch Cyber- oder Sachversicherungen. 

Lebensmittelsicherheit und Risiken in der Kühlkette 

Die Einhaltung der Kühlkette ist ein elementarer Eckpfeiler der Lebensmittelsicherheit und gesetzlich streng reguliert. Die europäischen Lebensmittelhygienevorschriften, darunter die Verordnung (EG) Nr. 852/2004, verpflichten Unternehmen zur Aufrechterhaltung der Kühlkette sowie zur Umsetzung von HACCP-Grundsätzen. Richtwerte schreiben für Tiefkühlkost in der Regel −18 °C oder kälter vor, während Kühlware meist bei höchstens 5 °C bis 7 °C gelagert werden darf (unter Beachtung nationaler Zusatzbestimmungen). 

Wenn Regler unkontrolliert auf 50 °C hochfahren, stellt sich nicht mehr die Frage nach Qualitätsverlusten: Die Verkehrsfähigkeit der Lebensmittel erlischt vollständig. Zahlreiche Einzelhändler entsorgten Kühlwaren rein vorsorglich. [S25] Dieses Vorgehen war regulatorisch geboten und unterstreicht, dass Krisenstäbe zwingend mit Fachkräften für Lebensmittelsicherheit besetzt sein müssen. 

Hinweise darauf, dass verdorbene Lebensmittel an Endverbraucher abgegeben wurden oder Gesundheitsschäden entstanden sind, liegen nicht vor. 

Auswirkungen auf die Lieferkette 

Obwohl der Schaden primär im Filialnetz sichtbar wurde, betrifft die Verwundbarkeit die gesamte Wertschöpfungskette: 

• Logistikzentren und Kühlhäuser: Identische Steuerungen kommen in der Großlagerhaltung zum Einsatz. Claroty betont, dass AK-SM-Regler in Supermärkten, Warenhäusern und Distributionszentren betrieben werden. [S10] In den Niederlanden zählte ein Tiefkühllager zu den Zielen der Welle 2. [S13] 

• Lieferanten: Erleiden Folgeverluste durch Annahmeverweigerungen bei zeitgleichen Lieferungen. 

• Großfilialisten: Flächendeckende simultane Ausfälle übersteigen die Kapazitäten externer Notdienste um ein Vielfaches. [S18] 

• Unbestätigte Berichte: Medienberichte nannten einen dänischen Lebensmittelproduzenten als Angriffsziel; eine unabhängige Verifizierung steht aus. [S25] 

Einstufung als OT-Sabotage? 

Das Fehlerbild entspricht der Definition von OT-Sabotage: Die gezielte Manipulation von Steuerungssystemen mit dem Zweck, physische Betriebsprozesse zu stören oder zu schädigen. Parameter wurden vorsätzlich destruktiv verändert. Ein technisches Versehen scheidet nach aktuellem Kenntnisstand aus. 

Hinsichtlich der Motivation fehlen eindeutige Erkenntnisse. Es wurden keine Lösegelder gefordert, keine Daten veröffentlicht und keine Bekennerschreiben hinterlegt. [S15] Ein ehemaliger ANSSI-Experte hielt gegenüber CNN Einzeltäter oder Hacktivisten für denkbar; Analysten spekulierten über eine beabsichtigte Destabilisierung der öffentlichen Wahrnehmung ohne finanzielle Bereicherungsabsicht. [S16] Reuters berichtete über die Ratlosigkeit der Ermittler angesichts ausbleibender Erpressungsversuche. [S15] Ob strategische Sabotage, digitaler Vandalismus oder opportunistischer Missbrauch vorliegt, bleibt Gegenstand der Ermittlungen. 

Attribution und Täterprofil 

Eine Attribution ist zum aktuellen Zeitpunkt nicht möglich. Weder Ransomware-Banden noch Hacktivisten oder staatlich gesteuerte APT-Gruppen wurden zweifelsfrei mit den Wellen in Verbindung gebracht. Die Pariser Staatsanwaltschaft benannte bis Ende Oktober keine Tatverdächtigen; die belgische Bundesstaatsanwaltschaft ermittelt. [S6, S22] Seitens des Centre for Cybersecurity Belgium wurde eingeräumt, dass die Urheber möglicherweise nie identifiziert werden können. [S22] 

Ein IT-Sicherheitsdienstleister verwies darauf, dass prorussische Hacktivisten in derselben Woche Cyberkampagnen gegen Frankreich führten, stellte jedoch klar, dass kein nachweisbarer Zusammenhang mit den Vorfällen im Kältesektor besteht. [S17] Zeitliche Nähe stellt keinen Kausalitätsbeweis dar. 

Verdachtsmomente aus sozialen Medien oder Herstellerberichten sollten mit äußerster Zurückhaltung bewertet werden, solange keine behördlichen Erkenntnisse vorliegen. 

Ursachenanalyse und Sicherheitsdefizite 

Offizielle Ursachenanalysen (Root Cause Analyses) wurden bislang nicht publiziert. Nachfolgende Übersicht differenziert zwischen verifizierten Mängeln und allgemeinen Branchenrisiken. 

Fazit zur Ursachenlage: Belastbar belegt sind die direkte Netzexposition sowie für Teile der Anlagen Standardkennwörter und überalterte Softwarestände. Ein singulärer Hauptangriffsvektor für beide Wellen lässt sich derzeit nicht belegen. 

Sofortmaßnahmen für Betreiber im Lebensmitteleinzelhandel 

Die folgenden Sofortmaßnahmen basieren auf den Warnhinweisen des CERT-FR, von Danfoss, dem niederländischen NCSC und Claroty. [S8, S9, S12, S14] Stimmen Sie sämtliche Eingriffe eng mit Ihren Kältetechnik-Dienstleistern ab, um ungewollte Betriebsunterbrechungen zu vermeiden. 

1. Vollständige Erfassung aller System-Manager und Gateways: Identifizieren und erfassen Sie sämtliche Danfoss AK-SM/AK-SC sowie Copeland/Dixell XWEB-Geräte inklusive Modellbezeichnung und Firmwarestand in allen Märkten und Kühllagern – einschließlich durch Drittfirmen gewarteter Komponenten. 

2. Überprüfung der Internet-Exposition: Prüfen Sie, ob Verwaltungsschnittstellen aus dem öffentlichen Internet erreichbar sind. Die Prüfung muss zwingend von außen und nicht aus dem internen Filialnetz erfolgen. 

3. Direkte Internetanbindung unverzüglich kappen: Das CERT-FR fordert dies für alle Systeme mit öffentlicher IP-Adresse. Der Zugriff darf ausnahmslos über VPN oder geschützte Einwahlplattformen erfolgen. [S8] 

4. Standard- und Gruppenpasswörter ersetzen: Danfoss führt Standardzugänge explizit als Schwachstelle der Welle 2 an. Aktivieren Sie herstellerseitige Härtungsprofile und erweiterte Sicherheitsmodi, sofern verfügbar. [S8, S12] 

5. Konfigurationsintegrität prüfen: Vergleichen Sie Grenzwerte, Solltemperaturen und Abtauzyklen mit dokumentierten Referenzparametern. Das CERT-FR empfiehlt explizit die Verifikation der Abtau-Konfigurationen. [S8] 

6. Firmware aktualisieren und EoL-Geräte aussteuern: Patchen Sie unterstützte Systeme nach Freigabetests. Für EoL-Systeme müssen unverzüglich Ersatz- und Migrationspläne erarbeitet werden. Beachten Sie, dass Updates (z. B. bei AK-SM 800A) gestaffelte Update-Pfade erfordern können. [S21] 

7. Auditierung von Fernwartungsprotokollen: Analysieren Sie Anmeldehistorien auf ungewöhnliche Zeitpunkte oder IP-Adressen. Entziehen Sie inaktive Konten und nicht zuordenbare Berechtigungen umgehend. 

8. Etablierung out-of-band Temperaturüberwachung: Installieren Sie unabhängige, batteriegestützte Datenlogger in hochkritischen Kühlstellen, um Messwerte unabhängig von der internen Steuerungslogik zu validieren. 

9. Schriftliche Selbstauskunft von Dienstleistern anfordern: Verpflichten Sie Dienstleister zur Darlegung ihrer Fernwartungsarchitektur, der Berechtigungsstrukturen und zur Bestätigung, dass die betreuten Liegenschaften nicht ungesichert im Netz standen. 

Strategische Empfehlungen zur OT-Sicherheit (KRITIS / NIS2) 

OT-Asset-Management 

Bauen Sie ein automatisiertes, kontinuierliches Inventar aller Kälteregler, PLCs, Gateways, GLT-Komponenten, Switches, Remote-Access-Geräte und Engineering-Workstations auf. Mittels passiver OT-Netzwerküberwachung können Bestände aus dem Datenverkehr ohne Beeinträchtigung empfindlicher Steuerungskomponenten erfasst werden. Ergänzen Sie dies durch regelmäßige Scans der externen Angriffsfläche (Attack Surface Management). 

Netzwerksegmentierung nach IEC 62443 

Unterteilen Sie Filial-IT, Gebäudeautomation, Kältesteuerung und externe Fernwartungszugänge in logisch und physisch getrennte Zonen (Zones & Conduits). Nutzen Sie industrielle DMZs, Next-Generation Firewalls und restriktive Allow-Lists für zwingend erforderliche Kommunikationsbeziehungen. Das Purdue-Referenzmodell dient hierbei als methodischer Rahmen; Schutzwirkung entsteht jedoch erst durch die konsequente Durchsetzung, Auditierung und das kontinuierliche Testing der Firewall-Regelwerke. 

Sichere Fernwartung (Privileged Remote Access) 

Etablieren Sie individualisierte Benutzerkonten, Multifaktor-Authentifizierung (MFA), anlassbezogene und zeitlich befristete Session-Freigaben, zentrale Jump-Hosts bzw. Privileged Access Management (PAM) und lückenlose Session-Aufzeichnungen. Überprüfen Sie Berechtigungen zyklisch und sperren Sie Zugänge bei Dienstleisterwechseln unverzüglich. Permanente, transparente Tunnelverbindungen sind unzulässig. 

OT-Erkennung und Security Operations (OT-SOC) 

Überwachen Sie OT-Netze gezielt auf Sollwertänderungen, unautorisierte Remote-Sessions, Kommunikation mit unbekannten Gegenstellen und untypische Abtauzyklen. Protokollsensitive OT-Monitoring-Lösungen erkennen schreibende Zugriffe auf Parameterebene, die von Standard-IT-SIEM-Systemen ignoriert werden. Integrieren Sie Alerts in ein Security Operations Center (SOC) mit speziellem OT-Know-how und definieren Sie klare Freigabeprozesse für Netzwerktrennungen. 

Schwachstellenmanagement im OT-Umfeld 

Bewerten Sie Sicherheitslücken primär nach Expositionsgrad und Schadenspotenzial, nicht isoliert nach dem CVSS-Basiswert. Ein internetexponierter Supervisor mit mittlerem Score stellt ein ungleich höheres Betriebsrisiko dar als eine isolierte Kernkomponente mit hohem Score. Falls Patches herstellerseitig fehlen, sind kompensatorische Maßnahmen (Isolation, Quell-IP-Filterung, Netztrennung) zu implementieren. Versionsstände sind strukturiert in definierten Wartungsfenstern zu testen und auszurollen. 

Incident-Response-Prozess bei Kältetechnik-Störungen 

1. Detektion und Triage: Temperaturwarnungen, unplausible Abtauprozesse oder Alarme des Fernzugriffs-Monitorings unverzüglich verifizieren. 

2. Gezielte Isolation: Systeme nur insoweit isolieren, wie die Kälteerzeugung stabil weiterläuft. Ein unüberlegtes Kappen von Verbindungen kann Regler in Störungsmodi zwingen. 

3. Lagezentrum aktivieren: IT, OT-Sicherheit, Facility Management, Kältefachfirmen und Qualitätsmanagement/HACCP unverzüglich an einen Tisch holen. 

4. Integritätsprüfung: Konfigurationsdaten jedes Controllers auditieren, anstatt sich auf die Displayanzeigen zu verlassen. 

5. Notbetrieb einleiten: Vor-Ort-Bedienung aktivieren, manuelle Kontrollgänge durchführen, mobile Kühlkapazitäten bereitstellen. 

6. Freigabeentscheidung für Lebensmittel: Chargenprüfung zusammen mit Qualitätsmanagement und ggf. Behörden durchführen. 

7. Systemwiederherstellung: Einspielen verifizierter Referenzkonfigurationen (Golden Images) und Re-Validierung des Anlagenverhaltens. 

8. Forensische Beweissicherung: Vor dem Zurücksetzen von Geräten volatile Speicher, Logs und Systemzustände für die Ermittlungsbehörden sichern. 

9. Credential Rotation: Sämtliche Zugangsdaten und Zertifikate flächendeckend austauschen; Berechtigungen re-zertifizieren. 

10. Post-Mortem-Analyse: Erkenntnisse in Asset-Datenbanken, Segmentierungskonzepte und Erkennungsregeln überführen. 

Entscheidungen über Netztrennungen und Resets dürfen ausschließlich im Einvernehmen mit qualifizierten Kältetechnikern getroffen werden, um Sekundärschäden an Anlagen und Verdichtern abzuwenden. 

Relevante Normen und regulatorische Rahmenwerke 

Die genannten Standards entfalten ihre Wirkung vor allem als architektonische Entscheidungsgrundlage. Prüfen Sie vor Audits stets die Gültigkeit der aktuellen Normfassungen. 

Einordnung der NIS-2-Richtlinie: Die Richtlinie (EU) 2022/2555 (NIS-2) umfasst unter ihren kritischen Sektoren u. a. die „Produktion, Verarbeitung und den Vertrieb von Lebensmitteln“. Der regulatorische Fokus liegt dabei primär auf industrieller Verarbeitung, Herstellung und dem Großhandel. Der stationäre Lebensmitteleinzelhandel ist nicht explizit in Gänze erfasst. Ob eine Handelsgruppe unter NIS-2 fällt, hängt von ihrer Konzernstruktur, Umsätzen, Schwellenwerten und der nationalen Umsetzung (in Deutschland: NIS-2-Umsetzungs- und Stärkungsgesetz / BSIG) ab. Viele selbstständige Kaufleute fallen nicht unter den direkten Geltungsbereich. Betreiber sollten ihren Regulierungsstatus rechtlich prüfen lassen. Die DSGVO ist mangels Abflusses personenbezogener Daten nach aktuellem Stand nicht betroffen. Hersteller von Steuerungshardware müssen sich zudem auf Berichtspflichten und Vorgaben des europäischen Cyber Resilience Act (CRA) vorbereiten. 

Sieben Kernerkenntnisse der Shieldworkz-Sicherheitsanalyse 

Die folgenden Punkte stellen die technische Lagebeurteilung unserer Analysten auf Basis der gesicherten Faktenlage dar. Es handelt sich nicht um offizielle Ermittlungsergebnisse. 

1. Forcierte Abtauung benötigt keinen Schadcode – Endpoint-Schutz bleibt blind. Berichte belegen, dass Angreifer rein administrative Systemparameter manipulierten und keine Schadsoftware einsetzten. [S16] Der Befehl zum Abtauen ist eine legitime Steuerungsfunktion. Herkömmliche Antiviren- oder EDR-Software schlägt hierbei nicht an. Die Erkennung muss verhaltensbasiert erfolgen: Welche Entität ändert Parameter zu welchem Zeitpunkt von welcher Quell-IP aus, und passt dies in ein autorisiertes Wartungsfenster? 

2. Temperaturmessung garantiert keine Systemintegrität. Wenn derselbe Controller, der die Temperatur regelt, diese auch visualisiert, verliert der Messwert bei einer Kompromittierung seine Beweiskraft. Autonome, batteriegepufferte Datenlogger in sensiblen Kühlbereichen liefern ein manipulationssicheres Kontrollsignal außerhalb der attackierten Prozessleitinfrastruktur. Ein kostengünstiges Verfahren mit erheblichem Sicherheitsgewinn. 

3. Diffuse Risikoverantwortung ohne Asset-Eigentümerschaft. Die Liegenschaftsverwaltung beschafft die Anlage, der Dienstleister betreut die Fernwartung, und die IT führt das System in keinem Verzeichnis. Jede Partei geht davon aus, die andere kümmere sich um die Cybersicherheit. Die OT-Governance erfordert eine namentlich definierte Gesamtverantwortung sowie präzise SLAs über Patch-Management, Auditierung und Zugriffsverwaltung. 

4. Sicherheitswarnungen patchen keine Systeme – Bestandsdaten sind entscheidend. Das CERT-FR warnte am 12. Oktober; Danfoss riet niederländischen Kunden am 13. Oktober zur Trennung vom Netz. [S8, S12] Zwanzig Tage später betrieben mindestens 17 niederländische Betriebe ihre Anlagen weiterhin mit Standardkennwörtern an offenen Netzen; ein belgischer Dienstleister bezifferte den Anteil ungesicherter Systeme auf rund 10 %. [S2, S13] Das reale operationelle Risiko definiert sich über die Dauer zwischen der Veröffentlichung einer Warnmeldung und dem Abschluss der Remediation am letzten Außenstandort (Time-to-Remediate). 

5. Dezentrale Franchise- und Betreibermodelle vergrößern Sicherheitslücken. Die niederländischen Vorfälle betrafen vor allem Metzgereien und kleinere Nahversorger. [S12, S13] Bei Colruyt waren eigenständige Spar-Kaufleute mit separaten Anlagen betroffen. [S2] Eine zentrale Konzernsicherheitsrichtlinie greift bei dezentraler IT/OT-Beschaffung oft ins Leere. Handelskonzerne müssen Mindestanforderungen für OT-Sicherheit verbindlich auf Partner ausweiten; Hersteller müssen Geräte mit individuellen Passwörtern und geschlossenen Werkseinstellungen ausliefern („Secure by Default“). 

6. Niedrige Einstiegshürden verändern das Bedrohungsmodell. Fachleute stuften gegenüber Reuters den Schwierigkeitsgrad der Angriffe in Frankreich als gering ein. [S15] Angriffe mit niedriger technischer Komplexität auf exponierte OT-Systeme – vergleichbar mit den von Claroty angeführten Vorfällen im Wassersektor – erfordern keine fortgeschrittenen Exploit-Techniken, sondern lediglich offene Zugänge. [S9] Verteidiger müssen davon ausgehen: Jeder direkt erreichbare Controller wird automatisiert aufgespürt. 

7. OT-Krisenmanagement im Handel ist angewandte Lebensmittelsicherheit. Entscheidungen über die Isolation von Systemen, Notkühlung über Auflieger oder die Vernichtung von Lagerbeständen verbinden prozesstechnische, kaufmännische und rechtliche Aspekte. Notfallpläne, die Kältefachexperten und das Qualitätsmanagement nicht von Beginn an einbinden, greifen im Ernstfall zu kurz. 

Handlungsempfehlungen für CISOs und OT-Sicherheitsverantwortliche 

• Erweitern Sie den Geltungsbereich kritischer OT: Steuerungen, die über die Einhaltung lebensmittelrechtlicher Parameter entscheiden, müssen im Asset-Inventar und Risikomanagement wie produktionskritische PLCs behandelt werden. 

• Stellen Sie die Compliance-Frage im Vorstand: Verfügen wir über ein vollständiges Verzeichnis aller aus externen Netzen erreichbaren Geräte in unseren Märkten, und wer trägt für jedes einzelne die Verantwortung? 

• Bewerten Sie End-of-Life als Fristrisiko: Nicht mehr unterstützte Systeme erfordern umgehende kompensatorische Netztrennung sowie feste Migrationsbudgets im nächsten Budgetzyklus. 

• Fordern Sie Nachweise von Dienstleistern ein: Bestehen Sie vertraglich auf der Implementierung von MFA, personenbezogenen Accounts, Fernwartungsprotokollen und regelmäßiger Kennwortrotation bei Kältetechnikbetrieben. 

• Führen Sie praxisnahe Krisenübungen (Tabletop Exercises) durch: Proben Sie das Szenario simultaner Temperaturalarme in 200 Märkten um 3:00 Uhr nachts unter Einbeziehung von Dienstleistern, Haustechnik und Qualitätsmanagement. 

• Definieren Sie Kennzahlen für Behebungszeiten (Time-to-Remediate): Messen Sie die Zeitspanne von der Veröffentlichung einer Warnmeldung bis zum verifizierten Rollout der Gegenmaßnahme über alle Standorte hinweg. 

Einordnung durch Shieldworkz 

Shieldworkz ist ein spezialisierter Dienstleister für industrielle OT-Cybersicherheit, der Betreiber von der Sicherheitsanalyse bis zum Betrieb von OT-Sicherheitsleitständen (OT-SOC) begleitet. Wir waren nicht direkt an der forensischen Untersuchung dieser Angriffe beteiligt; die vorliegende Analyse beruht auf verifizierten Quellen und eigener ingenieurtechnischer Auswertung. 

Aus Sicht der industriellen IT/OT-Sicherheit belegt der Vorfall eindringlich, wie das Zusammenspiel elementarer Defizite in physischen Schäden mündet: Internetexponierte Managementschnittstellen, unzureichende Authentisierung, Altsysteme ohne Sicherheitsupdates und unklare Verantwortlichkeiten. Keines dieser Probleme erfordert ausgefeilte Angriffswerkzeuge für eine Kompromittierung – lässt sich jedoch mit etablierten Sicherheitsstandards beheben. 

Wirksame Schutzmaßnahmen orientieren sich an einem standardisierten Vorgehen: 

• OT-Asset-Discovery und Netzwerkerkennung: Lückenlose Erfassung aller Supervisors und Regler – einschließlich historisch gewachsener Installationen. 

• OT-Risiko- und Schwachstellenanalysen: Priorisierung von Sicherheitslücken nach realem Schadenspotenzial statt reinen Vulnerability-Scores. 

• Segmentierung und Überprüfung von Sicherheitsarchitekturen: Striktes Trennen von Kältesteuerungsnetzen, Filial-IT, Gebäudeautomation und Dienstleisterzugängen. 

• OT-Penetration-Testing: Technische Validierung, dass Systeme von außen tatsächlich nicht erreichbar sind, anstatt sich auf Richtlinien zu verlassen. 

• Sicherer Datentransfer und Integritätsprüfung: Gesicherte Einbringung von Firmware- und Konfigurationsdateien in Filialumgebungen. 

• Industrielle Bedrohungserkennung und OT-SOC-Services: Kontinuierliche Überwachung kritischer Sollwertveränderungen und auffälliger Fernwartungsaktivitäten im Prozesskontext. 

• Incident-Response-Readiness: Integration von Kältetechnik- und Lebensmittelsicherheitsexperten in Krisen- und Notfallpläne vor Eintritt eines Großschadens. 

Ein isoliertes Produkt bietet keinen hinreichenden Schutz. Transparenz, restriktive Zugriffskontrolle, Anomalieerkennung und abgestimmte Notfallprozesse müssen ineinandergreifen. 

Fazit 

Die Angriffswellen auf europäische Supermarkt-Kälteanlagen verdeutlichen den direkten Umschlag von IT-Sicherheitsmängeln in physische Betriebsstörungen. Wenige gezielte Eingriffe in Kälteregler verwandelten Kühlsysteme in Heizungen und führten zu gravierendem Warenverderb. Während Details zur Identität der Angreifer und dem initialen Zugriff Gegenstand laufender behördlicher Ermittlungen bleiben, steht fest: Exponierte Schnittstellen, Standardpasswörter und veraltete Komponenten boten den Angreifern offene Einfallstore – obgleich Schutzempfehlungen Wochen vor der zweiten Welle bereitstanden. 

Vernetzte Kälteanlagen, Gebäudeleittechnik und dezentrale Wartungspfade vergrößern die industrielle Angriffsfläche massiv. Unternehmen müssen volle Transparenz über ihre OT-Assets herstellen, Zugriffswege restriktiv absichern und Monitoring-Konzepte implementieren, die auf die Besonderheiten operativer Prozessnetze zugeschnitten sind. 

Shieldworkz unterstützt Unternehmen dabei, ihr Sicherheitsniveau in industriellen OT-Umgebungen durch ganzheitliche Lösungen, Sicherheitsaudits und spezialisierte Services belastbar zu stärken.

Weiterführende Dokumente und Ressourcen  

Fachbericht zum Cyber-Vorfall beim Medizintechnikhersteller Stryker hier abrufen  
Kriterienkatalog zur herstellerneutralen Auswahl von Scanning-Lösungen für Wechseldatenträger (Removable Media) hier abrufen  
Checkliste für Risikoanalysen im Bereich OT/ICS gemäß IEC 62443 in der Lebensmittel- und Getränkeindustrie hier abrufen 
Praxisleitfaden zur Maßnahmenumsetzung nach IEC 62443 hier abrufen