Das Wichtigste in Kürze
Der Kühlregal-Angriff in Frankreich ist ein Problem alter Technik: Steuerungen ohne Support waren aus dem Internet erreichbar, und niemand war für ihre Updates zuständig. In der Nacht vom 11. auf den 12. Oktober 2026 erzwangen Angreifer lange Abtauzyklen an Danfoss-Kühlsteuerungen und machten damit die Ware in mehreren hundert Filialen unbrauchbar. Die Pariser Staatsanwaltschaft und die französische Cyberbehörde ANSSI ermitteln.
Für Unternehmen, die vernetzte Geräte bauen oder betreiben, geht es dabei um den Lebenszyklus, nicht um Kältetechnik. Eine Steuerung, die vor zehn Jahren verkauft wurde, noch im Filialnetz hängt und weiterhin fernsteuerbar ist, gehört zu Ihrer Angriffsfläche – auch wenn ihre Software seit Jahren niemand angefasst hat. Teams in der Embedded- und Firmware-Entwicklung für vernetzte Geräte sollten sicheren Fernzugriff, signierte Updates und einen End-of-Life-Plan ab dem ersten Release als Produktfunktion behandeln.
Was ist in den französischen Supermärkten passiert?
Mitarbeiter fanden am Montagmorgen warme Kühl- und Tiefkühlvitrinen und verdorbene Ware vor. Laut Reuters und TIME schalteten die Angreifer die Anlagen nicht ab. Sie lösten dauerhafte oder verlängerte Abtauzyklen aus – Phasen, in denen die Vitrinen absichtlich erwärmt werden und die für kurze Zeit ohne Alarm laufen dürfen. Diese Zyklen über Nacht auf mehrere Stunden zu strecken, genügte, um frische und tiefgekühlte Lebensmittel zu verderben, bevor es jemand bemerkte.
Die Händler sprachen von einem beispiellosen Angriff. Der Präsident von Coopérative U nannte ihn „eine äußerst ernste Angelegenheit“, Intermarché erklärte, betroffen sei offenbar ein Dienstleister, der die Kühltechnik in den Filialen betreut. Der französische Premierminister beauftragte die ANSSI mit Ermittlungen; die Behörde stimmt sich mit anderen europäischen Cyberbehörden ab.
Am selben Montag nahm der niederländische Handelskonzern Ahold Delhaize wegen eines separaten Sicherheitsproblems Teile seiner Systeme vom Netz – mit Störungen bei Websites und Online-Bestellungen von Albert Heijn in Europa sowie von Food Lion, Stop & Shop und weiteren US-Ketten. Die Ermittler sehen bislang keinen Zusammenhang, doch zusammen zeigen beide Fälle, wie stark der Lebensmittelhandel inzwischen von vernetzten Systemen abhängt.
Wie konnten Angreifer die Kühlanlagen erreichen?
Der genaue Einstiegspunkt ist nicht veröffentlicht. Was bekannt ist, deutet auf alte, exponierte Technik. Danfoss sagte französischen Medien, die meisten betroffenen Geräte seien veraltete Modelle, die „keine Software- oder Sicherheitsupdates mehr erhalten“, und man unterstütze Kunden mit Firmware-Updates, wo verfügbar, besserem Netzwerkschutz und dem Entfernen direkter Internetzugänge.
Forscher hatten das Risiko bereits benannt. 2025 veröffentlichte die US-Behörde CISA Advisories zu Danfoss-Steuerungen der Reihe AK-SM 800A, darunter CVE-2025-41450, eine Authentifizierungsumgehung, die Team82 von Claroty gemeldet hatte und die in Firmware R4.2 behoben ist. Ob diese oder eine andere bekannte Lücke genutzt wurde, hat Danfoss nicht gesagt. Internet-Scans nach dem Angriff, auf die sich BleepingComputer beruft, fanden Tausende weiterhin erreichbare Danfoss-Management-Oberflächen, mehr als die Hälfte davon in Frankreich.
Was das für Software-Teams in den USA und der EU bedeutet
Erstens: End of Life ist ein Sicherheitsereignis, nicht nur eine Vertriebsmitteilung. Geräte ohne Updates laufen noch jahrelang in Filialen, Lagern, Praxen und Werken. Wer vernetzte Produkte ausliefert, sollte Supportzeiträume klar veröffentlichen, Kunden einen Migrationspfad bieten und das Gerät sicher ausfallen lassen, wenn es sich nicht mehr patchen lässt. In der EU gelten die Meldepflichten des Cyber Resilience Act für aktiv ausgenutzte Schwachstellen in Produkten mit digitalen Elementen seit dem 11. September 2026; die vollständigen Anforderungen, einschließlich eines erklärten Supportzeitraums, folgen im Dezember 2027.
Zweitens: Fernwartung darf nicht heißen, dass die Verwaltung im Internet hängt. Der Zugriff von Herstellern und Errichtern auf Feldgeräte gehört hinter authentifizierte Gateways oder VPNs mit persönlichen Konten und Protokollierung, nicht auf Weboberflächen an öffentlichen IP-Adressen. Das gilt für Kühlung, Klima, Gebäudeleittechnik und die Cloud-Dashboards darüber.
Drittens: Für OT gelten inzwischen dieselben Regeln wie für IT. Große Unternehmen des Lebensmittelvertriebs und -handels fallen in der EU unter NIS2, die ein Risikomanagement über Lieferanten und vernetzte Systeme hinweg erwartet. In den USA verlangen Versicherer und Kunden von Händlern und ihren Geräteherstellern zunehmend ein Inventar der Betriebstechnik, nicht nur von Laptops und Servern.
Was bedeutet der Angriff für Handel und Hersteller im DACH-Raum?
Der deutsche Lebensmitteleinzelhandel betreibt Zehntausende Filialen, deren Kühlmöbel, Verbundanlagen und Gebäudeleittechnik meist von externen Kältetechnik-Fachbetrieben eingerichtet und fernbetreut werden. Genau dort lag in Frankreich offenbar die Schwachstelle: beim Dienstleister und bei Steuerungen, die nach dem Support-Ende einfach weiterliefen. Wer in Deutschland, Österreich oder der Schweiz Filialen betreibt, sollte deshalb nicht nur die eigene IT, sondern auch die Fernwartungszugänge der Kälte- und Klimapartner in den Blick nehmen – und die HACCP-Temperaturaufzeichnung als zweites Frühwarnsystem gegen manipulierte Sollwerte nutzen.
Regulatorisch ist die Lage in Deutschland klarer als in Frankreich: Mit dem NIS2-Umsetzungsgesetz müssen sich betroffene Unternehmen beim BSI registrieren, die Nachfrist dafür ist abgelaufen, und Lebensmittelproduktion und -vertrieb gehören zu den erfassten Sektoren. Große Händler können zudem als KRITIS-Betreiber im Sektor Ernährung eingestuft sein. In der Schweiz gilt seit April 2025 eine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen gegenüber dem Bundesamt für Cybersicherheit (BACS). Für Hersteller vernetzter Kühl- und Gebäudetechnik im DACH-Raum ist der Fall eine Vorschau auf den Cyber Resilience Act: Supportzeiträume, Update-Wege und Schwachstellenmeldungen werden prüfbare Pflichten.
Was sollten Teams diese Woche prüfen?
- Nach eigener Exponierung suchen. Öffentliche IP-Adressen auflisten und prüfen, welche Steuerungs-, Gebäudeleit- oder Geräte-Dashboards aus dem Internet antworten.
- Ein OT- und IoT-Inventar aufbauen. Für jedes vernetzte Gerät, das einen physischen Prozess steuert, Modell, Firmware-Stand, Supportstatus und Verantwortlichen erfassen.
- Fernzugriff hinter ein Gateway legen. Direkten Webzugriff durch VPN oder Zero-Trust-Zugang ersetzen, mit eigenen Konten, MFA wo möglich und protokollierten Dienstleister-Sitzungen.
- Ersatz für abgekündigte Geräte planen. Lässt sich ein Gerät nicht patchen, in ein eigenes Netzsegment isolieren und die Ausmusterung terminieren.
- Bei auffälligem Prozessverhalten alarmieren. Sollwertänderungen, ungewöhnlich lange Abtau- oder Wartungszyklen und Anmeldungen zu ungewöhnlichen Zeiten überwachen – nicht nur Geräte, die offline gehen.
Häufige Fragen
Was ist am 11. und 12. Oktober 2026 in französischen Supermärkten passiert?
In der Nacht von Sonntag, 11. Oktober, auf Montag, 12. Oktober, manipulierten Angreifer per Fernzugriff Kühlsteuerungen in französischen Supermärkten und erzwangen lange Abtauzyklen, die die Vitrinen auf rund 50 °C erwärmten. Ketten wie Intermarché, Coopérative U, Carrefour, Monoprix und E.Leclerc meldeten betroffene Filialen; Ware musste entsorgt werden, vereinzelt wurden Brände gemeldet.
Wie viele Filialen waren betroffen?
Die Zahlen unterscheiden sich je nach Quelle und werden noch zusammengetragen. Angaben von Händlern und Medien summieren sich auf mehrere hundert Märkte in Frankreich, Schätzungen reichen von etwa 250 bis über 350. Berichte nennen auch betroffene Standorte in anderen europäischen Ländern.
Welche Technik war betroffen?
Kühlsteuerungen von Danfoss. Danfoss sagte französischen Medien, die meisten betroffenen Geräte seien veraltete AK-SM800-Systeme (End of Life seit 2021) und AK-SC355-Systeme (2016 ausgelaufen) gewesen, einige aktuelle AK-SM800A-Geräte liefen mit veralteter Firmware. Welche Schwachstelle, falls überhaupt eine, genutzt wurde, hat Danfoss nicht gesagt.
Wer ermittelt?
Die Pariser Staatsanwaltschaft hat ein Ermittlungsverfahren eingeleitet, die französische Cybersicherheitsbehörde ANSSI ermittelt gemeinsam mit europäischen Partnerbehörden. Ein glaubwürdiges Bekenntnis einer Gruppe lag bei Redaktionsschluss nicht vor.
Gibt es eine Verbindung zum Vorfall bei Ahold Delhaize?
Eine Verbindung ist nicht belegt. Ahold Delhaize nahm am 12. Oktober 2026 unabhängig davon Teile seiner Systeme vom Netz, was Websites und Online-Bestellungen bei Ketten wie Albert Heijn, Stop & Shop und Food Lion störte. Die Ermittler haben die beiden Vorfälle nicht miteinander in Verbindung gebracht.
Quellen
NBC News / Reuters — Hackers heat French supermarket fridges, sparking fires and spoiling food
TIME — ‘Unprecedented’ cyberattack targets French supermarket fridges
CNBC — French supermarket fridges get hacked, heating to 122°F and sparking fires
BleepingComputer — Cyberattack shuts down refrigerators at French supermarkets
CISA — ICS advisory ICSA-25-140-03, Danfoss AK-SM 8xxA Series