Wenn der Kühlregler heizt

Wenn ein Cyberangriff keine Daten stiehlt, sondern eine Anlage in einen gefährlichen Zustand bringt, treffen Security und Safety aufeinander. Genau das ist gerade passiert: In der Nacht zum 2. November haben Unbekannte Kühlgeräte in Supermärkten quer durch Europa auf bis zu 50 °C hochgeheizt, auch in NRW, Niedersachsen, Bayern und Rheinland-Pfalz.

Schon am 12. Oktober hatte es Hunderte französische Märkte getroffen. Die Täter brauchten dafür weder Schadsoftware noch Erpressung. Sie haben per Fernbefehl eine ganz normale Wartungsfunktion missbraucht: das Abtauen. Aus einer harmlosen Funktion wurde ein gefährlicher Betriebszustand, bis hin zur Brandgefahr. Für Klaus ist das der Fall des Jahres. Denn so einen Angriffsweg kann jede vernetzte Maschine haben. Und genau dafür nehmen der Cyber Resilience Act (CRA) und die Maschinenverordnung Sie als Hersteller in die Pflicht.

„Wer Steuerungen ans Internet hängt und danach keine Updates mehr liefert, verkauft keine Anlage. Er verkauft ein offenes Scheunentor.“

Compliance Klaus

01 Was ist passiert?

Die Angriffe kamen bisher in zwei Wellen. Zuerst traf es Frankreich, drei Wochen später halb Europa.

Erste Welle: Frankreich, 11./12. Oktober

In der Nacht vom 11. auf den 12. Oktober 2026 gingen die Kühlstellen vieler französischer Märkte gleichzeitig in den Heizbetrieb. Am Morgen waren Frischware und Tiefkühlprodukte nicht mehr zu retten.

Die Gesamtzahlen gehen weiter auseinander. Bestätigt haben bisher nur Intermarché und Coopérative U. Die übrigen Zahlen stammen aus Presseberichten. Die Schätzungen reichen von rund 400 Märkten bis zu den rund 700, die Finanzminister Roland Lescure genannt hat.

• Schaden: Allein zwei Intermarché in Haguenau melden 270.000 € Warenverlust. Der Chef von Les Mousquetaires (Intermarché, Netto) rechnet mit Verlusten in zweistelliger Millionenhöhe. Laut Intermarché zahlt die Versicherung solche Schäden nicht. In einigen Märkten brach Feuer aus. Ob das mit dem Angriff zusammenhängt, prüfen die Ermittler noch.
• Betroffene Systeme: Die französische Behörde CERT-FR warnte am 12. Oktober vor kompromittierten Kühlstellenreglern und Systemmanagern von Danfoss, Baureihen AK-SM und AK-SC. Einen Tag später ergänzte sie die XWEB-Systeme von Copeland und dessen Marke Dixell. Es geht also nicht um einen einzelnen Hersteller.
• Ermittlungen: Die Pariser Staatsanwaltschaft ermittelt über ihr Office anti-cybercriminalité. Premierminister Sébastien Lecornu hat die nationale Cybersicherheitsbehörde ANSSI eingeschaltet. Sie stimmt sich mit ihren europäischen Partnerbehörden ab.

Zweite Welle: Europa, 1./2. November

Drei Wochen später schlugen die Täter erneut zu. In der Nacht zum 2. November stiegen die Temperaturen in Kühlgeräten in rund zehn europäischen Ländern.

• Belgien und Luxemburg: Delhaize meldet einen IT-Vorfall in rund 40 Filialen, Carrefour 15 und Spar 5. Auch Colruyt, Intermarché und eine IKEA-Filiale in Mons sind betroffen. Laut dem Kältedienstleister Sabcobel wurden die Anlagen aus der Ferne in den Abtaumodus geschaltet, wie in Frankreich.
• Skandinavien und Baltikum: In Schweden trifft es ICA und Coop. Alle betroffenen ICA-Märkte hingen an einem externen Steuerungssystem von Danfoss. In Estland drangen Angreifer in die Steuerung einer älteren Danfoss-Anlage ein, deren Software nie aktualisiert wurde. Finnland prüft Verdachtsfälle.
• Weitere Länder: In Irland sind 13 SuperValu-Märkte betroffen. Auch Italien, die Niederlande und Portugal melden Angriffe.
• Hersteller: Danfoss bestätigt, dass auch diesmal seine Produkte betroffen sind. Getroffen habe es Kunden, die ihre Software nicht aktualisiert hatten.

Deutschland: Fälle in vier Bundesländern

Auch in Deutschland ermittelt die Polizei. Bekannt sind bisher diese Fälle:

Hersteller und Modelle haben die deutschen Betreiber nicht genannt. Das BSI bestätigt, dass Unbefugte über das Internet erreichbare Kühlsteuerungen manipuliert haben. Der Lebensmittelhandelsverband BVLH spricht von vereinzelten Fällen. Die Versorgung sei uneingeschränkt.

Täter und Reaktionen

• Täter: Weiter unbekannt. Es gibt weder ein Bekennerschreiben noch eine Lösegeldforderung. Ob die beiden Wellen zusammenhängen, ist ungeklärt. Forescout zählt seit Januar 2026 über 20 Angriffe auf Kühlanlagen in Europa, zu denen sich prorussische Hacktivisten bekannt haben. Eine Verbindung zu den aktuellen Fällen ist nicht belegt.
• EU: Agrarkommissar Christophe Hansen spricht von einem bewussten Versuch, die Lebensmittelkette zu stören. Die EU-Kommission hat zwei Krisentreffen einberufen, unter anderem mit ENISA und Europol.
• Bund: Digitalminister Karsten Wildberger fordert mehr Schutz für digitale Gebäude- und Betriebstechnik.

02 Wie funktionierte der Angriff?

Die Angreifer haben eine ganz normale Wartungsfunktion missbraucht: das Abtauen.

Kühlgeräte heizen regelmäßig kurz auf, damit der Verdampfer eisfrei bleibt. Die Täter starteten diesen Abtauvorgang offenbar aus der Ferne und setzten den Sollwert auf 50 °C. Laut Le Monde verlängerten sie die Abtauzyklen von einer auf bis zu acht Stunden. Dadurch schlugen die Alarme erst spät an. In einem Intermarché liefen die Geräte rund sechs Stunden lang bei 50 °C.

Möglich wurde das durch vier Dinge, die zusammenkamen:

• Altgeräte ohne Support: Der AK-SM 800 bekommt seit Mai 2021 keine Updates mehr, der AK-SC 355 ist seit 2016 abgekündigt. Beim neueren AK-SM 800A traf es Geräte mit veralteter Firmware.
• Erreichbar aus dem Internet: Reuters hat mindestens 4.500 Danfoss-Bedienoberflächen gefunden, die öffentlich sichtbar sind. Forescout zählt weltweit fast 13.000 offen erreichbare Zugänge zu Kühlanlagen-Steuerungen in 99 Ländern. Rund 80 % der gefundenen Danfoss-Oberflächen laufen mit älterer Firmware.
• Bekannte Lücken: Claroty Team82 hat im Systemmanager AK-SM 800A drei Schwachstellen gefunden. Darunter ist ein verstecktes Passwort, das sich allein aus dem Tagesdatum berechnen lässt. Danfoss hat die Lücken schon 2025 geschlossen, zuletzt mit Firmware R4.3.1. Auch in Copelands XWEB Pro fand Claroty Lücken. Copeland hat sie mit Firmware 1.13 behoben.
• Fernwartung über Dienstleister: Externe Firmen betreuen Kühlanlagen oft aus der Ferne, für viele Märkte zugleich. In Wetter galt der Angriff laut AWO genau so einem Wartungsdienstleister. Wer dessen Zugang hat, erreicht viele Anlagen auf einmal.

Ob die Täter genau diese Lücken genutzt haben, ist weiter nicht belegt. CERT-FR ordnet die Angriffe keiner bestimmten Schwachstelle zu. Experten halten den Angriff für wenig ausgeklügelt. Es brauchte keinen Zero-Day, sondern nur alte Geräte am offenen Netz.

Klaus’ Einordnung: Aus einer harmlosen Wartungsfunktion wurde ein gefährlicher Betriebszustand, bis hin zur Brandgefahr. In der Claroty-Demo konnte ein kompromittierter Regler die Kühlung sogar abschalten und gleichzeitig normale Temperaturen anzeigen. Neu war das Risiko nicht: In einem Bulletin vom Oktober 2025 beschrieb Danfoss selbst Angriffe aus dem Jahr 2022 auf 16 Supermärkte in Russland und 40 in Israel.

03 Was sagt der CRA dazu?

Die Angriffe lesen sich wie eine Liste der Punkte, die der CRA ab Dezember 2027 verbindlich macht. Ein Teil gilt aber schon heute.

Schon jetzt in Kraft: die Meldepflicht. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden (Art. 14). Die Meldung läuft über die Single Reporting Platform der ENISA, die seit diesem Tag in Betrieb ist. Die Pflicht gilt nach Art. 69 Abs. 3 ausdrücklich auch für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden. Die Fristen:

• Frühwarnung innerhalb von 24 Stunden (Art. 14 Abs. 2 lit. a)
• Meldung mit Details und Abhilfemaßnahmen innerhalb von 72 Stunden (Art. 14 Abs. 2 lit. b)
• Abschlussbericht spätestens 14 Tage nach verfügbarer Abhilfe bei Schwachstellen, innerhalb eines Monats bei Vorfällen (Art. 14 Abs. 2 lit. c, Abs. 4 lit. c)

Ab 11.12.2027 für neue Produkte:

• Supportzeitraum an der erwarteten Nutzungsdauer ausrichten, mindestens fünf Jahre (Art. 13 Abs. 8). Anlagen im Maschinenbau laufen oft deutlich länger. Was dann passiert, zeigt der Fall: Die Danfoss-Regler hingen noch Jahre nach Supportende am Netz.
• Enddatum transparent machen: Monat und Jahr beim Kauf angeben und Nutzer über das Supportende informieren (Art. 13 Abs. 19).
• Updates verfügbar halten: mindestens zehn Jahre nach Bereitstellung (Art. 13 Abs. 9).
• Keine bekannten ausnutzbaren Schwachstellen bei Bereitstellung (Anhang I Teil I Nr. 2 lit. a).
• Sichere Werkseinstellung ab Auslieferung (Anhang I Teil I Nr. 2 lit. b).
• Schutz vor unbefugtem Zugriff durch Authentifizierung und Zugangsverwaltung (Anhang I Teil I Nr. 2 lit. d). Ein Passwort, das sich aus dem Datum ableiten lässt, fällt hier klar durch.
• Möglichst kleine Angriffsfläche, auch an externen Schnittstellen (Anhang I Teil I Nr. 2 lit. j).

Der Karlsruher Sicherheitsexperte Christoph Fischer sieht genau hier die Hersteller in der Pflicht. Steuerungen mit unveränderten Werkseinstellungen und Standardpasswörtern auszuliefern, nennt er unverzeihlich. Er fordert, dass schon bei der ersten Inbetriebnahme ein eigenes Passwort Pflicht ist.

Für Maschinen kommt die MVO dazu. Ab dem 20.01.2027 verlangt Anhang III Nr. 1.2.1 der Maschinenverordnung (EU) 2023/1230, dass böswillige Eingriffe in die Steuerung nicht zu gefährlichen Situationen führen. Nr. 1.1.9 fordert zusätzlich Schutz gegen Korrumpierung. Ein Regler, der sich per Fernbefehl in Brandgefahr bringen lässt, wäre genau so ein Fall.

04 Klaus’ Checkliste für Maschinen- und Anlagenbauer

Stellen Sie sich diese Fragen zu Ihren eigenen Produkten:

• Supportzeitraum: Ist er festgelegt, passt er zur echten Nutzungsdauer, und erfahren Ihre Kunden davon?
• Bestandsflotte: Wissen Sie, wo Ihre Altgeräte laufen und welche davon vernetzt sind?
• Exposition ab Werk: Ist keine Bedienoberfläche direkt aus dem Internet erreichbar? Fernzugriff nur über VPN mit Multi-Faktor-Authentifizierung, wie es BSI und ANSSI empfehlen?
• Keine Hintertüren: Gibt es keine versteckten, fest codierten oder ableitbaren Service-Passwörter? Haben Servicetechniker persönliche Zugänge statt geteilter Passwörter?
• Sonderfunktionen begrenzt: Sind Abtauen, Spülen, Kalibrieren und ähnliche Modi zeitlich und in ihren Sollwerten begrenzt?
• Unabhängige Grenzen: Greift bei kritischen Werten eine Sicherheitsfunktion, die nicht über dieselbe Steuerung manipulierbar ist?
• Authentische Anzeige: Fallen manipulierte Mess- oder Anzeigewerte auf? Löst eine ungewöhnliche Änderung von Parametern einen Alarm aus?
• Update-Kanal: Können Sie Patches ausliefern und erreichen Sie Ihre Kunden mit Sicherheitshinweisen?
• Meldeprozess: Steht Ihr Ablauf für die 24- und 72-Stunden-Meldung nach Art. 14 CRA?

Jedes Nein ist ein Kandidat für Ihre nächste Risikobeurteilung.

05 Und jetzt?

Die Angriffe haben die Supermärkte bei ihrer Verantwortung als Betreiber getroffen. Die Ursachen lagen aber auch im Produkt und in seinem Lebenszyklus. Das ist genau die Ebene, auf der der CRA für Hersteller ansetzt. Und das Thema ist vor unserer Haustür angekommen: Einer der betroffenen Märkte steht in Wetter-Volmarstein, gleich bei Hagen.

Was passiert, wenn kein Update mehr kommt, zeigte sich direkt nach dem ersten Angriff: In Frankreich sank die Zahl der erreichbaren Danfoss-Oberflächen laut Censys binnen drei Tagen von über 1.800 auf 537. Die Betreiber haben ihre Geräte nicht gepatcht, sondern vom Netz genommen. In den anderen Ländern blieben die Zahlen fast gleich. Drei Wochen später kam dort die zweite Welle. Für Altgeräte ohne Support bleibt nur die Offline-Lösung.

Mit unserer Methode COLMORR prüfen wir Ihre Maschine auf solche Angriffspfade: Wie exponiert ist sie, wer könnte angreifen, welche legitimen Funktionen lassen sich missbrauchen, und wo schlägt ein Cyberangriff auf die Sicherheit von Mensch und Anlage durch? Das Ergebnis ist eine Risikobeurteilung, die für CRA und Maschinenverordnung zugleich passt.

06 Quellen