Kühlungsausfälle verderben Lebensmittel in sechs europäischen Ländern; Cyberangriff wird vermutet

Die Störung ereignete sich über Nacht zum 2. November und betraf Einzelhändler in Belgien, Luxemburg, Schweden, Irland, den Niederlanden und Estland. Mehrere Unternehmen und Lieferanten berichten von gezielten Eingriffen in die Kühlsteuerungen. Sabcobel, das die Kühlsysteme von Delhaize betreibt und einige der betroffenen Geräte herstellt, bezeichnet seinen Vorfall als Cyberangriff. Ein einzelner Angriff, der alle sechs Länder verbindet, ist jedoch nicht nachgewiesen.⁠1⁠2

Die physischen Schäden sind besser belegt als die digitale Erklärung. Lebensmittel wurden aus dem Verkauf genommen, Beschäftigte müssen die Aufräumarbeiten bewältigen und einige Geschäfte wurden vorübergehend geschlossen. Andere blieben geöffnet oder wurden wiedereröffnet. Es gibt weiterhin weder eine vollständige Bilanz der verlorenen Waren noch einen bestätigten Zeitplan für die Wiederherstellung an allen betroffenen Standorten oder einen identifizierten Angreifer.⁠1⁠2

Die Schätzung aus Hoeilaart stammt vom Leiter der Filiale, der laut BBC mit der belgischen Nachrichtenzeitung Het Laatste Nieuws sprach. Sie umfasst entsorgte Waren in einem einzelnen Geschäft in der belgischen Region Flandern und ist keine geprüfte nationale Verlustbilanz. Berichte lokaler Medien beziffern die weiterreichenden Lebensmittelverluste auf Millionen Euro, doch eine verlässliche Gesamtsumme oder Tonnage wurde nicht ermittelt. Die Schätzung der Filiale lässt sich nicht einfach zu diesen umfassenderen Angaben addieren: Dieselben Verluste könnten darin bereits enthalten sein.⁠1

In Belgien und Luxemburg zusammen waren rund 40 Delhaize-Supermärkte betroffen – nicht 40 in jedem Land. Carrefour meldete Störungen in 15 belgischen Filialen und erklärte, unmittelbare Maßnahmen hätten alle Geschäfte geöffnet gehalten. Die Colruyt Group, die belgische Spar-Filialen über Franchiseunternehmen betreibt, teilte mit, die Kühlsysteme von fünf Geschäften seien angegriffen worden. Dies sind Angaben einzelner Einzelhändler, keine abgeglichene Zählung aller betroffenen Standorte.⁠1

Zu den gemeldeten Opfern in den Niederlanden gehörten Metzgereien und kleine Nachbarschaftsläden. Ein Danfoss-Sprecher sagte dem niederländischen Sender NOS, die Temperaturen in Kühl- und Gefrierschränken seien über Nacht in mindestens 17 Betrieben verändert worden. Das ist eine Zahl von Betrieben, nicht von 17 Supermarktfilialen. Zudem zeigt es, warum die Folgen über die größten Lebensmittelketten hinausgehen.⁠6

SuperValu in Irland meldete betroffene Kühlsysteme in 13 Supermärkten. Der Eigentümer Musgrave Group beschrieb einen Cybervorfall, der auf ein «bestimmtes Modell» von Kühlschrank begrenzt gewesen sei. Diese Einschränkung ist wichtig: Sie bedeutet nicht, dass alle Kühlgeräte in diesen Geschäften ausgefallen oder der gesamte Bestand an SuperValu-Filialen betroffen gewesen wären. Eine bestätigte irische Verlustsumme oder ein vollständiger Zeitpunkt der Wiederherstellung wurde nicht ermittelt.⁠1

Die Kosten beschränken sich also nicht auf die Lebensmittel, die sich in einem ausgefallenen Gefrierschrank befanden. Ein Geschäft kann auch Umsätze verlieren, während Beschäftigte Waren entfernen und den Betrieb wiederherstellen. Die Schätzung des Filialleiters in Hoeilaart macht diesen Unterschied deutlich: Die Rechnung für die Lebensmittel war bereits beträchtlich, und die Schließung bedeutete einen zusätzlichen Verlust.

In Sjöbo im Süden Schwedens erklärte eine ICA-Filiale, jemand habe ihre Kühl- und Gefrierschränke auf 50 °C eingestellt, entsprechend 122 °F. Dies ist ein Bericht über eine geänderte Reglereinstellung – kein Beleg dafür, dass die Kühlmöbel oder ihr Inhalt diese Temperatur tatsächlich erreicht haben. Die Filiale schloss früher als üblich und wurde später wiedereröffnet. ICA erklärte, der Vorfall habe eine kleine Zahl von Filialen außerhalb des zentralen Netzwerks betroffen und das Unternehmen unterstütze sie. Eine Kompromittierung des zentralen Netzwerks selbst meldete ICA nicht.⁠1

Eine weitere Filiale, ICA Baronen in Stockholm, veröffentlichte einen Hinweis, dem zufolge alle Gefrierschränke wegen eines Cyberangriffs ausgefallen seien. Ihr Verkaufsleiter gab den Vorfall mit 2 Uhr Ortszeit und seine Entdeckung mit 5:30 Uhr an. Diese Zeiten beschreiben die Erfahrung einer einzelnen Filiale, nicht einen bestätigten Beginn und Entdeckungszeitpunkt der europaweiten Störung.⁠2

Die gemeldete Zahl betroffener schwedischer Coop-Filialen stieg zwischen den am 2. November veröffentlichten Berichten: Im früheren Bericht von The Independent waren sechs Filialen betroffen, im späteren Bericht der BBC waren es sieben von 800. Die spätere Zahl ersetzt die frühere, der Grund für die Änderung wurde jedoch nicht erklärt. Coop sagte der BBC, die Lage sei «derzeit eingedämmt und unter Kontrolle» – eine engere Aussage als die Bestätigung, dass alle Kühlmöbel wieder in Betrieb und sämtliche entsorgten Waren ersetzt seien.⁠2⁠1

Der estnische Sender ERR nannte einen betroffenen Selver-Supermarkt. Auch der Lieferant Kitman Coldtech berichtete von einem betroffenen Kunden aus einer Supermarktkette und geänderten Einstellungen auf +50 °C, ohne die Kette in diesem Bericht zu nennen. Aus diesen Meldungen lässt sich nicht auf zwei getrennte Opfer schließen; auch hier ist die Einstellung nicht mit einer gemessenen Lebensmitteltemperatur gleichzusetzen.⁠21⁠2

Die konkreteste Erklärung dafür, wie die Kühlung unterbrochen wurde, stammt von Sabcobel. Das Unternehmen erklärte, Verdampfer – Teile der Kühlsysteme, die zur Kühlung beitragen – seien in den Abtaumodus geschaltet worden, wodurch sich die Geräte erwärmten. Vorstandschef Stephan Moelans sagte der Nachrichtenagentur Belga, es handle sich um einen Cyberangriff, und beschrieb laufende Bemühungen, Geräte zu isolieren.⁠1

Moelans sagte, die Schutzmaßnahmen hätten nach den früheren Angriffen in Frankreich begonnen und die betroffenen Geräte müssten physisch modifiziert werden; Softwareänderungen allein reichten nicht aus. Er empfahl, Kühlschränke über eine sichere Internetverbindung zu verwalten, und sagte, die meisten Sabcobel-Kunden hätten nach den Vorfällen in Frankreich umgestellt. Das sind die Darstellung des Lieferanten zu seinen Maßnahmen und seine Empfehlung zum Schutz – kein Beleg dafür, dass jedes gefährdete Gerät modifiziert oder die verbleibende Gefährdung beseitigt worden sei.⁠1

Am 14. Oktober berichteten wir, dass Hunderte französische Supermärkte frische und tiefgekühlte Lebensmittel entsorgt hatten, nachdem Angreifer die Kühlsteuerungen aus der Ferne manipuliert hatten. Der Bericht vom November über den Abtaumodus ähnelt diesem früheren Angriffsmuster. Geändert hat sich die gemeldete geografische Reichweite der Kühlungsstörungen; Forensikbelege, die die Angriffe in Frankreich mit all diesen neuen Vorfällen verbinden, liegen weiterhin nicht vor.

Ahold Delhaize meldete der Polizei im Oktober ebenfalls verdächtige Aktivitäten in seiner Infrastruktur. Ein nachgewiesener Zusammenhang zwischen diesen Aktivitäten und den Kühlungsausfällen im November besteht nicht. Ähnliche Zeitpunkte und Auswirkungen bei Einzelhändlern sind Anlass für Ermittlungen, aber kein Beweis für einen einzigen Täter, eine einzige kompromittierte Plattform oder einen einzigen Zugangsweg zu den Geräten.⁠2

Die nationalen Cybersicherheitsbehörden Belgiens und Schwedens beobachten den Vorfall. Das britische National Cyber Security Centre erklärte, es arbeite mit internationalen Partnern und der Branche daran, zu verstehen, was geschehen sei; betroffene Vorfälle im Vereinigten Königreich seien nicht gemeldet worden. Diese Reaktionen belegen keine gemeinsame Ursache in den sechs Ländern.⁠1

Für Einzelhändler kommt es nun ebenso auf praktische Maßnahmen wie auf die forensische Aufklärung an: zuverlässige Kühlung, Ersatzware und keine erneute Unterbrechung. Eine Tür wieder zu öffnen oder einen Regler vom Netzwerk zu trennen, ist ein Fortschritt. Eine abschließende Bilanz der verlorenen Lebensmittel oder eine gesicherte Beseitigung der Störung ist das noch nicht.