Technologie · Angriff auf Kühlanlagen

Hackerangriff auf französische Supermärkte verdirbt Lebensmittel, während Einzelhändler um sichere Kühlung bemüht sind

Verdorbene Waren und gemeldete Brände zeigen die materiellen Folgen gehackter Kühlsteuerungen. Die Einzelhändler müssen den ungeschützten Fernzugriff schließen und zugleich die Sicherheit ihrer Kühlketten gewährleisten.

Ausgestrahlt Verfasst 7 Min. Lesezeit83 QuellenHeyDay News Desk · About usWatch report
Mit HeyDex entdecken

Per RSS folgen

Video in der Originalsprache

Transkript · WIRD GELADEN

Aus dem englischen Original übersetzt.

ThemenverlaufTag 6

1 Bericht58 Medien83 Quellen16 Videos

  • Noch keine datierten Ereignisse
  1. Update 1Hackerangriff auf französische Supermärkte verdirbt Lebensmittel, während Einzelhändler um sichere Kühlung bemüht sindSie sind hier

Frische und tiefgekühlte Lebensmittel, die eigentlich hätten verkauft werden sollen, mussten stattdessen weggeworfen werden. In Hunderten französischen Supermärkten manipulierten Angreifer über Nacht aus der Ferne die Kühlsteuerungen. Das Personal musste verdorbene Waren entsorgen und sich an einigen Standorten mit beschädigten Geräten und gemeldeten Bränden befassen. Ein Filialleiter berichtete, dass sämtliche frischen und tiefgekühlten Lebensmittel der Filiale verloren gegangen seien. 7

Für den Einzelhandel besteht die unmittelbare Aufgabe nicht nur darin, die Bestände aufzufüllen: Lebensmittel müssen sicher gekühlt und Unbefugte von den Steuerungen ferngehalten werden. Frankreichs Cybersicherheitsbehörde warnte, dass Angriffskampagnen noch im Gange sein könnten, wie Global News am 14. Oktober berichtete. Die Warnung bestätigt keine neuen Angriffe an diesem Tag, doch ist die Gefahr auch nicht für beendet erklärt worden. 1

Die klarste Chronologie verortet die Störung in der Nacht von Sonntag, dem 11. Oktober, auf Montag, den 12. Oktober 2026. Capital berichtet von diesem Zeitfenster über Nacht. Global News beschrieb in seinem Bericht vom 14. Oktober einen Angriff am Sonntag, während FRANCE 24 am 13. Oktober meldete, dass Geschäfte am Montag ins Visier genommen worden seien. Diese Beschreibungen können sich auf dieselbe Nacht beziehen; sie belegen keine getrennten Angriffswellen. Die genauen Anfangs- und Endzeiten sind unbekannt. 28 1 6

Berichten zufolge veränderten Angreifer Temperatureinstellungen oder aktivierten Abtausysteme, während die Geschäfte unbesetzt waren. Die Übernahme der Kühlsteuerungen ist besser belegt als der Weg, über den sich die Angreifer Zugang verschafften. Ermittler haben keine konkret ausgenutzte Schwachstelle benannt, und ein Einbruch über die Plattform eines gemeinsamen Anbieters ist nicht bestätigt. 8 20

Hunderte betroffen, landesweite Zahl nicht geklärt

Les Mousquetaires zufolge waren 300 Intermarché- und Netto-Filialen betroffen – nicht 300 Geschäfte in ganz Frankreich. Die Aufschlüsselung von Public Sénat nennt außerdem 80 Carrefour-Supermärkte, 80 U-Filialen, rund 30 Monoprix-Filialen sowie mehrere E.-Leclerc-Standorte, für die keine Zahl angegeben wird. Aufgrund der ungefähren und fehlenden Angaben lässt sich keine exakte Gesamtsumme ermitteln. 28 80

Die landesweiten Schätzungen sind weiterhin nicht miteinander in Einklang gebracht. Am 13. Oktober schätzte ABC News Australia die Zahl anhand von Angaben einzelner Handelsketten auf etwa 500; Global News berichtete von mindestens 350; NBC News bezifferte sie auf etwa 700, rund 7% der ungefähr 10,000 Supermärkte in Frankreich. Die unterschiedlichen Veröffentlichungszeitpunkte allein erklären die Abweichungen nicht. Es gibt weder eine abgestimmte Liste der Standorte noch eine Zählmethode, anhand derer sich feststellen ließe, ob die höhere Schätzung eine breitere Erfassung, zusätzliche Vorfälle oder einen anderen Unterschied widerspiegelt. Diese Zahlen dürfen nicht addiert werden. 14 5 4

Im Bericht von CTV News vom 13. Oktober wurden auch betroffene Geschäfte in Spanien, Portugal, Polen, Deutschland und Belgien genannt. Französischen Behörden zufolge stimmten sie sich wegen ähnlicher Vorfälle mit ihren europäischen Amtskollegen ab. Bestätigte Zahlen für die einzelnen Länder oder eine gemeinsame Angriffskette liegen jedoch nicht vor. Warnungen vor einer möglichen Gefährdung in Kanada und Australien sind Risikoeinschätzungen, keine Berichte über dortige Angriffe. 9 8 1 14

Berichten zufolge erreichten Temperaturen oder Einstellungen bis zu 50°C – dieselbe Temperatur wie 122°F. Einige Berichte sprechen von über 100°F oder knapp 50°C. Wichtiger ist, dass in den Berichten abwechselnd von der Einstellung einer Steuerung und von der Temperatur im Inneren eines Geräts die Rede ist. Ohne standortspezifische Sensordaten und Zeitstempel belegt nichts davon einen einheitlichen Messwert in allen Geschäften. ABC News gab die Einschätzung eines Experten wieder, wonach sich einige Geräte sechs Stunden oder länger aufgeheizt hätten; das ist keine unabhängig ermittelte Dauer für alle betroffenen Geräte. 6 7 4 5 13

Der finanzielle Schaden ist erheblich, aber noch nicht vollständig beziffert. FRANCE 24 berichtete, ein Supermarkt im Großraum Paris schätze den Verlust durch verdorbene Waren auf €55,000. NBC gab die Erwartung des Vorstandsvorsitzenden von Intermarché wieder, dass Kosten in Millionenhöhe in Euro anfallen würden, während Reuters über Schätzungen von Einzelhändlern berichtete, die bis zu mehreren zehn Millionen Euro reichten. Dies sind Schätzungen unterschiedlichen Umfangs, keine geprüfte Gesamtrechnung. 15 3 7

Auch die Angaben in US-Dollar reichen von Millionen bis zu mehreren zehn Millionen, ohne dass die Währung durchgehend genau angegeben wird. Sie lassen sich nicht einfach mit den Schätzungen in Euro zusammenrechnen. Schäden an Geräten und unterbrochene Verkäufe könnten die Folgen über den Ersatz der Lebensmittel hinaus verlängern; gesonderte, bestätigte Angaben zu diesen Schadensposten liegen jedoch nicht vor. 11 4 7

Die Berichte über Brände machen aus der Geschichte mehr als einen Fall von entsorgten Waren. Die Pariser Staatsanwaltschaft erwähnte in ihrer Darstellung Brände und Lebensmittelverluste, doch aus den Berichten gehen weder eine vollständige Zahl der Brände noch alle betroffenen Orte, Brandursachen oder Angaben zu Verletzten hervor. Dass keine Verletzten gemeldet wurden, beweist nicht, dass niemand zu Schaden kam. 43

Fernzugriff trennen, nicht die Kühlung

Die Warnmeldung CERT-FR, CERTFR-2026-ALE-012, wurde erstmals am 12. Oktober veröffentlicht und am 13. Oktober überarbeitet. Der wiedergegebene Text nennt die Steuerungen Danfoss AK-SM und AK-SC sowie die Systeme Copeland XWEB und Dixell XWEB. Claroty berichtet, dass in der Überarbeitung vom 13. Oktober Copeland und Dixell zusätzlich als betroffene Geräte genannt wurden. Die Nennung dieser Produktfamilien belegt nicht, dass jedes Modell oder jede Installation auf dieselbe Weise gefährdet ist. 36 37 38

Die wiedergegebene Warnung besagt, dass es generell nicht guter Praxis entspricht, eine Verwaltungsschnittstelle dem Internet auszusetzen. Die Anweisungen für nicht kompromittierte Geräte beginnen damit, die Verbindung zum Internet zu kappen. Gemeint ist damit, den ungeschützten Fernzugriff auf die Verwaltung zu schließen – nicht, die Kühlung abzuschalten. Die vollständigen Verfahren für kompromittierte und nicht kompromittierte Geräte liegen hier nicht vor; daher lässt sich anhand dieser Belege keine bestätigte Abfolge von Passwortänderungen, Firmware-Arbeiten und Meldeschritten vorgeben. 37 39

Mindestens ein Filialleiter sagte FRANCE 24, die Fernsteuerung der Kühlgeräte sei deaktiviert worden, um das Risiko eines weiteren Angriffs zu verringern. Das ist eine konkrete Reaktion, aber kein Beleg dafür, dass Angreifer überall ausgesperrt wurden. Während der Berichterstattung blieben einige Frische- und Tiefkühlregale geschlossen; ein einheitlicher Wiedereröffnungstermin stand nicht fest. 15 12

Danfoss erklärte, die meisten betroffenen Geräte gehörten zu einer älteren Produktlinie, deren Lebenszyklus beendet war und für die keine Software- oder Sicherheitsupdates mehr bereitgestellt wurden, oder liefen mit veralteter Firmware. Ein späterer Bericht von ABC beschrieb neuere Modelle als nicht betroffen und erklärte, das Unternehmen unterstütze seine Kunden. Diese Aussagen grenzen die gemeldete Gefährdung ein; sie sind kein unabhängig bestätigtes Verzeichnis aller betroffenen Modelle. 15 3 2

Professor Ryan Ko, Direktor des Cyber Research Centre der University of Queensland, beschrieb offengelegte Fernverwaltungssysteme als einen Weg, über den Angreifer Kühlsteuerungen aufspüren und manipulieren können. Auch Marta Rybczynska, eine von FRANCE 24 interviewte Cybersicherheitsexpertin bei Ygreky, hob über das Internet erreichbare Verwaltungsfunktionen und jahrealte Firmware hervor. Ihre Einschätzungen erklären das Risiko, ohne die Zugangsmethode für jede Filiale zu belegen. 59 10 49 6

Der UNSW-Professor Richard Buckland vermutete, dass ein kompromittierter zentraler Anbieter die Störungen bei mehreren Einzelhändlern erklären könnte. Das bleibt eine Hypothese. Seine Empfehlung, unabhängige Alarme und menschliche Aufsicht einzusetzen, zielt auf ein grundlegenderes Problem: Betreiber brauchen eine Möglichkeit, gefährliche Veränderungen zu erkennen, die nicht vollständig von der manipulierten Steuerung abhängt. Kos separate Warnung, dass KI die Entwicklung von Exploits beschleunigen kann, ist eine allgemeine Einschätzung; es gibt keine Belege dafür, dass bei diesem Angriff KI eingesetzt wurde. 61 14 10

Bekannt

  • Die Abteilung für Cyberkriminalität der Pariser Staatsanwaltschaft leitete Ermittlungen ein, und CERT-FR veröffentlichte eine Warnung zu Kühlsteuerungen. 636

Unbekannt

  • Die Angreifer, ihr Motiv, die genaue Zugangsmethode, das vollständige Ausmaß der Sachschäden und die endgültigen Verluste sind weiterhin nicht geklärt.

Als Nächstes

  • Ob die Einzelhändler eine sichere Kühlung bestätigen, offengelegte Zugänge schließen und betroffene Abteilungen ohne erneute Störung wieder öffnen können.

Bis zu den verfügbaren Berichten vom 14. Oktober hatte sich keine Gruppe öffentlich zu dem Angriff bekannt. In Berichten, die diese Fragen behandelten, wurden weder Datendiebstahl noch Lösegeldforderungen gemeldet; das ist jedoch kein forensischer Nachweis dafür, dass beides nicht stattgefunden hat. 6 8

Die bekannten Fakten zeigen bereits, warum es nicht vertretbar ist, die Sicherheit von Kühlanlagen als optionale IT-Ausgabe zu behandeln. Diese Steuerungen schützen ein lebensnotwendiges Gut. Für eine Wiederherstellung reicht es nicht, dass ein Kühlgerät wieder funktioniert: Die Einzelhändler müssen sicherstellen, dass die Lebensmittel unbedenklich sind und Außenstehende die Bedingungen, die dafür sorgen, nicht verändern können.

Quellen für diesen Bericht

Berichterstattung im Rundfunk: Global News 1 5; ABC News 2 11 13; NBC News 3 4; FRANCE 24 English 6 15; Reuters 7; CBS News 8; CTV News 9; ABC News Australia 10 14; Bloomberg Television 12; Guardian News 16.

Berichterstattung zum Vorfall und zur Technik: The Hack Academy 17; Cybernews 18; Claroty 19 38; TSN Media 20; Food Tech Insider 21; Flawfence 22; CBS News 23; Time 24; Le Nouvel Obs 25; P.K. Sharma 26.

Berichterstattung über Einzelhändler und die Lebensmittelbranche: Associated Press 27; Capital 28; ABC News Australia 29; FoodNavigator 30; Pollar 31; Industrial Cyber 32; Al Jazeera 33; Threatcluster 34; The Connexion 35.

Warnmeldungen und weitere Berichte: CERT-FR 36 81; Wiedergabe von Vulnerability-Lookup 37; CyberTechEdition 39; Security.io 40; AIGYROS GROUP 41; FRANCE 24 42; NBC News 43; CBC News 44; CNBC 45; Al Jazeera 46; Y94 47; Insurance Business 48.

Experteninterviews und Analysen: FRANCE 24 49; CBC News 50; iTnews 51; Al Jazeera 52; ABC News Australia 53; Auslume 54; Globalsconflicts 55; Tim McAllister 56; Securitysignal 57; Duke FM 58.

Nachweise zur Identität: Profile, Verzeichnisse und Teams der University of Queensland 59 60 62 63 64 66 67 68; Profil der UNSW 61; LinkedIn-Profil von Richard Buckland 65.

Quellen zu politischen und regulatorischen Vorgaben: Europäische Kommission 69; Verordnung und PDF von EUR-Lex 70 71; CRA Evidence 72; Phinasoft 73; Cybernova Labs 74; Cyber Resilience Act Explained 75; EUVerify 76; NISD2.eu 77; INNOSYS 78.

Weitere Quellen zum Vorfall: Gridinsoft 79; Public Sénat 80; Maître Reda Kohen 82; Cybernova Labs 83.

Wie ausgestrahlt 27 Zeilen
  1. Hackers forced hundreds of French supermarkets to throw away fresh and frozen food. Retailers face spoiled stock, damaged equipment and reported fires, while France’s cybersecurity agency warns attack campaigns could still be underway. Can stores keep food safely chilled while shutting outsiders out of their refrigeration controls?
  2. Staff emptied refrigerated and frozen sections after attackers remotely interfered with the equipment keeping products cold. Some fresh and frozen aisles remained closed. One store director described losing all the store’s fresh and frozen produce.
  3. The disruption struck overnight, while stores were unattended. Attackers reportedly changed temperature settings or activated defrost systems, allowing equipment to warm for hours. The clearest timing places the attack across the night of October 11 into October 12, 2026.
  4. Sunday-night and Monday descriptions can refer to that same overnight disruption. Retailers confirmed the damage on Monday. The timing doesn't show two separate waves of attacks, and nobody has given precise start and finish times.
  5. The heating was prolonged. Some descriptions put it at six hours or more, while others describe several hours overnight. Those are estimates of what happened to some equipment, rather than a single measured duration across every affected store.
  6. Some refrigeration settings or temperatures reportedly reached up to 50 degrees Celsius, equivalent to 122 degrees Fahrenheit. Other descriptions put them above 100 Fahrenheit. The figures mix settings and appliance readings, so they don't show every cabinet reached the same temperature.
  7. Les Mousquetaires reported 300 affected Intermarché and Netto stores. That gives a concrete measure of the damage within one retail group. Other major chains were hit too, and their figures explain why the impact extends well beyond that group.
  8. The retailer breakdown also identifies 80 Carrefour supermarkets, 80 U stores and around 30 Monoprix stores. Several E. Leclerc stores were affected too. With an approximate Monoprix figure and no Leclerc count, that breakdown can't produce an exact national total.
  9. The national estimates disagree. They range from at least 350 stores to about 500 or about 700. Their publication times don't explain the differences, and the figures shouldn't be added together or treated as proof that new attacks kept increasing the toll.
  10. The higher estimate puts about 700 of France’s 10,000 supermarkets in the affected group, roughly seven percent. But nobody has reconciled the store lists or explained the counting methods behind the different national estimates.
  11. French authorities are also coordinating with European counterparts over similar incidents. The reported reach includes five other countries, although the damage in each country hasn't been counted and investigators haven't connected every incident through one common intrusion route.
  12. Stores in Spain, Portugal, Poland, Germany and Belgium were also reportedly affected. Experts warn that similarly connected equipment could expose retailers elsewhere, including Canada and Australia, to the same kind of physical disruption.
  13. A supermarket in a Paris suburb estimated its spoiled-product losses at 55,000 euros. Intermarché’s chief executive expected costs in the millions of euros, and other retailer estimates reached tens of millions. Those estimates cover different scopes and aren't a final bill.
  14. Dollar-denominated estimates also run from millions to tens of millions, but the currency isn't consistently specified. They can't simply be combined with the euro figures. Retailers also face equipment damage and interrupted sales beyond the cost of replacing food.
  15. The Paris prosecutor’s office included food losses and fires in its account of the attack. Fires were reported at some stores, but the ignition mechanism and full damage haven't been explained. Fresh and frozen sections were still closed at some locations during the reporting.
  16. France’s cybersecurity agency urged operators to remove internet exposure from affected units. Its warning targets the remote-management connection. Retailers still need cooling to protect food, and at least one store director said the store had disabled remote operation of its cold units.
  17. The agency’s CERT-FR alert was first issued October 12 and revised October 13. It described numerous compromises of remote refrigeration controllers. The revision widened the named equipment beyond Danfoss to include systems from Copeland and Dixell.
  18. The warning names Danfoss AK-SM and AK-SC, Copeland XWEB and Dixell XWEB controller families. Danfoss says most affected units came from an old product line without security updates, or were running outdated firmware, the software embedded in the equipment.
  19. Danfoss also says newer models were unaffected and it's working with affected customers. Its explanation points to aging connected controls that remained in service after security support ended. Investigators still haven't identified the precise flaw or initial access method used in the attacks.
  20. University of Queensland professor Ryan Ko says exposed remote-management systems give attackers a route to find and manipulate refrigeration controls. Cybersecurity expert Marta Rybczynska, at Ygreky, also points to internet-accessible administration, years-old firmware and missing basic security measures.
  21. Ko recommends checking online exposure, investing in security and encouraging prompt reporting. He also warns that AI can accelerate vulnerability discovery and exploit development, potentially compressing hours or days of work into minutes or seconds. That's his general assessment of the technology.
  22. UNSW professor Richard Buckland suggests a compromised central provider might explain why multiple retailers were hit. Investigators haven't confirmed that hypothesis. He warns about a single point of failure and recommends independent alarms and human oversight to catch dangerous changes.
  23. The Paris Public Prosecutor’s Office opened a cybercrime investigation, alongside the national cybersecurity agency’s work. By October 14, no group had publicly claimed responsibility. No data theft or ransom demand had been reported. Investigators haven't announced the attackers’ identity or motive.
  24. The EU Cyber Resilience Act sets a broader direction for secure design, updating and maintenance of connected products. Its reporting obligations began September 11, 2026. The main obligations are scheduled for December 11, 2027, though these controllers’ precise legal classification hasn't been settled.
  25. France’s separate NIS2 cybersecurity legislation was still pending in early October. The Senate passed the bill in March 2025, and an Assembly committee approved it that September. The Assembly floor stage was postponed October 6, 2026.
  26. Retailers have begun closing exposed remote access while trying to restore food storage and sales. The agency warns campaigns could still be underway. Disconnecting a remote connection can reduce exposure, but retailers haven't demonstrated that attackers have been excluded everywhere.
  27. France’s finance minister called the attack a wake-up call. Stores now have to protect two things together: the temperature keeping food safe and the controls deciding that temperature. There’s still no common reopening date for affected fresh and frozen aisles.

Quellen

83 Quellen58 Medien16 Videos

Quellenkarte

Verfolgen Sie die Belege zu diesem Bericht. Die Karte zeigt die Zusammenhänge; die Links darunter öffnen die im Artikel zitierten Quellen.

Die Quellenkarte lädt, während Sie lesen.

Die gesamte Redaktionskarte erkunden ↗

Übersetzung aktualisiert:

Änderungsprotokoll

  1. r1Erstmals veröffentlicht.