Wirtschafts- und versorgungskritische Cyberangriffe auf Kühlsysteme französischer Supermärkte - Schwachstellenanalyse und Folgen

In der Nacht vom 11. auf den 12. Oktober 2026 wurden Hunderte von Filialen großer französischer Supermarktketten Opfer eines gezielten Cyberangriffs auf ihre Kühl- und Gefrieranlagen. Durch Ausnutzung von Sicherheitslücken in Danfoss-Steuerungen heizten Kühltruhen und Regale plötzlich auf bis zu 50 °C, was zu massiven Lebensmittelverlusten und vereinzelten Bränden führte. Der Vorfall verdeutlicht, wie Schwachstellen in Operational-Technology (OT) und Internet-of-Things (IoT) Systeme die physische Lebensmittelversorgung gefährden können.

Ausmaß der Attacke und betroffene Handelsketten

Nach Angaben von Branchenberichten und Statements der betroffenen Unternehmen waren insgesamt rund 500 Supermarktfilialen von dem Angriff betroffen. Die wichtigsten betroffenen Ketten sind:

• Intermarché - etwa 150 Filialen
• Carrefour - ca. 80 Filialen
• Coopérative U
• Leclerc

Die französische Staatsanwaltschaft in Paris hat ein Ermittlungsverfahren eingeleitet und an das Cyberkriminalitätsamt OFAC übergeben. Die nationale Cybersicherheitsbehörde ANSSI unterstützt die technische Analyse und koordiniert die Zusammenarbeit mit europäischen Partnern.

Technische Schwachstellen in Danfoss-Controllern

CVE-2025-41450 - Authentifizierungs-Bypass (Code-of-the-Day)

Die Sicherheitsforscher von Claroty (Team 82) identifizierten im August 2026 eine undokumentierte Authentifizierungsumgehung im Web-Interface "StoreView" der Danfoss-Controller-Serie AK-SM 800A. Der sogenannte "Code-of-the-Day"-Mechanismus berechnete einen Notfall-Code ausschließlich aus Datum und Uhrzeit des Geräts. Wer diesen Code kannte, erhielt ohne gültige Anmeldedaten Administratorrechte. Der CVSS-Score beträgt 8.2 (High).

CVE-2025-41451 - Remote Code Execution via Command Injection

Eine zweite Lücke ermöglichte die Ausführung beliebiger Systembefehle über die Alarm-to-Mail-Konfigurationsfelder. Durch eine OS-Command-Injection konnten Angreifer Schadcode mit Systemprivilegien auf den Controllern ausführen. Der CVSS-Score dieser Schwachstelle liegt bei 8.7 (High).

Beide Schwachstellen wurden von Claroty in der Studie "Freeze the Controller, Defrost the Food" (2026-08-09) detailliert beschrieben.

End-of-Life-Status der betroffenen Hardware

Die kompromittierten Systeme basieren größtenteils auf Modellen, die bereits seit mehreren Jahren keine Hersteller-Updates mehr erhalten:

• AK-SC 355 - End-of-Life bereits 2016, keine Sicherheits- oder Software-Updates mehr.
• AK-SM 800 - Support-Ende 2021, ebenfalls ohne weitere Patches.

Danfoss betonte, dass ein Großteil der betroffenen Geräte aus diesen ausgedienten Serien stammt. Ohne laufende Wartung sind bekannte Schwachstellen dauerhaft offen.

Umsetzungsfehler: Fehlende Netzwerksegmentierung und lange Investitionszyklen

Die Angreifer konnten die Steuerungen aus dem öffentlichen Internet erreichen, weil viele Supermarktbetreiber die von Danfoss empfohlenen Sicherheitsvorgaben - Betrieb hinter Firewalls oder in VPN-Umgebungen - nicht umgesetzt hatten. Tausende Schnittstellen standen ohne Netztrennung offen.

Zusätzlich stehen viele Unternehmen im Lebensmitteleinzelhandel vor dem Problem, dass Kühl- und Klimatechnik typischerweise eine Nutzungsdauer von 15-20 Jahren hat, während die IT-Supportzyklen meist nur 5-10 Jahre betragen. Diese Diskrepanz erschwert regelmäßige Sicherheitsupdates und erfordert Maßnahmen wie virtuelles Patching oder strikte Isolation veralteter Geräte.

Konsequenzen für die Lebensmittelversorgung und physische Schäden

Durch die Manipulation der Steuerungssoftware wurden die Kühlgeräte in einen dauerhaften Abtaumodus versetzt. Normalerweise beträgt der tägliche Defrost-Zyklus etwa zwei Stunden; die Angreifer erhöhten die Temperatur auf bis zu 50 °C für mehrere Stunden. Dies führte zu:

• massiven Verderb von gekühlten und tiefgefrorenen Lebensmitteln, die anschließend entsorgt werden mussten,
• einigen Fällen von Bränden in den betroffenen Kühlgeräten,
• signifikanten wirtschaftlichen Schäden für die betroffenen Einzelhändler.

Der Vorfall macht deutlich, dass OT-Sicherheitslücken direkte physische Auswirkungen auf die Lebensmittelversorgungskette haben können.

Ermittlungen und rechtliche Schritte

Die französischen Behörden verfolgen den Vorfall aktiv:

• Die Pariser Staatsanwaltschaft hat das Cyberkriminalitätsamt OFAC mit den strafrechtlichen Ermittlungen betraut.
• Die nationale Cybersicherheitsbehörde ANSSI arbeitet eng mit den Ermittlern und europäischen Partnern zusammen, um den technischen Hintergrund zu analysieren und mögliche Täter zu identifizieren.
• Die betroffenen Unternehmen prüfen zusätzlich zivilrechtliche Ansprüche gegen den Hersteller, insbesondere im Hinblick auf den fehlenden Support für EOL-Modelle.

FAQ zu den Angriffen

Wie genau gelang den Angreifern die Manipulation ohne gültige Passwörter?Sicherheitsforscher von Claroty identifizierten die Schwachstelle CVE-2025-41450 im StoreView-Webinterface. Der "Code-of-the-Day" basierte ausschließlich auf der Systemzeit, sodass Angreifer mit dem richtigen Zeit-Stempel Administratorrechte erhalten konnten, ohne ein reguläres Passwort zu kennen.Warum schalteten die Kühlgeräte auf 50 °C Heizung um?Die betroffenen Gewerbekühlsysteme besitzen integrierte elektrische Heizelemente für reguläre Abtauzyklen (etwa zwei Stunden täglich). Durch die Ausnutzung der Command-Injection-Lücke CVE-2025-41451 wurden die Steuerungsroutinen manipuliert, sodass ein Dauer-Abtaumodus aktiviert und die Temperatur auf bis zu 50 °C erhöht wurde.Wer ermittelt in dem Fall?Die Pariser Staatsanwaltschaft hat das französische Zentralamt zur Bekämpfung von Cyberkriminalität (OFAC) mit den strafrechtlichen Ermittlungen betraut, unterstützt von der nationalen Cybersicherheitsbehörde ANSSI.

Fazit

Der Cyberangriff auf die Kühlmanagementsysteme französischer Supermärkte zeigt eindrucksvoll, wie veraltete OT-Komponenten, mangelnde Netzwerksegmentierung und unzureichende Hersteller-Support-Strategien kritische Infrastrukturen gefährden können. Die beiden dokumentierten Schwachstellen (CVE-2025-41450 und CVE-2025-41451) ermöglichen sowohl eine Authentifizierungsumgehung als auch Remote-Code-Execution, was zu physischen Schäden und großflächigem Lebensmittelverlust führte. Unternehmen im Lebensmitteleinzelhandel sollten deshalb den Lifecycle ihrer Hardware streng überwachen, veraltete Geräte isolieren oder ersetzen und grundsätzlich eine Netzwerkarchitektur wählen, die kritische Steuerungen von öffentlichen Zugängen trennt. Gleichzeitig verdeutlicht der Fall die Notwendigkeit einer klaren Verantwortungszuweisung zwischen Hersteller und Betreiber, um zukünftige Angriffe auf die Lebensmittelversorgungskette zu verhindern.