Wenn Cyberangriffe die Kühlkette treffen

Kein verschlüsselter Server, kein Erpresserschreiben und kein öffentliches Datenleck: Bei einem Cyberangriff auf französische Supermärkte bestand der sichtbare Schaden aus verdorbenen Lebensmitteln, ausgefallenen Kühlanlagen und Berichten über Brände.

Unbekannte Angreifer hatten in der Nacht vom 11. auf den 12. Oktober Fernsteuerungen kommerzieller Kühlanlagen übernommen. Statt die Anlagen nur kurz und kontrolliert abzutauen, versetzten sie Systeme in einen dauerhaften Abtaumodus. In betroffenen Filialen stiegen Temperaturen Berichten zufolge auf bis zu 50 Grad Celsius.

Der Vorfall ist ein anschauliches Beispiel dafür, warum Operational Technology nicht nur in Kraftwerken und Fabriken relevant ist. Auch Supermärkte, Kühlhäuser, Logistikzentren und Gebäude sind voller Steuerungen, deren Kompromittierung unmittelbar auf die physische Welt wirkt.

Ein legitimer Betriebsmodus wird zur Angriffsfunktion

Kühlanlagen müssen regelmäßig abtauen. Vereisung an Verdampfern verringert die Effizienz und kann den Betrieb beeinträchtigen. Der Abtaumodus ist deshalb eine normale und notwendige Funktion.

Genau diese Funktion wurde zum Werkzeug des Angriffs. Die Täter mussten keine Kälteanlage mechanisch zerstören. Es reichte, die Steuerung dazu zu bringen, einen legitimen Zustand viel zu lange aufrechtzuerhalten.

AFP berichtet, dass mindestens 300 Filialen von Intermarché und Netto, mehr als 100 Märkte der Coopérative U sowie mehrere E.Leclerc-Standorte betroffen waren. Weitere Berichte nennen auch Carrefour und Monoprix. Die öffentlich genannten Zahlen unterscheiden sich je nach Zeitpunkt und Quelle, insgesamt ist jedoch von Hunderten betroffenen Filialen auszugehen.

Frische und tiefgekühlte Ware musste vernichtet werden. Die Pariser Staatsanwaltschaft eröffnete eine Untersuchung, die unter anderem den Zusammenhang zwischen dem Angriff, den Lebensmittelverlusten und gemeldeten Bränden klären soll. Damit reicht die Wirkung deutlich über ein klassisches IT-Problem hinaus: Lebensmittelsicherheit, Filialbetrieb, Nachschub und physische Sicherheit waren gleichzeitig betroffen.

Die Kühlsteuerung war Teil des Internets

Kommerzielle Kühlanlagen werden schon lange zentral überwacht. Dienstleister können Temperaturen kontrollieren, Alarme bearbeiten, Energieverbrauch optimieren und Fehler aus der Ferne diagnostizieren. Das senkt Kosten und verkürzt Servicezeiten.

Der betriebliche Vorteil erzeugt jedoch eine Angriffsfläche, sobald die Management-Schnittstelle direkt aus dem Internet erreichbar ist.

Die französische CERT-FR-Warnung nennt kompromittierte Steuerungen aus den Reihen Danfoss AK-SM und AK-SC sowie Copeland XWEB und Dixell XWEB. Es handelte sich damit nicht nur um ein einzelnes Gerät oder einen einzigen Hersteller.

Sicherheitsforscher von Claroty hatten die Angriffsfläche bereits zuvor untersucht. Ihre Analyse der Danfoss-Steuerungen beschreibt unter anderem Möglichkeiten zur Umgehung der Authentifizierung und zur Befehlsausführung auf einer AK-SM-800A-Plattform. Danfoss hatte dafür schon 2025 aktualisierte Firmware bereitgestellt.

Öffentliche Suchdienste fanden laut Claroty trotzdem 2.765 erreichbare Danfoss-Steuerungen. Wie viele davon zum Zeitpunkt des Angriffs verwundbar oder tatsächlich betroffen waren, ist nicht bekannt. Die Zahl zeigt aber, wie einfach sich eine mögliche Zielliste erstellen lässt, wenn OT-Geräte mit öffentlichen IP-Adressen betrieben werden.

Legacy-Systeme verschwinden nicht mit dem Supportende

Danfoss erklärte, ein großer Teil der betroffenen Geräte sei entweder Legacy-Hardware gewesen oder mit veralteter Firmware betrieben worden. Der AK-SM800 wurde 2021 zum End-of-Life-Produkt erklärt, der AK-SC355 bereits 2016 aus dem Programm genommen. Diese Systeme erhalten keine Software- oder Sicherheitsupdates mehr.

Auf dem Papier endet ein Produktlebenszyklus zu einem klaren Datum. Im Supermarkt läuft die Anlage danach häufig weiter. Ein funktionierender Kühlcontroller wird nicht automatisch ersetzt, nur weil der Hersteller seinen Support beendet. Austausch bedeutet geplante Stillstände, Fachpersonal, Investitionen und möglicherweise Änderungen an weiteren Komponenten.

Genau daraus entsteht die typische Legacy-OT-Falle:

Das System erfüllt seine betriebliche Aufgabe weiterhin.
Der Austausch erscheint kurzfristig teurer als der Weiterbetrieb.
Sicherheitsupdates enden, während die Internet-Erreichbarkeit bestehen bleibt.
Das Risiko wächst, ohne im Tagesgeschäft sichtbar zu werden.

Die Verantwortung lässt sich dabei nicht sinnvoll zwischen Hersteller, Betreiber und Dienstleister hin- und herschieben. Hersteller müssen Schwachstellen transparent behandeln, Updates bereitstellen und ein realistisches Supportende kommunizieren. Betreiber brauchen ein Inventar, Migrationspläne und kompensierende Kontrollen. Dienstleister müssen Fernzugriffe so gestalten, dass Bequemlichkeit nicht zu öffentlicher Administration führt.

Ein Werksreset behebt keine Exposition

Die Empfehlungen von CERT-FR sind auffallend grundlegend: öffentliche Erreichbarkeit entfernen, Konfigurationen einschließlich der Abtauzeiten prüfen und den Fernzugriff nur über ein abgesichertes VPN oder ein geschütztes Netz wiederherstellen. Unterstützte Systeme sollen aktuelle Firmware erhalten, Standardpasswörter müssen geändert und stärkere Sicherheitsmodi aktiviert werden.

Bei kompromittierten Geräten kann ein Neustart oder Werksreset Teil der Wiederherstellung sein. Er beseitigt aber nicht die Ursache. Bleibt ein ungepatchtes End-of-Life-System öffentlich erreichbar, kann es nach dem Reset erneut kompromittiert werden. CERT-FR warnt ausdrücklich davor, dass weitere Angriffskampagnen wahrscheinlich noch laufen.

Das ist eine wichtige Unterscheidung zwischen Wiederherstellung und Absicherung. Einen bekannten Zustand wiederherzustellen reicht nicht, wenn derselbe Angriffspfad offen bleibt.

OT-Incident-Response beginnt nicht beim Laptop

Bei einem klassischen IT-Vorfall konzentriert sich die Reaktion oft zunächst auf Konten, Endpunkte, Server und Daten. In einer Kühlkette kommen andere Prioritäten hinzu:

Ist die Temperatur noch innerhalb sicherer Grenzen?
Welche Ware muss vorsorglich gesperrt oder vernichtet werden?
Können Anlagen lokal und manuell betrieben werden?
Wurde nur die Konfiguration verändert oder auch Firmware und Zugangsdaten?
Welche Filialen verwenden dieselbe Steuerung oder denselben Fernzugang?
Stehen Kältetechniker, Ersatzgeräte und sichere Konfigurationen bereit?

Die technische Isolation darf dabei nicht unkoordiniert den Betrieb gefährden. Ein OT-System lässt sich nicht immer wie ein Bürogerät einfach abschalten. Der Response-Plan muss deshalb IT-Security, Betrieb, Instandhaltung, Lebensmittelsicherheit, Lieferkette und externe Fachfirmen zusammenbringen.

Auch die Wiederanlaufzeit ist eine andere. Systeme können technisch wieder online sein, während Warenbestände, Filiallogistik und Vertrauen in die Konfiguration noch nicht wiederhergestellt sind.

Alarmierung kann den Unterschied machen

Vernetzung ist nicht grundsätzlich das Problem. Dieselbe Telemetrie, die einen Fernzugriff ermöglicht, kann auch früh vor einer gefährlichen Temperatur warnen. In mehreren Filialen konnten Mitarbeitende laut Betreiberangaben eingreifen, bevor die Kühlkette vollständig unterbrochen wurde.

Resilienz entsteht deshalb nicht allein durch Abschottung. Sie braucht mehrere Ebenen:

Vollständiges Inventar: Welche Steuerungen, Firmwarestände, Verantwortlichen und Fernzugänge existieren?
Keine direkte Administration aus dem Internet: Zugriff nur über abgesicherte, protokollierte und möglichst zeitlich begrenzte Verbindungen.
Netzsegmentierung: Eine kompromittierte Kühlsteuerung darf kein Sprungbrett in weitere Filial- oder Unternehmenssysteme sein.
Lebenszyklusplanung: End-of-Life-Geräte brauchen ein Austauschdatum oder klar dokumentierte kompensierende Kontrollen.
Unabhängige Alarmierung: Kritische Temperatur- und Zustandsänderungen müssen auffallen, auch wenn die zentrale Steuerung manipuliert wurde.
Getesteter Notbetrieb: Lokale Bedienung, sichere Standardwerte, Ersatzkonfigurationen und Wiederanlauf müssen vor dem Vorfall geklärt sein.

Diese Maßnahmen gelten nicht nur für Kühlanlagen. Heizungs- und Lüftungssteuerungen, Zugangssysteme, Aufzüge, Beleuchtung, Lagertechnik und andere Gebäudefunktionen folgen derselben Logik: Sie sind vernetzte Computer mit direkter Wirkung auf einen physischen Prozess.

OT-Security ist Business Continuity

Der Angriff auf die französischen Supermärkte macht Cyberrisiko ungewöhnlich greifbar. Ein unscheinbarer Controller, der jahrelang zuverlässig seine Arbeit erledigt, kann gleichzeitig ein öffentlich erreichbares End-of-Life-System mit weitreichender betrieblicher Wirkung sein.

Die wichtigste Frage lautet deshalb nicht nur, ob ein Gerät technisch verwundbar ist. Entscheidend ist, was im Unternehmen passiert, wenn jemand seine legitimen Funktionen missbraucht.

Bei einer Kühlsteuerung lautet die Antwort: Ware verdirbt, Filialen verlieren Umsatz, Lieferketten müssen reagieren und im schlimmsten Fall entsteht physischer Schaden. Spätestens dann ist OT-Security kein Nischenthema der Technikabteilung mehr, sondern ein zentraler Teil der Betriebsfähigkeit.