Hacker schalten in Frankreichs Supermärkten das Abtauen der Kühlregale ein

Markus Seyfferth

Autor Dr. Web

13. Oktober 2026

3 Min. Lesezeit

Ein Cyberangriff auf die Kühlung hat in der Nacht zum 12. Oktober Hunderte Supermärkte in Frankreich getroffen, allein rund 300 Filialen von Intermarché und Netto. Über Steuerungen des dänischen Herstellers Danfoss lösten die Angreifer das Abtauen der Kühlmöbel aus und ließen die Heizung weiterlaufen. Danfoss spricht von Altgeräten, für die keine Sicherheitsupdates mehr erscheinen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

„Wir haben die Kühlschranktür geöffnet, und drinnen war ein Backofen“, beschrieb ein Supermarktmitarbeiter dem Sender franceinfo die Lage am Montagmorgen. Dominique Schelcher, Chef der Händlergruppe Coopérative U, bestätigte den Angriff auf die Kälteanlagen mehrerer Märkte und nannte ihn beispiellos.^[1] Premierminister Sébastien Lecornu schaltete die nationale Cyberabwehrbehörde ANSSI ein.

Das Wichtigste in Kürze

Betroffen sind Märkte von Intermarché, Netto, Coopérative U, E.Leclerc und Monoprix, die Intermarché-Mutter Les Mousquetaires rechnet landesweit mit Schäden in Millionenhöhe.
Die Angreifer stellten die Temperatur der Kühlmöbel laut Les Mousquetaires auf 50 Grad, die Pariser Staatsanwaltschaft ermittelt.
Nach Angaben aus dem Umfeld des Premierministers hat die ANSSI eine Schwachstelle in der Software eines dänischen Herstellers gefunden.
Der deutsche Lebensmitteleinzelhandel steht nicht in der NIS2-Liste des BSI-Gesetzes.

Wie wird aus der Abtaufunktion eine Heizung?

Geöffnete Kühlbox mit schmelzendem Eis und Text „Abtauen: läuft“ auf weißem Hintergrund — Cyberangriff auf Kühlsystem: Hacker stellten Temperatur auf 50°C statt minus 18°C und zerstörten Tiefkühlware in Supermärkten

Abtauen gehört zum Alltag jeder Kühltheke: In vielen Anlagen schmelzen Heizstäbe das Eis am Verdampfer, danach kühlt die Anlage weiter. Den Takt gibt ein Systemregler vor, der alle Kühlstellen eines Marktes steuert und sich aus der Ferne bedienen lässt. Laut der Handelsgruppe Les Mousquetaires stellten die Angreifer die Temperatur auf 50 Grad. Tiefkühlware braucht minus 18 Grad. Die Pariser Staatsanwaltschaft hat laut der Nachrichtenagentur AFP Ermittlungen eingeleitet und spricht auch von Bränden in betroffenen Märkten.

Altgeräte machen laut Danfoss den Großteil der betroffenen Anlagen aus. Gegenüber AFP nannte der Hersteller vor allem die Modelle AK-SM800 und AK-SC355 aus älteren Generationen, die keine Software- und Sicherheitsupdates mehr erhalten. Welche Lücke die Täter nutzten, haben weder Danfoss noch die ANSSI veröffentlicht.

Für die verwandte Serie AK-SM 800A beschrieben Forscher von Claroty im August ein verstecktes Tagespasswort, das der Regler aus dem Datum berechnet.^[2] Die US-Cyberbehörde CISA hatte vor dieser Anmeldelücke schon im Mai 2025 gewarnt.^[3] Bei einem Internet-Scan zählte Claroty 2.765 offen erreichbare Verwaltungsoberflächen der Serie.^[2]

Ist der Angriff auf die Supermarkt-Kühlung ein Einzelfall?

Ähnliche Ausfälle trafen im August die Supermärkte der US-Streitkräfte. In Fort Huachuca in Arizona gingen über Nacht alle Gefriertruhen des Marktes in den Abtaumodus, die Zeitung Stars and Stripes zählte mindestens sechs betroffene Standorte. Die zuständige Behörde DeCA nannte damals keine Ursache.

In Minnesota liefen Ende Juli mehr als 30 Wasserwerke nur noch von Hand, nachdem Angreifer die Passwörter ihrer aus dem Internet erreichbaren Steuerungen geändert hatten. Bei Sungrow konnte jedes Installateurkonto fremde Solaranlagen umprogrammieren. Ganz ohne Angreifer legte bei Samsung ein fehlerhaftes Update Kühlschränke in Südkorea lahm.

Am selben Wochenende legte ein Cybervorfall bei Ahold Delhaize die Lieferdienste von Albert Heijn in den Niederlanden lahm. Ob beide Vorfälle zusammenhängen, ist offen.

Eine Kühltheke mit Internetzugang und ohne Updates ist ein Heizkörper, dessen Thermostat Fremde bedienen können.
Michael Dobler, Herausgeber Dr. Web

Angriff auf die Supermarkt-Kühlung in Zahlen

Was über die Nacht vom 11. auf den 12. Oktober 2026 in Frankreich bekannt ist

50 °C

stellten die Angreifer laut Les Mousquetaires ein, Tiefkühlware braucht minus 18 °C

300 Märkte

von Intermarché und Netto meldet Les Mousquetaires als betroffen, dazu kommen Filialen weiterer Ketten

2.765

Verwaltungsoberflächen der Danfoss-Serie AK-SM 800A fand Claroty offen im Internet

Mai 2025

warnte die US-Behörde CISA vor einer Anmeldelücke in Danfoss-Reglern

Abtauen im Normalbetrieb und beim Angriff

Normalbetrieb

Angriff

Auslöser

Zeitplan im Systemregler des Marktes

Befehl aus der Ferne

Heizphase

endet, sobald der Verdampfer eisfrei ist

läuft weiter, die Kühlmöbel heizen sich auf

Ware

bleibt durchgehend gekühlt

verdirbt und landet im Müll

Was sollten Händler in Deutschland jetzt prüfen?

Im Sektor Lebensmittel nennt Anlage 2 des BSI-Gesetzes Unternehmen in Großhandel sowie industrieller Produktion und Verarbeitung.^[4] Der Einzelhandel fehlt in dieser Liste und gehört damit nicht zu den wichtigen Einrichtungen, die Risikomanagement und Meldepflichten nach NIS2 erfüllen müssen. Ab dem 11. Dezember 2027 verpflichtet der Cyber Resilience Act Hersteller, Sicherheitsupdates für einen Unterstützungszeitraum von in der Regel mindestens fünf Jahren zu liefern.^[5] Für Regler, die heute schon in den Märkten arbeiten, gilt diese Pflicht nicht.

Händler und Betreiber von Kühlhäusern können vier Punkte sofort angehen:

Systemregler und Firmware-Stände in allen Filialen erfassen. Für die Serie AK-SM 800A nennt die CISA die Version R4.3.1 als bereinigten Stand.^[3]
Verwaltungsoberflächen vom offenen Internet trennen und den Kältedienstleister nur per VPN oder Fernwartungssoftware mit eigener Anmeldung zugreifen lassen.
Altgeräte ohne Updates austauschen oder vom Netz trennen und vor Ort steuern.
Den Versicherungsschutz prüfen: Ersetzt die Police verdorbene Ware nach einem Cyberangriff? Wie behandelt der Versicherer einen Schaden in vielen Filialen zugleich? Wegen dieses Kumulrisikos halten Rückversicherer ihre Kapazität knapp.

Täter und Motiv sind bislang unbekannt. Wie verwundbar die Lebensmittelbranche insgesamt ist, untersuchte im Juni das Fraunhofer ISI. Fachbegriffe zur IT-Sicherheit erklärt unser Cybersecurity-Glossar.