Exponierte Kühlungssteuerungen in Frankreich lösen Chaos im Supermarkt aus

In der Nacht vom 11. auf den 12. Oktober 2026 zwangen Cyberangreifer Kühlanlagen in hunderten französischen Supermärkten in den Abtau-Modus, wodurch die Temperaturen auf bis zu 50 °C anstiegen. Der Vorfall betraf große Ketten wie Carrefour und Intermarché und führte zu Gerätebränden sowie zur Entsorgung großer Mengen verderblicher Waren. Ermittlungen deuten darauf hin, dass verwundbare, mit dem Internet verbundene Steuerungen des dänischen Industrieunternehmens Danfoss als Einstiegspunkt für die Störung dienten.

Was passiert ist

Der Angriff richtete sich gegen die webbasierten Dashboards, die Techniker zur Überwachung und Verwaltung der Kühlung in den Filialen nutzen. Diese Schnittstellen, bekannt als StoreView, waren ohne angemessenen Schutz direkt über das öffentliche Internet erreichbar. Angreifer setzten die Systeme auf Abtauzyklen, bei denen die Kühlkomponenten erhitzt werden, um Eisbildung zu schmelzen. In vielen Fällen führte dies zu gefährlicher Überhitzung; einige Geräte fingen Feuer, andere verdarben ihren Inhalt. Die Pariser Staatsanwaltschaft hat eine Untersuchung eingeleitet, obwohl keine spezifische Gruppe als Verantwortliche identifiziert wurde.

Große Einzelhandelskonzerne bestätigten das Ausmaß des Schadens. Carrefour meldete Auswirkungen in 80 Filialen, während Les Mousquetaires, der Eigentümer von Intermarché und Netto, mehr als 300 betroffene Standorte verzeichnete. Monoprix gab an, dass etwa 5 % seiner Filialen betroffen seien, und Coopérative U bestätigte Angriffe auf 80 seiner 2.000 Standorte. Danfoss identifizierte die kompromittierte Hardware als Legacy-Modelle, insbesondere die AK-SM 800- und AK-SC 355-Steuerungen, die das Unternehmen 2023 als abgekündigt (End-of-Life) erklärt hatte.

Wichtige Details

• Vor dem Angriff waren in Frankreich 1.331 exponierte Danfoss-Dashboards online, mehr als im Rest der Welt zusammen.
• 85 % dieser französischen Systeme liefen mit Software, die bekannte Sicherheitslücken aufwies, darunter 527 nicht unterstützte Legacy-Steuerungen.
• Die meisten verwundbaren Geräte waren mindestens sechs Monate vor dem Vorfall dem Internet ausgesetzt.
• Nur 195 der 1.331 französischen Dashboards hatten alle bekannten Sicherheitskorrekturen installiert.
• Nach dem Angriff gingen innerhalb von zwei Tagen 76 % der zuvor exponierten französischen Dashboards offline.
• CERT-FR warnte auch vor Schwachstellen in XWEB-Supervisoren von Copeland und Dixell, wobei 70 solche Geräte in Frankreich online gefunden wurden.

Hintergrund

Geräte des Industrial Internet of Things (IIoT) überbrücken oft die Kluft zwischen physischen Maschinen und digitalem Management. In diesem Fall ermöglichen Danfoss-Steuerungen die Fernüberwachung von Temperatur und Systemzustand. Wenn diese Geräte jedoch direkt mit dem öffentlichen Internet verbunden sind, statt mit einem gesicherten internen Netzwerk oder einem virtuellen privaten Netzwerk (VPN), werden sie für jeden sichtbar, der IP-Adressen scannt. Viele dieser Einheiten laufen mit älterer Firmware, der moderne Schutzmechanismen fehlen, was sie anfällig für bekannte Exploits wie Login-Umgehungen macht.

Der Begriff "Legacy" bezieht sich in diesem Kontext auf Hardware, die vom Hersteller nicht mehr aktiv mit Sicherheitsupdates unterstützt wird. Für die AK-SM 800 hat Danfoss die Unterstützung 2023 beendet, doch Hunderte blieben online und zugänglich. Ohne regelmäßiges Patching oder Netzwerkisolierung behalten diese Geräte Standardkonfigurationen oder ungepatchte Schwachstellen bei, die Angreifer nutzen können, um die Kontrolle über kritische Infrastruktur zu erlangen.

Warum es wichtig ist

Für Teams, die selbst gehostete Software oder Edge-Geräte verwalten, unterstreicht dieser Vorfall die schweren Risiken, die entstehen, wenn administrative Schnittstellen dem öffentlichen Internet ausgesetzt werden. Es reicht nicht aus anzunehmen, dass obskure oder spezialisierte Hardware unbemerkt bleibt. Automatisierte Scanner sondieren ständig den gesamten IPv4-Raum und identifizieren jedes Gerät, das auf Standardports antwortet. Wenn Ihre Infrastruktur ähnliche IoT-Steuerungen, Gebäudeleitsysteme oder andere Edge-Hardware umfasst, bedeutet deren öffentliche Zugänglichkeit, dass Sie die Hintertür offen lassen.

Die langsame Rate des Patchings, die in den Daten beobachtet wurde, ist eine weitere kritische Lektion. Zwischen März und Oktober 2026 stieg der Anteil der vollständig aktualisierten Steuerungen in Frankreich nur von 14 % auf 24 %. Dies deutet darauf hin, dass viele Organisationen keine automatisierten Prozesse für die Aktualisierung eingebetteter Firmware haben. In einer selbst gehosteten Umgebung führt das Vernachlässigen dieser Updates dazu, dass Systeme für Exploits anfällig bleiben, die seit Jahren öffentlich bekannt sind, und verwandelt überschaubare Wartungsaufgaben in potenzielle katastrophale Ausfälle.

Was Sie tun können

• Prüfen Sie Ihr Netzwerk auf IoT- oder Edge-Geräte mit öffentlichen IP-Adressen und schränken Sie den Zugriff sofort ein.
• Verschieben Sie administrative Schnittstellen hinter ein VPN oder verwenden Sie strenge Firewall-Regeln, um den Zugriff nur von bestimmten vertrauenswürdigen IP-Adressen zu gestatten.
• Identifizieren Sie Legacy-Hardware, die keine Sicherheitsupdates mehr erhält, und erstellen Sie einen Plan zu deren Ersetzung oder Isolierung.
• Implementieren Sie automatisiertes Monitoring für Firmware-Versionen und richten Sie Warnungen ein, wenn Updates verfügbar sind.
• Ändern Sie alle Standardpasswörter und aktivieren Sie strenge Sicherheitsstufen auf allen verbleibenden exponierten Steuerungen.
• Überprüfen Sie Versicherungspolicen und Vertragsvereinbarungen, um sicherzustellen, dass Methoden für den Fernzugriff den besten Sicherheitspraktiken entsprechen.