Kühlanlagen-Angriffe in Europa: Was deutsche Händler und Kühlketten-Betreiber jetzt prüfen sollten

Stand: 4. November 2026. Ermittlungen laufen in mehreren Ländern, einige Punkte sind noch offen. Wir aktualisieren den Beitrag, wenn belastbare neue Informationen vorliegen.

In der Nacht zum 12. Oktober 2026 haben Unbekannte die Kühlung in mehreren Hundert französischen Supermärkten manipuliert: Kühlmöbel und Tiefkühltruhen heizten statt zu kühlen, Ware musste entsorgt werden. Drei Wochen später, in der Nacht zum 2. November, folgte eine zweite Welle in mindestens neun weiteren europäischen Ländern, darunter Deutschland. Die Angreifer wollten keine Daten. Sie haben physische Anlagen über ihre Steuerung angegriffen. Für alle, die in Deutschland Kühlanlagen betreiben, ist die Frage deshalb nicht mehr theoretisch: Sind unsere Steuerungen genauso erreichbar?

Was ist passiert

Welle 1, Frankreich (11./12. Oktober): Betroffen waren Filialen von Intermarché und Netto (Groupement Mousquetaires), Coopérative U, Carrefour, Monoprix und E.Leclerc. Die Zahlen gehen auseinander: Reuters nannte mindestens 350 Märkte, Wirtschaftsminister Roland Lescure sprach am 13. Oktober im Parlament von rund 700 der etwa 10.000 Supermärkte im Land. Nach Medienberichten stiegen die Temperaturen in Kühlmöbeln auf bis zu 50 °C, die Pariser Staatsanwaltschaft ermittelt.

Welle 2, mehrere Länder (1./2. November): Am stärksten traf es Belgien mit rund 75 Märkten, darunter nach eigenen Angaben „mehrere Dutzend“ Filialen von Delhaize, der belgischen Marke des Ahold-Delhaize-Konzerns, 15 von Carrefour und rund 15 von Intermarché. Delhaize sprach von einem „IT-Vorfall, der die Kühlsysteme betrifft“. Gemeldet wurden außerdem 13 SuperValu-Märkte in Irland, 7 Intermarché-Märkte in Portugal, 6 bis 7 Coop-Märkte und eine nicht bezifferte Zahl von ICA-Märkten in Schweden sowie eine Filiale in Estland. In den Niederlanden waren laut einem Danfoss-Sprecher mindestens 17 Unternehmen betroffen. Aus Finnland und Luxemburg gibt es Meldungen ohne Zahlen. Die belgische Bundesstaatsanwaltschaft ermittelt.

Schaden: Eine offizielle Gesamtzahl gibt es weder für Frankreich noch für Europa. Les Mousquetaires bezifferte die Verluste in Frankreich auf „mehrere Millionen Euro“. Die oft zitierten rund 40 Millionen Euro sind eine Schätzung der Zeitung Économie Matin, gerechnet mit angenommenen 100.000 € je betroffenem Markt. Einzelne Märkte nannten Warenverluste von rund 50.000 € (Intermarché Haguenau) bis rund 220.000 € (Super U Wasselonne). Der Chef von Coopérative U schätzte 180.000 bis 200.000 € für einen Hypermarkt.

Nicht zu verwechseln: Ahold Delhaize meldete am 12. Oktober auf Konzernebene, unabhängig von den belgischen Kühlanlagen-Fällen oben, einen separaten Cybervorfall in seinem Netzwerk. Der Konzern nahm vorsorglich Websites und Apps seiner Marken vom Netz, alle Märkte blieben laut Update vom 19. Oktober geöffnet. Einen Bezug zu Kühlanlagen stellt der Konzern nicht her.

Betroffene Fälle in Deutschland

In der Nacht zum 2. November traf die Welle auch deutsche Märkte. Bestätigt sind zwei Fälle:

• Edeka in Reisbach (Niederbayern): Laut Medienberichten wurde die Kühlung auf bis zu 50 °C hochgeheizt. Ein Edeka-Sprecher bestätigte laut ZDF heute „einen IT-Vorfall im Zusammenhang mit einer Kühlanlage“, der Markt schrieb: „Unmengen an Lebensmitteln mussten in die Tonne.“
• AWO-Supermarkt in Wetter-Volmarstein (NRW): Die Arbeiterwohlfahrt bestätigte den Angriff gegenüber dpa. Er richtete sich demnach gegen die Firma, die die Kühlanlagen aus der Ferne wartet.

ZDF heute berichtet außerdem von einem Supermarkt in Lilienthal bei Bremen, dessen Inhaber Ware im Wert von über 360.000 € wegwerfen musste, und unter Berufung auf den WDR von einer manipulierten Anlage in Wuppertal. Diese Fälle zählen wir nicht mit, solange sie nicht bestätigt sind. Das BSI hatte schon nach dem Angriff in Frankreich dazu aufgerufen, aus dem Internet erreichbare Steuerungsanlagen nach dem Stand der Technik abzusichern.

Relevant ist das Thema vor allem für:

• Lebensmittelhandel: Supermärkte, Discounter und Franchise-Märkte mit zentral gesteuerten Kühlmöbeln.
• Lebensmittellogistik: Kühlhäuser, Verteilzentren und Umschlagplätze, oft mit Fernwartung durch den Kältetechnik-Dienstleister.
• Pharma-Kühlkette: Großhandel, Apotheken-Logistik und Lager, in denen Temperaturabweichungen ganze Chargen unbrauchbar machen.
• Gastronomie und Gemeinschaftsverpflegung: Großküchen, Kantinen und Systemgastronomie, in denen ein Installateur die Anlage „mal eben“ online gestellt hat.

Oft weiß der Betreiber gar nicht, dass seine Anlage erreichbar ist. Diese Zugänge richten häufig Kältefachbetriebe ein, um Alarme zu empfangen oder die Anlage zu warten.

Wie die Angriffe funktionierten

Öffentlich bekannt ist nur ein Teil. Nach Berichten lösten die Angreifer über die Steuerung dauerhaft den Abtauvorgang aus, also die eingebaute Funktion, die Verdampfer regelmäßig enteist. Dauerhaft aktiv, heizt sie die Kühlstelle auf. Dafür brauchten sie keine Schadsoftware im klassischen Sinn, sondern Zugriff auf die Bedienoberfläche.

Am 12. Oktober veröffentlichte CERT-FR (ANSSI) die Warnung CERTFR-2026-ALE-012. Sie nennt die Serien Danfoss AK-SM und AK-SC, seit dem 13. Oktober auch die Supervisoren Copeland XWEB und Dixell XWEB. Danfoss erklärte, viele betroffene Geräte seien am Ende ihres Lebenszyklus oder liefen mit veralteter Firmware. Auch bei der zweiten Welle steckte nach Reuters zumindest in einem Teil der Anlagen Danfoss-Technik, ein Sprecher sah die Schwachstelle „vor allem in veralteter Software“.

Wie groß die Angriffsfläche ist, zeigen zwei Zahlen: Laut Reuters waren am 13. Oktober noch mindestens 4.500 Danfoss-Oberflächen über die Suchmaschine Shodan auffindbar. In Belgien fand das Unternehmen Approach Cyber am 16. Oktober rund 700 offen erreichbare Kühlanlagen-Steuerungen, davon rund 400 mit offenbar verwundbarer Software. Das belgische Centre for Cybersecurity hatte bereits am 13. Oktober gewarnt.

Bekannt sind zudem Schwachstellen in der Danfoss AK-SM-8xxA-Serie, die Claroty Team82 gefunden hat: eine Authentifizierungsumgehung (CVE-2025-41450, behoben mit R4.2) sowie eine Befehlsinjektion und eine Konfigurationsmanipulation (CVE-2025-41451 und CVE-2025-41452, behoben mit Firmware R4.3.1, Danfoss-Advisory DSA-2025-08-01).

Offen ist bisher:

• wer hinter den Angriffen steht. Es gibt kein Bekennerschreiben und keine Lösegeldforderung, eine Zuordnung zu einer Gruppe ist nicht bestätigt.
• ob beide Wellen zusammenhängen. Reuters konnte das nicht feststellen.
• wie die Angreifer genau Zugang erhielten. Mehrere Betroffene verweisen auf den Dienstleister, der die Kühlanlagen aus der Ferne wartet. Denkbar sind auch offene Weboberflächen oder Standardpasswörter.
• ob die genannten CVEs ausgenutzt wurden. Ein Zusammenhang ist plausibel, aber nicht bestätigt.

Checkliste: Was Sie jetzt prüfen sollten

1. Internet-Exposition: Ist eine Steuerung, ein Systemmanager oder ein Supervisor über eine öffentliche IP-Adresse erreichbar? Prüfen Sie Ihre eigenen IP-Bereiche, zum Beispiel über Shodan oder Censys, und fragen Sie Ihren Kältedienstleister direkt.
2. Fernwartungszugänge: Wer greift wie zu? Zugriff nur über VPN oder einen abgesicherten Sprungserver mit Mehrfaktor-Authentifizierung. IP-Filter auf der Firewall sind laut CERT-FR nur eine Notlösung.
3. Standardpasswörter: Sind alle Werkspasswörter und gemeinsam genutzten Installateur-Konten ersetzt?
4. Firmware und Lebenszyklus: Welche Firmware läuft, und wird das Gerät noch vom Hersteller unterstützt? Geräte ohne Updates gehören keinesfalls ins Internet und sollten ersetzt werden.
5. Authentifizierung der Weboberfläche: Ist der Herstellermodus mit der höchsten Sicherheitsstufe aktiv (bei Danfoss laut CERT-FR „Strict“)? Ist HTTPS erzwungen?
6. Netzwerksegmentierung: Hängen Kältesteuerungen im selben Netz wie Kasse, Büro-IT oder Gäste-WLAN? Sie gehören in ein eigenes, gefiltertes Segment.
7. Alarme und Parameteränderungen: Werden Änderungen an Sollwerten und Abtauzeiten protokolliert und gemeldet? Greifen Temperaturalarme unabhängig von der Steuerung, etwa über separate Fühler?
8. Physische und serielle Schnittstellen: Wer kommt im Markt an Service-Ports, Modbus- oder RS-485-Leitungen und Gateways heran?

Wurde ein Gerät bereits kompromittiert, empfiehlt CERT-FR einen Neustart oder Werksreset, eine saubere Neukonfiguration und die Härtung, bevor es wieder in Betrieb geht. Ein Reset allein reicht nicht, weil das Gerät danach weiter verwundbar ist. Prüfen Sie außerdem vorher Ihren Versicherungsvertrag, bevor Sie Datenverbindungen zum Dienstleister trennen.

Wann ein IoT- & Hardware-Pentest hilft

Die Checkliste können Sie zu großen Teilen selbst abarbeiten. Ein Pentest zeigt, ob Ihre Maßnahmen von außen und aus dem Filialnetz wirklich halten. Bei Anlagen im laufenden Betrieb stimmen wir den Testumfang vorher mit Ihnen und Ihrem Kältedienstleister ab. Mehr dazu auf unserer Seite zum IoT- & Hardware-Pentest.

Quellen

Welle 1 und Warnungen

• CERT-FR: CERTFR-2026-ALE-012 – Incident de sécurité ciblant les contrôleurs à distance des installations de réfrigération (12.10.2026, aktualisiert 13. und 16.10.2026)
• Reuters via Business Insurance: Investigators hunt French supermarket fridge hackers (13.10.2026)
• AP via KSAT: Cyberattack targeting refrigeration systems hits 700 supermarkets, French government says (13.10.2026)
• Euronews: Hundreds of French supermarkets hit by cyberattack on refrigeration systems (12.10.2026)
• Al Jazeera: French fridge fright: why supermarkets have become a target for hackers (13.10.2026)
• Boursorama: Cyberattaque contre les frigos des supermarchés : une minorité de magasins touchés, tempère le PDG de Coopérative U (13.10.2026)
• Forbes Belgique: Cyberattaque contre des supermarchés en France (14.10.2026)
• Économie Matin: Frigos piratés : plusieurs millions d’euros de pertes pour la grande distribution (12.10.2026)
• Ahold Delhaize: Update on status of cybersecurity incident (19.10.2026)

Welle 2

• Euronews: Cyberattack hits Belgian supermarket fridges and freezers (02.11.2026)
• RetailDetail: Koelmeubels Delhaize-supermarkten gehackt (02.11.2026)
• Reuters via CNBC: Cyberattack on fridges hits supermarkets across Europe (02.11.2026)
• AP via ABC News: Freezers at supermarkets in European countries hit by apparent cyberattacks (02.11.2026)
• RTP: Sete lojas do Intermarché atingidas por ciberataque em Portugal und Observador (02.11.2026)
• ZDF heute: Kühlanlagen gehackt – auch Supermarkt in NRW muss Lebensmittel entsorgen (03.11.2026)
• Security-Insider: Cyberangriff auf Edeka-Kühlanlagen in Bayern (03.11.2026)
• The Brussels Times: Belgian supermarkets were warned of cyber risks (04.11.2026)

Technik

• IT-Connect: Cyberattaque des supermarchés : le froid ciblé (12.10.2026)
• Danfoss: Security Advisory DSA-2025-08-01 (August 2025)
• NVD: CVE-2025-41452