Wenn die Kühltruhe zur Waffe wird: Sabotage über vernetzte Geräte nimmt zu

In der Nacht vom 11. auf den 12. Oktober 2026 haben Angreifer in mehreren hundert französischen Supermärkten die Kühl- und Tiefkühlanlagen aus der Ferne manipuliert. Statt zu kühlen, heizten die Anlagen über Stunden auf – große Mengen Frischware und Tiefkühlkost mussten entsorgt werden. Eine Lösegeldforderung ist bislang nicht bekannt. Nach allem, was öffentlich bekannt ist, ging es allein darum, Schaden anzurichten.

Der Fall steht exemplarisch für eine Entwicklung, die seit einiger Zeit zu beobachten ist: Vernetzte Geräte – Steuerungen, Sensoren, Gebäude- und Anlagentechnik, sogenannte IoT- und OT-Systeme – werden nicht mehr nur als Einfallstor ins Firmennetz missbraucht, sondern gezielt angegriffen, um physische Schäden zu verursachen.

Was in Frankreich passiert ist

Nach Angaben der Handelsketten gegenüber der Nachrichtenagentur AFP waren 150 bis 200 Intermarché-Filialen und knapp 100 Märkte von Coopérative U betroffen, spätere Berichte nennen höhere Zahlen. Auch Märkte weiterer Ketten wie E.Leclerc sollen betroffen sein. Gemeldet wurden Fälle aus mehreren Regionen, unter anderem aus dem Elsass, der Normandie und der Bretagne.

Ziel waren Managementsysteme für Kälteanlagen des dänischen Herstellers Danfoss, über die Kältetechniker die Anlagen normalerweise aus der Ferne überwachen und einstellen. Der Trick war so simpel wie wirkungsvoll: Kühlanlagen müssen regelmäßig abtauen, damit die Verdampfer nicht vereisen. Die Angreifer lösten diese Abtaufunktion aus der Ferne dauerhaft aus – Berichten zufolge mit Temperaturen bis zu 50 °C – und zwar nachts, wenn niemand in den Märkten ist. Als morgens die Mitarbeiter kamen, war die Ware verdorben. Nach Angaben der Pariser Staatsanwaltschaft kam es vereinzelt sogar zu Brandausbrüchen.

Einzelne Märkte beziffern ihren Schaden auf fünf- bis sechsstellige Beträge. Intermarché wies zudem auf ein besonders unangenehmes Detail hin: Versicherungen decken diese Art von Schaden in den Märkten offenbar häufig nicht ab.

Danfoss spricht von einer begrenzten Zahl betroffener Kälte-Managementsysteme. Überwiegend handle es sich um veraltete Produkte, die keine Software- oder Sicherheitsupdates mehr erhalten; man empfehle Kunden seit Langem, Firmware aktuell zu halten und Altsysteme abzulösen. Bereits vor dem Angriff hatten Sicherheitsforscher von Claroty mehrere Schwachstellen in der Weboberfläche eines verbreiteten Danfoss-Systemmanagers dokumentiert, die der Hersteller per Firmware-Update geschlossen hat. Bei ihrer Analyse fanden die Forscher weltweit über 2.700 solcher Geräte, die direkt aus dem Internet erreichbar waren. Welche Lücke die Täter tatsächlich genutzt haben, ist bislang nicht öffentlich belegt.

Die Pariser Staatsanwaltschaft ermittelt, Premierminister Sébastien Lecornu hat die nationale Cybersicherheitsbehörde ANSSI mit der Untersuchung beauftragt. Wer hinter dem Angriff steckt, ist derzeit offen.

Ein Muster, kein Einzelfall

Auch wenn die Urheberschaft im französischen Fall noch ungeklärt ist: Der Angriff passt in ein Muster, das Sicherheitsbehörden in ganz Europa unter dem Begriff hybride Bedrohungen beschreiben. Gemeint sind Angriffe unterhalb der Schwelle eines militärischen Konflikts, die gezielt Alltag, Versorgung und das Vertrauen in staatliche und wirtschaftliche Strukturen untergraben sollen. Geld spielt dabei keine Rolle – Verunsicherung und Schaden sind der Zweck.

In Polen lief die Stromerzeugung trotz der Angriffe weiter, im Heizkraftwerk wurde die geplante Störung abgewehrt. In den Energieparks riss jedoch die Verbindung zum Netzbetreiber ab und Geräte wurden beschädigt.

Die Angriffsfläche ist größer, als viele denken

Wie groß sie ist, zeigt eine am 6. Oktober 2026 vorgestellte Untersuchung des Sicherheitsunternehmens Modat und des niederländischen Nationalen Cybersicherheitszentrums (NCSC-NL): In 35 europäischen Ländern fanden die Forscher 8.547 Steuerungs- und Verwaltungssysteme von Solar- und Windparks, die nicht aus dem Internet erreichbar sein sollten – darunter Admin-Oberflächen und Bedienpanels. Gezählt wurden Systeme, nicht einzelne Anlagen – manche steuern mehrere Turbinen oder einen ganzen Park.

Noch deutlicher wird das Risiko, wenn ein Hersteller alle seine Geräte zentral über die eigene Cloud verwaltet. Im August 2026 verschaffte sich der Kasseler Sicherheitsforscher Marlon Starkloff Administratorrechte auf der Cloud-Plattform des chinesischen Wechselrichter-Herstellers Sungrow. Nach Recherchen der ZEIT hatte er damit Zugriff auf rund 470.000 Photovoltaikanlagen, etwa 250.000 davon in Deutschland. Nach seiner Darstellung hätte sich darüber Software auf die Wechselrichter verteilen lassen, mit der sich die Anlagen auf einen Schlag abschalten. Ein schlagartiger Ausfall dieser Größenordnung kann das Stromnetz ernsthaft destabilisieren.

Sungrow schloss die Lücke innerhalb eines Tages, sieht nach eigenen Erkenntnissen keine Ausnutzung durch Dritte und betont, dass eine zusätzliche Passwortabfrage für kritische Einstellungen nicht umgangen werden konnte. Das BSI bewertet den Vorfall dennoch als kritisch.

Die Gemeinsamkeit all dieser Fälle: Es braucht keine ausgefeilte Spionage-Software und keinen wochenlangen Aufenthalt im Netzwerk. Es reicht ein Gerät oder ein Zugang, der offen im Internet steht, schwach abgesichert ist und eine Funktion bietet, mit der sich physisch Schaden anrichten lässt.

Warum gerade IoT- und Steuerungsgeräte?

• Sie sind leicht zu finden. Spezialisierte Suchmaschinen listen weltweit Steuerungen, Kameras und Weboberflächen auf, die direkt erreichbar sind – samt Hersteller und oft auch Versionsstand.
• Sie werden selten aktualisiert. Eine Kühlanlage, eine Heizungsregelung oder eine Zutrittskontrolle läuft oft zehn Jahre und länger. Updates sind aufwendig, teuer oder schlicht nicht mehr verfügbar.
• Sie liegen außerhalb des IT-Blicks. Häufig hat ein externer Fachbetrieb – Kältetechnik, Heizungsbau, Elektro – die Anlage eingerichtet und einen Fernzugang gelegt. Die IT-Abteilung weiß davon oft nichts.
• Die Wirkung ist unmittelbar sichtbar. Verdorbene Lebensmittel, kalte Wohnungen, ausgefallene Pumpen – das erzeugt Schlagzeilen und Verunsicherung. Genau das ist das Ziel.

Was das für Kommunen und Unternehmen in unserer Region bedeutet

Supermärkte sind nur ein Beispiel. Vergleichbare Technik steckt in nahezu jeder Kommune und in vielen mittelständischen Betrieben: Gebäudeleittechnik in Rathäusern und Schulen, Heizungs- und Lüftungsanlagen, Steuerungen in Kläranlagen, Pumpwerken und Bädern, Kühlräume in Bauhöfen, Kantinen und im Lebensmittelgewerbe, Photovoltaik-Wechselrichter, Ladeinfrastruktur, Zutrittssysteme und Videoüberwachung.

Die gute Nachricht: Die meisten dieser Angriffe waren nicht raffiniert. Die wirksamsten Gegenmaßnahmen sind es auch nicht.

1. Wissen, was am Netz hängt

Ohne Bestandsaufnahme geht es nicht. Welche Steuerungen, Sensoren und Geräte sind vernetzt? Wer hat sie installiert, wer betreut sie, welcher Firmwarestand läuft? Gerade Anlagen, die von externen Fachbetrieben eingerichtet wurden, fehlen in vielen IT-Inventaren.

2. Keine Steuerung direkt ins Internet

Steuerungsoberflächen gehören nicht ins offene Internet – auch nicht „nur kurz“ oder „nur mit Passwort“. Ein einfacher Prüfschritt: Von außen kontrollieren lassen, welche Dienste unter den eigenen öffentlichen IP-Adressen erreichbar sind. Das Ergebnis überrascht erfahrungsgemäß häufig.

3. Fernwartung kontrolliert ermöglichen

Dienstleister brauchen Fernzugriff – aber über einen definierten, gesicherten Weg: VPN oder Fernwartungsplattform mit Mehr-Faktor-Authentifizierung, personalisierte Zugänge, Protokollierung und idealerweise eine Freigabe nur bei Bedarf. Der Fall Polen zeigt, dass auch ein VPN-Zugang ohne zweiten Faktor ein offenes Tor sein kann. Dauerhaft offene Zugänge mit Sammelkennwort sind ein Risiko, das sich vertraglich und technisch ausschließen lässt.

Dasselbe gilt für Hersteller-Clouds, etwa bei PV-Wechselrichtern auf kommunalen Dächern oder bei Heizungs- und Wärmepumpensteuerungen: Braucht die Anlage die Cloud-Anbindung wirklich, oder reicht eine lokale Schnittstelle? Wer hat dort Zugriff – auch ehemalige Installateure? Und kann die Cloud nur Werte lesen oder auch Einstellungen und Firmware ändern?

4. Netze trennen

Gebäude- und Anlagentechnik gehört in eigene, abgeschottete Netzsegmente. Eine kompromittierte Steuerung darf weder ins Verwaltungsnetz führen – noch darf ein kompromittierter Büro-PC die Kühlanlage erreichen.

5. Veraltete Geräte ehrlich bewerten

Erhält ein Gerät keine Sicherheitsupdates mehr, muss es entweder vollständig vom Internet isoliert oder ersetzt werden. „Läuft doch noch“ ist keine Sicherheitsstrategie. Standardpasswörter müssen bei der Inbetriebnahme geändert werden – ohne Ausnahme.

6. Unabhängige Alarmierung

Ein Punkt, der in Frankreich offenbar vielerorts fehlte: Wenn die Steuerung selbst manipuliert ist, meldet sie im Zweifel auch keinen Fehler. Ein unabhängiger Temperatur- oder Zustandsfühler mit eigenem Alarmweg – etwa per SMS an den Bereitschaftsdienst – kann den Schaden deutlich begrenzen. Dasselbe Prinzip gilt für Heizung, Pumpen oder Füllstände: Kritische Werte sollten unabhängig von der Steuerung überwacht werden.

7. Den Ernstfall durchdenken

Was passiert, wenn eine Anlage nachts manipuliert wird? Wer wird alarmiert, wer kann die Anlage manuell in einen sicheren Zustand bringen, wer ist beim Dienstleister erreichbar? Und deckt die Versicherung einen solchen Schaden überhaupt ab? Diese Fragen gehören in jeden Notfallplan.

So unterstützen wir Sie

Viele dieser Maßnahmen setzen wir bei unseren Kunden bereits im Alltag um – und helfen gern auch dort, wo bisher niemand genau hingeschaut hat.

Überblick schaffen. Gemeinsam mit Ihnen und Ihren Fachbetrieben erfassen wir, welche Anlagen und Geräte vernetzt sind, wer darauf zugreift und welche Systeme von außen erreichbar sind. Bei unseren Kunden pflegen wir das Inventar mit dem SimpleAssetManager – damit auch die Kühlanlage, die Heizungsregelung und der Wechselrichter auf der Liste stehen.

Rund um die Uhr im Blick. Unser Monitoring ITPuls überwacht im Rahmen unserer Managed Services die Systeme unserer Kunden rund um die Uhr. Mit SyslogViz3D und dem SimpleNetFlowMonitor, der sich derzeit im Early Access befindet, machen wir sichtbar, welcher Verkehr tatsächlich über die Firewall fließt. Ungewöhnliche Verbindungen zu Steuerungen oder unbekannte Fernzugriffe fallen so auf, bevor nachts jemand an der Anlage dreht.

Sauber trennen und Zugänge absichern. Wir planen und setzen Netzsegmente für Gebäude- und Anlagentechnik um und richten Fernwartung für Ihre Dienstleister so ein, dass sie kontrolliert, nachvollziehbar und mit Mehr-Faktor-Authentifizierung funktioniert – statt über dauerhaft offene Ports.

Unterstützung bei der Cyberversicherung. Der Fall Intermarché zeigt: Ob ein Schaden versichert ist, entscheidet sich nicht erst im Ernstfall. Bei der Antragstellung für eine Cyberversicherung fragen Versicherer heute detailliert nach dem Stand der IT-Sicherheit – etwa nach Mehr-Faktor-Authentifizierung, Backups, Patch-Management, Netztrennung und Fernzugängen. Wir unterstützen unsere Kunden regelmäßig dabei, diese Fragen korrekt und belastbar zu beantworten, und schließen Lücken, bevor sie zum Problem werden. Denn unvollständige oder unzutreffende Angaben im Antrag können im Schadensfall den Versicherungsschutz gefährden. Gleichzeitig lohnt sich ein genauer Blick darauf, ob auch Schäden durch manipulierte Anlagentechnik und die daraus folgende Betriebsunterbrechung abgedeckt sind.

Mehr zum Thema vernetzte Geräte im Büro lesen Sie in unserem Beitrag Wenn die Kaffeemaschine mehr funkt als die Buchhaltung. Welche Nachweise Ihre Geschäftsführung bei Cybersicherheit erbringen muss, erläutern wir in Haftung entsteht durch fehlende Nachweise.

Auch regulatorisch ein Thema

Mit der NIS2-Umsetzung und dem Cyber Resilience Act rückt die Sicherheit vernetzter Geräte auch rechtlich stärker in den Fokus. Hersteller werden künftig stärker in die Pflicht genommen, Sicherheitsupdates über den Lebenszyklus ihrer Produkte bereitzustellen. Die Verantwortung für den sicheren Betrieb – Inventar, Netztrennung, Zugänge, Updates – bleibt aber beim Betreiber.

Fazit

Der Angriff auf die französischen Kühlanlagen zeigt, wie wenig es braucht, um mit digitalen Mitteln realen, physischen Schaden anzurichten – und wie verwundbar Infrastruktur ist, die über Jahre unbemerkt „einfach läuft“. Wer vernetzte Anlagentechnik betreibt, sollte sie mit derselben Sorgfalt behandeln wie Server und Arbeitsplätze.

Quellen & weiterführende Links

• heise online

  Cyberangriff auf französische Supermarkt-Kühlschränke: Hunderte Waren verdorben
• Brut / AFP

  Coopérative U et Intermarché victimes d'une cyberattaque visant leurs installations frigorifiques
• blue News / AFP

  Les frigos de centaines de supermarchés sabotés à distance
• ORF

  Cyberangriff in Frankreich: Kühlanlagen in Supermärkten manipuliert
• Techniques de l'Ingénieur

  Une cyberattaque contre les systèmes frigorifiques paralyse des centaines de supermarchés français
• Claroty Team82

  Freeze the Controller, Defrost the Food: Vulnerabilities in Danfoss Refrigeration Controllers
• ERNEUERBARE ENERGIEN

  Nach Satelliten-Hack: Enercon-Wartungsdienst gewinnt Kontrolle über Windparks zurück
• CISA

  Joint Advisory on IRGC-Affiliated Cyber Actors Exploiting PLCs
• MITRE ATT&CK

  FrostyGoop Incident (C0041)
• BleepingComputer

  Pro-Russian hackers blamed for water dam sabotage in Norway
• CERT Polska

  Energy Sector Incident Report – 29 December 2025
• pv magazine

  Thousands of European solar park systems exposed online, say researchers
• hessenschau

  Solaranlagen: Wie kritisch war die Sungrow-Sicherheitslücke?