Cyberangriff auf französische Supermärkte: gekaperte Danfoss-Kühlsteuerungen

In der Nacht vom 11. auf den 12. Oktober 2026 wurden die Kälteanlagen hunderter französischer Supermärkte aus der Ferne gekapert. Es wurden weder Kassen blockiert noch Kundendaten gestohlen: Die Angreifer zielten auf die Gewerbekälte. Dieser Artikel fasst zusammen, was bestätigt ist, was über die Schwachstelle (noch unbekannt) gesagt werden kann, welche Gegenmaßnahmen empfohlen werden und was der Vorfall für Ihr Unternehmen bedeutet. Er wird mit dem Fortgang der Ermittlungen aktualisiert.

Laufende Entwicklung. Die Zahlen stammen aus der Presse (AFP, Reuters, Fachmedien) und aus Aussagen der Händler; sie sind vorläufig und weichen je nach Quelle voneinander ab. Offizielle Mitteilungen von Danfoss oder der ANSSI konnten wir nicht einsehen: Deren Aussagen werden von der Presse wiedergegeben.

Was bestätigt ist

Datum	Nacht vom 11. auf den 12. Oktober 2026
Ziel	Kühlungssteuerungen des dänischen Herstellers Danfoss (Serien AK-SM und AK-SC) in Supermärkten
Wirkung	Fernausgelöstes Abtauen aller Kühlmöbel, Temperaturanstieg bis 50 °C laut Mousquetaires; Dauer rund sechs Stunden
Folge	Kühlkette unterbrochen: Frisch- und Tiefkühlware vernichtet
Betroffene Händler	Intermarché/Netto (Mousquetaires), Coopérative U, E.Leclerc (mehrere Märkte), Carrefour, Monoprix
Betroffene Märkte (vorläufig)	Über 400 nach ersten Schätzungen, rund 500 laut einigen Medien. AFP: mindestens 300 Intermarché/Netto, weniger als 100 Coopérative U, 80 Carrefour, etwa dreißig Monoprix. Reuters: rund 150 bei Intermarché
Gestohlene Daten	Bislang keine gemeldet
Bekennung	Keine bekannt; die Täter sind nicht identifiziert
Ermittlungen	Staatsanwaltschaft Paris, übertragen an das Büro gegen Cyberkriminalität (OFAC); ANSSI mobilisiert; CERT-FR-Warnung CERTFR-2026-ALE-012 vom 12. Oktober
Schaden	Mehrere Millionen Euro, laut Staatsanwaltschaft

Wie der Angriff funktionierte

Nach den verfügbaren Informationen haben die Angreifer die Geräte nicht „geknackt“, sondern eine legitime Funktion missbraucht: das Abtauen. Gleichzeitig an allen Möbeln ausgelöst, lässt es die Temperatur in Vitrinen und Kühlräumen steigen.

Das CERT-FR spricht von „zahlreichen Kompromittierungen“ bei zwei Danfoss-Steuerungsserien, den AK-SM und AK-SC. Danfoss erklärt, die meisten betroffenen Geräte seien veraltet (insbesondere AK-SM 800 und AK-SC 355) und erhielten keine Software- oder Sicherheitsupdates mehr.

Die Schwachstelle: was bekannt ist und was nicht

Der Einstiegspunkt wurde nicht öffentlich identifiziert. Weder Danfoss noch die Behörden haben erklärt, wie die Angreifer eindrangen, und die CERT-FR-Warnung nennt weder Schwachstelle noch Firmware-Version noch CVE. Fakten und Hypothesen der Forscher:

Exposition im Internet (durch Scans belegt, kein bewiesener Zusammenhang mit dem Angriff). Der Forscher Baptiste Robert (Predicta Lab) zählte 2.752 online erreichbare Danfoss-Systeme, davon 1.590 in Frankreich; Shodan listet über 4.500. Das sind Ergebnisse passiver Scans und kein Beleg, dass diese Geräte angegriffen wurden. Das CERT-FR weist darauf hin, dass eine im Internet erreichbare Verwaltungsoberfläche gegen die guten Praktiken verstößt.
Vor dem Angriff bekannte Schwachstellen (Hypothese). Forscher von Claroty (Team82) hatten im August Schwachstellen in AK-SM 800A dokumentiert, darunter eine Umgehung der Authentifizierung. Danfoss behob 2025 CVE-2025-41450 (Authentifizierungsumgehung, Version 4.2), CVE-2025-41451 (Befehlsinjektion nach Anmeldung) und CVE-2025-41452 (Denial of Service nach Anmeldung), die letzten beiden in Version 4.3.1. Keine offizielle Quelle bringt diese CVEs mit dem Angriff in Verbindung; die ausgenutzte Lücke könnte unveröffentlicht sein.
Weitere genannte Szenarien (Hypothesen): schwache oder Standard-Zugangsdaten auf erreichbaren Oberflächen, kompromittierte Wartungszugänge oder ein gekaperter Fernzugang bei einem Kältetechnik-Dienstleister.

Empfohlene Maßnahmen

Dies sind die von CERT-FR/ANSSI und Danfoss genannten Maßnahmen, wie sie die Presse wiedergibt:

Vom Internet trennen oder den Zugriff streng filtern – für alle AK-SM- und AK-SC-Steuerungen. Ist Fernverwaltung unverzichtbar, auf vertrauenswürdige IP-Adressen beschränken (vom CERT-FR als vorübergehende Maßnahme bezeichnet).
Geräte am Lebensende ersetzen (AK-SM 800, AK-SC 355): Sie erhalten keinerlei Patches mehr. Andernfalls in einem segmentierten Netz isolieren.
Firmware aktualisieren bei AK-SM 800A, die weiterhin unterstützt werden.
Verdacht auf Kompromittierung: Ein Update allein genügt nicht. Das CERT-FR sieht eine umfassendere Wiederherstellung vor; siehe Warnung CERTFR-2026-ALE-012 auf cert.ssi.gouv.fr.
Allgemeine Maßnahmen: Standardpasswörter ändern, unnötige Fernwartung abschalten, OT-Netz segmentieren, Zugriffe protokollieren.

Was nicht feststeht

Täter und Motive: keine Bekennung, keine offizielle Zuordnung.
Der genaue Zugangsweg: keine offizielle Verbindung zu den genannten CVEs; erreichbare Steuerungen, kompromittierte Zugangsdaten oder der Fernzugang eines Dienstleisters bleiben Hypothesen.
Die endgültige Bilanz: Die Zahl der Märkte variiert je nach Quelle und Händler.
Auswirkungen auf Kassen oder Kundendaten: Mehrere Quellen sagen, es gab keine. Berichte über lahmgelegte Kassen sind nicht bestätigt.

Lehren für Ihr Unternehmen

Vernetzte Geräte am Lebensende sind Sicherheitsschulden. Hardware ohne Patches, die aus dem Internet erreichbar ist, ist ein Ziel. Erfassen Sie, was vernetzt ist (Kälte, Klima, Kameras, Drucker, Terminals, Industriegeräte).
Eine bekannte Lücke bleibt lange ausnutzbar. Die Zeit zwischen Patch-Veröffentlichung und Einspielung ist das eigentliche Angriffsfenster. CVEs Ihrer Geräte und Plugins zu verfolgen ist die wirtschaftlichste Maßnahme.
Ein Vorfall ohne Datendiebstahl kann sehr teuer sein. Hier ist der Schaden materiell: vernichtete Ware, gestörte Märkte. Laut Presse tragen die Händler diese Verluste ohne Versicherungsschutz. Prüfen Sie, was Ihre Cyberversicherung tatsächlich abdeckt.
NIS2. Gehört Ihr Unternehmen zu den betroffenen Sektoren (je nach Größe auch der Lebensmittelhandel), prüfen Sie Ihre Pflichten zu Risikomanagement und Meldung von Vorfällen.

🔍 Wie groß ist Ihre exponierte Angriffsfläche?

Unser Audit analysiert, was ein Angreifer von Ihrer Website sieht: exponierte Versionen, fehlende Sicherheits-Header, erreichbare Dienste und Kompromittierungsspuren – mit einem Bericht und priorisierten Maßnahmenplan per E-Mail.

🔍 Meine Website jetzt prüfen

Quellen

Veröffentlicht am 13. Oktober 2026 auf Basis noch vorläufiger Presseinformationen. Zuletzt geprüft: 13. Oktober 2026.