Supermärkte in Europa im Visier: gehackte Kühlanlagen

In Sjöbo in Schweden meldete ein ICA-Kvantum-Supermarkt, jemand habe Kühl- und Tiefkühlgeräte auf 50 °C eingestellt. Das Personal musste die betroffenen Produkte entsorgen. Es ist einer der Vorfälle, über die Associated Press am 2. November 2026 berichtete, zusammen mit Störungen an Kühlsystemen in Belgien, Luxemburg, Irland und Estland. Carrefour nannte 15 betroffene Filialen in Belgien, Musgrave 13 SuperValu-Märkte in Irland.

So kann ein Cyberangriff aussehen: Die Website des Unternehmens läuft weiter, die Kassen vielleicht auch, aber die Anlage, die die Ware kühlt, bekommt falsche Befehle. Wer einen Laden führt, misst den Schaden in zurückgerufenen Produkten, verlorener Arbeit und der Frage, ob man sicher wieder öffnen kann.

Die hier beschriebene Lage entspricht dem Stand vom 2. November 2026. Es gibt Vorfälle in mehreren europäischen Ländern; von einer einzigen neuen Schwachstelle zu sprechen, die ganz Europa trifft, geht über das hinaus, was gesichert ist. Um das Risiko zu verstehen, muss man die Berichte über die Angriffe von den bereits dokumentierten technischen Lücken trennen.

Was wir über die Angriffe auf Supermarkt-Kühlanlagen wissen

Der wichtige technische Vorläufer stammt aus dem Oktober. Das CERT-FR, die Incident-Response-Stelle der französischen Regierung, veröffentlichte am 12. Oktober eine Warnung, aktualisiert am 16.: Sie dokumentiert zahlreiche Kompromittierungen von Fernsteuerungen für Kühlanlagen der Typen Danfoss AK-SM und AK-SC, Copeland xweb und Dixell xweb.

Die Warnung betrifft also mehrere Gerätefamilien. Sie nennt keine einzelne CVE als Erklärung für alle Vorfälle. Dass ein Produkt eine Lücke hat, und der Nachweis, dass genau diese Lücke in einem bestimmten Laden ausgenutzt wurde, sind zwei verschiedene Informationen. Dieselbe Vorsicht gilt, wenn man die Vorfälle vom Oktober mit denen vom November verknüpft.

Für ein Unternehmen ändert das auch die Reaktion: Wer nur nach dem Namen einer Schwachstelle sucht, übersieht leicht ein altes Fernbedienpanel, das noch erreichbar ist, einen offen gebliebenen Zugang des Servicetechnikers oder ein Gerät, das längst keinen Support mehr hat.

Wie ein Web-Panel eine physische Anlage steuern kann

In seiner Untersuchung der Danfoss-Steuerungen AK-SM 800A beschreibt Claroty Team82 eine Konsole, die Temperaturen, Zeitpläne, Alarme und Wartung zentral bündelt. Der Techniker kann im Browser arbeiten, ohne jede Filiale aufsuchen zu müssen. Problematisch wird es, wenn diese Oberfläche direkt im Internet erreichbar ist und ausnutzbare Schwachstellen hat.

Die Forscher fanden 2'765 über Censys exponierte Geräte: Das ist ein Maß für die erreichbare Angriffsfläche zum Zeitpunkt der Untersuchung, nicht die Zahl der angegriffenen Supermärkte. Außerdem analysierten sie einen alternativen Authentifizierungsmechanismus auf Basis eines Tagescodes, eine Command Injection und die Möglichkeit, die Konfiguration des Webservers zu verändern.

Diese Systeme gehören zur Betriebstechnik, kurz OT: Die Software steuert Geräte, die physische Arbeit verrichten. Ein Fehler im Panel kann sich deshalb auf den Betrieb der Anlage auswirken. Welche Folgen das hat, hängt von den erreichbaren Funktionen und den tatsächlich vorhandenen Schutzmaßnahmen ab; dass ein Gerät im Netz hängt, beweist für sich noch nicht, dass es kompromittiert wurde.

Die dokumentierten Danfoss-Schwachstellen waren bereits behoben

Anhand der Advisories des Herstellers lassen sich Modelle und Versionen prüfen, ohne sich auf eine Schlagzeile verlassen zu müssen. Für die Serie AK-SM 8xxA hat Danfoss 2025 diese Bulletins veröffentlicht:

CVE	Dokumentiertes Problem	Behoben in
CVE-2025-41450	Authentifizierungsfehler mit Zugriff auf sensible Informationen	4.2
CVE-2025-41451	Befehlsausführung nach Authentifizierung	4.3.1
CVE-2025-41452	Manipulation der Web-Konfiguration nach Authentifizierung, mit möglichem Ausfall des Dienstes	4.3.1

Betroffen sind die in den Advisories genannten Versionen der Serie vor dem jeweiligen korrigierten Release.

Der erste Eintrag stammt aus dem DSA-2025-03-01, veröffentlicht am 24. März 2025, die beiden anderen aus dem DSA-2025-08-01, veröffentlicht am 1. August 2025. Die letzten beiden setzen eine Authentifizierung voraus: Sie für sich allein als Codeausführung ohne Zugangsdaten zu beschreiben, wäre ungenau.

Die Versionen in der Tabelle sind diejenigen, mit denen die Korrekturen aus diesen Bulletins eingeführt wurden. Sie sind keine Aufforderung, heute eine alte Firmware zu installieren: Man muss das aktuell empfohlene Release für das genaue Modell und die Kompatibilität mit der Anlage prüfen. Diese CVEs belegen reale Risiken, sind aber keine technische Zuordnung der Angriffe vom 2. November.

Was Sie mit Ihrem Kältetechniker klären sollten

Die erste Prüfung ist sehr konkret: wissen, wer die Verwaltungskonsole erreichen kann. Das CERT-FR empfiehlt, die öffentliche Erreichbarkeit zu beseitigen und den Zugang über ein sicheres VPN oder ein geschütztes Netz wiederherzustellen. Außerdem soll die Konfiguration überprüft werden, einschließlich der Abtauintervalle. Ein Zurücksetzen auf Werkseinstellungen allein lässt ein ungepatchtes Gerät verwundbar, sobald es erneut exponiert ist.

Auch die Sicherheitsempfehlungen von Danfoss betonen getrennte Netze, Firewalls, kontrollierten Fernzugriff, Updates und den Ersatz der Standardpasswörter. Dem Techniker einen bequemen Zugang zu geben und das Panel für alle offen zu lassen, sind zwei sehr verschiedene Entscheidungen.

Bitten Sie zur Vorbereitung des Gesprächs Ihren Servicetechniker und die für das Netzwerk verantwortliche Person, gemeinsam vier Punkte zu klären:

1. Inventar: genaues Modell der Steuerungen, installierte Firmware, Supportstatus und Ansprechperson für Updates.
2. Zugänge: der von der Fernwartung genutzte Weg, berechtigte Konten und von außen erreichbare Dienste.
3. Kontinuität: eine geprüfte Kopie der Konfigurationen, das Wiederherstellungsverfahren und die Person, die außerhalb der Arbeitszeiten eingreifen kann.
4. Alarme: Empfänger der Meldungen, Überprüfung, dass sie funktionieren, und eine unabhängige Temperaturkontrolle gemäß den Abläufen des Betriebs.

Diese Arbeit muss mit denjenigen abgestimmt werden, die die Anlage warten. Eine Verbindung blind zu kappen, kann auch die vertraglich vorgesehene Überwachung unterbrechen. Bei auffälligen Temperaturen hat Vorrang, die technisch verantwortliche Person einzuschalten und die Lebensmittelsicherheitsverfahren des Unternehmens zu befolgen; die Suche nach der IT-Ursache muss das Notfallmanagement begleiten.

Warum das auch Läden und Unternehmen im Tessin betrifft

Die Lehre für einen Schweizer Betrieb betrifft Zugänge und Zuständigkeiten. Wer die Website betreut, verwaltet oft nicht den Router, wer den Router wartet, kennt vielleicht die Kühlsteuerung nicht, und der Kältetechniker nutzt womöglich eine Verbindung, die vor Jahren eingerichtet wurde. Wenn niemand eine gemeinsame Übersicht führt, ist es schwierig, überhaupt zu wissen, wer eine dringende Meldung prüfen muss.

Es ist dasselbe organisatorische Problem, das uns bei der Wartung von PHP- und Node.js-Runtimes begegnet: Zu wissen, dass es einen Patch gibt, nützt wenig, wenn man nicht weiß, welche Version tatsächlich läuft und wer sie ersetzen kann. Bei Betriebsanlagen kommen Anforderungen an die Kontinuität und spezielles Fachwissen hinzu.

Eine Prüfung des Netzwerks vor dem nächsten Notfall

Bei Webcracy helfen wir Ihnen, die Zugänge zu Ihren Systemen nachzuvollziehen und die Exponierung Ihres Netzwerks im Rahmen einer autorisierten Sicherheitsprüfung zu bewerten, in Abstimmung mit Ihrem IT-Dienstleister und, bei den Anlagen, mit dem zuständigen Wartungsbetrieb. Ausgangspunkt sind überprüfbare Namen, Versionen und Zuständigkeiten, damit aus einer Warnung eine präzise Anfrage an jemanden wird, der handeln kann.

Prüfen wir die Zugänge zu Ihren Systemen↗

Symbolbild: Haberdoedas auf Unsplash, verwendet gemäß der Unsplash-Lizenz. Der abgebildete Supermarkt wird nicht als von den Angriffen betroffen genannt.