KI-gestützte Attacken manipulieren Kühlungscontroller in europäischen Supermärkten und in Einrichtungen zur Plasmalagerung in Frankreich. Betroffen waren nach Behördenangaben bis zu 700 französische Filialen, in denen die Temperaturen auf bis zu 50 Grad stiegen. Die Geräte waren über das offene Internet mit Standardkennwörtern erreichbar.

Zwischen dem 11. und 12. Oktober 2026 haben Unbekannte die Kältesteuerung von bis zu 700 Supermärkten in Frankreich übernommen. Nach Angaben der betroffenen Handelsketten und der französischen CERT-FR wurden die Sollwerte der Kühl- und Tiefkühlanlagen so verändert, dass die Geräte dauerhaft in den Abtau-Modus schalteten. Die Temperaturen stiegen in einzelnen Filialen auf bis zu 50 Grad Celsius, Lebensmittel verdarben, in einigen Fällen entstanden Brände. Der Schaden wird in veröffentlichten Berichten mit mehreren Hunderttausend Euro beziffert.

Betroffen waren nach eigenen Angaben unter anderem 150 Filialen von Intermarché (Groupe Les Mousquetaires) und rund 80 von Carrefour. Monoprix meldete Probleme in etwa fünf Prozent seiner 490 Häuser, die Coopérative U in 80 ihrer rund 2.000 Märkte. Deren Vorstandsvorsitzender Dominique Schelcher bezeichnete den Angriff gegenüber französischen Medien als „beispiellos, extrem ernst und inakzeptabel“ und als Angriff auf die französische Lebensmittelversorgung.

Technisch geht es um Kälte-Controller des dänischen Herstellers Danfoss, die auch hierzulande in Kühltheken, Kühlzellen und Wärmepumpen verbaut werden. Danfoss erklärte, die betroffenen Anlagen in Frankreich hätten veraltete Firmware betrieben. Die Sicherheitsforscher von Claroty hatten im August 2026 eine versteckte Authentifizierungsfunktion im Web-Interface der Baureihe AK-SM 800A veröffentlicht, die einen aus dem aktuellen Datum des Geräts berechneten Code akzeptierte und damit das konfigurierte Administratorkennwort umging. Eine Recherche über die Suchmaschine Shodan fand nach Angaben von Claroty 2.765 öffentlich erreichbare Geräte dieser Baureihe; zum Zeitpunkt der Angriffe waren nach Recherchen von The Register mehr als 4.500 Schnittstellen von Danfoss-Controllern aus dem Internet erreichbar, mehr als die Hälfte davon in Frankreich.

Die französische CERT-FR hat ihre Warnung am 13. Oktober auf die Überwachungssysteme Copeland XWEB und Dixell XWEB ausgeweitet und empfiehlt, diese Systeme vom direkten Internetzugang zu trennen. Für kompromittierte Geräte nennt die Behörde einen Werksreset, das Einspielen von Patches, den Austausch aller Zugangsdaten, die Prüfung der Benutzerkonten und eine vollständige Neukonfiguration.

Der Angriff blieb nicht auf Frankreich beschränkt. Am 2. November 2026 meldeten Behörden und Medien eine zweite Welle in mindestens sieben europäischen Ländern: Belgien, Estland, Irland, Finnland, Luxemburg, die Niederlande und Schweden. Erneut wurden Sollwerte verändert und Anlagen in den Abtau-Modus geschaltet. Ein ICA-Markt in Schweden teilte mit, die Tiefkühler seien auf 50 Grad zurückgesetzt worden und „alles war zerstört“. Ein Danfoss-Sprecher sagte dem niederländischen Sender NOS, die in dieser Welle betroffenen Anlagen hätten nicht in gesicherten Netzen gestanden und seien mit einem Standardpasswort geschützt gewesen.

Am 9. November 2026 hat das französische Cyber-Krisenkoordinationszentrum C4 die Angriffe der Electronic and Cyber Center genannten Einheit der iranischen Revolutionsgarden (IRGC-ECC) zugeschrieben, konkret der Einheit Shahid Kaveh. Als Belege nennt die Behörde eine Verbindung zwischen der Angriffsinfrastruktur und Aufklärungsangriffen auf Energie- und Wasserversorger, darunter die Ausnutzung von Schwachstellen im Modbus-Protokoll, der Einsatz des Scanners FOFA und Spuren der persischen Sprache in der Infrastruktur. Französische Regierungsvertreter kündigten gegenüber der BBC verhältnismäßige Maßnahmen an.

Der Forbes-Autor William A. Haseltine berichtet in seinem Beitrag vom 9. November zusätzlich von drei Standorten zur Plasmalagerung in Frankreich, die Ziel vergleichbarer Zugriffe waren. Dort hätten unabhängige Alarme die Temperaturveränderungen erkannt, bevor Blutkonserven verloren gingen. Nach seinen Angaben waren die betroffenen Kälte-Controller über das offene Internet mit Standard-Administratorkennwörtern erreichbar, teils mit dem aktuellen Datum als Passwort. Forbes ist eine Kolumne und keine Studie; die Vorfälle selbst sind durch die Warnungen von CERT-FR, die Berichte der betroffenen Handelsketten und die Analysen von Claroty unabhängig belegt.

Für Handwerksbetriebe und KMU ist an dem Fall relevant, dass die betroffenen Geräte nicht in Rechenzentren stehen. Kühltheke, Kühlzelle, Wärmepumpe und Wärmerückgewinnung werden vom Kälte-Klima-Betrieb eingebaut, vom Elektrohandwerk angeschlossen und über einen Fernzugriff gewartet – häufig über dieselbe Internetverbindung wie das Büro. Drei Maßnahmen nennen die Warnungen der Behörden und der Hersteller:

• Gebäudetechnik in ein eigenes Netzsegment legen, getrennt vom Büro- und Gäste-WLAN
• Fernzugriff ausschließlich über VPN mit zweitem Faktor statt über einen offenen Hersteller-Port
• Eine Inventarliste führen: welche Geräte haben Netzzugang, wer erreicht sie, wann wurde zuletzt aktualisiert

Wer für einen NIS-2-pflichtigen Kunden arbeitet, wird nach genau diesen Zugängen gefragt – unabhängig von der Größe des eigenen Betriebs.

Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.

Quelle: Forbes – Originalartikel vom 09.11.2026; Abruf/Archivstand: 10.11.2026