Angreifer kapern Danfoss-Kältesteuerungen in Hunderten französischen Supermärkten und erzwingen Dauerabtauung mit massenhaften Lebensmittelverlusten

In der Nacht vom 11. auf den 12. Oktober 2026 übernahmen Angreifer aus der Ferne die Kontrolle über Danfoss-Kälteleitsteuerungen in mehreren hundert französischen Supermärkten und zwangen Kühlregale, Tiefkühltruhen und Kühlräume in einen Dauerabtauzyklus mit auf etwa 50 °C angehobenen Sollwerten. Die ersten Manipulationen wurden kurz nach Mitternacht protokolliert; der Intermarché in Grand-Couronne (Seine-Maritime) datierte die Änderung auf seinem eigenen System auf 4:44 Uhr. Mitarbeiter, die am Montagmorgen eintrafen, fanden Tiefkühlgeräte, die normalerweise bei -18 °C gehalten werden, mit positiven Temperaturen vor, ein Danfoss-Display zeigte noch 26 °C an, und im Intermarché in La Haye (Manche) hatten sich Kühlmöbel durch Hitze verformt, die Berichten zufolge 80 °C erreichte. Die Pariser Staatsanwaltschaft erklärte, der Angriff habe Lebensmittelverluste und Brände verursacht; in einem Markt im Département Gironde löste ein Kühlraum, der 50 °C erreichte, die Sprinkleranlage aus. Le Monde berichtete, die Angreifer hätten zudem die Abtaudauer von einer Stunde auf acht verlängert, wodurch sich Temperaturalarme verzögerten, und mehrere Marktmitarbeiter sagten dem Branchenportal Je Bosse en Grande Distribution, die Alarmierungsfunktion sei deaktiviert worden, sodass die Kältetechniker im Bereitschaftsdienst nie benachrichtigt wurden. Bei den kompromittierten Geräten handelte es sich um Danfoss-ADAP-KOOL-Systemmanager: den AK-SM 800 (im Mai 2021 abgekündigt), den AK-SC 355 (2016 ausgelaufen) sowie AK-SM 800A-Geräte der aktuellen Generation mit veralteter Firmware. Danfoss erklärte gegenüber AFP, die meisten betroffenen Geräte seien Altprodukte, die keine Software- oder Sicherheitsupdates mehr erhalten. Der AK-SM 800A war Gegenstand des CISA-Advisorys ICSA-25-140-03 zu CVE-2025-41450, einer Authentifizierungsumgehung über ein verstecktes, aus dem Datum abgeleitetes Support-Login ("code of the day"; CVSS v3.1 8.2, behoben in Release R4.2 im März 2025), sowie zu CVE-2025-41451, einer Command Injection nach Authentifizierung in den Alarm-zu-Mail-Einstellungen, und CVE-2025-41452, einer Injection in die nginx-Konfiguration, beide behoben in R4.3.1 im August 2025. Claroty Team82 veröffentlichte die zugrunde liegende Forschung am 9. August 2026 unter dem Titel "Freeze the Controller, Defrost the Food" (Steuerung einfrieren, Lebensmittel auftauen) und zählte 2.765 aus dem Internet erreichbare AK-SM 800A-Weboberflächen. Am 12. Oktober zählte Predicta Lab 2.752 exponierte Danfoss-Systeme, davon 1.590 in Frankreich, und LeMagIT fand knapp 3.000 französische IP-Adressen, die die Danfoss-StoreView-Konsole auslieferten. Eine technische Mitteilung von Danfoss vom Oktober 2025 hatte bereits Angriffe aus dem Jahr 2022 auf 16 Supermärkte in Russland und 40 Filialen in Israel beschrieben, die AK-SM 800-Geräte ohne Firewall- oder VPN-Schutz betrieben. Weder Danfoss noch ANSSI noch die Staatsanwaltschaft haben bestätigt, welche Schwachstelle oder welcher Zugangsweg genutzt wurde, und nichts Öffentliches deutet darauf hin, dass die von Danfoss selbst gehostete Infrastruktur kompromittiert wurde. Die Ermittler haben exponierte Altsteuerungen, die Ausnutzung der veröffentlichten CVEs, gestohlene Wartungszugangsdaten oder eine gekaperte Fernzugriffssitzung bei einem Kältetechnikdienstleister nicht ausgeschlossen. Les Mousquetaires (Intermarché und Netto) meldete mindestens 300 betroffene Märkte, von denen rund 100 ihren gesamten gekühlten Warenbestand entsorgten. Coopérative U meldete knapp 100 Märkte, Carrefour bestätigte 80 seiner rund 6.000 Filialen, Monoprix etwa 30, und E.Leclerc erklärte, "mehrere Märkte" seien über einen seiner Lieferanten für Kälteanlagen getroffen worden. Mitarbeiter berichteten außerdem von Problemen bei Carrefour Market, Carrefour City, Metro, Picard und unabhängigen Metzgereien, von denen keines offiziell bestätigt wurde. Eine interne Mitteilung von Intermarché vom 12. Oktober "bestätigt das Vorliegen eines Cyberangriffs, der sich in der Nacht bei Danfoss ereignet hat", und um 11 Uhr fand ein Krisentreffen mit Danfoss und dem Kältetechnikdienstleister Axima statt. Die Abteilung für Cyberkriminalität der Pariser Staatsanwaltschaft leitete noch am selben Tag Ermittlungen ein und übertrug sie dem Office anti-cybercriminalité (OFAC). Premierminister Sébastien Lecornu beauftragte die ANSSI, die erklärte, sie habe eine Schwachstelle in der Software des dänischen Herstellers identifiziert, Danfoss kontaktiert, mit der Suche nach weiteren exponierten französischen Betreibern begonnen und die Abstimmung mit europäischen Partnerbehörden aufgenommen. CERT-FR veröffentlichte eine Mitteilung, wonach die Behörde Kenntnis von zahlreichen Kompromittierungen von Geräten der Danfoss-Serien AK-SM und AK-SC habe und das Exponieren einer Management-Schnittstelle im Internet den guten Praktiken widerspreche. EU-Agrarkommissar Christophe Hansen erklärte, "die Nutzung von Lebensmitteln als Waffe ist Realität geworden". Keine Gruppe hat sich zu dem Angriff bekannt, und eine Attribution ist nicht erfolgt. Am selben Wochenende legte Ahold Delhaize einen separaten "Cybersicherheitsvorfall" offen, der am Sonntagnachmittag, dem 11. Oktober, begann. Er nahm Websites, Apps, Kundenservice und Logistiksysteme von Albert Heijn, Etos und Gall & Gall in den Niederlanden vom Netz, blockierte Online-Bestellungen bei Delhaize in Belgien, stoppte die Arbeit in mehreren Verteilzentren von Albert Heijn, ließ elektronische Regaletiketten die Aktionspreise der Vorwoche anzeigen und legte die Websites von Food Lion, Hannaford, Stop & Shop und Giant in den Vereinigten Staaten lahm. Es gibt keine Belege für einen Zusammenhang zwischen den beiden Ereignissen.

Frische und Tiefkühlware in mehreren hundert Märkten in ganz Frankreich vernichtet: mindestens 300 Intermarché- und Netto-Filialen, knapp 100 Märkte von Coopérative U, 80 Carrefour-Filialen, etwa 30 Monoprix-Filialen und mehrere E.Leclerc-Märkte. Die gemeldeten Verluste pro Markt reichten von etwa 50.000 Euro (Intermarché Haguenau, Intermarché Guerlédan) über 150.000 bis 200.000 Euro (60 Kubikmeter Lebensmittel in einem Markt im Département Gironde) bis zu 220.000 Euro (Super U Wasselonne). Les Mousquetaires schätzte die landesweiten Verluste auf mehrere Millionen Euro, und Intermarché warnte, dass die Versicherungspolicen der Märkte diese Art von Ereignis möglicherweise nicht abdecken. Brände und ausgelöste Sprinkleranlagen wurden gemeldet, und in La Haye wurden Kühlmöbel physisch beschädigt. Die Frische- und Tiefkühlabteilungen blieben tagelang geschlossen, Lieferanten wurden Bestellungen storniert, und einige Märkte rechneten damit, ihre Tiefkühlbereiche erst Ende der Woche wieder öffnen zu können. In Frankreich wurden keine Verletzten, kein Datendiebstahl und keine Störung der Kassensysteme gemeldet. Der zeitgleiche Vorfall bei Ahold Delhaize setzte die Online-Lebensmittellieferung in den Niederlanden und Belgien aus, stornierte alle bereits aufgegebenen Bestellungen, legte mehrere Verteilzentren still und ließ elektronische Regaletiketten veraltete Preise anzeigen.