Kurz nach Mitternacht am Montag, dem 12. Oktober 2026, begannen Kältesteuerungen in mehreren hundert französischen Supermärkten zu heizen statt zu kühlen. Angreifer, die sich Fernzugriff auf Danfoss-Leitgeräte verschafft hatten, hoben die Temperatursollwerte auf etwa 50 °C an und sperrten die Anlagen in einem Dauerabtauzyklus fest. Als die Marktleiter eintrafen, zeigten Tiefkühlgeräte, die normalerweise -18 °C halten, positive Temperaturen an, ein Danfoss-Display stand noch bei 26 °C, und im Intermarché in La Haye (Manche) hatten sich Kühlmöbel unter einer Hitze verformt, die das Personal auf 80 °C bezifferte. Die Pariser Staatsanwaltschaft bestätigte Lebensmittelverluste und Brände. Danfoss bestätigte, dass seine Steuerungen das Ziel waren. Premierminister Sébastien Lecornu übergab den Fall noch am selben Nachmittag an die ANSSI. Der vollständige Vorfallseintrag ist in der Datenbank.
Was die Angreifer taten
Die Gewerbekälte in einem Supermarkt wird von einer Leitsteuerung auf Standortebene betrieben, die die Regelgeräte der einzelnen Kühlmöbel, Kühlräume und Verbundanlagen koordiniert. Danfoss verkauft diese Ebene als ADAP-KOOL-Systemmanager-Linie und gibt an, mehr als 50.000 solcher Installationen im Lebensmitteleinzelhandel zu haben. Jedes Kühlmöbel durchläuft eine geplante Abtauung, typischerweise ein bis zwei Stunden pro Tag, bei der Heizstäbe oder Heißgas das Eis vom Verdampfer schmelzen, während die Ware hinter geschlossener Tür bleibt. Die Angreifer missbrauchten diese Funktion. Statt eines kurzen Tageszyklus lief die Abtauung ununterbrochen mit einer Zieltemperatur von 50 °C.
Der Intermarché in Grand-Couronne bei Rouen datierte die Änderung auf seinem eigenen System auf 4:44 Uhr. Le Monde berichtete, die Angreifer hätten zudem die Abtaudauer von einer auf acht Stunden gestreckt, was den Zeitpunkt hinausschob, zu dem Temperaturalarme ausgelöst würden. Mehrere Mitarbeiter sagten dem Branchenportal Je Bosse en Grande Distribution, die Alarmfunktion selbst sei abgeschaltet worden, sodass die Kältetechniker im Bereitschaftsdienst nie benachrichtigt wurden. Märkte, die zufällig früh öffneten oder deren Leiter noch eine Fernwarnung erhielten, retteten einen Teil ihres Bestands. Die meisten nicht. In einem Markt im Département Gironde löste ein Kühlraum, der 50 °C erreichte, die Sprinkleranlage aus. Thomas Lazzaroni von Cyberattaque.org beschrieb die Methode als Zweckentfremdung des Abtaumodus in einen mehrstündigen Dauerzyklus, und Antoine Hautin vom Beratungsunternehmen Almond sagte gegenüber AFP, der gleichzeitige Angriff auf Hunderte von Geräten deute auf einen gewissen Grad an Raffinesse und vorherige Aufklärung hin.
Bei der Operation wurden keine Daten gestohlen und keine Kassensysteme berührt. Nach den französischen Kühlkettenvorschriften darf Ware, die ihren Temperaturbereich verlassen hat, nicht verkauft werden, weshalb die betroffenen Märkte einem festen Verfahren folgten: Temperaturen erfassen, jedes Gerät fotografieren, ein Gerichtsvollzieherprotokoll (constat d’huissier) für den Versicherer einholen, die Ware ausräumen und zählen und sie vernichten.
Die Geräte und die bekannten Schwachstellen
Danfoss erklärte am 12. Oktober gegenüber AFP, die meisten betroffenen Geräte seien Altprodukte, die keine Software- oder Sicherheitsupdates mehr erhalten. Das Unternehmen nannte den AK-SM 800, der im Mai 2021 abgekündigt wurde, und den AK-SC 355, der 2016 auslief, und räumte ein, dass einige AK-SM 800A-Geräte der aktuellen Generation mit veralteter Firmware liefen. Man stehe in engem Kontakt mit den betroffenen französischen Kunden und setze “Firmware-Updates, wo verfügbar, stärkere Netzwerkschutzmaßnahmen und die Beseitigung direkter Internetexposition, wo zutreffend” um.
Der AK-SM 800A hat eine dokumentierte Sicherheitshistorie. Anfang 2025 meldete Tomer Goldschmidt von Claroty Team82 an Danfoss einen versteckten Authentifizierungspfad in der eingebetteten Weboberfläche der Steuerung: ein Support-Login, dessen Passwort aus dem aktuellen Datum des Geräts abgeleitet wird und das die Forscher rekonstruieren konnten. Danfoss veröffentlichte am 24. März 2025 das Advisory DSA-2025-03-01 und das Release R4.2, und die Schwachstelle erhielt die Kennung CVE-2025-41450 (CVSS v3.1 8.2), als CISA am 20. Mai 2025 das Advisory ICSA-25-140-03 herausgab. Zwei weitere Fehler, eine Command Injection nach Authentifizierung über die Alarm-zu-Mail-Einstellungen (CVE-2025-41451) und eine Injection in die nginx-Konfiguration (CVE-2025-41452), wurden im August 2025 in R4.3.1 behoben und am 26. August 2025 in das CISA-Advisory aufgenommen. Team82 stellte die Arbeit am 9. August 2026 unter dem Titel “Freeze the Controller, Defrost the Food” (Steuerung einfrieren, Lebensmittel auftauen) öffentlich vor, zusammen mit 23 Schwachstellen in Copeland-XWEB-Pro-Leitgeräten, und berichtete, dass ein Censys-Scan 2.765 im Internet exponierte AK-SM 800A-Management-Schnittstellen gefunden hatte.
Die Expositionszahlen nach dem Angriff fielen noch höher aus. Am 12. Oktober zählte Baptiste Robert von Predicta Lab 2.752 aus dem Internet erreichbare Danfoss-Systeme, davon 1.590 in Frankreich. Valéry Rieß-Marchive von LeMagIT fand knapp 3.000 französische IP-Adressen, die die Danfoss-StoreView-Konsole auslieferten, einige mit Änderungsdaten zwischen 2021 und 2024. Shodan lieferte weltweit mehr als 4.500 Danfoss-Geräte. Eine technische Mitteilung von Danfoss vom Oktober 2025 hatte bereits zwei frühere Vorfälle desselben Typs beschrieben: 16 Supermärkte in Russland und 40 Filialen in Israel, die 2022 über AK-SM 800-Geräte angegriffen wurden, die ohne Firewall oder VPN im Internet standen.
Nichts davon beweist, welchen Weg die Angreifer am 11. Oktober nahmen. Das CISA-Advisory verzeichnete in seiner letzten Fassung keine bekannte Ausnutzung der drei CVEs. Die AK-SM 800- und AK-SC 355-Geräte, die den Großteil der Opfer ausmachten, stammen aus der Zeit vor der AK-SM 800A-Forschung, und ein Gerät von 2016 auf einer öffentlichen Adresse braucht womöglich gar keine Schwachstelle. Nichts Öffentliches deutet darauf hin, dass die von Danfoss selbst gehostete Infrastruktur kompromittiert wurde, auch wenn Les Mousquetaires das Ereignis als Angriff “bei Danfoss” bezeichnete. Die Ermittler haben exponierte Altsteuerungen, die Ausnutzung der veröffentlichten CVEs, gestohlene Wartungszugangsdaten oder eine gekaperte Fernzugriffssitzung bei einem Kältetechnikdienstleister nicht ausgeschlossen. Die CERT-FR-Mitteilung vom 12. Oktober stellt lediglich fest, dass die Behörde Kenntnis von zahlreichen Kompromittierungen von Geräten der Serien AK-SM und AK-SC hat und dass das Exponieren einer Management-Schnittstelle im Internet den guten Praktiken widerspricht.
Ausmaß und Verluste
Die Zahl der betroffenen Märkte änderte sich den ganzen Tag über und weicht je nach Quelle weiterhin ab. Les Mousquetaires, Betreiber von Intermarché und Netto, ging von etwa 150 Märkten am Morgen auf mindestens 300 am Abend, wobei rund 100 Märkte ihr gesamtes Kühlsortiment entsorgten. Coopérative U meldete knapp 100 Märkte. Carrefour bestätigte 80 seiner rund 6.000 französischen Filialen. Monoprix bezifferte seine Zahl auf etwa 30, also 5 Prozent seines Netzes. E.Leclerc erklärte, mehrere Märkte seien über einen seiner Lieferanten für Kälteanlagen betroffen. Mitarbeiter berichteten außerdem von Verlusten bei Carrefour Market, Carrefour City, Metro und Picard sowie bei unabhängigen Metzgereien, die dieselbe Leitplattform nutzen. Die Gesamtschätzungen reichten von 250 bis 350 Märkten (BleepingComputer) über mehr als 400 (RTS) bis zu etwa 500 (Cooling Post). Die Beobachtung eines Mitarbeiters brachte das Muster auf den Punkt: Jeder Markt, dessen Temperaturüberwachung über die Danfoss-Plattform lief, wurde getroffen, unabhängig von der Handelsmarke.
Die Verluste pro Markt wurden mit etwa 50.000 Euro im Intermarché in Haguenau und im Intermarché in Guerlédan, 150.000 bis 200.000 Euro für 60 Kubikmeter Lebensmittel in einem Markt im Département Gironde und 220.000 Euro im Super U in Wasselonne angegeben. Les Mousquetaires schätzte die landesweite Gesamtsumme auf mehrere Millionen Euro. Intermarché warnte, dass die Standardversicherung der Märkte einen Cyberangriff auf Kälteanlagen möglicherweise nicht abdeckt, und wer am Ende zahlt, der Versicherer, der Kältetechnikdienstleister oder Danfoss, ist ungeklärt. Die Frische- und Tiefkühlabteilungen blieben tagelang geschlossen, Lieferanten wurden Bestellungen storniert, und einige Märkte rechneten nicht vor Ende der Woche mit der Wiedereröffnung ihrer Tiefkühlbereiche.
Offizielle Reaktion
Dominique Schelcher, Vorstandsvorsitzender von Coopérative U, machte den Fall am späten Vormittag des 12. Oktober auf X öffentlich. Er bestätigte, dass “ein Cyberangriff seit der vergangenen Nacht die Kälteerzeugungsanlagen mehrerer Märkte unseres Netzes beeinträchtigt”, und nannte einen Angriff auf Anlagen, die für die Lebensmittelkonservierung unverzichtbar sind, “äußerst schwerwiegend und beispiellos”. Eine interne Mitteilung von Intermarché vom selben Tag “bestätigt das Vorliegen eines Cyberangriffs, der sich in der Nacht bei Danfoss ereignet hat”, und um 11 Uhr begann ein Krisentreffen mit Danfoss und dem Kältetechnikdienstleister Axima.
Die Abteilung für Cyberkriminalität der Pariser Staatsanwaltschaft leitete um die Mittagszeit von Amts wegen Ermittlungen zu “dem großangelegten Cyberangriff auf die Kühlanlagen mehrerer großer Lebensmitteleinzelhandelsketten in ganz Frankreich” ein und übertrug sie dem Office anti-cybercriminalité (OFAC). Am Nachmittag teilte das Büro des Premierministers mit, Lecornu verfolge den Fall persönlich und habe die ANSSI beauftragt. Diese berichtete, sie habe eine Schwachstelle in der Software des dänischen Herstellers identifiziert, Danfoss kontaktiert, mit der Suche nach weiteren französischen Betreibern derselben Geräte begonnen und die Abstimmung mit europäischen Partnerbehörden aufgenommen, weil andere Länder betroffen sein könnten. EU-Agrarkommissar Christophe Hansen verurteilte den Angriff und schrieb, “Ernährungssicherheit erfordert auf allen Ebenen mehr Aufmerksamkeit, weil die Nutzung von Lebensmitteln als Waffe Realität geworden ist”. Keine Gruppe hat sich zu dem Angriff bekannt, und keine offizielle Stelle hat eine Attribution vorgenommen.
Der Vorfall bei Ahold Delhaize
Dasselbe Wochenende brachte einen zweiten Vorfall im Lebensmitteleinzelhandel hervor, der nach derzeitigem Kenntnisstand nicht damit zusammenhängt. Ahold Delhaize, Muttergesellschaft von Albert Heijn, Delhaize und fünf US-Handelsmarken, registrierte am Sonntagnachmittag, dem 11. Oktober, erstmals das, was das Unternehmen später als Cybersicherheitsvorfall bezeichnete, und legte ihn am 12. Oktober um 08:29 Uhr in einer als Insiderinformation gemäß EU-Marktmissbrauchsverordnung eingereichten Erklärung offen. Das Unternehmen nahm Systeme vorsorglich vom Netz. In den Niederlanden fielen Websites, Apps und Kundenservice von Albert Heijn, Etos und Gall & Gall aus, die Online-Lebensmittellieferung stoppte, alle aufgegebenen Bestellungen wurden storniert, Treueprogramme wie Koopzegels und Air Miles funktionierten nicht mehr, und in mehreren Verteilzentren von Albert Heijn kam die Arbeit zum Erliegen. Elektronische Regaletiketten in den Filialen zeigten weiterhin die Aktionspreise der Vorwoche an, weshalb Albert Heijn seine Kunden aufforderte, Kassenbons für eine Entschädigung aufzubewahren. Delhaize in Belgien konnte keine neuen Online-Bestellungen annehmen. In den Vereinigten Staaten gingen die Websites von Food Lion, Hannaford, Stop & Shop, Giant Food und The Giant Company offline, und Mitarbeiter von Stop & Shop berichteten, sie hätten den Zugriff auf Dienstpläne und Gehaltsabrechnungen verloren.
Tom’s Hardware und andere berichteten über beide Ereignisse gemeinsam als europäischen Supermarkt-Cyberangriff mit Auswirkungen auf Kühlung, Lieferungen und Ladenpreise. Ahold Delhaize hat nicht mitgeteilt, was geschehen ist, keine Ransomware-Gruppe hat sich dazu bekannt, und weder französische noch niederländische Behörden haben den Vorfall mit dem Danfoss-Angriff in Verbindung gebracht. Ahold Delhaize hatte bereits im November 2024 einen Vorfall erlitten, bei dem Daten von mehr als 2 Millionen Personen offengelegt wurden und der E-Commerce von Hannaford ausfiel.
Präzedenzfälle im Archiv
Kälteanlagen wurden schon früher angegriffen, aber nie in dieser Breite. Im November 2024 drang die vom GRU gesteuerte Hacktivisten-Persona CARR über ein im Internet exponiertes VNC-HMI in das Leitsystem eines Fleischverarbeitungsbetriebs in Los Angeles ein, verdarb mehrere tausend Pfund Fleisch und verursachte ein Ammoniakleck. Im Mai 2026 konfigurierte eine mit dem Iran in Verbindung stehende Persona die Industriekältesteuerungen eines israelischen Lebensmittelverarbeiters um, hielt Ventile offen und zerstörte drei Verdichter. Der Ransomware-Angriff auf Americold von 2020 und der Angriff auf JBS Foods von 2021 störten die Kühlkette von der IT-Seite aus. Ende August 2026 fielen innerhalb von zwei Tagen Tiefkühlgeräte in mehr als einem Dutzend Commissaries des US-Militärs aus, wobei Fort Huachuca meldete, dass jedes Tiefkühlgerät in den Abtaumodus versetzt worden sei; die Ermittler von Army und Air Force haben keine Ursache veröffentlicht.
Die engste strukturelle Parallele ist die massenhafte Ausnutzung eines einzelnen im Internet exponierten Steuerungsmodells bei vielen kleinen Betreibern: die CyberAv3ngers-Unitronics-Kampagne von 2023 und die Rockwell-MicroLogix-Angriffe auf Wasserversorgungen in Minnesota im Juli 2026. In jedem dieser Fälle teilten die Opfer ein Produkt mit einer öffentlich bekannten Schwäche und einer Management-Schnittstelle auf einer routbaren Adresse, und der Angreifer brauchte keinen Zugang zu irgendeinem Unternehmensnetz. Der Angriff auf die französischen Supermärkte folgt demselben Muster, wobei die Gewerbekälte im Einzelhandel an die Stelle der Wasseraufbereitung tritt.
Was Verteidiger daraus mitnehmen sollten
Kälteanlagen, Beleuchtung, elektronische Regaletiketten, Waagen und Gebäudeleittechnik in einem Supermarkt werden typischerweise von Dienstleistern installiert und gewartet und liegen außerhalb der IT-Governance des Marktes. Der französische Vorfall zeigt sämtliche Versagensmuster auf einmal: Geräte fünf bis zehn Jahre nach dem Produktlebensende, aktuelle Geräte ohne eingespielte Firmware, Management-Schnittstellen auf öffentlichen Adressen, eine Alarmierung, die sich über dieselbe Schnittstelle stummschalten ließ, die der Angreifer kontrollierte, und keine unabhängige Temperaturüberwachung als Rückfallebene. Betreiber von AK-SM 800A-Geräten sollten prüfen, ob sie R4.3.1 oder neuer einsetzen; Betreiber von AK-SM 800- und AK-SC 355-Geräten haben keinen Patch, den sie einspielen könnten, und sollten die Geräte vom Internet trennen und den Austausch planen. Unabhängige Temperaturlogger mit Out-of-Band-Alarmierung hätten in den meisten betroffenen Märkten aus einem Totalverlust einen nächtlichen Einsatz des Bereitschaftsdienstes gemacht.