Sabotage im Supermarkt: Was hinter den Cyberangriffen steckt

03.11.2026 15:59

In Hunderten europäischen Supermärkten wurden Kühlanlagen aus der
Ferne in den Heizmodus geschaltet - Lebensmittel verdarben, teils kam
es zu Schwelbränden. Wie konnten die Angreifer eindringen?

Berlin/Paris (dpa) - Verdorbene Tiefkühlkost, warme Fleischtheken und
enorme Schäden: In mehreren europäischen Ländern - und auch in
Deutschland - haben Unbekannte gewerbliche Kühlanlagen per
Cyberangriff manipuliert. Wie liefen die Attacken ab und warum hängen
die Geräte überhaupt am Netz? Die wichtigsten Fragen und Antworten. 

Was genau ist bei den Angriffen passiert? 

In Hunderten europäischen Supermärkten - zunächst vor allem in
Frankreich, später auch in Belgien, den Niederlanden, Schweden und
schließlich auch Deutschland - fielen die Kühlsysteme aus. Die
Angreifer schalteten die Anlagen aus der Ferne nicht bloß ab, sondern
aktivierten gezielt den Abtau- oder Heizmodus. Dadurch kletterten die
Temperaturen in Kühlregalen und Tiefkühltruhen teils auf bis zu 50
Grad. Fleischwaren, Milchprodukte und Tiefkühlkost verdarben
massenhaft. In einzelnen Fällen überhitzten Einheiten so stark, dass
es zu Schwelbränden kam. Verlässliche Schätzungen zur genauen Höhe

der Schäden gibt es bislang nicht. 

Gibt es keine automatischen Alarmmeldungen?

In der Theorie ja, in der Praxis wurden die Sicherheitsmechanismen
jedoch ausgehebelt oder wirkten verzögert. Die Reglerprotokolle sahen
das Abtauen als regulären, manuell ausgelösten Wartungsbefehl an,
weshalb die Software zunächst keinen Fehler meldete. Zudem passierten
die Angriffe in der Regel gezielt nachts, als die Filialen
geschlossen waren. Zwar sendeten manche Systeme schließlich
Temperaturwarnungen an externe Notfallleitstellen oder
Bereitschaftsdienste, doch bis Techniker reagieren oder vor Ort
eintreffen konnten, war die Kühlkette in vielen Fällen bereits seit
Stunden unwiderruflich unterbrochen.

Warum sind Kühlanlagen überhaupt aus dem Internet erreichbar? 

Moderne Supermärkte betreiben hochkomplexe Kältekreisläufe, deren
lückenlose Überwachung gesetzlich vorgeschrieben ist. Um nicht für
jede Einstellungsänderung oder Störungsmeldung einen Techniker vor
Ort schicken zu müssen, setzen Betreiber und externe Dienstleister
auf Fernzugriff. Das spart Personal- und Anfahrtskosten:
Serviceunternehmen können Abtautakte programmieren, Alarme empfangen
und den Energieverbrauch zentral aus der Ferne optimieren. Aus
Bequemlichkeit oder technischer Nachlässigkeit wurden diese
Steuerungsmodule bei der Installation jedoch oft direkt an das
Firmennetzwerk oder gar ohne zwischengeschaltete Schutzschilde ans
offene Internet angebunden - statt sie in isolierte Spezialnetze
einzubinden. 

Wie gelang den Cyberkriminellen der Zugriff auf die Systeme? 

Das Einfallstor war die vernetzte Betriebstechnik. Betroffen waren
dem Vernehmen nach vor allem Steuerungsmodule von Herstellern wie
Danfoss. Viele dieser Einheiten waren ungeschützt über das
öffentliche Internet auffindbar. Die Angreifer nutzten offenbar
automatisierte Suchprogramme, um offene Systeme im Netz aufzuspüren,
und verschafften sich über bekannte Schwachstellen veralteter
Software oder unveränderte Standard-Passwörter den Zugriff. 

Welches Motiv steckt hinter den Taten? 

Bislang gibt es kein Bekennerschreiben und auch keine
Erpressungsversuche - die Täter forderten kein Lösegeld, wie es bei
typischen Ransomware-Attacken der Fall ist. Reine Sabotage scheint
das Ziel gewesen zu sein. Sicherheitsexperten diskutieren zwei
Szenarien: Zum einen könnte es sich um staatlich gelenkte oder
geduldete Akteure handeln, die gezielt kritische Infrastrukturen
testen und die Lebensmittelversorgung verunsichern wollen. Zum
anderen könnten sogenannte «Script Kiddies» oder kriminelle
Hackergruppen am Werk sein, die schlicht ausprobieren, welche Schäden
sich mit öffentlich verfügbaren Werkzeugen anrichten lassen.

Besteht ein Risiko für die Verbraucher?

Eine direkte Gefahr durch verdorbene Lebensmittel im Verkauf ist
gering. Betroffene Filialen bemerkten die Temperaturanstiege in der
Regel bei Schichtbeginn; die Waren wurden entsorgt und kamen nicht in
den Umlauf. Kurzfristig führte dies mancherorts zu leeren Regalen und
vorübergehenden Schließungen von Frischeabteilungen. Es gibt keine
Hinweise darauf, dass gehackte Filialen versucht haben, verdorbene
Lebensmittel noch zu verkaufen. 

Kommen Versicherungen für solche Schäden auf?

Das hängt stark von der individuellen Police ab und führt im Handel
oft zu Rechtsunsicherheiten. Klassische Betriebsinhalts- und
Kühlgutversicherungen decken meist Schäden durch technischen Defekt
oder Stromausfall ab, schließen reine Cybervorfälle jedoch häufig
aus. Reine Cyberversicherungen wiederum decken zwar oft
Betriebsunterbrechungen und IT-Wiederherstellungskosten ab, verlangen
aber vertraglich definierte Mindestsicherheitsstandards. Wenn eine
Anlage grob fahrlässig mit Standard-Passwörtern direkt ans
öffentliche Netz angebunden war, können Versicherer die Regulierung
verweigern oder kürzen. 

Wie reagieren Sicherheitsbehörden und der Handel? 

Europäische Cybersicherheitsbehörden wie das Bundesamt für Sicherheit

in der Informationstechnik (BSI) haben dringende Warnungen
herausgegeben. Supermärkte und Betreiber industrieller Anlagen wurden
aufgefordert, sämtliche Steuerungsgeräte sofort vom öffentlichen Netz

zu trennen. Fernwartungen dürfen nur noch über abgesicherte,
verschlüsselte Verbindungen (VPN) und mit
Zwei-Faktor-Authentifizierung erfolgen. Zudem wird geprüft, ob
Standards für die digitale Gebäude- und Logistiktechnik gesetzlich
strenger reguliert werden müssen.