Merke: Kühlschränke sind auch nur umgekehrte Wärmepumpen
Wenn wir über Cyber-Security reden, haben die meisten von uns verschlüsselte Festplatten, Ransomware-Lösegeld-Forderungen oder die „Tiefenentspannten“ maximal mal eine gehackte Webcam im Smart Home im Kopf. Doch der Oktober 2026 hat uns eines Besseren belehrt: Hacker haben in Frankreich hunderte Supermärkte ins Schwitzen gebracht. Buchstäblich!
Während draußen der Herbst beginnt, liefen die Kühlregale und Kühlhäuser bei großen Handelsketten wie Intermarché, Carrefour, Monoprix et Coopérative U komplett Amok. Statt konstanter Minusgrade gab es über Nacht tropische 50 Grad Celsius. Der Schaden geht landesweit in die zweistelligen Millionenbeträge, tonnenweise frische und tiefgekühlte Lebensmittel landeten im Müll. Geschmolzenes Eis lief angeblich auf die Pariser Gehwege. (Bilder dazu konnte ich keine finden, evtl. ist da auch einem Redakteur etwas die Fantasie durch gegangen…) Egal.
Die drängende Frage, die sich IT-Sicherheitsverantwortliche und Anlagenbetreiber nun stellen müssen: Warum zum Teufel kann man meinen Kühlschrank hacken?
Technische Tiefenbohrung: Wenn Thermodynamik auf Legacy-Firmware trifft
Um zu verstehen, was bei diesem beispiellosen Vorfall passiert ist, müssen wir einen kurzen Ausflug in Physik und Systemarchitektur machen.
Der physikalische Hintergrund
Rein thermodynamisch gesehen ist ein kommerzielles Kühlsystem (genau wie eine Klimaanlage oder eben eine Wärmepumpe im Wohnhaus) eine Wärmekraftmaschine im Rückwärtsgang. Sie entzieht dem Innenraum über ein Kältemittel, einen Kompressor und ein Expansionsventil thermische Energie und bläst diese nach draußen ab. Die Physik lässt sich schlichtweg nicht austricksen: Wenn ein zentrales Steuersignal das System anweist, den Kreislauf umzukehren oder die Heizstäbe zu aktivieren, tut die Hardware exakt das, wofür sie gebaut wurde: Energie übertragen und dann eben den Innenraum aufheizen. YAY.
Die Gehirne hinter der Kälte: Danfoss AK-SM 800A und Co.
In modernen Supermärkten steht natürlich kein einzelner Haushaltskühlschrank mit einem analogen Drehregler. Die Kälteinfrastruktur ganzer Filialen wird über komplexe, vernetzte Industrie-Steuerungen (Industrial IoT / OT) orchestriert.
Im aktuellen Fall gerieten Steuerungs-Hardware und Systemmanager des dänischen Herstellers Danfoss dans le focus. Konkret ältere Legacy-Controller für die es bereits seit Jahren keine Sicherheitsupdates mehr gibt, wie die Baureihen AK-SM800 et AK-SC355. Diese Plattformen fungieren als zentrale operative Schaltzentralen: Sie aggregieren Sensordaten aus hunderten Kühlkreisläufen, regeln Temperatur-Grenzwerte, überwachen Alarme und steuern vor allem die Abtauzyklen. Also jene kurzen, routinemäßigen Phasen, in denen die Kühlung kurzzeitig wärmer gefahren wird, um gefährliche Eisbildung an den Verdampfern zu verhindern.
Das digitale Einfallstor: Warum die Geräte im Internet hingen
Dass diese Systeme überhaupt angreifbar waren, ist mutmaßlich nun das Resultat einer toxischen Mischung aus Bequemlichkeit, mangelnder Segmentierung und veralteter Software.
Bereits im August 2026 hatten Sicherheitsforscher von Clarotys Team82 (unter anderem Forscher wie Amir Zaltzman) eine umfassende Analyse der Angriffsfläche der aktuell noch unterstützten Baureihe Danfoss AK-SM 800A Plattform veröffentlicht. Die Forscher stellten sich damals eine simple, aber brisante Frage:
Sind diese industriellen Steuerungen eigentlich aus dem öffentlichen Internet erreichbar?
Ein kurzer Scan über Plattformen wie Shodan oder Censys lieferte ein alarmierendes Bild: Tausende von Danfoss-Management-Schnittstellen hingen ungeschützt direkt im weltweiten Netz.
Viele davon trugen stolz den HTTP/S-Titel der Danfoss StoreView auf der Startseite, weil Administratoren und Wartungstechniker aus Bequemlichkeit den direkten Fernzugriff per Webbrowser eingerichtet hatten, anstatt den Datenverkehr über sichere VPN-Tunnel oder segmentierte Netze zu leiten.
Das öffnete Angreifern Tür und Tor: Statt sich mühsam durch ein Firmennetzwerk hacken zu müssen, konnten Skripte direkt mit den freiliegenden Web-Interfaces kommunizieren.
Die Anatomie des Hacks: Von Code-of-the-Day bis Remote Code Execution
Die Firmware-Analyse von Team82 förderte eine Reihe dramatischer Schwachstellen zutage, die (so legen es die aktuellen Angriffe nahe) von den Hackern gnadenlos ausgenutzt wurden:
Das „Code-of-the-Day“-Geheimnis (CVE-2025-41450): Die Entwickler hatten eine versteckte, alternative Authentifizierungs-Logik implementiert (vermutlich für den Support oder die Wartung gedacht). Anstatt die regulären Benutzer-Zugangsdaten zu prüfen, akzeptierte das System einen speziellen, datumsbasierten Code. Wer den mathematischen Algorithmus kannte oder reverse-engineered hatte, konnte für jeden beliebigen Tag ein gültiges Administrations-Passwort generieren und sich ohne echten Login Vollzugriff verschaffen. Tolle Show.
Command Injection (CVE-2025-41451): Nach erfolgreicher Authentifizierung bot die Plattform tiefen Einblick in Systemkonfigurationen. Über unzureichend sanitierte Eingaben im Bereich der SMTP-E-Mail-Benachrichtigung konnte direkter Betriebssystem-Code (OS Shell Directives) eingeschleust werden, was zu einer vollständigen Exécution de code à distance (RCE) führte.
Nginx Configuration Injection (CVE-2025-41452): Die Web-Architektur nutzt im Hintergrund Reverse Proxies und CGI-Handler (wie das über Nginx gesteuerte Setup mit sm_fcgi_app). Authentifizierte Angreifer konnten über Dateiuploads (wie die headers.conf) eigene Routing-Direktiven in den Webserver injizieren, den Datenverkehr manipulieren oder gezielte Denial-of-Service-Zustände (DoS) triggern, bei denen der Steuerungsdienst abstürzte.
All diese Angriffsvektoren haben seit 2025 (Zeitraum August bis September) offizielle Herstellerinformationen wie damit umzugehen ist online. Tja…
Der Angriff in der Praxis
In Frankreich trafen diese Exploits auf Betreiber, die oft noch Legacy-Firmware (Versionen älter als R4) einsetzten und/oder von Danfoss seit Jahren bereitgestellte Sicherheitsupdates schlicht ignoriert hatten.
Die Angreifer machten sich die Kernfunktionen der Steuerungen zunutze: Sie kaperten die Abtaufunktion und zwangen die Kühlregale dazu, diese ohne Unterbrechung über sechs Stunden lang bei 50 Grad Celsius laufen zu lassen. Durch diesen massiven thermischen Stress tauten nicht nur sämtliche Tiefkühlwaren auf; nach Berichten von Insidern wurden oft auch gezielt Alarmsysteme blockiert, sodass das Supermarkt-Personal erst Stunden später, beim Anblick verdorbener Ware und auslaufenden Schmelzwassers, das Ausmaß der Katastrophe bemerkte.
Das Ausmaß: Millionenverluste und die europäische Dimension
Die wirtschaftlichen und logistischen Folgen des Angriffs trafen den französischen Einzelhandel hart:
- Intermarché (Gruppe Les Mousquetaires) meldete rund 150 betroffene Filialen. In Paris warfen Mitarbeiter tonnenweise aufgetaute Lebensmittel in Container, während geschmolzenes Eis die Gehwege hinabfloss.
- Carrefour zählte etwa 80 betroffene Märkte.
- Monoprix meldete, dass rund 5 % seiner 490 Filialen lahmgelegt wurden.
Thierry Cotillard, CEO von Les Mousquetaires, bezifferte die Verluste allein für diesen einen Tag auf mehrere zehn Millionen Euro. Das ist ein riesiges Problem, da herkömmliche Versicherungen Cyber-Schäden an verderblichen Waren oft komplett ausschließen. Dominique Schelcher, Chef von Coopérative U, sprach auf X von einem „extrem schwerwiegenden und beispiellosen“ Angriff auf die Lebensmittelversorgung.
Die französische Cybersicherheitsbehörde ANSSI und die Pariser Staatsanwaltschaft übernahmen umgehend die Ermittlungen wegen eines Angriffs auf kritische Infrastrukturen. Und die Bedrohung blieb nicht auf Frankreich beschränkt: Nach Angaben von Sicherheitsanalysten (wie Felix Aime von Sekoia) zeigten sich ähnliche verdächtige Aktivitäten oder Vorfälle auch in Pays-Bas, sowie anderen Ländern.
Danfoss hatte wie gesagt bereits August 2025 reagiert und mit der Firmware R4.3.1 einen offiziellen Patch für noch unterstützte Systeme veröffentlicht. Betroffene Unternehmen sind nun weltweit im Zugzwang, ihre Systeme endlich auch auf den neuesten Stand zu bringen und (idealerweise) nicht nur veraltete und nicht mehr supportete Controller rigoros vom öffentlichen Netz zu trennen.
Das Fazit für den modernen Alltag daheim
Dieser Vorfall ist weit mehr als nur eine kuriose Randnotiz. Er ist ein brutaler Weckruf und zeigt uns überdeutlich, wie sehr unsere physische Realität mittlerweile an digitalen Nabelschnüren hängt. Ein ungepatchter Software-Bug auf einem unscheinbaren Embedded-Controller im Keller oder Verkaufsraum eines Supermarkts hat direkte, materielle Konsequenzen: tonnenweise verrottete Lebensmittel, kollabierte Lieferketten und enorme finanzielle Schäden.
Für uns bleibt am Ende eine glasklare Erkenntnis: „Smart“ bedeutet eben auch angreifbar. Wer seine Hardware ungesichert ins Internet hängt, ohne Update-Management zu betreiben oder/und zusätzlich Netzwerke sauber zu segmentieren, baut sich im Grunde eine digital gesteuerte Zeitbombe ins Gebäude. In diesem Fall eben direkt ins Tiefkühlregal.
In diesem Sinne: Behaltet einen kühlen Kopf, prüft eure Firewalls und fragt euch lieber dreimal, ob euer vernetzter Toaster wirklich mit einer Cloud in Singapur quatschen muss.
Mehr Hintergründe zu den Vorfällen gibt es in diesem Bericht über die Cyberattacke auf französische Supermärkte.