50 Grad im Tiefkühlregal: Die Nacht, in der Kühlanlagen zu Heizungen wurden

Manipulierte Kühlanlagen zwingen europäische Supermärkte, Lebensmittel zu entsorgen. Dahinter steht eine beunruhigende Möglichkeit: Auch normale Betriebsfunktionen können Schaden anrichten. Die entscheidende Frage lautet deshalb nicht nur, wie Angreifer hineinkommen – sondern was sie danach noch aufhalten kann.

Der erste Hinweis ist eine Pfütze.
Als Mats Olsson am Montagmorgen, den 02. November 2026 seinen ICA-Markt in Böda auf der schwedischen Insel Öland betritt, steht Wasser auf dem Boden. Seine Tiefkühlanlage habe 55 Grad erreicht, berichtet er dem Fernsehsender SVT. Kühl- und Tiefkühlwaren seien zerstört. Der Markt bleibt geöffnet – aber ausgerechnet die Produkte, für deren Aufbewahrung die Anlagen gebaut wurden, fehlen.

Auch in Stockholm beginnt der Vorfall mitten in der Nacht. Nach Angaben der Verkaufsleiterin Engla Ingwall setzt der Angriff auf die Tiefkühlanlagen ihres ICA-Marktes gegen zwei Uhr ein. Bemerkt wird er erst Stunden später. Gegenüber Reuters berichtet sie von 50 Grad und zerstörter Ware. Zwischen dem digitalen Eingriff und seiner Entdeckung hat die Physik längst Fakten geschaffen.

Im Laufe des 2. November kommen ähnliche Meldungen aus Belgien, Luxemburg und Estland hinzu. In den Niederlanden bestätigt Danfoss gegenüber NOS betroffene Systeme bei mindestens 17 Unternehmen, darunter kleinere Lebensmittelgeschäfte und ein Tiefkühllager. Drei Wochen zuvor hatte ein vergleichbarer Angriff Hunderte französische Geschäfte getroffen. Ob dieselben Täter dahinterstecken, ist zum Redaktionsstand nicht öffentlich geklärt.

Die unmittelbare Frage braucht jedoch keinen bekannten Täter: Wie wird aus einer Anlage, deren Aufgabe das Kühlen ist, eine Wärmequelle? Die Antwort führt zu einer Funktion, die für ihren normalen Betrieb vorgesehen ist.

Die Maschine tut, was sie soll. Nur für den Falschen.

Am Verdampfer einer Kälteanlage kann sich Eis bilden. Damit der Wärmeaustausch funktioniert, muss es regelmäßig entfernt werden. Je nach Bauart wird dafür die Kühlung unterbrochen oder aktiv Wärme zugeführt: durch elektrische Heizelemente oder heißes Kältemittel. Eine Kühlanlage besitzt also durchaus die Fähigkeit, Wärme zu erzeugen oder gezielt einzuleiten. Im vorgesehenen Abtauzyklus ist das kein Defekt.

Entscheidend sind Dauer, Ablauf und Begrenzung. Bei den belgischen Vorfällen schilderte der Kältetechnik-Dienstleister Sabcobel, dass Verdampfer aus der Ferne in den Abtaumodus versetzt worden seien. Die Täter mussten dafür keine neue Maschinenfunktion erfinden. Sie nutzten eine vorhandene gegen den Zweck der Anlage.

Hinter dem Kühlregal steht dabei häufig eine ganze Steuerungshierarchie. Lokale Regler arbeiten mit Sensoren und Ventilen; ein übergeordneter Systemmanager bündelt Informationen und ermöglicht die Fernverwaltung. Beim von Claroty untersuchten Danfoss AK-SM 800A lassen sich über eine eingebettete Weboberfläche unter anderem Temperaturgrenzen, Zeitpläne, Alarme und Benutzer verwalten. Das spart dem Techniker die Anfahrt – und verleiht einem entsprechenden Zugang erhebliche Macht.

Solche Systeme gehören zur Operational Technology, kurz OT: Technik, die physische Prozesse überwacht oder beeinflusst. Hier verändert ein Befehl nicht nur einen Datensatz. Er kann darüber entscheiden, was ein Ventil, ein Motor oder eine Heizung als Nächstes tut.

Für schädliche Prozessänderungen ist nicht zwingend eine Übernahme des Betriebssystems nötig. Ein ausreichend privilegierter Bedienzugriff kann genügen. MITRE führt dieses Angriffsmuster im ATT&CK-Modell für industrielle Steuerungssysteme als „Modify Parameter“, T0836: Veränderte Betriebswerte bringen eine ansonsten funktionsfähige Steuerung dazu, einen unerwünschten Ablauf auszuführen. Ob bei den aktuellen Vorfällen zusätzlich Schadsoftware eingesetzt wurde, ist damit nicht beantwortet. [2]

Der Unterschied ist wesentlich: Wer ausschließlich nach schädlichen Dateien sucht, kann eine schädliche Bedienhandlung übersehen. Der Befehl kann formal gültig sein, die Software ihn korrekt verarbeiten und die Anlage trotzdem das Falsche tun. Eine grüne Statusanzeige beweist zunächst nur das, was sie tatsächlich überwacht. „Das System läuft“ ist nicht dasselbe wie „der Prozess ist unter Kontrolle“.

Auch die spektakulären Temperaturangaben brauchen diese Genauigkeit. Sollwert, Verdampfertemperatur, Lufttemperatur und Produkttemperatur sind unterschiedliche Größen. Ein auf plus 50 Grad veränderter Wert beweist nicht, dass Lebensmittel diese Temperatur erreicht haben. Das zeigt ein betroffener Markt in Estland: Trotz einer Einstellung auf plus 50 Grad blieb der gemeldete tatsächliche Temperaturanstieg gering. Entscheidend war dort, wie schnell reagiert wurde.

Die Seitentür neben der geschützten Unternehmens-IT

Der Weg zur Kältetechnik muss nicht durch das zentrale Unternehmensnetz führen. ICA erklärte, dass die betroffenen Geschäfte ihre entsprechende Verbindung außerhalb des zentralen Netzes betrieben. Das ist kein vollständiger forensischer Befund. Es erklärt aber, warum selbst eine professionell geschützte Konzern-IT nicht automatisch jeden Wartungszugang einer Filiale absichert.

Eine Anlage kann vom Kassennetz getrennt sein und trotzdem einen ungeschützten Zugang nach außen besitzen. Das britische NCSC weist ausdrücklich auf zusätzliche Kommunikationswege hin, die Dienstleister installieren können – etwa eigene Mobilfunkverbindungen. Wer nur die bekannten Unternehmensanschlüsse betrachtet, kann solche Zugänge übersehen. Entscheidend ist die tatsächliche Verbindung zur Steuerung, nicht die interne Zuständigkeitsgrenze.

Wie groß diese Angriffsfläche sein kann, dokumentierte Clarotys Team82 mit einer Abfrage, die 2.765 öffentlich erreichbare Geräte der untersuchten Plattform auswies. Das war eine Momentaufnahme der Sichtbarkeit, keine Liste gehackter Supermärkte. Doch sie widerlegt die beruhigende Annahme, solche Verwaltungsoberflächen befänden sich grundsätzlich tief hinter geschlossenen Unternehmensnetzen.

In den Niederlanden deutet die bisherige Darstellung eher auf versäumte Absicherung als auf einen unbekannten Hightech-Angriff hin. Ein Danfoss-Sprecher erklärte gegenüber NOS, die betroffenen Systeme hätten Standardpasswörter verwendet und seien nicht über ein geschütztes Netz angebunden gewesen. Nach dem französischen Vorfall habe der Hersteller bereits zur Entfernung direkter Internetzugänge geraten. Das ist eine Herstelleraussage, keine unabhängige Rekonstruktion jedes Einzelfalls.

Daneben gibt es dokumentierte Produktschwachstellen. Für die AK-SM-8xxA-Serie führt Danfoss CVE-2025-41450 als Authentifizierungsproblem in Versionen vor 4.2 auf. Bei Versionen vor 4.3.1 beschreiben CVE-2025-41451 eine mögliche Befehlsausführung auf Betriebssystemebene und CVE-2025-41452 eine manipulierbare Webserverkonfiguration mit möglicher Dienstverweigerung. Die beiden letztgenannten Schwachstellen setzen eine erfolgreiche Authentifizierung voraus.

Team82 beschrieb außerdem einen alternativen Anmeldeweg, den „Code of the Day“, über den sich die reguläre Anmeldung umgehen ließ. Das grundsätzliche Problem: Ein starkes Administratorpasswort schützt nicht gegen jeden Fehler in einem zusätzlichen Zugangsmechanismus.

Welche dieser Schwachstellen bei den aktuellen Angriffen tatsächlich ausgenutzt wurden, ist aus den ausgewerteten öffentlichen Quellen nicht belastbar abzuleiten. Auch die Produktfamilien dürfen nicht vermischt werden: CERT-FR nennt Danfoss AK-SM und AK-SC sowie Copeland- und Dixell-XWEB-Systeme. Eine einzelne CVE ist deshalb keine Erklärung für sämtliche Vorfälle.

Hinzu kommt eine Alterung, die im Verkaufsraum unsichtbar bleibt. Der ältere Danfoss AK-SM 800 wurde laut Hersteller bereits im Mai 2021 zum End-of-Life-Produkt; im Oktober 2025 bekräftigte Danfoss das Ende der Unterstützung entsprechender Altprodukte. Dieser Systemmanager ist nicht mit der neueren 800A-Plattform gleichzusetzen. Deren Updateversionen lassen sich nicht auf sämtliche älteren Geräte übertragen.

Mechanisch kann die Anlage weiterhin ihren Dienst tun, während ihre digitale Steuerung nicht mehr unterstützt wird. „Kühlt noch“ beschreibt dann ihre momentane Funktion – nicht den Sicherheitszustand des Wartungszugangs.

Was bleibt, wenn der Angreifer schon angemeldet ist?

Die erste Schutzgrenze gehört vor die Verwaltungsoberfläche: keine direkte Internet-Erreichbarkeit, ein abgesicherter Fernzugriff, individuelle Konten und möglichst phishingresistente Mehrfaktor-Authentifizierung. CERT-FR und NCSC empfehlen genau diese Richtung. Sie erschwert den Einstieg. Für eine belastbare Architektur beginnt danach jedoch die zweite Frage: Was kann ein kompromittierter Zugang tatsächlich bewirken?

Die Authentifizierung prüft die Zugangsnachweise. Die Autorisierung legt fest, welche Handlungen dieses Konto ausführen darf. Und die Prüfung der Betriebsparameter muss sicherstellen, dass eine erlaubte Änderung nicht zu einem unzulässigen Prozesszustand führt. Diese drei Aufgaben sind nicht austauschbar. MITRE nennt deshalb sowohl rollenbasierte Änderungsrechte als auch die Validierung übermittelter Werte unmittelbar in der Steuerungslogik.

Auf die Kältetechnik übertragen heißt das: Ein Wartungskonto, das einen Abtauzyklus anfordern darf, sollte nicht automatisch auch jede Grenze verändern können, die diesen Zyklus begrenzt. Auskunft über Betriebszustände, gewöhnliche Bedienung und Änderungen an Schutzvorgaben sind unterschiedliche Befugnisse. Ein Generalschlüssel für alles macht aus einer einzigen kompromittierten Identität ein wesentlich größeres Problem. [17]

Solche Grenzen sind keine abstrakte Idee. Die Dokumentation des Danfoss-Reglers AK-CC 750 beschreibt beispielsweise temperatur- und zeitabhängige Bedingungen zum Beenden einer Abtauung. Das belegt nicht, dass dieser Regler in den angegriffenen Märkten eingesetzt wurde. Es zeigt, worauf eine technische Prüfung achten muss: Welche Begrenzungen existieren, wo werden sie ausgeführt und wer darf sie verändern?

Dabei genügt es nicht immer, jeden Wert isoliert auf einen zulässigen Zahlenbereich zu prüfen. Für ein belastbares Schutzkonzept wäre auch das Zusammenspiel von Dauer, Wiederholung und Anlagenzustand zu bewerten. Maßgeblich sind die vom Hersteller und der Fachplanung festgelegten Betriebsgrenzen. Eine Eingabemaske im Browser ist dafür keine ausreichende Sicherheitsgrenze: Die Prüfung muss dort greifen, wo die Steuerung Änderungen tatsächlich annimmt und verarbeitet.

Ebenso wichtig ist, welchen Erfolg des Angreifers das Schutzkonzept voraussetzt. Ein missbrauchtes Bedienkonto und eine vollständig übernommene Steuerung sind unterschiedliche Fälle. Eine lokale Softwareprüfung kann einem eingeschränkten Konto Grenzen setzen. Wer jedoch auch die Software oder deren Schutzkonfiguration beherrscht, kann möglicherweise dieselbe Prüfung beeinflussen. Für die Architekturprüfung folgt daraus: Unabhängigkeit muss gegenüber dem betrachteten Angriff bestehen, nicht nur im Organigramm.

Noch grundsätzlicher ist die Frage nach der Unabhängigkeit. Kann derselbe administrative Zugang sowohl den Prozess verändern als auch dessen Begrenzung aufheben, bilden beide Funktionen keine unabhängigen Schutzschichten. Und kann er zusätzlich die Alarmierung beeinflussen, kann derselbe kompromittierte Zugang auch die Entdeckung verzögern. NIST warnt bei OT-Systemen ausdrücklich vor unzureichender Trennung von Steuerungs- und Schutzfunktionen.

Für eine Kälteanlage lässt sich daraus ein klares Prüfkriterium ableiten: Eine zusätzliche Temperaturüberwachung hilft besonders dann, wenn ihre Konfiguration und ihr Alarmweg nicht vollständig von derselben Verwaltung abhängen. Zwei Sensoren in derselben kompromittierbaren Oberfläche sind noch keine zwei unabhängigen Schutzschichten. Zugleich ersetzt eine Alarmmeldung keinen Prozessbegrenzer – sie macht zunächst jemanden auf ein Problem aufmerksam.

Das erklärt auch die Grenze einer reinen Netzwerkbetrachtung. Eine Firewall kann Verbindungen auf bestimmte Gegenstellen und Dienste beschränken. Daraus folgt noch nicht, dass jede Bedienhandlung innerhalb einer erlaubten Verbindung sinnvoll ist. Eine weitergehende Prüfung von Befehlen braucht passende Protokollkenntnis und Zugriff auf deren Inhalt. Verschlüsselung schützt die Übertragung; sie bestätigt nicht, dass der übertragene Auftrag betrieblich richtig ist.

Welche dieser Grenzen in den betroffenen Anlagen vorhanden waren oder versagten, ist öffentlich nicht vollständig dokumentiert. Die Architekturfrage bleibt trotzdem präzise: Welche Funktion kann der Fernzugang auslösen, und welche nachgelagerte Instanz kann einen gefährlichen Verlauf noch verhindern? Mehr Netzsegmentierung hilft gegen unzulässige Kommunikationswege. Gegen eine gefährliche, aber erlaubte Bedienhandlung braucht es zusätzlich passende Rechte und Prozessgrenzen.

Die Minuten, in denen sich der Schaden noch verhindern lässt

In Estland endete die Nacht anders. Ein Selver-Markt war betroffen, nachdem Angreifer auf den Steuerungscomputer einer älteren Anlage zugegriffen hatten. Der Dienstleister berichtete von einer Reaktion innerhalb von etwa zehn Minuten. Die tatsächliche Temperatur sei nur um zwei bis drei Grad gestiegen; an den Produkten sei kein Schaden entstanden. Selver erklärte, es sei der letzte Standort gewesen, an dem das neuere System noch nicht eingesetzt worden war.

Zehn Minuten sind deshalb keine allgemeine Sicherheitsreserve. Sie sind ein Hinweis darauf, dass die Zeit nach dem Zugriff entscheidend sein kann. Für die Planung zählt die gesamte Kette: eine Abweichung erkennen, sie bewerten, eine Entscheidung treffen und wirksam eingreifen. Diese Schritte müssen in das Zeitfenster passen, das der konkrete Prozess noch lässt. Ein schnell erzeugter Alarm nützt wenig, wenn anschließend niemand zuständig oder handlungsfähig ist.

Erkennung beginnt deshalb möglichst vor dem sichtbaren Warenverlust. Ein nächtlicher Abtauvorgang allein ist nicht verdächtig. Aussagekräftiger wird eine Änderung, wenn sie nicht zur vorgesehenen Quelle, zum freigegebenen Betriebsbereich oder zu einem bestätigten Wartungsauftrag passt. MITRE empfiehlt, solche Beobachtungen mit den anschließenden Prozessdaten zu verknüpfen. Nicht nur der neue Wert zählt, sondern auch, was die Anlage danach tatsächlich tut.

Für die Kältetechnik wären damit beispielsweise ungewöhnliche Abtaudauern, veränderte Alarmgrenzen oder gleichzeitige Abweichungen mehrerer Geräte relevante Prüfpunkte. Das sind mögliche Erkennungsansätze, keine Rekonstruktion dieser Angriffswelle. Der betriebliche Kontext schützt zugleich vor Fehlalarmen: Ein freigegebener Test ist anders zu bewerten als eine unerklärte Änderung. Ein bloß eingetragenes Wartungsfenster darf aber nicht dazu führen, jede Aktivität ungeprüft auszublenden.

Die Protokolle müssen diesen Abgleich ermöglichen. Sinnvoll wären nachvollziehbare Angaben zum verwendeten Konto, zum betroffenen Gerät, zur Änderung und zu ihrem Zeitpunkt. Wo verfügbar, sollten auch der vorherige Wert und der Wartungsauftrag zugeordnet werden können. Dahinter steht das vom NCSC betonte Prinzip: Logging soll konkrete Erkennungsziele unterstützen, nicht lediglich Daten anhäufen. Eine Sammlung, die erst nach dem Schaden ausgewertet wird, ist noch keine rechtzeitige Warnung.

Dann muss jemand den Ablauf unterbrechen können. Das NCSC empfiehlt dafür getestete Isolationspläne: Welche Verbindung darf gesperrt werden? Welche Funktionen müssen lokal weiterlaufen? Wie übernimmt der Dienstleister, wenn die Fernwartung entfällt? Die richtige Reaktion ist nicht zwangsläufig, der gesamten Anlage den Strom zu nehmen. Sie muss Menschen schützen und den technischen Prozess in einen zuvor festgelegten, beherrschbaren Zustand bringen.

Ein solcher Plan muss auch klären, welche Sicht auf die Anlage nach der Isolation erhalten bleibt. Wird mit der Fernwartung versehentlich die einzige Alarmübertragung getrennt, verschwindet gerade die Rückmeldung, die der Bereitschaftsdienst benötigt. Der Testfall lautet deshalb nicht nur: Lässt sich der Zugang abschalten? Sondern auch: Können die Verantwortlichen danach noch erkennen, ob ihre Gegenmaßnahme wirkt?

Dabei gibt es einen leicht übersehenen Unterschied: Eine Netztrennung macht bereits veränderte Einstellungen nicht automatisch rückgängig. Sie kann weitere Zugriffe unterbinden, während die Anlage mit den zuvor manipulierten Vorgaben weiterarbeitet. Deshalb müssen Fachleute neben dem Zugang auch den tatsächlichen Betriebszustand und die Konfiguration prüfen. „Nicht mehr erreichbar“ ist genauso wenig eine Entwarnung wie „läuft wieder“.

Soweit dies ohne zusätzliche Gefahr möglich ist, sollten vor einem Reset relevante Protokolle und Konfigurationen gesichert werden. Zugleich darf Beweissicherung notwendige Schutzmaßnahmen nicht verzögern. Auch ein anschließend wieder kaltes Kühlmöbel beendet den Sicherheitsvorfall nicht: CERT-FR warnt ausdrücklich davor, verwundbare Altgeräte lediglich zurückzusetzen und erneut ungeschützt ins Internet zu stellen. Damit kehrt unter Umständen auch die ursprüngliche Schwäche zurück.

Zur Wiederherstellung gehört damit mehr als ein erfolgreicher Neustart: Die Konfiguration muss zu einer freigegebenen Grundlage passen, und der reale Prozess muss wieder innerhalb seiner vorgesehenen Grenzen arbeiten. Eine neue Firmware allein beantwortet diese zweite Frage nicht. Der Abschluss des Vorfalls braucht eine technische und eine betriebliche Prüfung.

Die entscheidende Vorbereitung ist deshalb nicht nur technisch. Betreiber und Wartungsunternehmen müssen vor dem Vorfall wissen, wer nachts einen Zugang sperren darf, wer die Anlage vor Ort übernimmt und wer für Updates oder Ersatz verantwortlich ist. Ausgelagerte Wartung beseitigt diese Zuständigkeiten nicht. Sie macht ihre klare Vereinbarung umso wichtiger.

Wenn Du das nächste Mal vor einem Kühlregal stehst, siehst Du zunächst Lebensmittel. Dahinter liegt eine Kette aus Sensoren, Software, Berechtigungen und Entscheidungen. Die Sicherheitsfrage lautet nicht nur, welche Daten ein Gerät speichert. Sie lautet auch, was es in seiner Umgebung verändern darf – und wer es rechtzeitig daran hindert, das Falsche zu tun.

Auf Öland wurde der Vorfall als Pfütze sichtbar. In Estland blieb nach Angaben des Betreibers die Ware unbeschädigt. Zwischen diesen beiden Ausgängen liegt die eigentliche Aufgabe der Absicherung: den Angriff nicht erst im Schaden zu erkennen und nach einem erfolgreichen Zugriff noch wirksame Grenzen zu haben.

Ein Backup kann eine Konfiguration zurückbringen. Es kann die Stunden ohne ausreichende Kühlung nicht zurückdrehen.

Ein Cyberangriff muss eine Maschine nicht zerstören. Manchmal genügt es, sie das Falsche tun zu lassen.