Hacker erhitzen Kühlregale in Supermärkten auf 50 Grad: erste deutsche Fälle in Bayern und NRW

Der Betreiber des Edeka-Markts in Reisbach ging nach Angaben von heise online auf Facebook an die Öffentlichkeit. Große Mengen an Lebensmitteln hätten weggeworfen werden müssen, schrieb er. „Und das macht uns einfach nur wütend“, steht über einem Foto von Waren in einem Abfallcontainer, über das heise am 3. November berichtete. Das Polizeipräsidium Niederbayern ermittelt und will sich mit den Behörden anderer betroffener Länder abstimmen. Dass ein Cyberangriff den Ausfall verursacht hat, hat die Polizei nicht bestätigt.

Auch aus Nordrhein-Westfalen wurden Fälle gemeldet. Ob sie zusammenhängen und wer dahintersteckt, ist weiterhin unklar.

Die deutschen Vorfälle sind Teil eines viel größeren Bildes. Am Montag meldeten Supermärkte in Belgien, Luxemburg, Schweden, Frankreich, Finnland, Irland und Estland Störungen an Kühl- und Gefriersystemen. In mindestens einem Geschäft wurden Temperaturen von bis zu 50 Grad Celsius (122 Grad Fahrenheit) gemessen. CNBC berichtete am 3. November, bei Ahold Delhaize seien Dutzende Delhaize-Filialen in Belgien und Luxemburg betroffen gewesen. Carrefour erklärte gegenüber der BBC, 15 seiner belgischen Filialen seien angegriffen worden. Intermarché teilte mit, 15 seiner 153 belgischen Standorte seien betroffen. Die Colruyt Group erklärte laut Reuters, fünf Spar-Filialen in Belgien seien Ziel gewesen.

„In den meisten Fällen konnten die Angriffe durch die vorhandenen Sicherheitsmaßnahmen schnell eingedämmt werden“, sagte ein Intermarché-Sprecher zu CNBC. „Einige Filialen hatten jedoch Bestandsverluste, wenn auch nichts im Vergleich zum Angriff Mitte Oktober.“ Derselbe Sprecher wies in eine andere Richtung: „Nach dem derzeitigen Stand deuten unsere Informationen darauf hin, dass der Großteil des Angriffs andere Akteure der Branche traf, vor allem Carrefour und Delhaize.“

Brüssel beruft eine Task Force ein

Die EU-Kommission steht in direktem Kontakt mit den nationalen Behörden. Am Dienstagmorgen berief sie nach Angaben eines Sprechers gegenüber CNBC ein Treffen der EU-Task Force ein, gemeinsam mit ENISA, Europol und den zuständigen Kommissionsdienststellen. Das ist die bislang konkreteste offizielle Reaktion. Eine Zuschreibung wurde nicht öffentlich gemacht.

IKEA teilte CNBC mit, ein Cybervorfall habe zwischen Sonntag und Montag Kühlschränke und Gefriertruhen in der Filiale Mons in Belgien getroffen. Das Unternehmen prüfe die Geräte und kontrolliere die Installationen in seinen übrigen belgischen Filialen. „Der Vorfall hat begrenzte Auswirkungen auf das Angebot in unserem Restaurant und im Swedish Food Market“, sagte ein IKEA-Sprecher per E-Mail. ICA, Schwedens größter Lebensmittelhändler, erklärte, eine „begrenzte Zahl von Filialen“ in Netzen außerhalb seiner zentralen Systeme sei betroffen, und man unterstütze sie. Kesko in Finnland, SuperValu in Irland und One Selver in Estland meldeten ebenfalls Störungen.

Die Methode erinnert an einen Angriff auf französische Supermärkte Mitte Oktober. Laut heise online nutzten die Angreifer in dieser Welle Sicherheitslücken in älteren internetfähigen Danfoss-Steuerungen aus. Sie schalteten die Kühlgeräte nicht ab, sondern drehten die Temperaturen stark nach oben, sodass die Lebensmittel verdarben. Tom's Hardware berichtete am 2. November, derselbe Trick sei erneut angewandt worden: Die Hacker lösten aus der Ferne den eingebauten Abtaumodus der Geräte aus und überschrieben Temperatur und Abtaudauer. Die belgische Nachrichtenagentur Belga, zitiert von Tom's Hardware, gab an, der Angriff in Belgien habe gegen Mitternacht in der Nacht zum Sonntag begonnen. Das Kälteunternehmen Sabcobel schätzte, dass landesweit mindestens zwanzig Geräte betroffen waren. Ob die neuen Fälle dieselbe Technik nutzen, ist nicht bestätigt.

Das Problem mit den Steuerungen

Der Edeka-Betreiber in Reisbach verteidigte die Internetanbindung seiner Kühlanlagen. Das sei gängige Praxis und diene der Lebensmittelsicherheit, argumentierte er: Die Geräte würden rund um die Uhr überwacht. Stromausfälle, Kältemittelverlust oder andere Störungen in der Nacht lösten automatisch Alarme und Anrufe aus. Die betroffenen Systeme sind inzwischen vom Netz getrennt und sollen vorerst nicht wieder angeschlossen werden, berichtete heise.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Warnung herausgegeben. Es hatte bereits auf Angriffe in Polen verwiesen und sie als „rein destruktive Sabotageakte“ bezeichnet, die „einfach vermeidbar“ seien. Der Kernrat der Behörde ist deutlich: Der wichtigste und zugleich einfachste Schutz ist, die Systeme vom Internet zu trennen. VPN-Tunnel, mit Multifaktor geschützte Zugänge, Blocklisten, Protokollfilterung und Updates machten es Angreifern schwerer, erklärt die Behörde.

Parallel dazu wird die Regulierung verschärft. Nach dem Cyber Resilience Act gelten ab Dezember 2027 strengere Sorgfaltspflichten für Hersteller vernetzter Geräte. Hersteller müssen seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, wie heise online berichtet.

Die Angriffe auf Lebensmittelhändler sind nicht die einzige staatliche Aktivität in den Nachrichten. Palo Alto Networks Unit 42 legte eine Cyberspionagekampagne gegen Linux-Infrastruktur bei staatlichen Stellen offen, geführt als CL-UNK-1211 und beobachtet zwischen Oktober 2025 und April 2026, wie The Hacker News am 2. November berichtete. Die Forscher Roey Porat und Tom Fakterman erklärten, die Angreifer hätten versucht, sensible Datenbanken auszulesen und Regierungsmailboxen abzuziehen. Mehrere Skripte enthielten gesprächsartige, schrittweise Begründungsnotizen, so die Forscher. Das lege nahe, dass der Code aus der Ausgabe eines KI-Prompts kopiert oder von einem automatisierten Agenten eingesetzt wurde.

Separat meldete Dream Research Labs, eine iranisch ausgerichtete Gruppe namens DarkBlinders habe zwischen August und Oktober 2026 eine prominente Person in Israel und eine staatliche Cloud-Umgebung in der Region Kurdistan im Irak kompromittiert, ebenfalls von The Hacker News aufgegriffen. Kaspersky wiederum beschrieb NetamLoader, ein Framework zum Laden von .NET-Assemblies, das in einem Windows-Cab-Archiv auf einem eigens angepassten Windows-10-Build gefunden wurde, das ausschließlich staatliche Stellen in Asien nutzen.