Europas Supermarkt-Kälteangriffe greifen auf sieben Länder über

In einem Selver-Supermarkt in Estland wurde eine Kühltruhe auf 50 Grad Celsius gestellt. Die Truhe erwärmte sich nur um etwa 2 bis 3 Grad, bevor das Problem behoben war, rund zehn Minuten später, laut dem Kältelieferanten Kitman Coldtech, der mit dem estnischen Sender ERR sprach. Keine Ware wurde beschädigt. Es ist der mildeste bekannte Fall in einer Woche von Angriffen auf die Systeme, die Europas Supermarktlebensmittel kalt halten.

Zum Weiterlesen: Hacker zwangen Kühlschränke französischer Supermärkte über Nacht auf 50 Grad · Apple warnte deutsche Abgeordnete vor Söldnerspyware. Deutschland kann nicht sagen, ob die Angriffe erfolgreich waren.

Der Rest des Bildes ist schlechter. In der Nacht zum Montag, dem 2. November 2026, veränderten Angreifer Einstellungen internetverbundener Kälteanlagen in Filialen in Belgien, Luxemburg, Schweden, Irland und Estland, wobei die Niederlande und Finnland in weiterreichenden Berichten genannt werden. Euronews nannte insgesamt sieben Länder. Niemand hat sich zu der Operation bekannt. Ebenso wenig ist geklärt, ob es dieselbe Kampagne ist, die im Oktober Frankreich traf.

Die Zahl ist kleiner als die Landkarte

Beginnen wir mit den Ketten, die Zahlen nannten, denn die Zahlen sind hier der einzige feste Boden. Delhaize beschrieb einen „IT-Vorfall", der das Frische- und Tiefkühlsortiment in mehreren Dutzend Filialen einschränkte, überwiegend in Belgien und einigen in Luxemburg. Die BBC nannte für Delhaize etwa 40 Filialen. Carrefour erklärte, 15 seiner mehr als 700 belgischen Filialen seien betroffen gewesen, und sprach von einem Cyberangriff auf seine Kühlung mit sehr begrenzter Wirkung, wie CNBC berichtete.

Unter diesen beiden werden die Zahlen klein und konkret. Intermarché hatte in 10 bis 15 Filialen Probleme mit Kühlschränken. Bei Spar, dessen belgische Filialen unabhängige Inhaber unter dem Dach der Colruyt Group führen, wurden fünf Filialen angegriffen. Ein IKEA-Haus in Mons war von einem Cybervorfall betroffen, der Kühlschränke und Truhen erfasste, und das Unternehmen erklärte, kein weiteres belgisches IKEA-Haus sei betroffen. The Hacker News stellte diese Zahlen aus Unternehmensmitteilungen zusammen.

Schweden liefert die größte Spannweite. ICA meldete eine begrenzte Zahl von Filialen, die außerhalb seines zentralen Netzes liefen, und bestätigte keinen Cyberangriff. Coop nannte für dasselbe Ereignis zwei verschiedene Zahlen: 6 Filialen gegenüber der schwedischen Nachrichtenagentur TT und AFP, 7 gegenüber Reuters und Bloomberg, von etwa 800. In Irland waren bei SuperValu von Musgrave 13 Filialen betroffen, einige gekühlte und tiefgekühlte Produkte wurden aus dem Verkauf genommen.

Lesen Sie die Liste als Untergrenze, nicht als Volkszählung. Manche Unternehmen nannten Spannen, andere verzichteten ganz auf eine Zahl, und die Angaben zählen Filialen, nicht die Zahl der betroffenen Steuerungen oder Truhen. Eine einzelne Filiale kann Dutzende Geräte beherbergen. Die Summen verschoben sich innerhalb eines Tages zwischen den Medien, wie Coops 6 und 7 zeigen. Die naheliegende Lesart ist, dass die bestätigten Fälle jene sind, die Einzelhändler öffentlich beschreiben wollten, nicht die vollständige Menge der Filialen, die in jener Nacht die Kühlung verloren.

Zwei Wege, eine Truhe zu erwärmen

Die Mechanik war einfach, was ein Teil des Grundes ist, warum sie funktionierte. Eine Kältesteuerung ist ein kleiner Computer, der die Kühlschränke und Truhen einer Filiale steuert. Viele sind mit dem Internet verbunden, damit Dienstleister sie überwachen und Störungen aus der Ferne beheben können, bemerkte The Hacker News. Wer eine davon erreicht, kann ihre Funktion ändern, ohne eine einzige Truhe anzufassen.

In Belgien schalteten die Angreifer Kühlaggregate in den Abtaumodus, laut Stephan Moelans, Vorstandsvorsitzender des Kältedienstleisters Sabcobel, der die Anlagen von Delhaize betreut. Der Abtaumodus dient dazu, Eis von den Verdampfern eines Geräts zu entfernen. Bei diesen Angriffen erhitzte er die Truhen, statt das Essen kalt zu halten. Anderswo war die Methode gröber: Jemand erhöhte den Temperatursollwert. Eine ICA-Filiale in Sjöbo in Südschweden erklärte, ihre Kühlschränke und Truhen seien auf 50 Grad Celsius gestellt worden und Mitarbeiter würden betroffene Ware entsorgen, wie die AP berichtete.

Der menschliche Zeitablauf ist eng. Engla Ingwall, Verkaufsleiterin einer ICA-Franchise-Filiale in Stockholm, sagte Reuters, der Angriff habe um 2 Uhr nachts stattgefunden und sei Stunden später bemerkt worden. „Alles ist zerstört", sagte sie.

„Es gab einen Cyberangriff, und alle unsere Truhen erreichten 50 Grad (Celsius)." Engla Ingwall, Verkaufsleiterin einer ICA-Franchise-Filiale in Stockholm

Luc De Laet, Inhaber einer belgischen Metzgereikette, sagte Reuters, ein Mitarbeiter habe ihn um 3:30 Uhr geweckt. Er fand Kühlschränke auf bis zu 18 Grad Celsius hochgedreht und schätzte, dass Fleisch im Wert von etwa 15.000 Euro verdorben war. „Es ist sehr beängstigend", sagte er. „Sie hacken das System, das die Temperatur erfasst, und sie können es aus der Ferne programmieren."

Nicht jeder Einzelhändler nutzte dasselbe Wort

Die Wortwahl zählt für jeden, der den Vorfall einordnen will. Delhaize nannte ihn einen „IT-Vorfall". ICA bestätigte überhaupt keinen Cyberangriff. Coop beschrieb einen Vorfall, bei dem jemand unbefugt an der Kühlung manipuliert habe. Carrefour war am deutlichsten: Das Unternehmen nannte den Vorfall einen Cyberangriff auf seine Kühlung. Belgiens Bundesstaatsanwaltschaft eröffnete ein Strafverfahren, laut VRT, wie von The Hacker News zitiert. Der Fall ist damit auch eine Sache der Strafverfolgung und nicht nur des Einzelhandels, was Unternehmen in der Regel vorsichtiger in ihren Aussagen und langsamer beim Veröffentlichen von Zahlen macht.

Der französische Vorlauf und warum es keine Wiederholung ist

Dies ist die zweite Welle in drei Wochen. Im Oktober 2026 zwangen Angreifer die Kältesysteme in Hunderten französischer Supermärkte in einen langen Abtaumodus, und einige Truhen erreichten etwa 50 Grad Celsius. TechPastWeek berichtete über diesen Angriff, als er geschah. Die französische Welle verursachte Lebensmittelverluste und Brände, laut Polizei. Nichts in der Berichterstattung über diese Welle deutet auf Brände oder Schäden dieses Ausmaßes hin, und sie sollte nicht so beschrieben werden, als wäre es so.

Was die beiden Ereignisse teilen, ist ein Hersteller. Danfoss, der dänische Hersteller von Kältesteuerungen, erklärte, seine Produkte seien an dieser Welle beteiligt gewesen, wie schon an dem französischen Angriff drei Wochen zuvor, berichtete The Hacker News. Was sie ebenfalls teilen könnten, ist eine Lücke bei der Beratung. CERT-FR, Teil der französischen Cybersicherheitsbehörde, veröffentlichte im Oktober 2026 eine Warnung mit den ausführlichsten verfügbaren Betreiberhinweisen. Die Sicherheitshinweis-Seite von Danfoss führte am 3. November, als The Hacker News nachsah, keinen Hinweis zu diesen Angriffen.

Wer es war: eine offene Frage mit mehreren Theorien

Niemand hatte sich bekannt. Ob die Angriffe mit der französischen Welle zusammenhingen, war nicht bekannt, laut The Hacker News, CNBC und der BBC. Schwedens nationales Cybersicherheitszentrum erklärte, es könne nicht spekulieren, wer hinter den Vorfällen stecke, und arbeite an mehreren Fällen, die Lebensmittelgeschäfte beträfen. Sein Leiter John Billow sagte CNBC, Schweden habe „ziemlich viele exponierte Geräte der operativen Technik" identifiziert, die aktualisiert oder gepatcht werden müssten.

Das Motiv ist eine Vermutung im Gewand einer Analyse. Tom Hegel, Forscher bei SentinelOne, sagte CNBC, Angriffe dieser Art seien meist erpresserisch, politisch motiviert oder von Nationalstaaten geführt, und das Fehlen finanzieller Forderungen in den Supermarkt-Fällen deute auf Sabotage hin. Das ist eine Experteneinschätzung, kein Befund. Moskau hat eine Beteiligung an Sabotage oder hybriden Operationen wiederholt bestritten, und Reuters konnte nicht klären, wer hinter den Angriffen stand oder ob sie mit den französischen Vorfällen zusammenhingen. Nichts in der öffentlichen Aktenlage nennt einen Täter.

Warum die Steuerungen überhaupt erreichbar sind

Kältesteuerungen liegen in dem Teil der Technik eines Unternehmens, den die meisten Sicherheitsteams zuletzt sehen. Sie sind operative Technik, gebaut für Verfügbarkeit und Fernwartung, oft von Dienstleistern installiert und in einem Netz belassen, damit ein Techniker einen Sollwert anpassen kann, ohne zur Filiale zu fahren. Diese Bequemlichkeit ist die Angriffsfläche. Ein Gerät, das ein Dienstleister von außen erreicht, ist ein Gerät, das auch jemand anderes erreichen kann.

Der Lebensmitteleinzelhandel erhöht den Druck. Die Margen sind dünn, die Kühlkettenregeln streng, und eine Kette mit Hunderten Standorten will zentrale Sicht auf Energieverbrauch und Gerätestörungen. Diese Steuerung zu zentralisieren spart Geld und schafft einen einzigen logischen Pfad in viele Filialen. Der estnische Fall zeigt, wie klein die physische Wirkung sein kann, wenn eine Steuerung früh erkannt wird. Die belgische Metzgerei zeigt das andere Ende, an dem wenige Stunden Wärme aus Ware Abfall machen.

Keine CVE, kein Hinweis, keine gemeinsame Ursache

Drei Dinge, die eine Sicherheitsgeschichte üblicherweise verankern, fehlen. Es gibt keine CVE, die Kennung für eine bestimmte Softwareschwachstelle. Es gibt keinen Herstellerhinweis, der beschreibt, was zu beheben ist. Und es gibt keine bestätigte gemeinsame Ursache über die betroffenen Länder hinweg. Danfoss bestätigte, dass seine Produkte beteiligt waren, hatte aber Stand 3. November keine Hinweise zu den Angriffen veröffentlicht.

Ohne das bleiben Verteidigern nur die Grundlagen: die Steuerungen finden, prüfen, wer sie erreichen kann, und jene abschalten, die nicht im offenen Internet stehen müssen. Billows Bemerkung über exponierte Geräte der operativen Technik deutet darauf hin, dass das Inventarproblem groß ist. Sie deutet auch darauf hin, dass die Behebung unspektakulär und langsam ist, was bei Industrieausrüstung meist der Fall ist, die nie dafür gebaut wurde, monatlich gepatcht zu werden.

Was die offenen Fragen klären würde

Zuerst die Zuschreibung. Ein Bekenntnis, eine Anklage oder eine gemeinsame Erklärung der Ermittler würde die Geschichte von einer unerklärten Störung in eine benannte Operation verwandeln. Bis dahin bleibt die Sabotage-Lesart ein Schluss aus dem Fehlen von Lösegeldforderungen.

Dann die Zahlen. Nationale Schadenssummen sind nicht veröffentlicht, und die 15.000 Euro der Metzgerei sind die Schätzung eines Inhabers. Wenn Aufsichtsbehörden oder Versicherer beginnen, Gesamtzahlen zu veröffentlichen, wird das Ausmaß klarer als eine Summe von Unternehmensmitteilungen.

Beobachten Sie auch die Hersteller. Ein Hinweis von Danfoss oder eine Aktualisierung von CERT-FR, die betroffene Modelle und Firmware nennt, würde Tausenden Filialbetreibern sagen, ob ihre Geräte betroffen sind. Und beobachten Sie, ob die französische und die Novemberwelle offiziell verknüpft werden. Diese Antwort entscheidet, ob Europa es mit einer Kampagne oder mit zweien zu tun hat und ob die nächste Welle bereits angesetzt ist.

Titelbild: „Glass door freezer display cabinets ... in Spar Supermarket in Tjøme, Norway" von Wolfmann, CC BY-SA 4.0, via Wikimedia Commons.