Cyber-Angriffe auf Kühlsysteme weiten sich auf mehrere Länder aus

Nach dem Angriff auf Hunderte Supermärkte in Frankreich im Oktober sind in der Nacht zum 2. November Kühlanlagen in Belgien, Schweden und weiteren Ländern manipuliert worden. Die Vorfälle treffen die Tiefkühlkette an einer empfindlichen Stelle: der Fernsteuerung von Kältetechnik in den Filialen.

In der Nacht vom 1. auf den 2. November meldeten Supermärkte und Lebensmittelgeschäfte in mindestens sechs europäischen Ländern Störungen an ihren Kühl- und Gefrieranlagen. Betroffen sind Belgien, Schweden, Luxemburg, Irland, die Niederlande und Estland; in Finnland werden Temperaturprobleme untersucht, ein Cyberangriff ist dort bislang nicht bestätigt. Ob die Vorfälle zusammenhängen oder von denselben Tätern stammen, ist nach aktuellem Kenntnisstand nicht belegt.

Belgien am stärksten betroffen

Die meisten gemeldeten Fälle entfallen auf Belgien. Rund 40 Delhaize-Filialen, 15 Carrefour-Standorte sowie Geschäfte von Intermarché, Spar, ein IKEA-Standort in Mons und die Antwerpener Metzgereikette De Laet en Van Haver berichteten von Problemen. Carrefour Belgien bestätigte einen Cyberangriff; Delhaize sprach zunächst von einem „IT incident".

Der Kühlanlagen-Dienstleister Sabcobel beschrieb gegenüber der Nachrichtenagentur Belga den Mechanismus: Verdampfer seien aus der Ferne in den Abtaumodus geschaltet worden – dieselbe Vorgehensweise, die bereits beim französischen Angriff im Oktober beobachtet wurde. In betroffenen Anlagen stiegen die Temperaturen um rund 15 °C an; einzelne Medien berichteten von bis zu 70 °C, wobei diese Angaben unterschiedliche Filialen oder Gerätetypen betreffen dürften. Delhaize warnte seine Filialleiter gegen 4 Uhr morgens. In mehreren Läden wurde Ware vorsorglich entsorgt; einzelne Filialen organisierten Kühl-Lkw, um Bestände zu retten.

Schweden, Irland, Niederlande, Estland

In Schweden waren Filialen von ICA und Coop betroffen. Ein ICA-Franchiseladen in Stockholm meldete Temperaturen von 50 °C in Gefriergeräten; weitere Standorte in Süd- und Mittelschweden hatten Probleme. Der ICA-Markt in Sjöbo blieb zeitweise geschlossen. Beide Ketten bestätigten die Störungen, ordneten sie aber nicht abschließend als Cyberangriff ein.

In Irland waren 13 SuperValu-Filialen betroffen. Muttergesellschaft Musgrave nannte ein bestimmtes Kühlanlagenmodell als Einfallstor, entfernte Kühl- und Tiefkühlware vorsorglich aus dem Verkauf und leitete eine Untersuchung ein. Das irische National Cyber Security Centre beobachtet den Vorfall.

In den Niederlanden berichtete der Kältetechnik-Hersteller Danfoss von Angriffen auf mindestens 17 Betriebe, darunter Metzgereien und kleinere Geschäfte. Große Supermarktketten waren nach damaligem Stand nicht betroffen. Danfoss wies darauf hin, dass einige der angegriffenen Systeme weder in einem gesicherten Netzwerk betrieben noch mit individuellen Passwörtern geschützt gewesen seien.

In Estland meldete der Kühltechnik-Anbieter Kitman Coldtech, bei einem Gerät sei die Temperatur auf 50 °C gesetzt worden; weitere Kunden seien ebenfalls angegriffen worden.

Frankreich-Angriff: Elementare Sicherheitsmängel als Ursache

Die neuen Vorfälle reihen sich ein in eine Serie, die am 11./12. Oktober in Frankreich begann. Dort waren nach verschiedenen Angaben zwischen 350 und über 400 Filialen betroffen, darunter Standorte von Intermarché, Coopérative U, Carrefour und Monoprix. Berichtet wurden Temperaturen bis 50 °C, verdorbene Frisch- und Tiefkühlware sowie Brände an einzelnen Standorten.

Die entscheidende Einordnung lieferte am 21. Oktober ANSSI-Chef Vincent Strubel bei einer Senatsanhörung: Die Angreifer hätten elementare Sicherheitsmängel ausgenutzt. Kühlanlagen seien direkt aus dem Internet erreichbar gewesen, die Fernverwaltung nicht ausreichend abgesichert, und es seien schwache Passwörter verwendet worden. Die zuvor in Medien diskutierte These, eine bestimmte Danfoss-Softwarelücke sei ausgenutzt worden, bestätigte die ANSSI ausdrücklich nicht.

Der TK-Report-Newsletter: Hier kostenlos anmelden