Angriffe auf Kühlsysteme: US-Behörden warnen vor anhaltender Bedrohung

Die Serie von Cyber-Angriffen auf Supermarkt-Kühlanlagen in Europa weitet sich aus. Nach Frankreich, Belgien und weiteren Ländern sind nun auch deutsche Märkte betroffen. Fünf US-Behörden warnen vor einer weltweiten Bedrohung für industrielle Kühlsysteme. Die EU-Kommission hat Krisentreffen einberufen. Lösegeldforderungen gibt es bislang nicht – die Angriffe zielen offenbar auf Sabotage.

Kühlanlagen in deutschen Supermärkten manipuliert

Auch Deutschland ist inzwischen betroffen. Gemeldet wurden Vorfälle in mindestens fünf Supermärkten: zwei CAP-Märkte in Wuppertal und Wetter-Volmarstein, ein Rewe-Markt in Raesfeld sowie Edeka-Märkte in Lilienthal und Reisbach. Nach Informationen des TK-Report ist auch die Kälteanlage eines Unternehmens aus der fleischverarbeitenden Industrie betroffen. Wie bei den Angriffen in anderen Ländern wurden Kühlanlagen offenbar aus der Ferne auf Heiz- oder Abtaubetrieb gestellt. Im Edeka-Markt in Lilienthal maß der Betreiber nach eigenen Angaben bis zu 70 °C an der Frischetheke und 30 °C im Kühlhaus. Lebensmittel mussten entsorgt werden. Ermittlungen laufen unter anderem in Niedersachsen und Bayern; die genaue Zahl betroffener Märkte und die Schadenshöhe sind noch nicht abschließend geklärt.

Die Bedrohung reicht möglicherweise über den Lebensmittelhandel hinaus: Das Bundesamt für Sicherheit und Informationstechnik (BSI) bestätigte gegenüber dem Portal Correctiv, dass ein deutscher Pharmahändler betroffen war, dessen Kühlsysteme Medikamente lagerten. In Frankreich meldete der Blutspendedienst EFS Angriffe auf Kühlräume an drei Standorten; Blutprodukte gingen nach Angaben des Dienstes nicht verloren. Diese Fälle zeigen, dass überall dort, wo temperaturgeführte Lagerung auf ferngesteuerte Kältetechnik setzt, ein Risiko besteht – unabhängig von der Branche.

Rückblick: Angriffe in Frankreich und sechs weiteren Ländern

Die Serie begann in der Nacht vom 11. auf den 12. Oktober in Frankreich, wo nach verschiedenen Angaben zwischen 350 und über 400 Filialen betroffen waren, darunter Standorte von Intermarché, Coopérative U, Carrefour und Monoprix. Berichtet wurden Temperaturen bis 50 °C, verdorbene Frisch- und Tiefkühlware sowie Brände an einzelnen Standorten.

In der Nacht vom 1. auf den 2. November folgten Vorfälle in Belgien (rund 40 Delhaize-Filialen, 15 Carrefour-Standorte sowie Geschäfte von Intermarché, Spar, ein Ikea-Standort und eine Metzgereikette), Schweden (ICA- und Coop-Filialen), Irland (13 SuperValu-Filialen), den Niederlanden (mindestens 17 Betriebe laut Danfoss), Luxemburg und Estland. In Finnland wurden Temperaturprobleme bei K-Group-Geschäften untersucht; ein Cyberangriff war dort nicht bestätigt. Ob alle Vorfälle zusammenhängen, ist weiterhin nicht belegt.

Fünf US-Behörden warnen gemeinsam

Am 5. November veröffentlichten CISA, FBI sowie das US-Gesundheits-, Landwirtschafts- und Verkehrsministerium eine gemeinsame Warnung. Sie erklärten, ihnen sei weltweit bösartige Cyberaktivität gegen industrielle Kühl- und Kühlketten-Überwachungssysteme bekannt. Im Visier seien unter anderem Temperatursteuerungen in Lebensmittelgeschäften und Kühlhäusern.

Die Behörden beschreiben das Angriffsmuster: Angreifer nutzten fehlende Updates, schwache Konfigurationen oder Umgehungen der Anmeldung, um Temperaturen zu verändern und Anlagen in dauerhafte Heiz- oder Abtauzyklen zu versetzen. Sie warnen vor Warenverlusten, Geräteschäden, Brandgefahr und möglichen Folgen für Verbraucher. Die Warnung nennt keinen Täter und weist die europäischen Vorfälle keiner konkreten Gruppe zu.

Separat untersucht das Pentagon verdächtige Kühlausfälle vom August in mindestens sechs US-Militärverkaufsstellen. Sie werden als möglicher Cyberangriff behandelt, sind aber öffentlich nicht als solcher bestätigt; ein Zusammenhang mit den europäischen Vorfällen ist ebenfalls nicht belegt.

EU-Kommission beruft Krisentreffen ein

Am Dienstag, dem 3. November, rief die EU-Kommission zwei Krisentreffen ein. An der ersten Runde nahmen unter anderem Kommissionsstellen, die EU-Cybersicherheitsagentur ENISA und Europol teil; zusätzlich tauschten sich nationale Fachleute im europäischen Cyberkrisennetzwerk aus. Am 4. November erklärten Kommission und ENISA gemeinsam, die Vorfälle seit dem 11. Oktober zu beobachten und die europäische Zusammenarbeit sowie den Informationsaustausch zu koordinieren. Die Ermittlungen bleiben Sache der betroffenen Staaten. EU-Agrarkommissar Christophe Hansen bezeichnete die Angriffe als Versuch, die Lebensmittelversorgung zu stören und das Vertrauen der Verbraucher zu erschüttern.

Sabotage statt Lösegeld

Eine öffentliche Lösegeldforderung ist bislang nicht bekannt. Es gibt nach den veröffentlichten Informationen keine Forderung, Geld zu zahlen, um die Kühlung wiederherzustellen oder weitere Angriffe zu verhindern. Damit unterscheidet sich das Geschehen deutlich von klassischen Ransomware-Attacken.

Ursache: Elementare Sicherheitsmängel

Die bislang detaillierteste Ursachenanalyse lieferte am 21. Oktober ANSSI-Chef Vincent Strubel bei einer Anhörung im französischen Senat. Demnach nutzten die Angreifer keine aufwendigen Hacker-Methoden, sondern elementare Sicherheitsmängel: Kühlanlagen waren direkt aus dem Internet erreichbar, die Fernverwaltung war nicht ausreichend abgesichert, und es wurden schwache Passwörter verwendet.

Die technische Warnung des französischen CERT-FR nennt kompromittierte Fernsteuerungen der Produktfamilien Danfoss AK-SM und AK-SC, Copeland XWEB sowie Dixell XWEB. Die Behörde warnte, Angriffe auf solche Geräte könnten andauern. Die US-Warnung vom 5. November bestätigt dieses Bild: Auch dort werden fehlende Updates, schwache Konfigurationen und unzureichende Authentifizierung als Einfallstore genannt.

Empfehlungen: Was Betreiber jetzt prüfen sollten

Aus den Warnungen von CERT-FR, CISA und BSI ergibt sich eine konkrete Checkliste für alle Betreiber ferngesteuerter Kältetechnik:

+ Internetzugang prüfen: Steuerungen nicht direkt aus dem Internet erreichbar machen

+ Fernzugriff absichern: Nur über geschützte Netze oder VPN, unnötigen Fernzugriff abschalten

+ Authentifizierung stärken: Standardpasswörter ändern, starke Passwörter und nach Möglichkeit Mehrfaktor-Authentifizierung nutzen

+ Firmware aktualisieren: Systeme auf dem neuesten Stand halten

+ Konfigurationen überprüfen: Insbesondere Abtau-Einstellungen und Temperaturgrenzen kontrollieren

+ Kompromittierte Geräte zurücksetzen: Neustart, Rücksetzung und sichere Neukonfiguration

Der TK-Report-Newsletter: Hier kostenlos anmelden