Über Nacht hatten Unbekannte in Lilienthal bei Bremen die Kühlanlagen eines Supermarkts manipuliert. Bedientheken, Kühlhäuser und Tiefkühltruhen heizten sich auf, die Ware war verdorben. Das ist kein Einzelfall: Nach Hackerangriffen in mehreren EU-Ländern hat es nun auch Deutschland getroffen.
Die Polizei ermittelt in mehreren Bundesländern. In Reisbach in Niederbayern wurden in einem Edeka-Markt nach Medienberichten bis zu 50 Grad gemessen. Auch in einem Rewe-Markt in Raesfeld im Münsterland fiel die Kühlung aus. Wie viele Märkte es insgesamt sind, ist noch unklar. Wir haben darüber mal mit einem Experten gesprochen, der deutliche Worte findet.
📌 Das ist bekannt Die Methode: Die Angreifer schalteten Kühlanlagen aus der Ferne in den Abtaumodus. Statt zu kühlen, heizten die Geräte auf, in Frankreich bis zu 50 Grad. Der Auftakt: In der Nacht zum 12. Oktober waren in Frankreich rund 700 Supermärkte betroffen. Danach folgten Angriffe in Belgien, Schweden, Irland, Luxemburg, Estland, Finnland und den Niederlanden. Deutschland: Betroffen sind Märkte in NRW, Niedersachsen und Bayern, darunter Wuppertal, Wetter-Volmarstein, Raesfeld, Reisbach und Lilienthal. Wie viele es insgesamt sind, ist unklar. Die Technik: Betroffen sind Steuerungen des Herstellers Danfoss, meist veraltete Geräte ohne Updates. Sie waren über das Internet oder über Fernwartungsfirmen erreichbar. Die Warnung: Das BSI warnte schon am 13. Oktober und bestätigte am 3. November Vorfälle in Deutschland. Die Versorgung gilt als nicht gefährdet.
Experte: Supermärkte müssen jetzt reagieren
Laut Dr. Matthias Schulze, Cybersicherheitsexperte bei den Security Research Labs und Fellow am Institut für Friedensforschung und Sicherheitspolitik an der Universität Hamburg, ginge es für Supermärkte jetzt vor allem darum, die Anlagen vom Internet zu trennen, wo immer das möglich ist.
Als Beispiel nennt er die Danfoss-Steuerung AK-SM 800A. Sie hat einen versteckten Zweitzugang, von dem die Betreiber nichts wissen. Das Gerät meldet sich dabei mit einem Tagescode an, den es selbst aus dem Datum errechnet. Wer die geheime Formel kennt, kommt ohne das eigentliche Passwort in die Steuerung. Das Sicherheitsunternehmen Claroty hat die Formel im August 2026 veröffentlicht und den Zugang „Code of the Day“ genannt.
Neu war die Lücke da nicht mehr: Die US-Behörde CISA hatte schon im Mai 2025 davor gewarnt, und der Hersteller hatte Updates bereitgestellt. Es sei also genug Zeit gewesen, die Geräte abzusichern, sagt Schulze gegenüber unserer Redaktion. Ob die Angreifer genau diese Lücke nutzten, ist offen.
„Das Ganze hätte vermieden werden können“
Dass Updates und Schutz fehlen, hat laut dem Experten mehrere Gründe. Viele Geräte hingen am Netz, damit Dienstleister sie aus der Ferne warten könnten. Ihre Verwaltungsoberflächen seien oft nur mit Benutzername und Passwort geschützt, und zahlreiche Geräte seien „end of life“, bekämen also keine Updates mehr. „Die Kombination von mit dem Internet verbundenen Geräten, schlechter Security und Ende des Lebenszyklus ist immer schlecht“, sagt der Cybersicherheitsexperte.
Aus seiner Sicht wäre der Schaden vermeidbar gewesen: „Das Ganze hätte vermieden werden können.“ Aber wie? Man hätte den „Internetzugang zu den Geräten abschalten oder den Login zur Managementkonsole hinter einem Proxy oder einem VPN verbergen“ müssen, sodass Angreifer ihn nicht so leicht finden können. Oft seien die Gründe für fehlende Sicherheit banal: „Es kommt auch oft vor, dass Unternehmen diese Geräte ‚vergessen‘, etwa wenn Wartungspersonal wechselt.“ Solche Geräte liefen als sogenannte Schatten-IT weiter, ohne dass das Unternehmen davon wisse.
Wer am Ende die Verantwortung trägt, hänge von den Verträgen zwischen Supermärkten und Dienstleistern ab, sagt Schulze. Er sieht beide Seiten in der Pflicht: Händler sollten veraltete Geräte isolieren oder ersetzen, Zulieferer möglichst lange Softwaresupport bieten und Wartungszugänge minimieren.
Supermärkte in Frankreich zuerst betroffen
Schon Mitte Oktober hatten Angreifer in Frankreich die Kühlung von Hunderten Märkten manipuliert. Danach folgten Angriffe unter anderem in Belgien, Schweden, Irland, Luxemburg, Estland, Finnland und den Niederlanden. Ein Sprecher der EU-Kommission sagte laut n-tv: „Das sind keine isolierten Vorfälle.“ Der Hersteller Danfoss erklärte, bei einem Großteil der betroffenen Anlagen handle es sich um veraltete Geräte, die keine Updates mehr bekämen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte schon nach den Vorfällen in Frankreich gewarnt. Präsidentin Claudia Plattner sagte damals laut BSI: „Dieser Angriff hätte jedes Land treffen können und kann auch jetzt jederzeit Nachahmer finden.“
Weltweit noch 1.200 verwundbare Geräte am Netz
Laut Schulze sind aktuell weltweit noch rund 1.200 verwundbare Danfoss-Geräte am Netz, vor allem in Frankreich und den Niederlanden. „In Deutschland vielleicht noch ein Dutzend“, sagt er – räumt aber ein, dass sich die Zahl nicht genau bestimmen lasse. Manche Geräte könnten sogenannte Honeypots sein, also Köder, die sich nur verwundbar geben.
Dass solche Lücken ausgenutzt werden, hat laut Schulze auch mit einem Trend zu tun: Künstliche Intelligenz (KI) helfe Angreifern, verwundbare Systeme automatisch zu finden und Wege zu entdecken, Lücken auszunutzen. Sie spüre auch Fehler in Nischentechnik auf, die Sicherheitsforscher bisher aus Kapazitätsgründen nicht untersucht hätten. Die Folge: Fast täglich tauche irgendwo eine kritische Lücke auf, zuletzt in der Programmiersprache PHP, für die es am 21. Oktober ein Notfallupdate gab. Das passiere durch KI immer häufiger und schneller. Viele Unternehmen seien darauf nicht vorbereitet.
Pro-russischen Gruppen bekennen sich
Die pro-russischen Gruppen NoName057(16) und Z-Pentest bekennen sich in einem Telegram-Video zu den Angriffen. Unabhängig bestätigt ist das nicht. Schulze hält die Bekennung für „möglich, aber schwer abschließend zu sagen, da das grundsätzlich jeder behaupten kann“. Der Angriff sei mit KI nicht aufwendig, „eine solide Attribution steht bisher aus“.
Die Versorgung in Deutschland ist nach Einschätzung des BSI nicht gefährdet. Für Kundinnen und Kunden bleibt trotzdem die Frage, ob ihr Supermarkt als Nächster betroffen ist.