Cyberangriffe haben in mehreren europäischen Ländern die Kühlung von Lebensmitteln gestört. Angreifer versetzten Kühlanlagen per Fernzugriff in den Abtaumodus und ließen dadurch die Temperaturen steigen. Besonders die erste Angriffswelle in Frankreich verursachte erhebliche Schäden: Rund 700 Supermärkte waren betroffen, der Verlust für die Handelsketten wurde auf mehrere zehn Millionen Euro geschätzt.
Die technische Infrastruktur hinter den Angriffen weist nach Angaben des britischen Cybersicherheitsunternehmens Lupovis Verbindungen zu Systemen auf, die zuvor mit russischen Hackeroperationen in Verbindung gebracht worden waren. Eine konkrete Gruppe oder eine staatliche Steuerung konnten die Sicherheitsforscher jedoch nicht feststellen. Der Fall zeigt damit sowohl die Reichweite vernetzter Steuerungssysteme als auch die Grenzen der bisherigen Zuordnung.
Vom Abtaumodus zur verdorbenen Ware
Die erste große Angriffswelle ereignete sich in der Nacht vom 11. auf den 12. Oktober in Frankreich. Die Angreifer veränderten die Einstellungen der Kühlanlagen so, dass diese in den Abtaumodus wechselten. In den Kühlkammern und -regalen stieg daraufhin die Temperatur, Lebensmittel verdarben.
Betroffen waren unter anderem Filialen der Handelsketten Intermarche, Carrefour, Cooperative U und Monoprix. In einzelnen Märkten wurde der Wert der vernichteten Waren auf mehrere zehntausend Euro beziffert. Für die betroffenen Handelsnetze summierten sich die Schäden nach den vorliegenden Angaben auf mehrere zehn Millionen Euro.
Eine zweite Welle folgte in der Nacht zum 2. November. Sie erfasste mehr als 100 Geschäfte in Belgien, Estland, Irland, Luxemburg, den Niederlanden und Schweden. Ähnliche Vorfälle wurden zudem aus Finnland, Italien und Portugal gemeldet. Die Schäden dieser Welle waren deutlich geringer. In Belgien wurde der Wert des verdorbenen Fleisches mit rund 15.000 Euro angegeben.
Der physische Eingriff war dabei unspektakulär: Es musste weder in Filialen eingebrochen noch eine Maschine zerstört werden. Eine Änderung an einer digitalen Steuerung reichte aus, um einen automatisierten Prozess zur Ursache von Warenverlusten zu machen.
Digitale Lockfallen für die Angreifer
Um die Aktivitäten zu untersuchen, richtete Lupovis im Internet Systeme ein, die echten Steuerungen für Kühlanlagen des Herstellers Danfoss ähnelten. Diese digitalen Lockfallen sollten für Angreifer nicht von tatsächlich eingesetzten Geräten zu unterscheiden sein.
Zwischen dem 20. und dem 30. Oktober registrierte das Unternehmen 256 Angriffsversuche aus 91 Quellen. Xavier Bellekens, der Leiter von Lupovis, sagte, die Angreifer nutzten eine Infrastruktur, die zuvor mit russischen Hackeroperationen in Verbindung gebracht worden sei. Eine bestimmte Gruppe könne er derzeit nicht benennen. Der Kreis der Akteure, die zu den beobachteten Merkmalen passten, sei jedoch „sehr eng“.
Diese technische Verbindung ist ein wichtiger Hinweis, aber kein Beweis dafür, wer die Angriffe angeordnet hat oder welche Organisation tatsächlich dahintersteht. Ebenso bleibt offen, ob die beobachteten Zugriffe unmittelbar der Vorbereitung der Angriffe auf Supermärkte dienten, ob sie Teil derselben Kampagne waren oder ob Akteure bekannte technische Wege kopierten.
Die von Lupovis beobachteten Versuche und die Vorfälle in den Märkten ergeben dennoch ein grenzüberschreitendes Muster. Die Angriffe beschränkten sich nicht auf einen einzelnen Betreiber oder ein einzelnes Land. Sie richteten sich gegen eine Infrastruktur, die in vielen Geschäften ähnliche Aufgaben erfüllt: die Überwachung und Steuerung von Temperatur, Kühlung und Abtauzyklen.
Warum ein Supermarkt für die Sicherheitsdebatte wichtig ist
Kühlanlagen in Geschäften gelten gewöhnlich nicht als kritische Infrastruktur wie Stromnetze, Krankenhäuser oder Wasserversorgung. Für den täglichen Betrieb großer Märkte sind sie jedoch unverzichtbar. Ihre Steuerungen sind zunehmend vernetzt, werden teilweise aus der Ferne verwaltet und greifen unmittelbar in physische Abläufe ein.
Genau darin liegt die Bedeutung des Falls. Ein Angriff muss kein Gebäude zerstören und keinen landesweiten Ausfall verursachen, um spürbare Folgen zu haben. Er kann Waren unbrauchbar machen, den Betrieb einzelner Filialen beeinträchtigen und zusätzliche Arbeit für Personal, Techniker und Lieferanten auslösen.
Das Prinzip lässt sich grundsätzlich auch auf andere Bereiche übertragen: auf Energieanlagen, Transporttechnik, Logistikzentren oder kommunale Versorgungssysteme. Die Vorfälle in den Supermärkten belegen nicht, dass solche Anlagen ebenfalls angegriffen wurden. Sie machen aber sichtbar, welche Folgen ein unbefugter Zugriff auf vernetzte Steuerungen haben kann, wenn digitale Befehle physische Prozesse verändern.
Für Handelsunternehmen entsteht daraus ein breites Risikofeld. Neben dem Wert verdorbener Waren können Kosten für die Überprüfung der Systeme, die Reinigung und Entsorgung, die Wiederauffüllung der Bestände und die Wiederherstellung des Normalbetriebs anfallen. Bei einer länger andauernden oder größeren Kampagne wären auch Produzenten, Spediteure und Logistikdienstleister betroffen.
Schaden, Verunsicherung und offene Fragen
Die Vorfälle haben nach den vorliegenden Angaben keine europaweite Lebensmittelknappheit ausgelöst. Ein massenhafter Eingriff in Kühlhäuser, Verteilzentren oder Transportketten könnte jedoch größere Auswirkungen haben als der Angriff auf einzelne Filialen. Die Verfügbarkeit temperaturempfindlicher Waren würde unzuverlässiger, während Unternehmen zusätzliche Mittel in Überwachung, Netztrennung und Notfallmaßnahmen investieren müssten.
Hinzu kommt eine psychologische Wirkung. Wenn Kühlregale leer bleiben oder Waren kurzfristig aus dem Verkauf genommen werden, ist für Kunden zunächst nicht erkennbar, ob ein technischer Defekt, ein Lieferproblem oder ein gezielter Eingriff dahintersteckt. Wiederholte Vorfälle könnten das Vertrauen in die Fähigkeit von Unternehmen und Behörden schwächen, alltägliche Versorgungssysteme zu schützen.
Die derzeit belastbarste Schlussfolgerung bleibt deshalb begrenzt: In mehreren europäischen Ländern wurden Kühlanlagen von Supermärkten manipuliert, und Lupovis registrierte weitere Zugriffsversuche auf nachgebildete Steuerungen. Die dabei genutzte Infrastruktur wurde zuvor mit russischen Hackeroperationen in Verbindung gebracht, ohne dass eine konkrete Täterschaft nachgewiesen ist. Offen bleibt, ob es sich um eine begrenzte Serie wirtschaftlicher Störungen handelt oder um einen Versuch, den Zugriff auf digitale Steuerungen ziviler Infrastruktur systematisch auszuweiten.
Bericht über die Untersuchung und die mutmaßlichen Verbindungen zur russischen Hackerinfrastruktur
