Warum Frankreichs Supermarkt-Hack auch deutsche Ketten bedroht

Ein Cyberangriff legte die Kühlsysteme von rund 700 Supermärkten in Frankreich lahm. Der Vorfall mag sich jenseits der Grenze abgespielt haben, doch die Bedrohung ist grenzenlos: Kältetechnik-Hersteller wie Danfoss beliefern auch große deutsche Handelsketten, weshalb das Bundesamt für Sicherheit in der Informationstechnik (BSI) inzwischen auch hierzulande höchste Alarmbereitschaft ausgelöst hat. Angesichts der eklatanten Mängel bei der IT-Sicherheit und der Verwendung von leicht knackbaren Standard-Passwörtern scheint fraglich, dass die Cyberversicherer für die entstandenen Schäden haften werden.

Ein beispielloser Sabotageakt hat in der Nacht vom 11. auf den 12. Oktober 2026 die Kühlsysteme von rund 700 Supermärkten in Frankreich lahmgelegt. Betroffen sind die bekanntesten Marken des Landes: Intermarché, Coopérative U (Super U), E.Leclerc, Carrefour und Monoprix. Die Unternehmen bestätigten, dass die Kühlanlagen in den betroffenen Märkten gezielt manipuliert worden sind. Große Mengen an frischen und tiefgefrorenen Waren tauten unbemerkt auf und mussten vernichtet werden. In einigen Filialen führte die Manipulation der Kühlaggregate infolge von Überhitzung oder technischen Defekten sogar zu kleineren Bränden. Die zuständige Staatsanwaltschaft sprach von einem koordinierten Cyberangriff auf die digitale Infrastruktur des Lebensmitteleinzelhandels im gesamten Land. Die Hacker nahmen gezielt Kühlanlagen des dänischen Herstellers Danfoss ins Visier.

Der Schock über den ersten Angriff war kaum verdaut, da schlugen die Täter erneut zu. Wie französische Sicherheitsbehörden am Wochenende bestätigten, kam es in der Nacht zum vergangenen Mittwoch zu einer zweiten Angriffswelle. Diesmal traf es gezielt Steuerungssysteme der Marke Dixell. Die Hacker gingen dabei noch aggressiver vor: In einigen Filialen wurden die Tiefkühltruhen auf bis zu 150 Grad Celsius hochgejagt. Die Geräte fingen an zu schmelzen, in mehreren Märkten mussten lokale Feuerwehren ausrücken, um Entstehungsbrände zu löschen.

Auch Deutschland betroffen?

Was als französisches Phänomen begann, hat sich laut der Cybersicherheitsbehörde ANSSI zu einer europäischen Krise ausgeweitet. IP-Scans und Logdateien zeigen, dass automatisierte Angriffsversuche auch auf Kälteanlagen in Deutschland, Spanien, Portugal, Polen und Belgien abzielten. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) unter der Leitung von Claudia Plattner gab eine dringende Warnung heraus: Supermarktbetreiber müssen ihre Industrieanlagen sofort hinter Firewalls und VPNs isolieren. Die Kältetechnik-Hersteller wie Danfoss beliefern schließlich auch große deutsche Handelsketten. Diese, darunter Rewe, Penny, Lidl, Kaufland und Aldi, erklärten, dass ihre Filialen und zentralen Systeme nicht betroffen sind und alles normal läuft. Dass Cybersicherheits-Experten auch Deutschland auf der Liste potenziell betroffener Länder nannten, liegt an den technischen IP-Scans. In globalen Netzwerken wurden automatisierte Angriffsversuche registriert, die auf IP-Adressen in Deutschland abzielten – diese trafen jedoch auf gesicherte Systeme oder führten zu keinen physischen Ausfällen.

Das Einfallstor: Erschreckend mangelhafte IT-Hygiene

Wie konnten die Hacker mit so fataler Wirkung in die physische Welt der Supermärkte einbrechen? Offenbar nutzten die Angreifer ein Systemversagen aus, das Experten als „eklatanten Mangel an IT-Hygiene“ bezeichnen:

1. Ungeschützte Schnittstellen: Die zentralen Kältesteuerungsgeräte (darunter ältere Modelle der Typen Danfoss AK-SM und AK-SC) waren ohne jegliche Sicherheitsbarriere direkt an das öffentliche Internet angeschlossen, damit Techniker sie aus der Ferne warten können.
2. Das „Tagesdatum-Passwort“: Viele dieser Systeme liefen noch mit Werkseinstellungen. Das Standard-Nutzerprofil hieß schlicht „admin“. Das Passwort ab Werk? Das jeweils aktuelle Tagesdatum. Die Hacker mussten das Passwort nicht einmal erraten – es reichte ein Blick auf den Kalender.
3. Veraltete Hardware („End of Life“): Der dänische Hersteller Danfoss betonte, dass viele der betroffenen Geräte seit Jahren keine Sicherheitsupdates mehr erhalten hatten, da ihre Lebensdauer offiziell abgelaufen war. Die Supermärkte hatten den Austausch der teuren Hardware schlicht verschleppt.

Einmal im System, aktivierten die Hacker per Fernzugriff die Abtaufunktion und heizten die Kühlungen stundenlang auf bis zu 50 Grad auf. Das Motiv bleibt derweil ein Rätsel: Da bis zum heutigen Samstag weder ein Erpresserschreiben noch eine Lösegeldforderung eingegangen ist, schwanken Ermittler zwischen der Theorie von gelangweilten Teenagern („Skript-Kiddies“) und einer staatlich koordinierten Sabotage-Übung, um die Verwundbarkeit der europäischen Lebensmittelversorgung zu testen.

Haften Cyberversicherer für den Schaden?

Insgesamt geht es um einen zweistelligen Millionenbetrag durch vernichtete Ware, Betriebsunterbrechungen und zerstörte Hardware. Allein die Handelskette Coopérative U schätzt den Verlust pro Hypermarkt auf bis zu 200.000 Euro.

Ob Cyberversicherer für den Schaden aufkommen, scheint unwahrscheinlich, da sie von ihren Kunden die Einhaltung von Mindeststandards bei der IT-Sicherheit einfordern. Dass industrielle Steuerungsanlagen mit Werks-Passwörtern (wie dem Tagesdatum) ungeschützt im Netz standen, grenzt aus Sicht der Versicherer an grobe Fahrlässigkeit. Die Versicherer werden versuchen, die Regulierung wegen mangelhafter Obliegenheitspflichten zu verweigern oder massiv zu kürzen.

Sollten die Ermittlungen der Pariser Staatsanwaltschaft und der Geheimdienste ferner ergeben, dass hinter dem Angriff ein staatlicher Akteur (beispielsweise mit russischem oder chinesischem Hintergrund) steckte, greift bei fast allen Policen die Kriegsklausel. Schäden durch staatlich gelenkte Cyber-Kriegsführung oder Sabotageakte im Kontext geopolitischer Konflikte sind vom Versicherungsschutz standardmäßig ausgeschlossen.

Neben den Cyberversicherern geraten auch die externen Wartungs- und Klimatechnikfirmen ins Visier. Die Supermärkte prüfen Schadensersatzklagen gegen die Dienstleister, da diese für die Vergabe und Absicherung der Fernzugriff-Passwörter (wie das fatal genutzte Tagesdatum) verantwortlich waren.

Autor: VW-Redaktion