Angriff auf Danfoss-Kühlanlagen unterbricht Kühlketten
Ein Cyberangriff auf vernetzte Danfoss-Kühlsteuerungen hat in Frankreich Kühlketten unterbrochen. Der Betreiber Coopérative U bestätigt den Vorfall vom 12. Oktober. Welche Schwachstelle ausgenutzt wurde, ist noch nicht belegt.
Betreiber vernetzter Danfoss-Kühlsteuerungen sollten heute Modell, Softwarestand und Fernzugänge prüfen. In der Nacht vom 11. auf den 12. Oktober 2026 haben Angreifer Kühlsysteme französischer Supermärkte manipuliert. Für öffentlich erreichbare Verwaltungsoberflächen ist damit nicht nur ein Datenverlust denkbar: Unterbrochene Kühlketten können Waren unbrauchbar machen. Die betroffenen Anlagen müssen gemeinsam mit dem Kältetechnikdienstleister abgesichert werden, ohne Temperaturüberwachung oder notwendige Kühlung abzuschalten.
Coopérative-U-Chef Dominique Schelcher bestätigte den Angriff am 12. Oktober um 08:40 UTC. Die Meldung betrifft konkrete Kühlanlagen, nicht sämtliche Danfoss-Produkte oder alle Supermärkte. Für rein lokale Anlagen ohne externen Verwaltungszugang ist derselbe Fernzugriffspfad nicht gegeben; eine pauschale Entwarnung lässt sich daraus aber nicht ableiten. Welche Schwachstelle die Täter tatsächlich nutzten, ist bislang nicht öffentlich forensisch belegt.
Was in der Nacht passiert ist
Schelcher meldete Angriffe auf die Kälteerzeugung mehrerer Märkte seines Netzes und die Zusammenarbeit mit Kältetechnikern zur Wiederherstellung. Heise berichtet unter Berufung auf Bloomberg von rund 150 betroffenen Intermarché-Filialen und 80 Carrefour-Standorten. Angreifer sollen Steuerungen in den Abtaumodus versetzt haben. Die genannten Temperaturen bis 50 Grad und Berichte über Brände stammen aus Medienberichten, nicht aus einem veröffentlichten technischen Untersuchungsbericht.
BornCity ergänzt am 13. Oktober Hintergründe zu Fernwartung und veralteten Geräten. Die Gesamtzahlen unterscheiden sich zwischen den Quellen; deshalb ist eine abschließende Zahl betroffener Filialen nicht gesichert. Das aktuelle Nachrichtenereignis ist der Angriff vom 11./12. Oktober, nicht die erneute Veröffentlichung bereits älterer Sicherheitslücken.
Welche Steuerungen im Fokus stehen
- AK-SM 800 und AK-SC 355: Laut den von Heise wiedergegebenen Herstellerangaben gehören ältere, nicht mehr mit Updates versorgte Systeme zur Mehrheit der betroffenen Technik.
- AK-SM 800A: LeMagIT nennt außerdem Systeme mit fehlenden Sicherheitskorrekturen. Eine vollständige Liste tatsächlich angegriffener Firmwarestände liegt nicht vor.
- AK-SM 8xxA vor Version 4.2: Für diese Reihe dokumentiert Danfoss separat die ältere Authentifizierungslücke CVE-2025-41450.
Bekannte Lücke ist kein Beweis für den Angriffspfad
Das Hersteller-Advisory DSA-2025-03-01 wurde am 24. März 2025 veröffentlicht und zuletzt am 1. September 2025 zur Klassifizierung aktualisiert. Es bewertet CVE-2025-41450 mit CVSS 8.2. Ein Authentifizierungsfehler ermöglicht einen Webbericht mit internen IP-Adressen, Benutzernamen, Filialnamen und weiteren sensiblen Informationen. Danfoss nennt Version 4.2 als Korrektur und verweist auf den aktuellen Softwaredownload.
Diese Beschreibung belegt weder eine Temperaturmanipulation noch, dass gerade diese CVE beim aktuellen Vorfall genutzt wurde. Auch weitere von LeMagIT genannte Lücken sind ohne Vorfallsanalyse keine gesicherte Erklärung. Die Herstellerdokumentation dient hier zur Prüfung des Patchstands, nicht als aktuelle Angriffsbestätigung. Für unterstützte Geräte sollte der Dienstleister den heute empfohlenen Stand verifizieren, statt 4.2 ungeprüft als neueste Firmware zu behandeln.
Was Admins jetzt priorisieren sollten
- Inventar abgleichen: Modell, Firmware und zuständigen Kältetechniker für jede Filiale erfassen, einschließlich separat betriebener Mobilfunkzugänge.
- Exposition prüfen: Öffentliche Weboberflächen, Portweiterleitungen und Dienstleisterzugänge feststellen; getrennte Netze können außerhalb des üblichen IT-Inventars liegen.
- Fernzugriffe begrenzen: Unnötige externe Erreichbarkeit in Abstimmung mit der Kältetechnik sperren, erforderliche Überwachung erhalten.
- Updates koordinieren: Unterstützte Steuerungen nach Herstellerfreigabe aktualisieren, Wartungsfenster und Funktionskontrolle dokumentieren.
- Altgeräte bewerten: Für nicht mehr unterstützte Systeme Isolation und einen Ersatzplan festlegen; ein nicht verfügbares Update nicht versprechen.
- Spuren sichern: Zugriffsprotokolle, Sollwertänderungen und Alarmverläufe vor Rücksetzungen erhalten und mit dem Dienstleister auswerten.
- Betrieb absichern: Temperaturen unabhängig kontrollieren, auffällige Ware nach den betrieblichen Lebensmittelsicherheitsverfahren behandeln.
Fernwartung braucht klare Zuständigkeiten
Der Vorfall zeigt ein Betriebsrisiko an der Grenze zwischen IT und Kältetechnik. Eine funktionierende Fernwartung ersetzt weder Patchverantwortung noch Zugriffskontrolle. Entscheidend ist, wer eine öffentlich erreichbare Steuerung entdeckt, Änderungen freigibt und Alarme außerhalb der Öffnungszeiten bearbeitet. Die am selben Tag gemeldeten Probleme bei Ahold Delhaize dürfen nicht ohne Beleg diesem Angriff zugerechnet werden: Heise bezeichnet den Zusammenhang ausdrücklich als unklar.
Passende Anleitungen auf S-EDV
- Netzwerksegmentierung mit VLANs und Firewall-Regeln erläutert die Trennung von Verwaltungszugängen und Betriebsnetzen.
- WireGuard-VPN für Fernzugänge einrichten erklärt einen geschützten Zugang statt direkt exponierter Verwaltungsoberflächen.
