# Kühlung gehackt: Was Lebensmittelbetriebe in DACH tun

Von Max Gilg · 14.10.2026 · 4 Min. Lesezeit

Kurz gesagt: In der Nacht vom 11. auf den 12. Oktober 2026 haben Angreifer in französischen Supermärkten Kühlsteuerungen aus der Ferne verstellt, Sollwert bis 50 °C, Ware musste entsorgt werden. Betroffen ist jede Kältetechnik, die über Fernwartung erreichbar ist – auch in Supermärkten, Kühlhäusern und Lebensmittel-Produktionsstätten in DACH. Wer Fernzugänge kennt, freigibt und protokolliert und verstellte Sollwerte nachts bemerkt, nimmt Angreifern den einfachsten Weg.

## Was ist in Frankreich passiert?

[Bild: Infografik: Kühlung gehackt: Sollwerte als Angriffsziel]

In der Nacht vom 11. auf den 12. Oktober 2026 wurden in Supermärkten mehrerer französischer Ketten Kühlsteuerungen aus der Ferne manipuliert, laut RTBF wurde die Abtauung erzwungen (RTBF (https://www.rtbf.be/article/ils-ont-declenche-a-distance-le-degivrage-des-frigos-des-supermarches-francais-victimes-d-une-cyberattaque-sur-les-installations-frigorifiques-11798842)). Frische- und Tiefkühlware musste entsorgt werden.

- Umfang: Laut RTBF und AFP sind mindestens 300 Märkte von Intermarché und Netto betroffen und weniger als 100 Märkte von Coopérative U. Bei Monoprix sind es rund 30 Märkte, laut AFP von den Händlern bestätigt (RTBF (https://www.rtbf.be/article/ils-ont-declenche-a-distance-le-degivrage-des-frigos-des-supermarches-francais-victimes-d-une-cyberattaque-sur-les-installations-frigorifiques-11798842), AFP (https://www.yahoo.com/news/world/articles/french-supermarket-chains-cyberattack-forced-115141641.html)).

- Schaden: Frische- und Tiefkühlware musste entsorgt werden. Zwei Märkte in Haguenau melden zusammen rund 270.000 € Warenverlust (Infosecurity Magazine (https://www.infosecurity-magazine.com/news/french-supermarket-chains/)).

- Ermittlungen: Die Pariser Staatsanwaltschaft ermittelt, das Office anticybercriminalité (OFAC) ist beauftragt. Sie nennt neben Warenverlusten auch Brandausbrüche (RTBF (https://www.rtbf.be/article/ils-ont-declenche-a-distance-le-degivrage-des-frigos-des-supermarches-francais-victimes-d-une-cyberattaque-sur-les-installations-frigorifiques-11798842)).

- Hersteller: Die betroffenen Kühlregler stammen von Danfoss. Danfoss erklärt laut AFP, betroffen seien vor allem alte Geräte ohne Updates (AK-SM 800, AK-SC 355) (AFP (https://www.yahoo.com/news/world/articles/french-supermarket-chains-cyberattack-forced-115141641.html)).

Offen sind Täter, Angriffsweg und betroffene Firmware-Stände. Claroty Team82 hat im August 2026 Schwachstellen im Danfoss-Systemmanager AK-SM 800A veröffentlicht, Danfoss hat Updates bereitgestellt (Claroty (https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers)). Ein Zusammenhang mit dem Vorfall ist nicht belegt. Den laufenden Stand führe ich in meinem Vorfall-Lagebild (/blog/vorfall-lagebild-hacker-stellen-danfoss-supermarktkuehlung-auf-50-c.html).

## Wer ist betroffen?

Betroffene
Umfang
Status
Quelle

Intermarché und Netto (Les Mousquetaires)
mindestens 300 Märkte
vom Konzern bestätigt
RTBF (https://www.rtbf.be/article/ils-ont-declenche-a-distance-le-degivrage-des-frigos-des-supermarches-francais-victimes-d-une-cyberattaque-sur-les-installations-frigorifiques-11798842), AFP (https://www.yahoo.com/news/world/articles/french-supermarket-chains-cyberattack-forced-115141641.html), franceinfo (https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/des-magasins-systeme-u-et-intermarche-touches-par-une-cyberattaque-contre-leurs-installations-frigorifiques_8233720.html)

Système U (Coopérative U)
weniger als 100 Märkte
vom Konzern bestätigt
RTBF (https://www.rtbf.be/article/ils-ont-declenche-a-distance-le-degivrage-des-frigos-des-supermarches-francais-victimes-d-une-cyberattaque-sur-les-installations-frigorifiques-11798842), AFP (https://www.yahoo.com/news/world/articles/french-supermarket-chains-cyberattack-forced-115141641.html), franceinfo (https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/des-magasins-systeme-u-et-intermarche-touches-par-une-cyberattaque-contre-leurs-installations-frigorifiques_8233720.html)

E.Leclerc
mehrere Märkte
laut AFP betroffen, gegenüber Reuters kein Kommentar
AFP (https://www.yahoo.com/news/world/articles/french-supermarket-chains-cyberattack-forced-115141641.html)

Carrefour
80 Supermärkte
von Carrefour bestätigt
Reuters (https://cyprus-mail.com/2026/10/12/hackers-heat-french-supermarket-fridges-sparking-fires-and-food-losses)

Monoprix
rund 30 Märkte
laut AFP von den Händlern bestätigt
AFP (https://www.yahoo.com/news/world/articles/french-supermarket-chains-cyberattack-forced-115141641.html), Je bosse en grande distribution (https://www.jebosseengrandedistribution.fr/2026/10/12/intermarche-u-market-monoprix-leclerc-une-cyberattaque-coupe-le-froid-dans-les-supermarches/)

Danfoss (Hersteller der Kühlregler)
–
laut Danfoss „eine begrenzte Zahl“ von Kühlmanagement-Systemen mit veralteter Firmware
AFP (https://www.yahoo.com/news/world/articles/french-supermarket-chains-cyberattack-forced-115141641.html), Reuters (https://cyprus-mail.com/2026/10/12/hackers-heat-french-supermarket-fridges-sparking-fires-and-food-losses)

## Was ist seit dem 12.10. neu? (Stand 14.10.2026)

- CERT-FR: Das CERT-FR hat seine Warnung vom 12.10. am 13.10. erweitert (CERT-FR (https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-012/)). Betroffen sind Danfoss AK-SM und AK-SC sowie Copeland xweb und Dixell xweb. Ein Werksreset allein reicht laut CERT-FR nicht, das Gerät bleibt verwundbar. Empfehlungen: Internetexposition entfernen (vorher die Versicherungsbedingungen prüfen), Konfiguration und Abtauzeitpläne prüfen, Zugriff nur per VPN, IP-Filter nur als Notlösung, bei Danfoss Firmware aktualisieren, Sicherheitsmodus „Strict“ setzen und Standardpasswörter ändern.

- BSI: Das BSI hat am 13.10. Betreiber vernetzter Anlagen gewarnt (BSI (https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261013_OT-Gefaehrdung-Kleinanlagen.html)): keinen direkten Internetzugriff auf Steuerungen, VPN mit mehreren Faktoren, Updates zügig einspielen.

- DACH und Täter: In DACH ist bisher kein betroffener Markt bestätigt. Es gibt keine Bekennung und keinen bekannten Täter.

## Warum ist das ein OT-Vorfall?

Ich bin Max Gilg, OT-Cybersecurity-Experte aus Rosenheim. Für mich ist das ein Lehrbuchfall: Niemand musste etwas verschlüsseln oder Daten stehlen. Ein paar verstellte Sollwerte haben gereicht, um Ware im Wert von Hunderttausenden Euro zu vernichten. Kältetechnik ist OT – ein Sollwert ist ein Steuerbefehl mit physischer Wirkung.

Die Kassen liefen laut Berichten weiter, Kundendaten waren nicht betroffen. Die klassische IT-Sicht hätte hier also „kein Datenleck“ gemeldet, während die Produktion stand.

## Betrifft das auch Betriebe in Bayern, Österreich und der Schweiz?

Stand 14.10.2026 ist in DACH kein betroffener Fall bestätigt, das BSI warnt aber ausdrücklich. Das Muster ist auch hier verbreitet. In Supermärkten, Kühlhäusern und Lebensmittel-Produktionsstätten in Bayern, Salzburg und Tirol sehe ich regelmäßig:

- Kühlregler und Systemmanager hängen an einer Fernüberwachung des Kältetechnik-Dienstleisters.

- Der Zugang ist dauerhaft offen, oft ein Konto für viele Standorte.

- Niemand im Betrieb weiß genau, wer wann zugreift.

Laut BleepingComputer sind mehrere Tausend Danfoss-Systeme direkt aus dem Internet erreichbar, die meisten in Frankreich (BleepingComputer (https://www.bleepingcomputer.com/news/security/cyberattack-shuts-down-refrigerators-at-french-supermarkets/)). CISA hat schon im Mai 2025 empfohlen, Danfoss-Systemmanager AK-SM 8xxA nicht aus dem Internet erreichbar zu machen (CISA (https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-03)). Für Lebensmittelbetriebe, die unter NIS2 fallen, gehört Kältetechnik deshalb in die Risikoanalyse – und Hersteller solcher Regler müssen sich mit dem Cyber Resilience Act (CRA) auf Pflichten zu Schwachstellen und Updates einstellen.

## Was sollten Betreiber jetzt tun?

Ich ordne die Schritte den SANS Five ICS Cybersecurity Critical Controls zu:

- CC1 ICS Incident Response: Klären, wie Sie bei manipulierter Kühlung lokal von Hand weiterfahren. Wer darf die Fernsteuerung trennen? Wer ruft den Kältetechniker? Wer entscheidet über das Entsorgen von Ware?

- CC2 Defensible Architecture: Kühl- und Gebäudetechnik in eine eigene Zone, nie direkt aus dem Internet erreichbar.

- CC3 ICS Network Visibility & Monitoring: Sollwert- und Betriebsartwechsel melden lassen, auch nachts. Ein Alarm um 4:44 Uhr ist nur etwas wert, wenn jemand reagiert.

- CC4 Secure Remote Access: Fernwartung des Dienstleisters nur mit Freigabe, eigenem Konto pro Person, MFA und Protokollierung. Dauerhaft offene Tunnel schließen.

- CC5 Risk-Based Vulnerability Management: Firmware-Stände der Regler kennen und Updates nach physischer Wirkung priorisieren. Für EoL-Regler gibt es keine Updates mehr: Sie gehören ausgetauscht oder vom Internet getrennt, ein Reset allein reicht nicht.

Meine Empfehlung: Fragen Sie noch diese Woche Ihren Kältetechnik-Dienstleister, wer heute Nacht auf Ihre Regler zugreifen kann. Wenn die Antwort länger als einen Satz dauert, haben Sie Ihren ersten Handlungspunkt.

Mit KI lassen sich Asset-Inventar und Auswertung von Fernzugriffen auch für kleine Teams schaffen – der Fokus auf diese fünf Controls bringt mehr als jede Einzellösung.

[Bild: Schema: SANS Five ICS Critical Controls für Kältetechnik]

## Wobei ich helfe

Mit einem OT-Asset-Inventar (/leistungen/ot-asset-inventar/) finden wir heraus, welche Kälte- und Gebäudetechnik erreichbar ist. Mit OT-Security-Beratung (/leistungen/ot-security-beratung/) und Angriffserkennung in OT-Netzen (/leistungen/angriffserkennung-sza/) sichern wir Fernzugänge ab und machen verstellte Sollwerte sichtbar. Wenn es schon brennt: OT-Notfallhilfe (/leistungen/ot-notfallhilfe/), in ganz DACH.

Korrigiert am 14.10.2026: Veraltete Lageangaben, Temperaturwerte und nicht belegte Unternehmensangabe entfernt.

## Häufige Fragen

**Was ist beim Angriff auf französische Supermärkte passiert?**
In der Nacht vom 11. auf den 12.10.2026 wurden Kühlsteuerungen aus der Ferne verstellt, Sollwert bis 50 °C. Laut RTBF waren 150 bis 200 Intermarché-Märkte und weniger als 100 Märkte von Coopérative U betroffen, Ware musste entsorgt werden. Die Pariser Staatsanwaltschaft ermittelt.

**Darf der Kältetechnik-Dienstleister per Fernwartung auf unsere Kühlregler?**
Ja, aber nur über einen abgesicherten Weg: Freigabe durch die Instandhaltung, eigenes Konto pro Person, MFA und Protokollierung, kein dauerhaft offener Tunnel (SANS CC4 Secure Remote Access).

**Betrifft der Danfoss-Fall auch Betriebe in Bayern und Österreich?**
Das konkrete Ereignis betraf Frankreich. Kältetechnik mit Fernüberwachung ist aber auch in Supermärkten, Kühlhäusern und Lebensmittel-Produktionsstätten in DACH Standard – das gleiche Risiko besteht dort.

**Wer hilft bei OT-Security für Lebensmittelbetriebe in Bayern, Salzburg und Tirol?**
Max Gilg, OT-Cybersecurity-Experte aus Rosenheim, unterstützt Betreiber in ganz DACH mit Asset-Inventar, abgesicherter Fernwartung, Angriffserkennung und OT-Notfallhilfe.

## Quellen

- www.franceinfo.fr (https://www.franceinfo.fr/internet/securite-sur-internet/cyberattaques/des-magasins-systeme-u-et-intermarche-touches-par-une-cyberattaque-contre-leurs-installations-frigorifiques_8233720.html)
- www.rtbf.be (https://www.rtbf.be/article/ils-ont-declenche-a-distance-le-degivrage-des-frigos-des-supermarches-francais-victimes-d-une-cyberattaque-sur-les-installations-frigorifiques-11798842)
- www.clubic.com (https://www.clubic.com/actualite-633736-des-pirates-ont-fait-chauffer-les-frigos-de-supermarches-leclerc-super-u-et-intermarche-a-50-c-en-pleine-nuit.html)
- www.infosecurity-magazine.com (https://www.infosecurity-magazine.com/news/french-supermarket-chains/)
- claroty.com (https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers)
- www.cisa.gov (https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-03)
- www.letribunaldunet.fr (https://www.letribunaldunet.fr/actualites/cyberattaque-frigos-supermarches-50-degres-danfoss.html)
- www.jebosseengrandedistribution.fr (https://www.jebosseengrandedistribution.fr/2026/10/12/intermarche-u-market-monoprix-leclerc-une-cyberattaque-coupe-le-froid-dans-les-supermarches/)
- www.yahoo.com (https://www.yahoo.com/news/world/articles/french-supermarket-chains-cyberattack-forced-115141641.html)
- www.lemagit.fr (https://www.lemagit.fr/actualites/366652072/Cyberattaque-Danfoss-quand-la-distribution-alimentaire-decouvre-lhygiene-numerique)
- cyprus-mail.com (https://cyprus-mail.com/2026/10/12/hackers-heat-french-supermarket-fridges-sparking-fires-and-food-losses)
- therecord.media (https://therecord.media/cyberattack-disrupts-refridgeration-in-france)
- www.coolingpost.com (https://www.coolingpost.com/world-news/danfoss-moves-to-mitigate-cyberattack/)
- www.bleepingcomputer.com (https://www.bleepingcomputer.com/news/security/cyberattack-shuts-down-refrigerators-at-french-supermarkets/)
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause – dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie (heute mit Dragos, zuvor u. a. Claroty, Stadtwerke Rosenheim) und ordnet für Redaktionen Angriffe und unklare Schadensereignisse ein – kurzfristig, auch live aus dem Studio in Rosenheim. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 14.10.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fkuehlung-gehackt-was-lebensmittelbetriebe-in-dach-tun.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fkuehlung-gehackt-was-lebensmittelbetriebe-in-dach-tun.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fkuehlung-gehackt-was-lebensmittelbetriebe-in-dach-tun.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fkuehlung-gehackt-was-lebensmittelbetriebe-in-dach-tun.html&text=K%C3%BChlung%20gehackt%3A%20Was%20Lebensmittelbetriebe%20in%20DACH%20tun)WhatsApp (https://wa.me/?text=K%C3%BChlung%20gehackt%3A%20Was%20Lebensmittelbetriebe%20in%20DACH%20tun%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fkuehlung-gehackt-was-lebensmittelbetriebe-in-dach-tun.html)E-Mail (mailto:?subject=K%C3%BChlung%20gehackt%3A%20Was%20Lebensmittelbetriebe%20in%20DACH%20tun&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fkuehlung-gehackt-was-lebensmittelbetriebe-in-dach-tun.html)