# Vorfall-Lagebild: Angriffswelle auf Supermarkt-Kühlanlagen in Europa Von Max Gilg · 02.11.2026 · 8 Min. Lesezeit Kurz gesagt: Erstmeldung zu „Angriffswelle auf Supermarkt-Kühlanlagen in Europa“: was bekannt ist, was offen ist und was wahrscheinlich passiert ist. Vorfall-Lagebild · Erstmeldung · Stand 02.11.2026 18:58 [Bild: Infografik: Angriffswelle auf Supermarkt-Kühlanlagen in Europa] So viel ist belegt: rund 51 % der Fragen lassen sich mit Quellen beantworten, 23 % nur mit Vermutungen, 26 % sind offen. In der Nacht zum 2. November 2026 wurden in Supermärkten in Belgien, Luxemburg, Schweden, Irland, Estland und weiteren Ländern Kühl- und Tiefkühlanlagen aus der Ferne verstellt, viele Filialen mussten Ware entsorgen. Betreiber und Behörden sprechen von Cyberangriff bzw. IT-Vorfall; ein Kältedienstleister berichtet, die Verdampfer seien wie beim Angriff auf Frankreich am 12. Oktober in den Abtaumodus geschaltet worden. Täter und Motiv sind offen, im Fokus stehen aus dem Internet erreichbare, teils veraltete Kühlmanagement-Steuerungen (u. a. Danfoss), Coop Schweiz meldet nur abgewehrte Versuche. ## 1. Was ist passiert, und warum? - Belegt: Delhaize bestätigte einen IT-Vorfall an Kühlsystemen in rund 40 belgischen Filialen in der Nacht vom 1. auf den 2. November; Carrefour Belgien sprach ausdrücklich von einem Cyberangriff (15 von 700 Filialen) (Quelle (https://nltimes.nl/2026/11/02/cyberattack-hits-delhaize-supermarket-fridges-freezers-dozens-belgium-locations)). - Belegt: Carrefour-Sprecher Mich Vergauwen: „It's a cyberattack, there is no other reason“ (Quelle (https://www.euronews.com/2026/11/02/cyberattack-hits-belgian-supermarket-fridges-and-freezers)). - Belegt: Laut Kältedienstleister Sabcobel (CEO Stephan Moelans) wurden die Verdampfer per Fernzugriff in den Abtaumodus geschaltet; Techniker arbeiteten ab 1 Uhr nachts daran, die Kontrolle zurückzugewinnen (Quelle (https://www.nachrichten.at/wirtschaft/erneut-cyberangriffe-auf-supermaerkte-in-europa;art15,4228135)). - Belegt: Am 12. Oktober 2026 waren in Frankreich Kühlanlagen in Hunderten Supermärkten manipuliert worden; Danfoss erklärte, die meisten betroffenen Systeme seien ältere Produkte ohne Sicherheitsupdates (Quelle (https://www.pbs.org/newshour/world/cyberattacks-disrupt-refrigeration-systems-at-european-supermarkets)). - Belegt: Niemand hat sich bekannt, Lösegeldforderungen sind nicht bekannt (Quelle (https://www.cnbc.com/2026/11/02/cyberattack-on-fridges-hits-supermarkets-across-europe.html)). - Belegt: Delhaize selbst spricht nur von einem „IT-Vorfall“, die Einstufung als Cyberangriff kommt u. a. von der Agentur Belga (Quelle (https://www.marketscreener.com/news/cyberattack-caused-ahold-delhaize-fridges-temperature-increases-belga-reports-ce785fd8de80f126)). - Vermutlich: Die Angreifer haben aus dem Internet erreichbare Kühlmanagement-Oberflächen direkt angesprochen, statt erst in die Unternehmens-IT einzudringen (zu 75 % sicher). Dienstleister nennt Fernumschaltung in Abtaumodus, Danfoss und Forescout verweisen auf exponierte Altgeräte, Muster gleicht Frankreich; Primärforensik ist aber nicht veröffentlicht. - Vermutlich: Es handelt sich um dieselbe Kampagne bzw. dieselbe Methode wie in Frankreich (zu 65 % sicher). Gleiche Methode (Abtaumodus), gleiche Uhrzeit nachts, gleiche Gerätegruppe; zwischen Methode und Täteridentität kann aber ein Nachahmer liegen, wovor das BSI ausdrücklich gewarnt hat. - Vermutlich: Ziel ist Sabotage bzw. Störung, nicht Geld (zu 70 % sicher). Keine Lösegeldforderung, kein Datendiebstahl gemeldet; SentinelOne-Forscher Tom Hegel hält Sabotage für wahrscheinlich, EU-Kommissar Hansen spricht von gezieltem Versuch, die Versorgung zu stören. - Offen: Wer hinter den Angriffen steckt und mit welchem Motiv. - Offen: Ob die Welle vom 2. November technisch und personell mit dem Angriff in Frankreich zusammenhängt (Reuters konnte das laut CNBC nicht klären; heise: nicht bestätigt). - Offen: Welche konkrete Schwachstelle oder welcher Zugang in den einzelnen Ländern genutzt wurde. - Offen: Ob alle betroffenen Anlagen vom selben Hersteller stammen. ## 2. Was ist die Auswirkung? - Belegt: Belgische Läden mussten laut Euronews Ware für rund 100.000 € entsorgen (Quelle (https://de.euronews.com/2026/11/02/belgische-supermarkte-cyberangriff-trifft-vernetzte-kuhlanlagen)). - Belegt: Musgrave nahm in 13 von 223 SuperValu-Filialen in Irland Kühl- und Tiefkühlware aus dem Verkauf (Quelle (https://www.aljazeera.com/news/2026/11/2/freezers-in-sweden-belgium-overheat-following-possible-cyberattacks)). - Belegt: Coop Schweden meldete sechs betroffene Filialen, bei einer ICA-Filiale in Stockholm stiegen Tiefkühltemperaturen auf 50 °C (Quelle (https://www.cnbc.com/2026/11/02/cyberattack-on-fridges-hits-supermarkets-across-europe.html)). - Belegt: Axfood meldete gehackte Tiefkühlgeräte in einem Verteilzentrum im Raum Göteborg (Quelle (https://www.aljazeera.com/news/2026/11/2/freezers-in-sweden-belgium-overheat-following-possible-cyberattacks)). - Belegt: Ein belgischer Metzgereibetrieb verlor Fleisch für rund 15.000 € (Quelle (https://www.cnbc.com/2026/11/02/cyberattack-on-fridges-hits-supermarkets-across-europe.html)). - Belegt: Delhaize Luxemburg setzte vorsorglich seine Bestellsysteme aus (Quelle (https://www.euronews.com/2026/11/02/cyberattack-hits-belgian-supermarket-fridges-and-freezers)). - Belegt: Frankreich (Oktober): Finanzminister Lescure sprach von rund 700 betroffenen Supermärkten, aber keinem Risiko für die Lebensmittelversorgung (Quelle (https://www.pbs.org/newshour/world/cyberattacks-disrupt-refrigeration-systems-at-european-supermarkets)). - Vermutlich: Für Verbraucher bleibt es bei lokal leeren Kühlregalen; eine Versorgungslage entsteht nicht (zu 85 % sicher). Betroffen sind jeweils kleine Anteile der Filialnetze (z. B. 15 von 700, 13 von 223); in Frankreich sah die Regierung trotz 700 Märkten kein Versorgungsrisiko. - Vermutlich: Der Gesamtschaden der Novemberwelle liegt im einstelligen bis niedrigen zweistelligen Millionenbereich (zu 40 % sicher). Belgien ca. 100.000 €, Schweden laut 20 Minuten Ware in Millionenhöhe; belastbare Summen fehlen, daher nur grobe Größenordnung. - Offen: Gesamtschaden der Welle vom 2. November über alle Länder. - Offen: Die tatsächlich erreichten Temperaturen: Quellen nennen 15 °C (VRT), 17 bis 18 °C (Euronews EN, CNBC), 50 °C (Schweden, Estland) und 70 °C (Euronews DE, heise). - Offen: Ob verdorbene Ware verkauft wurde (bisher kein Hinweis). - Offen: Ob Geräte in den neuen Ländern beschädigt wurden oder brannten (in Frankreich berichtet). ## 3. Wie lange dauert es digital (Wiederherstellung IT)? - Belegt: Delhaize sagte, man prüfe, wie die Läden wieder in Betrieb gehen können (Quelle (https://www.vrt.be/vrtnws/en/2026/11/02/possible-cyberattack-hits-several-belgian-supermarket-chains/)). - Belegt: Die ICA-Kvantum-Filiale in Sjöbo blieb zunächst geschlossen und hat inzwischen wieder geöffnet (Quelle (https://www.heise.de/news/Kuehlschraenke-in-Lebensmittellaeden-weiterer-Laender-geknackt-11507846.html)). - Belegt: Laut Sabcobel genügt ein Software-Update allein nicht, nötig seien physische Änderungen (Quelle (https://www.euronews.com/2026/11/02/cyberattack-hits-belgian-supermarket-fridges-and-freezers)). - Belegt: In den Niederlanden wurden im Oktober vorsorglich viele Geräte abgeschaltet, Online-Lieferungen verzögerten sich bis zu zehn Tage (Quelle (https://www.20min.ch/story/seit-mitte-oktober-mysterioese-hacking-welle-trifft-europaeische-supermaerkte-103660687)). - Vermutlich: Die Kühlung selbst läuft in den meisten Filialen nach Stunden bis wenigen Tagen wieder, oft im Handbetrieb ohne Fernzugriff (zu 70 % sicher). Techniker waren noch in der Nacht vor Ort, ICA Sjöbo hat wieder geöffnet; Abtaumodus ist eine Betriebsart, keine Zerstörung. - Vermutlich: Die saubere Lösung (Altgeräte tauschen, Fernwartung neu aufbauen) dauert Wochen bis Monate (zu 65 % sicher). Für EOL-Geräte gibt es laut Danfoss keine Updates mehr, Sabcobel spricht von nötigen physischen Änderungen; Hardwaretausch über viele Filialen braucht Planung und Techniker. - Offen: Wann alle betroffenen Filialen wieder voll bestückt sind. - Offen: Ob Firmen die Kühlsteuerung vorerst offline betreiben oder schon ersetzt haben. ## 4. Ist in der Anlage etwas kaputt, das lange dauert? - Belegt: In Frankreich kam es im Oktober zu Bränden und Lebensmittelverlusten, die Pariser Staatsanwaltschaft ermittelt auch zu gemeldeten Bränden (Quelle (https://www.pbs.org/newshour/world/cyberattacks-disrupt-refrigeration-systems-at-european-supermarkets)). - Belegt: Laut Wikipedia-Zusammenfassung schmolzen in Frankreich Geräte oder fingen Feuer, Sprinkler verursachten Wasserschäden (Quelle (https://en.wikipedia.org/wiki/2026_French_supermarket_refrigerator_hack)). - Belegt: Die in Frankreich betroffenen Danfoss-Modelle AK-SC355 und AK-SM800 sind seit 2016 bzw. Mai 2021 End-of-Life (Quelle (https://en.wikipedia.org/wiki/2026_French_supermarket_refrigerator_hack)). - Vermutlich: Bei der Novemberwelle sind die meisten Kälteanlagen mechanisch intakt geblieben (zu 65 % sicher). Berichte erwähnen keine Brände, Temperaturen teils nur 15 bis 18 °C, Läden wie ICA Sjöbo öffneten wieder; Einzelfälle mit Hitzeschäden bleiben möglich. - Vermutlich: Wo Steuerungen getauscht werden müssen, dauert es durch Lieferzeiten und Technikermangel mehrere Wochen (zu 55 % sicher). Viele Filialen gleichzeitig, Fachbetriebe ausgelastet; konkrete Lieferzeiten sind nicht belegt. - Offen: Ob bei der Novemberwelle Hardware beschädigt wurde; bisher werden nur verdorbene Ware und Temperaturanstiege gemeldet. - Offen: Ob Kältemittelkreisläufe oder Verdichter durch den Dauerbetrieb Schaden genommen haben. [Bild: Diagramm: Betroffene Filialen in der Nacht zum 2. November (Quelle: NL Times, Al Jazeera, CNBC (02.11.2026))] ## 5. Wie viele solcher Ziele gibt es? - Belegt: Forescout fand per Shodan 12.976 öffentlich erreichbare Kühlmanagement-Dienste auf 6.017 IP-Adressen in 99 Staaten und Gebieten (Stand 22.10.2026) (Quelle (https://www.forescout.com/blog/cold-chain-open-control-exposed-refrigeration-systems-reveal-global-risk/)). - Belegt: Davon 7.075 Copeland/Dixell XWEB, 4.697 Danfoss StoreView, 551 Copeland Site Supervisor, 513 CAREL pCOWeb (Quelle (https://www.forescout.com/blog/cold-chain-open-control-exposed-refrigeration-systems-reveal-global-risk/)). - Belegt: Rund 80 % der Danfoss-StoreView-Beobachtungen liefen mit Firmware älter als 4.3.1, die bekannte Schwachstellen schließt; gezählt wurden erreichbare, nicht gehackte Systeme (Quelle (https://de.euronews.com/2026/11/02/belgische-supermarkte-cyberangriff-trifft-vernetzte-kuhlanlagen)). - Belegt: CISA hat zu Danfoss AK-SM 8xxA ein ICS-Advisory veröffentlicht (Schwachstellen 2025 von Claroty Team82 gefunden) (Quelle (https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-03)). - Belegt: Das BSI richtet seine Empfehlung BSI-CS 154 „Gefährdung durch internet-verbundene OT-Systeme“ an Betreiber kleiner Anlagen, etwa zur Kühlung von Lebensmitteln oder Stromerzeugung (Quelle (https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261013_OT-Gefaehrdung-Kleinanlagen.html)). - Belegt: Shodan (aggregiert): Danfoss AK-SM800 / AK-SC355: ca. 0 öffentlich erreichbare Systeme in Schweiz. - Belegt: Shodan (aggregiert): Danfoss-Steuerung: ca. 0 öffentlich erreichbare Systeme in Schweiz. - Belegt: Shodan (aggregiert): OT-Protokolle öffentlich erreichbar in Schweiz: 50608 gesamt (DNP3 15280, EtherNet/IP 14229, ProConOS 14097, Modbus 1950, Siemens S7 602, OPC UA 392). - Vermutlich: Auch im DACH-Raum stehen mehrere Hundert solcher Kühlsteuerungen offen im Netz (zu 60 % sicher). Weltweit fast 13.000 Dienste in 99 Ländern, Europa als Schwerpunkt erwähnt, gleiche Hersteller im Handel verbreitet; eigene Länderzählung liegt mir nicht vor. - Vermutlich: Neben Supermärkten sind Lebensmittelverarbeitung, Obstlager, Weingüter und Krankenhauskühlung mit denselben Geräten exponiert (zu 80 % sicher). Forescout nennt diese Bereiche laut Euronews ausdrücklich; die genaue Zahl je Branche ist offen. - Offen: Wie viele erreichbare Systeme in Deutschland, Österreich und der Schweiz stehen (Forescout zeigt Länderverteilung nur als Grafik, Zahlen im Text fehlen). - Offen: Wie viele der erreichbaren Systeme tatsächlich angreifbar sind. ## 6. Kann das wieder passieren? - Belegt: Nach Frankreich (12.10.) folgte am 2.11. eine zweite Welle in mehreren Ländern (Quelle (https://www.20min.ch/story/seit-mitte-oktober-mysterioese-hacking-welle-trifft-europaeische-supermaerkte-103660687)). - Belegt: BSI-Präsidentin Plattner warnte am 13.10., der Angriff hätte jedes Land treffen können, Nachahmer könnten jederzeit auftreten (Quelle (https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261013_OT-Gefaehrdung-Kleinanlagen.html)). - Belegt: Das belgische Cybersicherheitszentrum hält es für möglich, dass die Urheber nie ermittelt werden (Quelle (https://www.aljazeera.com/news/2026/11/2/freezers-in-sweden-belgium-overheat-following-possible-cyberattacks)). - Belegt: Coop Schweiz registrierte Angriffsversuche, die scheiterten; Migros sah keine Anzeichen (Quelle (https://www.20min.ch/story/seit-mitte-oktober-mysterioese-hacking-welle-trifft-europaeische-supermaerkte-103660687)). - Belegt: Schwedens nationales Cybersicherheitszentrum (Leiter John Billow) verweist auf zahlreiche ungepatchte, exponierte OT-Geräte (Quelle (https://www.aljazeera.com/news/2026/11/2/freezers-in-sweden-belgium-overheat-following-possible-cyberattacks)). - Vermutlich: Es kommt in den nächsten Wochen zu weiteren Vorfällen dieser Art in Europa (zu 70 % sicher). Zwei Wellen in drei Wochen, tausende erreichbare Geräte, Methode öffentlich diskutiert, Nachahmer möglich. - Vermutlich: Ein Vorfall dieser Art trifft auch einen Betrieb in Deutschland, Österreich oder der Schweiz (zu 45 % sicher). Gleiche Hersteller im DACH-Handel, Coop Schweiz meldet bereits Versuche; dem stehen die Warnungen von BSI und Herstellern und bereits erfolgte Abschottung gegenüber. - Offen: Ob weitere Wellen geplant sind. - Offen: Ob auch Deutschland oder Österreich schon Versuche gesehen haben (bisher kein bestätigter Fall in DE/AT). ## Vergleichsfälle - Kühlanlagen-Angriff Frankreich (2026): Altgeräte mit offenem Webzugang lassen sich massenhaft in einer Nacht verstellen, Alarme griffen nicht. (Quelle (https://en.wikipedia.org/wiki/2026_French_supermarket_refrigerator_hack)) - Coop Schweden: Kassen nach Kaseya-Angriff auf Dienstleister (2021): Eine Schwachstelle beim Dienstleister kann hunderte Filialen gleichzeitig lahmlegen. (Quelle (https://www.svt.se/nyheter/inrikes/it-attacken-mot-coop-detta-har-hant)) - Claroty-Forschung zu Danfoss-Kühlsteuerungen (2025): Die Schwachstellen waren über ein Jahr vor den Angriffen öffentlich und gepatcht, nur nicht überall eingespielt bzw. Altgeräte nicht ersetzt. (Quelle (https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers)) [Bild: Schema: So lief der Angriff auf die Kühlanlagen ab] ## Quellen - https://nltimes.nl/2026/11/02/cyberattack-hits-delhaize-supermarket-fridges-freezers-dozens-belgium-locations - https://www.euronews.com/2026/11/02/cyberattack-hits-belgian-supermarket-fridges-and-freezers - https://www.nachrichten.at/wirtschaft/erneut-cyberangriffe-auf-supermaerkte-in-europa;art15,4228135 - https://www.pbs.org/newshour/world/cyberattacks-disrupt-refrigeration-systems-at-european-supermarkets - https://www.cnbc.com/2026/11/02/cyberattack-on-fridges-hits-supermarkets-across-europe.html - https://www.marketscreener.com/news/cyberattack-caused-ahold-delhaize-fridges-temperature-increases-belga-reports-ce785fd8de80f126 - https://de.euronews.com/2026/11/02/belgische-supermarkte-cyberangriff-trifft-vernetzte-kuhlanlagen - https://www.aljazeera.com/news/2026/11/2/freezers-in-sweden-belgium-overheat-following-possible-cyberattacks - https://www.vrt.be/vrtnws/en/2026/11/02/possible-cyberattack-hits-several-belgian-supermarket-chains/ - https://www.heise.de/news/Kuehlschraenke-in-Lebensmittellaeden-weiterer-Laender-geknackt-11507846.html - https://www.20min.ch/story/seit-mitte-oktober-mysterioese-hacking-welle-trifft-europaeische-supermaerkte-103660687 - https://en.wikipedia.org/wiki/2026_French_supermarket_refrigerator_hack - https://www.forescout.com/blog/cold-chain-open-control-exposed-refrigeration-systems-reveal-global-risk/ - https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-03 - https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261013_OT-Gefaehrdung-Kleinanlagen.html - https://www.svt.se/nyheter/inrikes/it-attacken-mot-coop-detta-har-hant - https://claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder (/vorfaelle/). Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene. [Bild: Max Gilg]Über den Autor Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Für Redaktionen ordnet er Angriffe kurzfristig ein. Mehr über Max Gilg → (/max-gilg/) ← Alle Artikel (/blog/) Zuletzt aktualisiert: 02.11.2026 Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-angriffswelle-auf-supermarkt-kuehlanlagen-in-europa.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-angriffswelle-auf-supermarkt-kuehlanlagen-in-europa.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-angriffswelle-auf-supermarkt-kuehlanlagen-in-europa.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-angriffswelle-auf-supermarkt-kuehlanlagen-in-europa.html&text=Vorfall-Lagebild%3A%20Angriffswelle%20auf%20Supermarkt-K%C3%BChlanlagen%20in%E2%80%A6)WhatsApp (https://wa.me/?text=Vorfall-Lagebild%3A%20Angriffswelle%20auf%20Supermarkt-K%C3%BChlanlagen%20in%E2%80%A6%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-angriffswelle-auf-supermarkt-kuehlanlagen-in-europa.html)E-Mail (mailto:?subject=Vorfall-Lagebild%3A%20Angriffswelle%20auf%20Supermarkt-K%C3%BChlanlagen%20in%E2%80%A6&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-angriffswelle-auf-supermarkt-kuehlanlagen-in-europa.html)