Hacker heizen Supermarkt-Kühlungen auf 50 Grad – Behörde warnt europaweit

Paris/Zaandam. Rund 400 französische Supermärkte haben in der Nacht zum Montag ihre Kühlung verloren: Angreifer stellten die Kältesteuerungen aus der Ferne um. Die Pariser Staatsanwaltschaft ermittelt, der Schaden geht womöglich in die Millionen. Die französische Cybersicherheitsbehörde ANSSI stimmt sich inzwischen mit europäischen Partnern ab – weil dieselbe Technik auch in anderen Ländern läuft. Unabhängig davon kämpft der niederländische Marktführer Albert Heijn mit einem IT-Vorfall.

Was in Frankreich passiert ist

Betroffen sind nach Angaben von BFMTV rund 400 Filialen: etwa 300 Märkte von Intermarché und Netto sowie knapp 100 der Genossenschaft Coopérative U. Auch E.Leclerc soll betroffen sein, hat das aber nicht bestätigt.

Der Angriff lief über die Steuerungssoftware der Kühlanlagen. Die Abtaufunktion, die normalerweise in kurzen Intervallen Eis von den Verdampfern entfernt, wurde nach den Berichten dauerhaft aktiviert. Zugleich sollen Anlagen auf eine Solltemperatur von bis zu 50 Grad gesetzt worden sein. In einzelnen Kühlmöbeln wurden über 26 Grad gemessen – stundenlang.

Danach gilt, was im Lebensmittelrecht keine Ermessensfrage ist: Was aus der Kühlkette gefallen ist, muss entsorgt werden. Fleisch, Fisch, Milchprodukte, Wurst, Fertiggerichte, Tiefkühlware.

Zwei Märkte im elsässischen Haguenau beziffern ihren Verlust auf zusammen rund 270.000 Euro. Landesweit könnte der Schaden mehrere Millionen Euro erreichen.

Dominique Schelcher, Präsident der Coopérative U, bestätigte den Angriff öffentlich und nannte ihn von "extremer Schwere": "Das ist inakzeptabel." Die Intermarché-Muttergesellschaft Les Mousquetaires erklärte, einzelne Kühlgeräte seien außer Betrieb, betroffene Ware werde vorsorglich aus dem Verkauf genommen.

Die Ermittlungen

Die Pariser Staatsanwaltschaft hat Ermittlungen eingeleitet – nicht nur wegen der Warenverluste, sondern auch wegen eines gemeldeten Brandes.

Die Cybersicherheitsbehörde ANSSI hat die betroffene Software identifiziert, den Hersteller kontaktiert und stimmt sich mit europäischen Partnerbehörden über mögliche Risiken in anderen Ländern ab.

Auffällig ist, was fehlt: Keine Gruppe hat sich bekannt, eine Lösegeldforderung gab es nicht. Von einem klassischen Erpressungsangriff zu sprechen, wäre deshalb verfrüht. Hinweise auf gestohlene Kunden- oder Mitarbeiterdaten gibt es bislang ebenfalls nicht.

Warum das auch hier eine Rolle spielt

Intermarché betreibt in Deutschland keine Märkte. Die Technik aber läuft auch hier.

Die manipulierten Steuerungen stammen nach den bisherigen Berichten vom dänischen Hersteller Danfoss, vermutlich ältere Softwarestände. Solche Kältesteuerungen regeln in ganz Europa die Kühlmöbel in Supermärkten, Metzgereien, Bäckereien, Gastronomiebetrieben und Kühlhäusern.

Der Sicherheitsforscher Amir Zaltzman vom Spezialisten Claroty hatte bereits im August dieses Jahres mehrere Schwachstellen in Danfoss-Kältereglern beschrieben. Angreifer hätten demnach die Anfrageverarbeitung des eingebauten Webservers beeinflussen können. Ob genau diese Lücken in Frankreich genutzt wurden, ist nicht bestätigt. Eine Stellungnahme von Danfoss liegt bislang nicht vor.

Dass die ANSSI den Fall europaweit teilt, zeigt jedoch, dass die Behörden ein Risiko über Frankreich hinaus sehen.

Der Hintergrund ist ein allgemeiner: Gebäude- und Kältetechnik wird seit Jahren vernetzt, damit sie sich aus der Ferne warten lässt. Der Kältetechniker soll die Störung nachts sehen, ohne 80 Kilometer zu fahren. Das ist sinnvoll – aber jeder Fernzugang ist auch ein Zugang.

Niederlande: Albert Heijn offline

Unabhängig vom französischen Fall kämpft Albert Heijn seit Sonntagnachmittag mit einer Störung. Betroffen sind auch die Schwestermarken Etos und Gall & Gall sowie der belgische Ableger Delhaize – alle gehören zum Konzern Ahold Delhaize.

Der Konzern veröffentlichte am Montagmorgen eine Mitteilung. Darin spricht er von einem "Sicherheitsproblem im Netzwerk" und davon, einige Systeme zum Schutz vom Netz genommen zu haben. Die Filialen seien geöffnet. Zur Ursache, zu möglicherweise betroffenen Kundendaten und zum Stand der Untersuchung steht dort nichts.

Bemerkenswert ist die Form: Die Mitteilung ist als Insiderinformation nach Artikel 7 der EU-Marktmissbrauchsverordnung gekennzeichnet. Ein börsennotiertes Unternehmen wählt diesen Weg, wenn es den Vorfall für kursrelevant hält.

Praktisch heißt das für Kunden: Webseiten und Apps sind nicht erreichbar, Online-Bestellungen und Lieferungen liegen still. Elektronische Preisschilder zeigen teils Angebote der Vorwoche, an der Kasse gelten nach Unternehmensangaben die aktuellen Preise. Das Bonusprogramm funktioniert nicht; Kunden sollen Kassenbons aufbewahren, damit entgangene Rabatte später ausgeglichen werden können.

Mehrere IT-Sicherheitsmedien sprechen von einem Cyberangriff. Das Unternehmen selbst hat das bislang nicht bestätigt.

Was offen bleibt

Wie die Angreifer in Frankreich hineinkamen, wie lange sie Zugriff hatten und wie hoch der Gesamtschaden ist, steht nicht fest. Bei Ahold Delhaize ist offen, ob überhaupt ein Angriff vorliegt und ob Daten abgeflossen sind.

Ein Zusammenhang zwischen beiden Vorfällen ist bislang nicht belegt.