In der Nacht zum Montag, dem 2. November 2026, haben mutmaßliche Cyberangreifer Kühlanlagen in Supermärkten mehrerer europäischer Länder manipuliert. Kühlschränke und Tiefkühltruhen schalteten teilweise in den Abtaumodus oder gaben Wärme ab. In einzelnen Geschäften kletterten die Temperaturen auf bis zu 50 °C. Für Händler bedeutete das: Ware aus dem Verkauf nehmen, prüfen oder entsorgen. Wie hoch der Gesamtschaden ist, lässt sich noch nicht sagen.

Betroffen waren Märkte in Belgien, Schweden, Irland, Luxemburg, Estland, den Niederlanden, Finnland und Deutschland. Bisher bekannte sich niemand zu den Angriffen. Der schwedische Cyberabwehr-Experte Pontus Johnson hält finanzielle Motive eher für unwahrscheinlich. Möglich sei, dass gesellschaftliche Unruhe erzeugt werden solle. Als mögliche Urheber nannte er prorussische Gruppen oder Gruppierungen, die unabhängig vom russischen Staat Störaktionen gegen westliche Länder durchführen.

Belgien reagiert mitten in der Nacht

In Belgien meldete Delhaize einen IT-Vorfall in etwa 40 Filialen, Carrefour sprach von 15 betroffenen Märkten, bei SPAR waren fünf Geschäfte betroffen. Auch eine IKEA-Filiale in Mons hatte Probleme, die Auswirkungen blieben dort nach Angaben des Unternehmens begrenzt. In allen betroffenen belgischen Märkten stiegen die Temperaturen in den Kühlanlagen plötzlich an, in mehreren Geschäften auf rund 15 °C.

Der Kühltechnik-Dienstleister Sabcobel erklärte, Unbefugte hätten die Anlagen aus der Ferne in den Abtaumodus versetzt. Ab 1 Uhr nachts mobilisierte das Unternehmen Techniker. Betroffene Anlagen wurden vom Netzwerk getrennt. In einer Metzgerei verdarb Fleisch im Wert von etwa 15.000 Euro. Die belgische Staatsanwaltschaft ermittelt.

Auch in Schweden wurde es für die Ware buchstäblich heiß. Ein Ica-Markt in Sjöbo berichtete, Hacker hätten Kühl- und Gefriergeräte auf 50 °C eingestellt. Die Konzernzentrale bestätigte den Angriff nicht; ICA sprach von Problemen in mehreren Filialen, aber noch nicht von einem Hackerangriff. Sieben Coop-Märkte meldeten ebenfalls Störungen der Kühlsysteme.

Lebensmittel werden vorsorglich aus dem Verkauf genommen

In Irland waren laut RTÉ 13 Supermärkte der Kette SuperValu betroffen. Gekühlte und gefrorene Lebensmittel wurden vorsorglich aus dem Verkauf genommen. In Luxemburg traf es mehrere Delhaize-Filialen. Nach Angaben des Herstellers Danfoss waren in den Niederlanden mindestens 17 kleinere Geschäfte betroffen.

In Estland wurde ein Fall bestätigt. Angreifer erhielten laut Kitman Coldtech Zugang zum Steuercomputer eines älteren Danfoss-Kühlsystems und stellten die Anlage auf 50 °C. Die Software war bisher nicht aktualisiert worden. Größere Schäden konnten verhindert werden. Auch kleinere Geschäfte in Finnland meldeten Störungen, ein Hackerangriff ist dort bislang aber nicht bestätigt.

Die Vorfälle erinnern an einen großangelegten Angriff in Frankreich im Vormonat. Bereits Mitte Oktober manipulierten Hacker die Kühlanlagen von Hunderten Supermärkten, darunter Filialen von Intermarché und Coopérative U. Laut Polizei übernahmen sie die Kontrolle über die Anlagen. Lebensmittel verdarben, vereinzelt kam es zu Bränden. Reuters berichtete von erheblichen wirtschaftlichen Schäden. Die Täter griffen ebenfalls über das Internet auf die Steuerungen zu; besonders ältere Danfoss-Systeme waren betroffen.

Danfoss hatte Kunden aufgefordert, gefährdete Anlagen vom Internet zu trennen oder Zugänge abzusichern. Nicht alle Betreiber folgten dieser Empfehlung. Ob die Angriffe im Oktober und Anfang November von denselben Tätern ausgingen, ist ungeklärt.

Ein Markt in Volmarstein kämpft um Normalbetrieb

In Deutschland fiel am Montagmorgen im CAP-Markt in Volmarstein, Nordrhein-Westfalen, die Kühlung teilweise aus. Im Kühlhaus zeigte die Anzeige 10 °C über null. Mitarbeiter entsorgten Käse, Milch, Joghurt, Fleisch und Backwaren-Rohlinge; Tiefkühlkost wurde gesperrt. Betroffen war eine Regalfläche von mehr als zehn Metern.

Die Kühlregale konnten rasch wieder heruntergekühlt werden. Die Tiefkühlkammern müssen allerdings vollständig ausgeräumt werden. Weil der Markt nur zwei Liefertage pro Woche hat, wird eine Normalisierung frühestens am Wochenende erwartet. Betreiberin AWO steht nach eigenen Angaben mit der gehackten Fernwartungsfirma in Kontakt.

Für Volmarstein ist das keine Filiale, die man einfach mal links liegen lässt. Der CAP-Markt dient der Nahversorgung und beschäftigt Menschen mit Behinderungen. Für einige Kunden gibt es keine nahegelegene Alternative. Große deutsche Händler meldeten bislang keine vergleichbaren Vorfälle. Vergleichbare Kühlsysteme werden laut IT-Sicherheitsexperten allerdings auch in Deutschland eingesetzt; Händler verwenden dabei unterschiedliche Soft- und Hardware. Der Einsatz Künstlicher Intelligenz erleichtert Angreifern die Suche nach Sicherheitslücken.

EU-Agrarkommissar Christophe Hansen warnte vor gezielten Angriffen auf Lebensmittelversorgungsketten und das Vertrauen der Verbraucher. Gerade weil die Anlagen im Alltag leise arbeiten und kaum jemand über ihre Steuerung nachdenkt, fällt eine Manipulation erst auf, wenn Milch warm wird oder die Tiefkühltruhe plötzlich nicht mehr friert.

Warum Lebensmittelhändler attraktive Ziele sind

Supermärkte verarbeiten täglich zahlreiche Zahlungsdaten und steuern komplexe Lieferketten. Die Digitalisierung macht vieles schneller, vergrößert aber auch die Angriffsfläche: POS-Systeme und Kassenterminals, Kühlkettenüberwachung und andere IoT-Geräte, Lieferantenportale, Treueprogramme und E-Commerce-Plattformen hängen an digitalen Strukturen. Veraltete Betriebssysteme auf Kassenhardware erschweren Sicherheitsupdates zusätzlich.

Angreifer können zentrale Warenwirtschaftssysteme mit Ransomware lahmlegen, Mitarbeiter in Filialen oder Verwaltungen per Phishing täuschen, POS-Systeme zum Abgreifen von Zahlungsdaten attackieren oder über kompromittierte Lieferanten ins Netzwerk gelangen. Auch Schwachstellen in IoT-Geräten sind ein häufiger Angriffsweg. Der BSI-Lagebericht zählt den Ernährungssektor zu den kritischen Infrastrukturen, die besonders im Fokus staatlich gesteuerter Angreifer stehen.

Die Folgen reichen vom Ausfall der Kassensysteme und des Zahlungsverkehrs über eine unterbrochene Kühlkettenüberwachung und gestörte Lieferungen bis zu Engpässen bei Grundnahrungsmitteln. Möglich sind außerdem fehlerhafte Preisauszeichnungen, der Verlust von Zahlungsdaten, hohe Umsatzausfälle bei Betriebsunterbrechungen und langfristige Reputationsschäden nach öffentlich bekannt gewordenen Datenschutzverletzungen.

Die NIS-2-Richtlinie legt EU-weite Mindestanforderungen für Cybersicherheit in kritischen und wichtigen Sektoren fest. Lebensmittelhändler ab einer bestimmten Größe müssen unter anderem kritische IT-Systeme risikobewerten, Multi-Faktor-Authentifizierung für privilegierte Zugriffe einsetzen, einen dokumentierten Incident-Response-Prozess einrichten, Mitarbeiter regelmäßig schulen sowie die Sicherheit von IT-Dienstleistern und Lieferketten prüfen. Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden; Verstöße können Bußgelder nach sich ziehen.

Großhändler und Supermarktketten können als KRITIS eingestuft werden, wenn sie einen wesentlichen Teil der regionalen Lebensmittelversorgung sicherstellen. Für KRITIS-Betreiber gelten zusätzliche Pflichten: regelmäßige Sicherheitsaudits, der Nachweis eines Informationssicherheitsmanagementsystems und direkte Meldepflichten gegenüber dem BSI.

Bei Kassensystemen empfiehlt sich eine Trennung von Kassen, Verwaltung und Gästen über separate VLANs. Nur autorisierte Geräte sollten zugreifen dürfen, Schwachstellen regelmäßig gescannt, nicht benötigte Ports und Dienste deaktiviert und Betriebssysteme gehärtet werden. Firewalls sollten jede Verbindung zwischen den Segmenten kontrollieren. Für Händler, die Kartenzahlungen akzeptieren, gilt der PCI-DSS; Zahlungsdaten sollen während der Übertragung mindestens per TLS 1.2 und im Ruhezustand verschlüsselt werden.

Eine praktische Sicherheits-Checkliste sieht regelmäßiges Patch-Management vor – kritisch, wöchentlich, Zuständigkeit IT-Administration. Die Netzwerksegmentierung von POS und Büro sollte einmalig eingerichtet und danach regelmäßig überprüft werden. Multi-Faktor-Authentifizierung hat hohe Priorität und wird einmalig eingerichtet; Backups sollen monatlich getestet und validiert werden. Phishing-Schulungen gehören vierteljährlich auf den Plan, Schwachstellenscans monatlich. Der Incident-Response-Plan sollte halbjährlich überprüft, ein Lieferanten-Sicherheitsaudit jährlich durchgeführt werden.

Netzwerksegmentierung begrenzt die laterale Bewegung eines Angreifers. Das Prinzip der geringsten Berechtigung bedeutet: Jeder bekommt nur die Rechte, die für seine Aufgabe notwendig sind. Kassierer brauchen beispielsweise keinen Zugriff auf Buchhaltungsdaten, Lieferantenportale sollten nicht auf interne Systeme zugreifen können.

Für Backups gilt die 3-2-1-Regel: drei Datenkopien, auf zwei unterschiedlichen Medientypen, eine davon extern. Die Sicherungen müssen regelmäßig testweise wiederhergestellt werden; eine realistische Testwiederherstellung wird mindestens vierteljährlich empfohlen. Ein Notfallkonzept sollte Rollen und Verantwortlichkeiten, Eskalationsprozesse, Kommunikationspläne für Kunden und Behörden, Wiederherstellungsverfahren für POS und Kühlketten sowie regelmäßige Tests und Aktualisierungen enthalten. Offline-Backups und dokumentierte Wiederherstellungsschritte gehören ebenfalls dazu.

Phishing gilt als häufigster Einstiegspunkt für Angriffe im Einzelhandel. Die Absender geben sich als Lieferanten, interne Stellen oder Systemwarnungen aus. Praxisnahe, regelmäßige Schulungen, Phishing-Simulationen, klare Meldekanäle für verdächtige E-Mails und kurze Sicherheitsbriefings in den Filialen helfen. Wer eine verdächtige Nachricht korrekt meldet, darf ruhig dafür belohnt werden. Dazu kommen klare Passwortrichtlinien und Passwort-Manager.

Ransomware kann den Betrieb für Tage oder Wochen unterbrechen. Schutz bieten verhaltensbasierte Endpoint-Erkennung, der Schutz vor unbefugter Dateiverschlüsselung, Netzwerksegmentierung, regelmäßige Sicherheitsupdates, Multi-Faktor-Authentifizierung, Mitarbeiterschulungen und möglichst offline gespeicherte Backups.

Bei einem Ransomware-Vorfall sollen betroffene Systeme vom Netzwerk getrennt, aber nicht ausgeschaltet werden. IT-Sicherheitsbeauftragte und Geschäftsführung müssen informiert, das Incident-Response-Team aktiviert und der Zeitpunkt des letzten sauberen Backups geprüft werden. BSI und gegebenenfalls Datenschutzbehörden sind fristgerecht zu informieren, Beweise forensisch zu sichern. Danach wird aus sauberen Backups wiederhergestellt, die Ursache ermittelt und die Sicherheitslücke geschlossen. Die Kommunikation mit Mitarbeitern, Kunden und Öffentlichkeit sollte koordiniert erfolgen. Sicherheitsbehörden empfehlen, kein Lösegeld zu zahlen, weil dies keine Datenwiederherstellung garantiert. Der Incident-Response-Plan sollte vor einem Angriff vorliegen und regelmäßig geübt werden.

Gerade bei Kühlketten lohnt der Blick auf die kleinen Geräte: Sensoren und Steuerungen verfügen teilweise über veraltete Firmware, Standardpasswörter oder unverschlüsselte Kommunikation. Alle IoT-Geräte sollten inventarisiert, Standardpasswörter bei der Inbetriebnahme geändert und die Geräte in ein isoliertes Netzwerksegment verschoben werden. Verbindungen zu POS- und Verwaltungsnetzwerken sind zu verhindern, Firmware muss regelmäßig aktualisiert werden.

Das zentrale Security-Monitoring sollte den IoT-Bereich mitüberwachen. Ungewöhnliche Verbindungsversuche oder erhöhter Datenverkehr müssen Alarme auslösen. Und auch die physische Sicherheit gehört dazu: Zutrittskontrollen, Kameras und Alarmanlagen sind selbst vernetzte IT-Systeme und können kompromittiert werden. Serverräume und IT-Infrastruktur, die Kameraüberwachung von Kassenterminals sowie der physische Schutz von Switches und Zugangspunkten sollten gemeinsam betrachtet werden. Bei Vorfällen müssen Sicherheitsdienst und IT abgestimmt handeln; gemeinsame Zuständigkeiten oder eine regelmäßige Abstimmung zwischen Facility Management und IT-Sicherheit sind dafür vorgesehen.