In Frankreich haben Cyberkriminelle in der Nacht von Sonntag auf Montag die Kühlanlagen mehrerer großer Lebensmittelhändler manipuliert. In bis zu 200 Intermarché-Filialen und rund 100 Geschäften der Coopérative U drangen sie in die Steuerungssysteme ein, schalteten Kühlungen aus oder stellten sie auf bis zu 50 Grad Celsius. Mitarbeitende der Frühschichten bemerkten die Veränderungen – für viele Filialen begann der Tag damit zwischen warmer Luft, verdorbenen Waren und hektischen Kontrollen.

Bei Les Mousquetaires, dem Verbund hinter Intermarché und Netto, waren nach Angaben aus Medienberichten rund 150 Geschäfte landesweit betroffen. Carrefour meldete Störungen vor allem in etwa 80 seiner insgesamt rund 6.000 Märkte. Auch Coopérative-U-Chef Dominique Schelcher bestätigte Angriffe auf Kühlanlagen in mehreren Filialen. Medienberichten zufolge könnten weitere Handelsketten betroffen sein.

Waren verdorben, Brände gemeldet

Die Angreifer versetzten die Geräte offenbar in den Auftaumodus. In anderen Fällen wurden Kühlungen abgeschaltet oder auf extreme Temperaturen hochgeregelt. Bei Les Mousquetaires mussten zahlreiche Waren entsorgt werden, weil sie den Ausfall nicht überstanden. Auch in den Coopérative-U-Filialen arbeiteten Teams gemeinsam mit Kältetechnikern daran, die Anlagen wiederherzustellen.

In einigen Filialen sollen Brände ausgebrochen sein. Die französische Staatsanwaltschaft bestätigte entsprechende Meldungen. Ihre Cyberkriminalitätsabteilung in Paris übernahm die Ermittlungen; die Nationale Cybersicherheitsbehörde ANSSI ist ebenfalls mit dem Fall befasst. Ziel ist, die betroffenen Geschäfte zu erfassen und mögliche Zusammenhänge zwischen dem Angriff und den gemeldeten Schäden zu klären.

Wie hoch der Schaden ausfällt, ist noch offen. Intermarché-Chef Thierry Cotillard rechnet landesweit mit Verlusten von „zig Millionen Euro an einem einzigen Tag“. Die französische Staatsanwaltschaft bezeichnete den Vorfall als groß angelegten Cyberangriff auf vernetzte Kühlsysteme mehrerer großer Lebensmittelmärkte.

Danfoss-Systeme im Mittelpunkt

Als mögliches Einfallstor gilt eine Schwachstelle in einer Software des dänischen Technikdienstleisters Danfoss, die zur Steuerung von Kälteanlagen eingesetzt wird. Danfoss erklärte, über die Vorfälle informiert zu sein. Betroffen sei eine begrenzte Zahl von Kühlsystemen, überwiegend ältere Produkte. Das Unternehmen teilte außerdem mit, die betroffenen Systeme seien veraltet und nicht mit aktuellen Sicherheitsupdates versehen gewesen. Bereits 2025 hatte Danfoss auf Schwachstellen dieser Systeme hingewiesen.

Auch der niederländische Handelskonzern Ahold Delhaize meldete ein Sicherheitsproblem in seinem Netzwerk und legte vorsorglich mehrere Systeme still. Der Angriff richtete sich offenbar gegen die von mehreren Lebensmittelhändlern genutzten Danfoss-Systeme. Ob alle gemeldeten Störungen miteinander verbunden sind, müssen nun die Ermittler klären.

Ein ähnlicher Fall hatte sich im Mai in Israel ereignet. Dort veränderten Hacker Alarmgrenzen und manipulierten Steuerungskonfigurationen von Kühlanlagen. Verdichter wurden beschädigt oder zerstört, außerdem trat CO₂ über Sicherheitsventile aus. Die Wiederherstellung der beschädigten Anlage dauerte mehrere Tage. Die Täter wurden nicht identifiziert; staatliche Akteure werden als mögliche Urheber vermutet.

Einzelhandel als dicht vernetztes Ziel

Der Einzelhandel zählt in Europa zu den am häufigsten angegriffenen Branchen. Handelsunternehmen verarbeiten täglich große Mengen an Zahlungs- und Kundendaten und sind dadurch stark exponiert. Cybersecurity meint dabei nicht nur Firewalls und Passwörter, sondern technische, organisatorische und rechtliche Maßnahmen für IT-Systeme, Kundendaten und Zahlungsprozesse. Digitale und physische Angriffsflächen müssen gleichermaßen berücksichtigt und laufend angepasst werden.

Stationäre Kassensysteme, Online-Shops, Cloud-Netzwerke, mobile Zahlungen und Lieferanten-APIs bilden ein enges Geflecht. Jeder Bestandteil kann zum Einstiegspunkt werden. Zu den häufigen Bedrohungen gehören POS-Malware, Ransomware, Phishing und Datenlecks. Kleine und mittlere Händler sind dabei attraktive Ziele: Ihre Schutzmaßnahmen weisen oft Lücken auf, die verwertbaren Daten haben aber denselben Marktwert wie bei großen Unternehmen.

Ransomware verschlüsselt Unternehmensdaten und fordert Lösegeld. Die Folgen reichen von Betriebsstillständen über gesperrte Kassensysteme bis zu einer blockierten Warenwirtschaft. POS-Malware liest Zahlungs- und Karteninformationen direkt an Kassensystemen aus und kann dort wochenlang unentdeckt bleiben – manchmal fällt der Angriff erst auf, wenn Kunden Betrug melden. Herkömmliche Antivirensoftware reicht für Kassen nicht aus; nötig ist spezialisierter Endpunktschutz.

Phishing zielt häufig auf Beschäftigte mit Zugriff auf Buchhaltung oder Kundendatenbanken. Eine einzige präparierte E-Mail kann den Zugang zu internen IT-Systemen öffnen. Die Nachrichten imitieren zunehmend interne Hinweise oder Lieferantenrechnungen und enthalten oft keine auffälligen Rechtschreibfehler mehr. Beim Vishing kommen synthetische Stimmen zum Einsatz, etwa wenn sich jemand als IT-Support ausgibt und Zugangsdaten verlangt. Seriöser IT-Support fragt telefonisch nicht nach Passwörtern.

Was Händler jetzt absichern sollten

Regelmäßige Updates, getrennte Netzwerkbereiche, verhaltensbasierter Endpunktschutz und deaktivierte, nicht benötigte Fernzugriffe gehören zur Prävention. Echtzeit-Monitoring, Protokolle für sensible Zugriffe und automatische Warnungen bei ungewöhnlichen Dateiänderungen helfen bei der Erkennung. Für den Ernstfall braucht es verschlüsselte Backups auf vom Hauptnetz getrennten Systemen, einen dokumentierten Notfallplan und vierteljährliche Wiederherstellungsübungen. Backups müssen regelmäßig getestet werden – sonst sind sie im entscheidenden Moment nur Beruhigungspillen.

Kassensysteme sollten physisch vor unbefugtem Zugriff geschützt werden; USB-Anschlüsse gehören deaktiviert oder gesperrt. POS-Systeme brauchen ein eigenes Netzwerksegment ohne direkten Internetzugang und müssen vom Büronetz getrennt sein. Der PCI-DSS-Standard für Zahlungsdaten ist einzuhalten, Zahlungsdaten sind bei Übertragung und Speicherung zu verschlüsseln. Netzwerksegmentierung gilt als eine der wirksamsten Schutzmaßnahmen, weil sie die Folgen eines erfolgreichen Angriffs auf ein Teilsystem begrenzen kann. Physische und digitale Sicherheit hängen dabei eng zusammen: Wer an ein Gerät gelangt, kann Schadsoftware unter Umständen direkt installieren.

Auch Cloud-Umgebungen und Schnittstellen dürfen nicht nebenbei laufen. Cloud-Konfigurationen sollten regelmäßig geprüft, APIs durch Authentifizierung und Rate-Limiting abgesichert und Zugriffe auf Cloud-Ressourcen überwacht werden. Produktions- und Testumgebungen gehören getrennt. Datenlecks entstehen oft durch ungesicherte APIs, schwache Passwörter, fehlende Verschlüsselung oder falsch konfigurierte Cloud-Dienste. Die Folgen reichen von DSGVO-Bußgeldern bis zum Vertrauensverlust bei Kunden.

Für Beschäftigte empfehlen sich unangekündigte simulierte Phishing-Mails mit sofortiger Erklärung nach einem Klick – quartalsweise –, rollenspezifische Kurzmodule von fünf bis zehn Minuten und Auffrischungen mindestens vierteljährlich. Klare Meldewege für vermutete Vorfälle müssen bekannt sein, die Inhalte in der Sprache der Mitarbeitenden vermittelt werden. Konkrete Regeln helfen mehr als ein dicker Ordner: keine unbekannten USB-Geräte an Kassen anschließen, bei Passwortanfragen telefonisch auflegen und intern zurückrufen, dringende Zahlungsaufträge persönlich bestätigen.

Vishing- und Telefonbetrugstrainings für Kasse und Buchhaltung sind halbjährlich vorgesehen. USB- und Gerätesicherheit sollte beim Onboarding und danach jährlich geschult werden; Meldewege werden beim Onboarding und jährlich geprüft, Passwortrichtlinien und MFA beim Einstieg und bei Änderungen. Klickquoten aus simulierten Phishing-Tests können den Schulungserfolg sichtbar machen. KI-gestützte Kampagnen werden automatisiert und personalisiert und nutzen öffentlich verfügbare Informationen – rund 80 Prozent der Sicherheitsvorfälle entstehen laut FAQ durch menschliche Fehler wie geöffnete Phishing-Mails oder schwache Passwörter.

Datenschutz, Lieferketten und kleine Budgets

Mehrstufige Authentifizierung hat hohe Priorität und wird einmalig eingerichtet. Software-Patches und Updates sollten wöchentlich erfolgen, Backups täglich erstellt und vierteljährlich getestet werden. Die Trennung von POS- und Büronetz wird einmalig umgesetzt. SSL/TLS für Übertragungen ist einzurichten und zu überwachen, ein Incident-Response-Plan jährlich zu aktualisieren, ein DSGVO-Audit ebenfalls jährlich durchzuführen. Phishing-Schulungen sind mit mittlerer Priorität halbjährlich vorgesehen.

Beschäftigte sollen nur die Rechte erhalten, die sie tatsächlich benötigen: Kassierer brauchen keinen Zugang zu Kundendatenbanken, Lagerpersonal keinen zu Buchhaltungssystemen. MFA sollte für alle Systeme mit sensiblen Daten verpflichtend sein. Verschlüsselung schützt Informationen bei der Übertragung und im Ruhezustand.

Datenschutzverletzungen können Bußgelder von bis zu vier Prozent des weltweiten Jahresumsatzes nach sich ziehen. Zentrale Anforderungen sind Datenminimierung, Zweckbindung, Speicherbegrenzung und das Auskunftsrecht der Kunden. Verletzungen müssen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Technische und organisatorische Maßnahmen müssen nachweisbar umgesetzt sein; Händler brauchen außerdem ein Verzeichnis ihrer Verarbeitungstätigkeiten.

Im E-Commerce reicht die Angriffsfläche vom Webserver über Zahlungs-APIs und Kundendatenbanken bis zu Content-Management-Systemen. Ein Risiko liegt in externer Software und Lieferketten: Bei Supply-Chain-Angriffen können Plugins, JavaScript-Bibliotheken, Zahlungsdienstleister-Skripte oder Lieferantenschnittstellen kompromittiert werden. Eingebundene Schadsoftware erreicht dann unter Umständen alle betroffenen Shops. Beim Magecart-Skimming wird schädlicher JavaScript-Code in eine Drittanbieterbibliothek eingeschleust und liest Kreditkarten- oder Login-Daten während des normalen Bezahlvorgangs aus.

Für kleinere Händler sind MFA, konsequente Updates, Phishing-Schulungen und Backups auf externen Medien vergleichsweise kostengünstig. Mehr Investitionen verlangen Managed Security Services, Endpunktschutz für alle Geräte und Netzwerksegmentierung. Priorisiert werden sollte das größte Risiko bei möglichst geringem Aufwand. MFA, regelmäßige Updates und Mitarbeiterschulungen bilden ein grundlegendes Sicherheitsniveau; Cyberversicherungen können aktive MFA und dokumentierte Backup-Prozesse als Mindestanforderungen verlangen. Cloudbasierte Lösungen sind für kleine Händler mitunter günstiger als eine eigene On-Premise-Infrastruktur.

Der Leitfaden des Lebensmittelhandels-BVL wurde am 25. Juni 2026 aktualisiert. Empfohlen werden für Kassensysteme insbesondere Netzwerksegmentierung, Sicherheitsupdates, Verschlüsselung, Zwei-Faktor-Authentifizierung, Endpunktschutz, Bedrohungsanalyse und physische Zugangskontrollen. Datenkompromittierungen verursachen schließlich nicht nur unmittelbare Kosten. Was Kunden über Monate an Vertrauen aufgebaut haben, kann durch einen einzigen Vorfall ziemlich schnell wieder weg sein.