In der Nacht zum Montag manipulierten Unbekannte in Frankreich die Kühlsysteme von Hunderten Supermärkten. In zahlreichen Kühl- und Gefrierschränken stiegen die Temperaturen auf bis zu 50 °C. Lebensmittel verdarben, außerdem wurden Brände in mehreren Filialen gemeldet. Für Kundinnen und Kunden muss das ein ziemlich verstörender Anblick gewesen sein: Kühltruhen, die plötzlich heizen, statt Waren frisch zu halten.

Betroffen waren unter anderem Filialen von Carrefour, Monoprix, Intermarché und Coopérative U; auch E. Leclerc wurde in Medienberichten genannt. Laut Reuters und CNBC traf es allein etwa 150 bis 200 Intermarché-Filialen sowie nahezu 100 Märkte von Coopérative U. Dominique Schelcher, Chef von Coopérative U, bestätigte Cyberangriffe auf die Kühlanlagen mehrerer Filialen.

Deutschland offenbar ebenfalls im Blick

Der Cybersecurity-Experte Felix Aime vom Unternehmen Sekoia nennt neben Frankreich auch Spanien, Portugal, Polen, Deutschland und Belgien als betroffene Länder. Welche Unternehmen oder Filialen in Deutschland betroffen sind und welche Schäden entstanden, ist bislang nicht bekannt. Carrefour, Monoprix, Intermarché, Coopérative U und E. Leclerc hatten gegenüber CNBC zunächst keine Stellungnahme abgegeben.

Die Angreifer verschafften sich vermutlich Zugang zu internetgesteuerten Kühlanlagen des dänischen Herstellers Danfoss. Sie programmierten die Systeme offenbar so um, dass diese heizten statt kühlten. Laut IT-Sicherheitsexperte Christopher Kunz waren Verwaltungsoberflächen teilweise aus dem Internet erreichbar und mit einem Standardpasswort geschützt. Vergleichbare Kühlsysteme sind auch in Deutschland im Einsatz; ob weitere Länder betroffen waren, ist bislang unklar.

EU-Agrarkommissar Christophe Hansen forderte, die Infrastruktur der Lebensmittelversorgung besser vor Cyberangriffen zu schützen. Angriffe auf diese Infrastruktur seien ein bestehendes Risiko. Das klingt trocken, ist im Markt aber schnell sehr konkret: verdorbene Ware, leere Truhen, Rauch und im schlimmsten Fall Feuer.

Auch Ahold Delhaize meldete Sicherheitsprobleme

Am Sonntag meldete der niederländisch-belgische Handelskonzern Ahold Delhaize Sicherheitsprobleme in seinem Netzwerk. Betroffen waren unter anderem die Website, Apps und Online-Bestellungen; die Systeme wurden vorsorglich abgeschaltet. Die Website der Supermarktkette Albert Heijn war zeitweise nicht erreichbar. Ob bei Albert Heijn tatsächlich ein Hackerangriff vorlag, ist allerdings nicht abschließend geklärt. Kunz vermutet einen Angriff auf das zentrale Netzwerk des Konzerns.

Große deutsche Handelsketten wie Rewe, Edeka, Aldi und Kaufland nutzen ebenfalls digitale Warenwirtschaft, automatisierte Logistik und vernetzte Technik. Dadurch entstehen zusätzliche potenzielle Angriffsflächen, auch in Nordrhein-Westfalen. Die REWE Group, Lidl Deutschland und Kaufland meldeten dem WDR keine vergleichbaren Vorfälle.

Als häufige Sicherheitsprobleme nennt Kunz verspätete Updates sowie unveränderte oder unsichere Passwörter. Künstliche Intelligenz kann Angreifern laut dem Bericht dabei helfen, Schwachstellen in Unternehmen schneller zu finden. Ein vollständig sicheres IT-System gibt es nicht. Investitionen in IT-Sicherheit und die frühzeitige Erkennung von Risiken können Angriffe aber erschweren.

Vom Kühlregal zur kritischen Infrastruktur

Cyberangriffe dienen ausländischen Nachrichtendiensten vor allem zur Informationsbeschaffung. Nach dem Zugriff auf ein IT-System können Angreifer zudem Vorbereitungen für spätere Sabotage treffen. In Deutschland richten sich Cyberangriffe aus Russland, China, Nordkorea und dem Iran meist gegen Unternehmen, Universitäten und Behörden.

Zum Einsatz kommen Phishing über vermeintlich vertrauenswürdige E-Mails und Webseiten, die gezielte Ausnutzung von Sicherheitslücken in Software sowie Supply-Chain-Angriffe. Dabei wird zunächst ein schlechter geschützter Hersteller oder Dienstleister kompromittiert. Über ein scheinbar authentisches Software-Update gelangt anschließend Schadsoftware in ein geschütztes Netzwerk.

IT- und Cyberangriffe gehören in Deutschland auf allen Verwaltungsebenen und in der Wirtschaft zu den täglichen Gefahren. Kritische Infrastrukturen aus nahezu allen Sektoren gehören zum Zielspektrum. Der Sektor „Staat und Verwaltung“ umfasst Gemeinde- und Landkreisämter, Behörden sowie Ministerien. Erfolgreiche Angriffe können Verwaltungsdienstleistungen lahmlegen und Bürgerinnen und Bürger unmittelbar treffen.

Regierungsinformationen, etwa zu Zielen und aktuellen Sachständen bei der Unterstützung der Ukraine, sind ein weiteres Ziel russischer Cyberangriffe. Im Januar 2023 griff Russland erfolgreich E-Mail-Postfächer der SPD-Parteizentrale an; ein Datenabfluss konnte nicht ausgeschlossen werden. Im Mai 2024 wurde das IT-Netzwerk der CDU professionell angegriffen. Die Ausführung ließ eine staatliche Urheberschaft vermuten. Beim Cyberangriff auf den Bundestag im Frühjahr 2021 griff der russische Geheimdienst GRU Dutzende deutsche Parlamentarier, Landtagsabgeordnete und weitere politisch aktive Personen mit gefälschten E-Mails an.

Spionage, Lieferketten und die „Drehscheibe Deutschland“

Mutmaßlich staatliche oder staatlich gesteuerte chinesische Akteure führten 2023 gezielte Cyberangriffe gegen Unternehmen, Behörden und Privatpersonen durch. Auch politische Institutionen und IT-Dienstleister von Behörden waren betroffen. Ende 2021 infiltrierten chinesische staatliche Akteure das Netzwerk des Bundesamts für Kartographie und Geodäsie, vermutlich zu Spionagezwecken. Das BKG stellt unter anderem Geodaten zu Kritischen Infrastrukturen bereit.

Bei Angriffen aus China wurde in den vergangenen Jahren eine qualitative und quantitative Weiterentwicklung festgestellt. Als möglicher Grund gelten staatlich kontrollierte Strukturen in China, durch die einheimische Privatunternehmen in großem Umfang Dienstleistungen und Produkte für Nachrichtendienste bereitstellen müssen. Deutsche Sicherheitsbehörden erwarten eine weitere Intensivierung der staatlichen Spionageaktivitäten Chinas.

Der Sektor „Transport und Verkehr“ bietet wegen seiner weitreichenden Infrastruktur eine große Angriffsfläche. Hybride Angriffe auf Häfen, Flughäfen sowie Straßen- und Eisenbahninfrastruktur können den Güter- und Personenverkehr und damit nationale und internationale Lieferketten stören oder zum Ausfall bringen. Ein ENISA-Bericht vom März 2023 dokumentierte Cyberangriffe pro-russischer Gruppen auf Eisenbahnunternehmen in Lettland, Litauen, Rumänien und Estland. Russische Akteure greifen seit Februar 2022 wiederholt Signalsysteme und Eisenbahnnetze der tschechischen Eisenbahngesellschaft an.

Deutschland ist wegen seiner Lage in Mitteleuropa ein Transitland zwischen West- und Osteuropa. Über Deutschland werden auch militärische Güter der NATO transportiert; deshalb wird das Land als „Drehscheibe Deutschland“ bezeichnet. Verkehrsinfrastrukturen in Deutschland könnten daher ebenfalls ins Visier Russlands geraten.

Das BSI bewertete die Gefährdungslage im deutschen Cyberraum im Juli 2024 als so hoch wie nie zuvor. Zu den Angreifern zählen staatliche Akteure, staatlich gesponserte oder beauftragte Akteure, Cyberkriminelle, Auftragshacker und Hacktivisten. Das BSI fordert Unternehmen, Organisationen und Behörden auf, ihre IT-Sicherheitsmaßnahmen zu überprüfen und an die Bedrohungslage anzupassen.

Sicherheitsbehörden aus den USA, Kanada und Großbritannien warnen vor pro-russischen Akteuren, die Kritische Infrastrukturen angreifen. In Nordamerika und Europa richten sich solche Angriffe insbesondere gegen internetverbundene industrielle Kontrollsysteme. Das Bundesamt für Verfassungsschutz erwartet, dass russische Dienste ihre Cyberaktivitäten verstärken und künftig auch für Sabotage einsetzen könnten.

Als Beispiel gilt der von Russland 2015 durchgeführte Cyberangriff auf die ukrainische Stromversorgung. Er gilt als erste staatliche, durch einen Cyberangriff verursachte Sabotage gegen die Stromversorgung eines anderen Landes. Laut BfV verfügen russische Dienste über entsprechende Fähigkeiten, die im Bedarfsfall auch gegen Deutschland eingesetzt werden könnten. Neben Russland und China haben auch Iran und Nordkorea umfangreiche Kapazitäten für gezielte Cyberoperationen.