Warum Tiefkühltruhen eine Heizung haben – und Hacker sie anwerfen

In der Nacht zum 2. November 2026 begannen die Tiefkühltruhen eines ICA-Kvantum-Supermarkts im schwedischen Städtchen Sjöbo warm zu werden. Am Morgen teilte der Markt seinen Kunden auf Facebook mit, Kühlschränke und Gefriertruhen seien gehackt und auf 50 °C gestellt worden, die betroffenen Waren würden entsorgt. In derselben Nacht kam es in Dutzenden Läden in vier weiteren Ländern zu ähnlichen Ausfällen, berichtete die Nachrichtenagentur AP.

Es ist bereits die dritte Welle. Im August fielen Kühlgeräte in Läden auf US-Militärstützpunkten auf dieselbe Weise aus; das Pentagon prüft das inzwischen als möglichen Cyberangriff. Im Oktober traf es rund 700 Supermärkte in Frankreich. Das Seltsamste daran: Die Kühlung hat niemand kaputt gemacht. Die Angreifer schalteten etwas ein, das ohnehin in jeder Tiefkühlvitrine steckt – eine eingebaute Heizung. Und bei den meisten französischen Kühlsteuerungen, die einen Monat zuvor aus dem Internet erreichbar waren, konnte jeder mit einem Kalender das Administratorpasswort ausrechnen.

Wozu eine Tiefkühltruhe eine Heizung hat

Die Luft im Supermarkt ist feucht. Trifft sie auf die kalten Verdampferrohre in der Vitrine, schlägt sich die Feuchtigkeit als Reif nieder, und der wirkt wie ein Wintermantel: Je dicker er wird, desto schlechter geben die Rohre Kälte ab. Deshalb taut sich ein gewerbliches Tiefkühlgerät nach Plan selbst ab. Eine Heizung springt an, der Reif schmilzt, das Wasser läuft ab, und die Vitrine kühlt wieder herunter. Normalerweise dauert das etwa zwei Stunden am Tag, schreibt das schwedische Wirtschaftsportal Dagens PS.

Die Angreifer wiesen die Steuerungen an, ohne Pause abzutauen, und setzten den Sollwert der Heizung auf 50 °C. In manchen französischen Märkten verlängerten sie zudem jeden Abtauzyklus von einer auf acht Stunden, berichtete Le Monde. So schlugen die Alarme lange nicht an, und der Schaden hatte Zeit, sich auszubreiten.

Wo jemand hinsah, flog der Angriff schnell auf. In Estland entdeckte die Servicefirma Kitman Coldtech Eindringlinge auf einem Rechner, der die Kühlanlage eines Kunden steuerte, meldete AP. Sie hatten die Temperatur bereits auf dieselben 50 °C hochgeschraubt. Laut Geschäftsführer Jann Mutso war der Spuk nach wenigen Minuten vorbei, nennenswerter Schaden entstand nicht.

Die 50 °C standen in jeder Schlagzeile, doch das ist die Einstellung der Heizung, nicht die Temperatur im Regal. Das Display einer französischen Eistruhe zeigte 26 °C, berichtete Dagens PS. Für das Eis machte das kaum einen Unterschied. Tiefkühlware muss bei −18 °C oder kälter lagern; kurze Ausreißer bis −15 °C sind erlaubt, alles darüber darf nicht mehr verkauft werden. Also landete alles im Müll. „Wir mussten sämtliche Frischwaren wegwerfen (die Fleischtheke inklusive)“, schrieb ein Intermarché in Mûr-de-Bretagne in der Bretagne.

Drei Wellen seit August

Die ersten ähnlichen Fälle tauchten außerhalb Europas auf. Ende August 2026 fiel in mindestens sechs Läden auf US-Militärstützpunkten die Kühlung aus, fand Reuters heraus. Am 26. August meldete Fort Huachuca in Arizona, ein Kühlgerät habe sich selbst in den Abtaumodus geschaltet und die Lebensmittel erwärmt, bis sie verdarben. Von welchem Hersteller die Geräte auf den Stützpunkten stammten, konnte Reuters nicht klären.

In der Nacht vom 11. auf den 12. Oktober passierte dasselbe in Frankreich, in Hunderten Läden gleichzeitig. Wirtschafts- und Finanzminister Roland Lescure sagte im Parlament, betroffen seien etwa 700 der 10.000 Supermärkte im Land. „Das ist inakzeptabel“, schrieb Dominique Schelcher, Chef der Coopérative U. Zwei Supermärkte in Haguenau im Elsass verloren zusammen Lebensmittel im Wert von 270.000 Euro, rechnete Dagens PS vor. Intermarché warnte, dass die Versicherung solche Vorfälle in seinen Märkten nicht abdeckt. Die Pariser Staatsanwaltschaft ermittelt, auch zu den Verlusten und zu Berichten über Brände in einigen Läden.

In einer Eilwarnung nannte Frankreichs Cybersicherheitsbehörde das dänische Unternehmen Danfoss als Hersteller der Technik. Einen Tag später ergänzte sie zwei weitere Hersteller und warnte, die Angriffe liefen wahrscheinlich noch. Drei Wochen später bekam die Behörde recht: Am 2. November traf es mehrere Dutzend Filialen von Delhaize, Carrefour und SuperValu in Belgien, Luxemburg und Irland. Die irischen Läden füllten ihre Kühlregale noch am selben Abend wieder auf.

Ein Passwort aus dem Kalender

Die Danfoss AK-SM 800A ist im Grunde die Schaltzentrale für die Kühlung eines Markts. Über eine Weboberfläche überwacht das Personal jeden Kühlkreis, legt Temperaturgrenzen fest, ändert Abtaupläne und korrigiert Einstellungen aus der Ferne. Früher waren Kühlanlagen vom Internet getrennt; heute hängen sie für Sensoren und Fernüberwachung am Netz, sagte der Cybersicherheitsberater Antoine Hautin der Nachrichtenagentur AFP. Eine Servicefirma kann so die Vitrinen all ihrer Kunden vom eigenen Büro aus im Blick behalten.

Forscher von Claroty, einem Spezialisten für industrielle Cybersicherheit, entdeckten in dieser Steuerung einen versteckten „Code des Tages“: ein Servicepasswort, das das Gerät jeden Tag allein aus dem aktuellen Datum berechnet. Wer die Rechenvorschrift nachbaut, kann sich als Administrator anmelden, ohne das echte Passwort zu kennen. Die Forscher meldeten die Lücke, und im März 2025 schloss Danfoss sie mit der Firmware 4.2. Amir Zaltzman von Claroty veröffentlichte am 9. August 2026 eine ausführliche Analyse.

Die Betreiber hatten anderthalb Jahre Zeit für das Update. Kaum einer nutzte sie. Am 11. Oktober, am Vorabend des Angriffs, zählte die Gerätesuchmaschine Censys in Frankreich 1.825 dieser Steuerungen, die direkt aus dem Internet erreichbar waren. Auf 1.158 davon lief eine Firmware älter als 4.2 – das Kalenderpasswort funktionierte also noch. Ob die Angreifer genau diese Lücke nutzten, weiß niemand: Weder Danfoss noch die französischen Behörden haben das Einfallstor benannt.

Noch schlechter steht es um die älteren Modelle. Bei den meisten betroffenen Geräten handelte es sich laut Danfoss um Systeme vom Typ AK-SM 800 und AK-SC 355. Den Support für das erste stellte das Unternehmen im Mai 2021 ein, das zweite wird seit 2016 nicht mehr produziert. Updates bekommt keines von beiden, und die Märkte ersetzen sie nur zögerlich: Die Anlagen halten jahrelang und sind teuer.

Lösegeld wollte niemand

Ein typischer Hack soll sich lohnen: Der Angreifer stiehlt Daten oder verschlüsselt sie und verlangt Geld. Hier wurde nichts gestohlen, kein Lösegeld gefordert, und niemand bekannte sich zu der Tat. Für einen Angriff dieser Größe sei das ungewöhnlich, bemerkte Christopher Whyte von der Virginia Commonwealth University. Technisch sei das Ganze „nicht allzu schwierig“. Warum es jemand tut, weiß bislang niemand.

Ganz neu ist der Trick nicht. Danfoss sagte gegenüber Reuters, Angreifer hätten schon 2022 über veraltete Steuerungen des Herstellers Supermärkte in Russland und Israel attackiert. Neu ist das Ausmaß: Hunderte Läden in einer Nacht und inzwischen mehrere Länder. John Hultquist, Chefanalyst der Google Threat Intelligence Group, brachte es so auf den Punkt: „Das komplexe System, das unsere Lebensmittel liefert, ist fragil, bekommt aber oft nicht die Aufmerksamkeit, die es verdient.“

Abgeklemmt statt gepatcht

Nach dem Angriff im Oktober reagierten die Betreiber hektisch. Binnen drei Tagen sank die Zahl der aus dem Internet sichtbaren französischen Steuerungen von 1.825 auf 537, ein Minus von 71 Prozent. Doch die Zahl gepatchter und ungepatchter Geräte sank im gleichen Tempo. Mit anderen Worten: Die meisten Steuerungen wurden einfach vom Netz genommen, die Firmware blieb unangetastet. Laut Censys war das vermutlich die beste Wahl, denn es gibt keinen Grund, solche Geräte direkt ins Internet zu hängen. Die französische Behörde sieht es genauso und empfiehlt, den Fernzugriff nur über ein gesichertes VPN wiederherzustellen.

Eine Zahl zeigt, wie selten diese Steuerungen überhaupt aktualisiert werden. Am 11. Oktober fand Censys die neueste Danfoss-Firmware, Version 5.3.2, auf 27 der knapp 3.000 weltweit aus dem Internet sichtbaren Steuerungen – weniger als ein Prozent. Niemand hat das Einfallstor benannt, niemand kennt das Motiv, und der November hat gezeigt, dass die Angriffe nicht aufgehört haben. Wie groß die nächste Welle wird, hängt davon ab, wie viele dieser Steuerungen noch immer offen im Internet hängen.