Die vergessene OT: Hunderte französische Supermärkte verlieren ihre Kühlung

In der Nacht von Sonntag auf Montag kaperten Angreifer aus der Ferne die Kühlsteuerungssysteme französischer Supermärkte und liessen die Temperaturen steigen, indem sie die in den Reglern integrierte automatische Abtaufunktion auslösten. Das Personal fand bei Arbeitsbeginn aufgetaute und verdorbene Ware vor. Französische Medien berichten von 250 bis 350 betroffenen Filialen, darunter Intermarché, Super U und Coopérative U, Carrefour Market, Monoprix und Leclerc. Die gemeldeten Verluste liegen pro betroffenem Unternehmen im Bereich von Zehntausenden bis Hunderttausenden Euro. Die Pariser Staatsanwaltschaft hat eine Untersuchung eingeleitet und bringt den Angriff mit den Lebensmittelverlusten sowie gemeldeten Bränden in Verbindung.

Die betroffenen Systeme laufen mit älteren Versionen der Steuerungssoftware des dänischen Herstellers Danfoss. Wie die Angreifer eindringen konnten, ist bislang nicht bestätigt.

Dies war ein OT-Angriff, keine IT-Sicherheitsverletzung

Nichts wurde verschlüsselt. Keine Daten wurden gestohlen. Keine Lösegeldforderung erschien. Die Angreifer brauchten nichts davon, denn sie befanden sich gar nicht in der IT-Landschaft. Sie befanden sich in der Operational Technology — den Steuerungssystemen, die physische Prozesse ausführen.

Ein Kühlregler ist ein industrielles Steuerungssystem im selben Sinne wie ein Pumpenregler oder eine SPS einer Produktionslinie. Er liest Sensoren aus, hält Sollwerte und steuert Anlagen an. Die Angreifer haben ihn nicht manipuliert im Sinne eines Einbruchs — sie haben ihn genau wie vorgesehen benutzt und einen Abtauzyklus ausgelöst, den der Regler als Standardfunktion anbietet. Aus Sicht des Systems geschah nichts Ungewöhnliches.

Das ist das entscheidende Merkmal von OT-Angriffen und der Grund, warum IT-Sicherheitskontrollen sie nicht erkennen. Es gibt keine Malware zu entdecken, keinen anomalen Prozess zu melden, keine Exfiltration zu bemerken. Die bösartige Handlung ist ein legitimer Befehl, ausgeführt von jemandem, der dazu nicht befugt sein sollte.

Auch die Folgen unterscheiden sich grundlegend. Eine IT-Kompromittierung kostet ein Unternehmen seine Daten und seine Produktivität, und es gibt meist einen Weg zurück über Backups. Eine OT-Kompromittierung kostet physisches Produkt, physische Anlagen und hat in diesem Fall offenbar Brände ausgelöst. Für aufgetaute Ware gibt es keinen Entschlüsselungscode.

Warum OT überhaupt erreichbar ist

Was in diesem Fall bestätigt ist, ist die Exponierung. Am Montag fand der Sicherheitsforscher Baptiste Robert 2’752 Danfoss-Systeme, die direkt aus dem offenen Internet erreichbar waren, davon 1’590 in Frankreich. Shodan verzeichnete über 4’500 erreichbare Danfoss-Geräte.

Das ist der Normalzustand von OT, kein Einzelfall. Die CISA warnte im Mai 2025 vor einer Schwachstelle zur Umgehung der Authentifizierung in der Danfoss-Serie AK-SM 8xxA und im August 2025 vor einer Command-Injection-Schwachstelle auf derselben Hardwareplattform. Team82 von Claroty, das beide Schwachstellen fand, demonstrierte Remote Code Execution auf öffentlich erreichbaren Management-Oberflächen. Gepatchte Firmware existiert. Ob genau diese Schwachstellen hier zum Einsatz kamen, ist nicht bestätigt — aber das Muster, das sie beschreiben, ist es: direkt erreichbare Steuerungssysteme mit einer Firmware, die Jahre im Rückstand ist.

Drei strukturelle Gründe erklären, wie OT in diesen Zustand gerät — und sie gelten ebenso für eine Supermarktkette wie für einen Hersteller, einen Logistikbetrieb oder ein Immobilienportfolio.

OT wird ausserhalb der IT beschafft und gewartet. Ein Kältetechnik-Unternehmen, ein Integrator für Gebäudeautomation oder ein Maschinenlieferant installiert die Anlage und verbindet sie für die Fernwartung. Diese Verbindung ist sinnvoll und notwendig. Sie wird aber nie von jemandem geprüft, dessen Aufgabe Sicherheit ist — weil sie auf keinem Netzwerkdiagramm auftaucht.

OT fehlt im Asset-Inventar. Schwachstellen-Scans erfassen, was die Organisation nachweislich besitzt, und Steuerungssysteme stehen selten auf dieser Liste. Ein Sicherheitshinweis kann veröffentlicht, vom Hersteller bestätigt und per Firmware behoben werden, ohne je die für das Gerät verantwortliche Person zu erreichen.

Die Verfügbarkeit von OT hat Vorrang vor dem Patchen von OT. Diese Systeme laufen durchgehend und werden aktualisiert, wenn etwas ausfällt — nicht nach einem festen Zyklus. Ein Regler, der sechs Jahre funktioniert hat, gilt als funktionierend, und die Frage nach der Firmware stellt sich erst, wenn er ausfällt.

Detection machte den Unterschied

Manche Filialen konnten ihre Ware retten. Der Grund ist bemerkenswert genau: Filialleitende erhielten Warnmeldungen zu den Temperaturveränderungen, oder die Systeme wurden kurz vor Ladenöffnung angegriffen und jemand bemerkte es.

Das ist OT-Monitoring, auch wenn niemand es so genannt hat. Der Unterschied zwischen einem eingedämmten Vorfall und einem Totalverlust war, ob eine Veränderung des Prozesszustands einen Menschen erreichte, der handeln konnte.

Die meisten Organisationen haben dies genau verkehrt herum organisiert. Sie betreiben eine 24/7-Alarmierung für Server, die eine Stunde Ausfall verkraften können, und keinerlei Alarmierung für physische Prozesse, die keine zwanzig Minuten verkraften.

Wo Sie beginnen sollten

Beginnen Sie mit OT-Transparenz, denn ohne sie ist nichts anderes möglich. Erstellen Sie ein Inventar jedes Steuerungssystems in Ihrer Umgebung: Kühlung, HLK, Zutrittskontrolle, Energiemanagement, Produktionsanlagen, Aufzüge, Alarmzentralen. Erfassen Sie für jedes System, wer es installiert hat, wer es wartet, wie es erreichbar ist und welche Firmware es ausführt. In den meisten Organisationen ist dies eine einmalige Übung, die noch nie durchgeführt wurde — und sie bringt zuverlässig Systeme zum Vorschein, von denen niemand wusste, dass sie verbunden sind.

Ermitteln Sie anschliessend, was von aussen erreichbar ist. Fragen Sie jeden Wartungsdienstleister, auf welche Systeme er per Fernzugriff zugreift und über welchen Weg, und überprüfen Sie dies unabhängig gegen Ihre externen Adressbereiche, statt die Antwort unbesehen zu übernehmen. Dienste wie Shodan zeigen Ihnen, was ein Angreifer sieht.

Segmentieren Sie, was Sie finden. OT sollte nicht direkt aus dem Internet erreichbar sein und nicht ungeschützt neben der Büro-IT liegen. Fernwartung gehört hinter einen authentifizierten, zeitlich begrenzten und protokollierten Zugang in eine segmentierte Zone, die den Rest der Umgebung nicht erreichen kann — nicht auf eine öffentliche Schnittstelle mit einem Anbieter-Passwort.

Weisen Sie die Verantwortung für die Firmware vertraglich zu. In den meisten Wartungsverträgen ist niemand ausdrücklich dafür verantwortlich, auf einen Sicherheitshinweis zu reagieren — so kommt es, dass ein Regler achtzehn Monate nach Veröffentlichung noch immer mit einer dokumentierten Authentifizierungs-Umgehung läuft. Benennen Sie die verantwortliche Partei und eine Reaktionsfrist für kritische Sicherheitshinweise schriftlich.

Überwachen Sie schliesslich den Prozesszustand, nicht nur die Infrastruktur. Änderungen bei Temperatur, Druck, Laufzeit und Sollwerten sollten Alarme auslösen, die rund um die Uhr jemanden erreichen, der handeln kann — über einen Kanal, der unabhängig vom betroffenen System ist. Ein Alarm auf einem Bildschirm im Hinterzimmer wird erst am nächsten Morgen gelesen, und das war in diesem Vorfall bereits zu spät.

Kernaussage: Dies war ein Angriff auf Operational Technology, vollständig über legitime Reglerfunktionen ausgeführt — weshalb konventionelle IT-Sicherheit ihn nicht erkannt hätte. Tausende vergleichbarer Steuerungssysteme bleiben direkt aus dem Internet erreichbar. OT ist geschäftskritische Infrastruktur, die ausserhalb der meisten Sicherheitsprogramme liegt, weil ein externer Dienstleister sie installiert hat und niemand sie inventarisiert hat. Bauen Sie das OT-Asset-Inventar auf, ermitteln Sie, was von aussen erreichbar ist, segmentieren Sie die Fernwartung hinter authentifiziertem Zugang, weisen Sie die Firmware-Verantwortung vertraglich zu, und alarmieren Sie auf Basis des Prozesszustands, damit jemand es bemerkt, solange der Schaden noch eingedämmt werden kann.