50 °C in der Tiefkühlabteilung: Was der Angriff auf französische Supermärkte uns über OT-Sicherheit lehrt

In der Nacht vom 11. auf den 12. Oktober 2026 zwangen Angreifer die Kühlsteuerungen hunderter französischer Supermärkte in einen Dauer-Auftauzyklus. Die Temperaturen in Kühl- und Gefrierschränken stiegen auf bis zu 50 °C. Betroffen waren unter anderem die Ketten Intermarché, Netto, Coopérative U, Carrefour, Monoprix und E.Leclerc. Der Eigentümer von Intermarché, Les Mousquetaires, rechnet mit Schäden in Höhe von zweistelligen Millionenbeträgen. Die Auswirkungen blieben nicht auf Frankreich beschränkt: Reuters zitiert einen Analysten von Sekoia, der von betroffenen Systemen in Spanien, Portugal, Polen, Deutschland und Belgien berichtet. 

Was passiert ist – und was wir noch nicht wissen 

CERT-FR identifizierte Kompromittierungen von Danfoss AK-SM- und AK-SC-Steuerungen sowie von Kältemanagement-Systemen des Typs Copeland/Dixell xweb. Danfoss gibt an, dass es sich bei den meisten betroffenen Geräten um Altprodukte handele, die keine Sicherheitsupdates mehr erhalten. Das AK-SM 800 sei seit 2021 end-of-life, das AK-SC 355 bereits 2016 ausgelaufen. Der Angriff folgte auf eine Veröffentlichung von Claroty im August, in der Schwachstellen in Danfoss-Kühlsteuerungen beschrieben wurden – ob aber genau diese Lücken im Oktober ausgenutzt wurden, ist öffentlich bislang nicht bestätigt. Die Steuerungen erlauben es Wartungsdienstleistern, Kälteanlagen aus der Ferne zu verwalten. Nach dem Angriff forderten die französischen Behörden die Betreiber auf, den öffentlichen Internetzugang zu entfernen und den Fernzugriff nur noch über ein geschütztes Netz wiederherzustellen. 

Der Einstiegspunkt und die Identität der Angreifer sind weiterhin unbestätigt. CERT-FR hat keine konkrete Schwachstelle benannt, die bei dem Angriff ausgenutzt wurde, und weder CERT-FR noch Danfoss haben sich öffentlich zur Urheberschaft geäußert.  

Warum OT-Sicherheit so kritisch ist 

Wenn ein System Temperatur, Anlagen, Lebensmittel oder Medikamente steuert, gehört es auf die Risikolandkarte des CISO. Drei Dinge haben diesen Angriff möglich gemacht:

• Lange Lebenszyklen der Geräte. Steuerungen, SPS und Sensoren laufen oft 15 bis 30 Jahre – weit über das Ende des Herstellersupports hinaus. Patchten bedeutet Stillstand, Neu-Zertifizierung und Abhängigkeit vom Hersteller. 

• Fernzugriff durch Dritte. Ein kompromittiertes Zugangskonto eines Dienstleisters oder ein offenes Portal kann auf einen Schlag hunderte Standorte erreichen. 

• Unüberwachte Netze. Schädliche Änderungen an Steuerungseinstellungen können unbemerkt bleiben, wenn weder der Fernzugriff noch der physische Prozess wirksam überwacht werden. 

Ähnliche Risiken entstehen überall dort, wo vernetzte Systeme wesentliche physische Abläufe steuern – von der Impfstoff-Lagerung über die Wasseraufbereitung bis zur Kühlung von Rechenzentren und zur Strominfrastruktur. OT-Systeme können jahrzehntelang im Einsatz bleiben, während betriebliche Zwänge das Patchen, aktives Scannen und geplante Wartungsfenster einschränken. Auf diesen Geräten können keine Agenten laufen. Aktives Scannen kann sie zum Absturz bringen. Sensorlastige Projekte bleiben in der Planung stecken, während die blinden Flecken wachsen. Organisationen in dieser Lage sind verpflichtet, Systeme zu schützen, zu segmentieren und zu prüfen, die sie nicht vollständig überblicken können. 

Wo Exeon.NDR ins Spiel kommt 

Exeon.NDR beginnt mit Sichtbarkeit: passiv, ohne Agenten und auf Basis von Netzwerk-Metadaten, die ohnehin schon vorliegen (NetFlow, IPFIX, Firewall- und DNS-Logs). In das OT-Netz wird dabei nichts eingeschleust, es gibt also keine Auswirkungen auf den laufenden Betrieb. 

1. Sehen, was da ist. Automatische Geräteerkennung und Kommunikations-Mapping machen Geräte sichtbar, die in keiner Tabelle stehen – inklusive Management-Oberflächen und Fernzugriffswegen, die die eigentlich vorgesehenen Kontrollen umgehen.
2. Segmentierung laufend überprüfen. Firewall-Regeln beschreiben, was zulässig ist, während Metadaten zeigen, was tatsächlich geschieht. Vorübergehende Wartungsregeln, die nie wieder entfernt werden, sind genau der Grund, warum Controller letztendlich angreifbar werden. Exeon.NDR vergleicht beobachtete Datenflüsse mit den vorgesehenen Richtlinien, sodass die Segmentierung überwacht und nicht nur vorausgesetzt wird.
3. Anormales Verhalten erkennen. ML-basierte Verhaltensanalyse meldet neue Verbindungen, ungewöhnliche Kommunikation nach aussen, unerwartete Remote-Sitzungen und laterale Bewegung – unabhängig von der Verschlüsselung des Datenverkehrs und ohne Signaturen.
4. Untersuchen und belegen. Historische Netzwerkdaten stützen Forensik, die Meldepflicht gegenüber Behörden (NIS2: Meldung binnen 24 Stunden) und die Prüfungssicherheit. Alarme fliessen in dein bestehenden SIEM und SOC.

Beleg aus der Praxis: Ein grosser deutscher Verteilnetzbetreiber (KRITIS) hat Exeon.NDR mit gezielter Deep-Packet-Inspection in seiner eigenen, air-gapped Infrastruktur kombiniert. Er hatte rund zwei Wochen nach der technischen Installation eine gemeinsame IT/OT-Sicht und handlungsfähiges Monitoring. 

Fünf Fragen, um deine OT-Sicherheit zu stärken 

1. Kennst du jede angeschlossene Steuerung, ihre Firmware und ob sie von aussen erreichbar ist? 
2. Welche Dritten können aus der Ferne auf dein OT zugreifen – und wie? 
3. Wird die Segmentierung laufend überprüft oder nur zum Audit-Zeitpunkt? 
4. Würdest du anormales Verhalten auf diesen Geräten heute Nacht bemerken – und nicht erst morgen früh? 
5. Welche physische Absicherung verhindert, dass ein manipulierter Befehl Schaden anrichtet?