In der Nacht auf Montag wurden Kälteanlagen in Dutzenden Supermärkten in Belgien, Irland, Luxemburg und Schweden in den Abtau-Modus geschickt und auf Temperaturen weit über ihren Sollwerten gehalten. Ahold Delhaize und Colruyt bestätigten Vorfälle. Belgische Medien zählten rund 40 Delhaize-Filialen, 15 Carrefour-Märkte und fünf Spar-Standorte sowie die Metzgerei De Laet en Van Haver, mit etwa 100.000 Euro entsorgter Ware. Schwedische ICA-Märkte meldeten in derselben Nacht Probleme. Euronews zitierte belgische Berichte, wonach Anlagen auf bis zu 70°C getrieben wurden; andere Medien sprachen von Spitzen um 50°C. So oder so: Die Lebensmittel waren verloren.

Es ist die zweite Welle binnen drei Wochen, und sie beruht auf keiner neuen Schwachstelle. Das Team82 von Claroty veröffentlichte im August eine Analyse der Danfoss-Kältesteuerungen — der Managementplattform AK-SM 800A und der älteren Geräte AK-SM 800 und AK-SC 355 — und zeigte, dass über internetexponierte Schnittstellen Sollwerte und Abtaupläne umgeschrieben werden können. Danfoss veröffentlichte Advisories, darunter CVE-2025-41451, und erklärte, die in Frankreich am stärksten betroffenen Geräte seien Altmodelle ohne Sicherheitsupdates. Am 12. Oktober verloren Hunderte Filialen von Intermarché und Coopérative U auf dieselbe Weise ihre Ware.

Stephan Moelans, Geschäftsführer des Kälteanlagenbauers Sabcobel, sagte gegenüber Belga, die belgische Welle nutze exakt denselben Mechanismus wie die französische, und wurde beim Gegenmittel deutlich: Ein Software-Update allein reicht nicht. Manche Standorte brauchen bauliche Veränderungen; die praktikabelste Lösung, für die sich die meisten seiner Kunden nach Oktober entschieden, besteht darin, die Steuerungen nicht mehr offen im Internet zu betreiben, sondern über eine gesicherte Verbindung zu verwalten. Sabcobel kannte rund zwanzig betroffene Geräte unter den Hunderten, die es betreut.

Genau darin liegt die Geschichte. Diese Steuerungen sind fünfzehn Jahre alte, an Gebäude geschraubte Anlagen; das Netzwerk drumherum ist oft ein Jahrzehnt jünger und gehört niemandem so richtig. Der Hersteller verkauft Hardware, der Installateur einen Servicevertrag, der Händler kauft Verfügbarkeit — und der Integrator, der einst die Portweiterleitung durch die Store-Firewall legte, ist längst weg. Die Angriffsfläche hat keine zuständige Abteilung.

Die Folgen sind nicht mehr theoretisch. Verdorbenes Essen ist die harmlose Variante. Dieselbe Geräteklasse steht in Verteilzentren und in der Kühlkette, und laut TechCrunch prüft das US-Verteidigungsministerium, ob Kühlgeräte auf Militärstützpunkten von iranisch verknüpften Eindringlingen betroffen waren. Wasserversorger haben das bereits durchgemacht: Die Lücke war bekannt, die Anlagen hatten keinen Eigentümer, der Vorfall kam trotzdem.

Zu beobachten ist dreierlei: ob Delhaize und Colruyt offenlegen, wie die Angreifer hereinkamen — offener Management-Port oder gestohlene Zugangsdaten —, weil davon abhängt, ob ein Firewall-Regelsatz reicht oder alle Geräte neue Zugangsdaten brauchen; ob dieselben Akteure vom Verderben der Ware zum Beschädigen von Kompressoren übergehen, was eine andere Versicherungsfrage ist; und ob die Versicherer des Einzelhandels vor der Police-Erneuerung nach unbeaufsichtigter Betriebstechnik zu fragen beginnen — der einzige Druck, der dieses Problem je schneller bewegt hat als ein Vorfall.

Quellen