Kühlanlagen: Frankreich beschuldigt Irans Revolutionsgarde

Frankreich macht die iranische Revolutionsgarde für die Cyberangriffe auf Kühlanlagen an 700 Standorten verantwortlich und kündigt Sanktionen auf europäischer Ebene an. Manipulationen fernwartbarer Kälte-Steuerungen nach ähnlichem Muster trafen inzwischen auch Supermärkte und eine Metzgerei in Deutschland sowie den französischen Blutspendedienst.

Verwandt: Black October: Viele Angriffe liefen seit Monaten

Der Angriff vom 11. Oktober

Am 11. Oktober erlangten Angreifer die Kontrolle über die Software, mit der französische Supermärkte die Temperatur ihrer Kühlmöbel regeln. Betroffen waren mehr als 100 Läden der Coopérative U und 180 Geschäfte von Intermarché samt der Marke Netto. In einzelnen Märkten stiegen die Temperaturen Berichten zufolge auf bis zu 50 °C.

Nach Angaben des Senders BFMTV verbanden sich die Angreifer aus der Ferne mit den Kühl- und Gefriergeräten und schalteten Abtauzyklen ein. Abtauzyklen sind Heizphasen, in denen eine Kälteanlage regulär das Eis von ihrem Verdampfer entfernt. Die eingeschalteten Zyklen ließen die Temperatur steigen, einige Kühlgeräte gerieten daraufhin in Brand.

Nach Angaben der Pariser Staatsanwaltschaft traf der Angriff 700 Einzelhandelsstandorte in Frankreich. Er verursachte signifikanten Lebensmittelverderb und rund zwanzig Brände.

Paris benennt die Urheber

Am 9. November hat die französische Regierung die Angriffe politisch zugeordnet. Außenminister Jean-Noël Barrot macht die iranische Revolutionsgarde verantwortlich, lässt den iranischen Botschafter in Paris einbestellen und kündigt Sanktionen auf europäischer Ebene gegen alle Verantwortlichen an. Die Regierung wertet die Angriffe als ersten großangelegten Cyberangriff zu Sabotagezwecken auf französischem Staatsgebiet, von beispiellosem Ausmaß und beispielloser Aggressivität.

Zugleich kündigte die Pariser Staatsanwältin Laure Beccuau eine Justizuntersuchung gegen den Leiter der Gruppe Shahid Kaveh und dessen zwei Stellvertreter an. Die offensive Cyber-Einheit wird dem Electronic and Cyber Centre der Revolutionsgarde zugeordnet, kurz IRGC-CEC.

Offene Verwaltungs-Interfaces als Einfallsweg

Technische Hinweise lagen schon kurz nach dem Angriff vor. In der Alarmierung CERTFR-2026-ALE-012 des französischen Computer-Notfallteams CERT-FR vom 12. Oktober sind zahlreiche Kompromittierungen fernsteuerbarer Kälte-Controller verzeichnet. Es geht um die Reihen Copeland xweb, Danfoss AK-SC, Danfoss AK-SM und Dixell xweb, eine Fassung vom 13. Oktober ergänzte weitere Zielgeräte. Dass ein Verwaltungs-Interface, also die Bedienoberfläche zur Konfiguration einer Anlage, aus dem Internet erreichbar ist, widerspricht nach Einschätzung des CERT-FR den guten Praktiken.

Vincent Strubel, Generaldirektor der Cybersicherheitsbehörde ANSSI, wurde am 21. Oktober vor dem französischen Senat deutlicher. Ausgenutzt wurden nach seinen Worten elementare Schutzdefizite wie die direkte Internet-Exposition der Kältegeräte, ungesicherte Administration und schwache Passwörter. Die in den Vorjahren veröffentlichten Schwachstellen nutzten die Angreifer demnach nicht. Dabei empfiehlt die ANSSI seit 2014, Industriesysteme nicht direkt ins Internet zu stellen. Die Befunde von CERT-FR und ANSSI verweisen damit auf denselben Einfallsweg, ungeschützte Administrationsschnittstellen.

Die zweite Welle erreicht Deutschland

Anfang November traf eine zweite Angriffswelle weitere Geschäfte in mehreren europäischen Ländern. Ob sie mit dem französischen Angriff zusammenhängt, ist unbekannt. Dem Bundesamt für Sicherheit in der Informationstechnik (BSI) sind Vorfälle bei einzelnen Supermärkten in Deutschland und zahlreichen weiteren europäischen Ländern bekannt, bei denen Unbefugte internet-erreichbare Steuerungen von Kühlanlagen manipulierten. In einigen Fällen mussten Lebensmittel vernichtet werden.

In der Nacht zum 2. November manipulierten Unbekannte die Fernsteuerungs- und Überwachungssysteme einer Metzgerei im Landkreis Neustadt an der Waldnaab und stellten mehrere Kühlhäuser auf bis zu 150 Grad ein. Der Schaden liegt im fünfstelligen Eurobereich. Die Kriminalpolizei Weiden ermittelt wegen Datenveränderung, Computersabotage und Sachbeschädigung. Einen Zusammenhang mit den europaweiten Angriffen auf Kühlanlagen hält sie für möglich, geklärt ist er bislang nicht.

In derselben Nacht traf es den französischen Blutspendedienst Établissement français du sang (EFS). An drei regionalen Standorten wurden Kühlräume des Kälte-Dienstleisters Coolworld, in denen Blutproben und Plasmaprodukte bei minus 30 Grad lagern, über die Fernüberwachungssoftware umprogrammiert, nach Angaben der Wochenzeitung Le Canard Enchaîné auf bis zu 110 Grad. Produktverluste oder Gesundheitsfolgen entstanden nach Angaben des EFS nicht.

Empfehlungen von CERT-FR und BSI

Nach der aktualisierten Warnung des CERT-FR vom 13. Oktober sollen Betreiber die Internet-Exposition der Geräte entfernen, die gesamte Konfiguration einschließlich der Abtauphasen prüfen, Zugriffe nur über ein gesichertes VPN wiederherstellen und kompromittierte Geräte per Werksreset neu einrichten. Ein VPN ist ein verschlüsselter Tunnel, über den sich Techniker ins interne Netz einwählen. Ein Werksreset setzt das Gerät auf den Auslieferungszustand zurück.

Für Betreiber kleiner industrieller oder vergleichbarer Anlagen, etwa zur Kühlung von Lebensmitteln, gibt es seit dem 13. Oktober die Cybersicherheitsempfehlung BSI-CS 154. Empfohlen wird darin, direkte Internetzugriffe zu unterbinden, Zugänge per VPN und Mehr-Faktor-Authentifizierung abzusichern, also mit einem zweiten Nachweis neben dem Passwort, Sicherheitsupdates kurzfristig einzuspielen und die eigene Exposition zu prüfen. Für Filialisten, Kühlhausbetreiber und Kältetechniker beginnt die Umsetzung damit bei drei Bestandsfragen, nämlich welche Steuerungen aus dem Internet erreichbar sind, wer über welche Fernzugänge auf sie zugreift und ob eine veränderte Temperatureinstellung rechtzeitig auffällt.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Welche Vorwürfe erhebt die Pariser Justiz?

Die Untersuchung richtet sich gegen den Leiter von Shahid Kaveh und dessen zwei Stellvertreter. Im Raum stehen unter anderem rechtswidrige Einwirkung auf ein automatisiertes Datenverarbeitungssystem und die Herbeiführung von Schäden mit für Personen gefährlichen Mitteln in organisierter Gruppe. Als erschwerend gilt die Ausführung zugunsten einer ausländischen Macht, Irans.

Genügt es, kompromittierte Steuerungen zurückzusetzen?

Nach Einschätzung des CERT-FR reicht ein Werksreset ohne zusätzliche Schutzmaßnahmen bei Geräten ohne Sicherheitsupdates nicht aus. Zudem laufen die Angriffskampagnen nach Einschätzung des CERT-FR vermutlich noch.

Ist die Lebensmittelversorgung in Deutschland gefährdet?

Nach Einschätzung des BSI ist die Versorgungssicherheit in Deutschland nicht gefährdet. Betroffen sind nach dem Stand des BSI einzelne Supermärkte, in einigen Fällen mussten dort Lebensmittel vernichtet werden.

Lesetipps der Redaktion

LesetippFernwartung macht Supermarkt-Kühlungen zum AngriffszielLesetippOpenSSH-Lücke erlaubt Anmeldeumgehung auf Alpine LinuxLesetippMicrosofts Risikogruppen ersetzen keine Einzelprüfung

Bildquelle: KI-generiert (November 2026)

Mehr aus dem MBF Media Netzwerk

cloudmagazinToken Panic: KI-Kosten bewusst steuern MyBusinessFutureUX als Business-Hebel: Erlebnisse wie ein Produkt steuern Digital ChiefsDie Rechtsgrundlage wackelt, die Datenflüsse laufen weiter