Cyberangriff auf Danfoss: Kühlmaßnahmen in Frankreich betroffen

Hunderte von französischen Supermärkten wachten am Montag (12.) mit defekten Kühlregalen, verdorbenen Produkten und laut Staatsanwaltschaft möglichen Brandursachen auf. Die Staatsanwaltschaft Paris hat von sich aus Ermittlungen eingeleitet und den Fall an das Office anti-cybercriminalité (OFAC) übergeben, wie die AFP berichtet. Der Angriff fand in der Nacht von Sonntag auf Montag statt und betraf Filialen der Ketten Intermarché, Netto und Système U, mit Berichten über noch nicht bestätigte Vorfälle bei E.Leclerc und Monoprix.

Das Ziel waren nicht die Kassensysteme oder die Kundendaten. Es waren die Kühlsteuerungen. Laut einer Quelle aus dem Büro des Premierministers, die von der französischen Presse zitiert wurde, identifizierte die ANSSI, die nationale Behörde für Cybersicherheit, eine Schwachstelle in der Software des dänischen Unternehmens Danfoss, das Steuerungssysteme für die gewerbliche Kühlung herstellt. Die Angreifer sollen erzwungene Abtauzyklen aktiviert haben, wobei Temperaturen von bis zu 50 °C in den Regalen über Stunden berichtet wurden.

Was die Unternehmen bestätigt haben

Dominique Schelcher, CEO der Coopérative U, bestätigte auf X, dass ein Cyberangriff die Kühlung mehrerer Filialen der Kette betroffen hat und bezeichnete den Vorfall als "von extremer Schwere" und "einmalig". Nahezu hundert Filialen der Marke waren betroffen, berichten die Medien. Die Gruppe Les Mousquetaires, Eigentümer von Intermarché und Netto, hat die Zahl der betroffenen Einheiten im Laufe des Tages nach oben korrigiert und mitgeteilt, dass frische und tiefgefrorene Produkte entsorgt werden mussten. Die Zahlen der betroffenen Geschäfte variieren je nach Quelle, und eine konsolidierte Zählung wurde von keiner Behörde veröffentlicht.

Danach bestätigte Danfoss in einer Erklärung "Vorfälle in Frankreich, die eine begrenzte Anzahl von Kühlmanagementsystemen betreffen". Das Unternehmen führte das Problem auf Geräte zurück, die mit veralteter Firmware liefen. Bis zum Zeitpunkt der Veröffentlichung dieses Artikels hat sich niemand zu dem Angriff bekannt, und die Behörden haben noch keine Verantwortung zugewiesen.

Premierminister Sébastien Lecornu hat die ANSSI eingeschaltet. Eine Quelle, die von France Inter gehört wurde, schätzte die Gesamtschäden auf mehrere Millionen Euro; diese Zahl hängt vom Inventar jedes Geschäfts ab und hat noch keine offizielle Grundlage.

Warum der Fall auch außerhalb des Einzelhandels wichtig ist

Angriffe auf Einzelhändler zielen oft auf Kartendaten oder unterbrechen die Logistik durch Ransomware. Dieser Angriff traf jedoch die Schicht der Betriebstechnik (OT), das Equipment, das die Kühlkette aufrechterhält, und verursachte in einer einzigen Nacht messbare physische Schäden, ohne dass ein bekanntes Lösegeld gefordert wurde. Für einen CISO ist die Lehre hier das Inventar: Kühlsteuerungen fallen oft aus dem IT-Rahmen und werden von Drittanbietern installiert und gewartet, die vor Jahren einen Fernzugriff eingerichtet haben.

Der Vorfall zeigt eine Abhängigkeit von einem einzigen Anbieter auf nationaler Ebene. Konkurrenten, mit unabhängigen IT-Strukturen, sind zusammen gefallen, weil sie denselben Steuerungshersteller und, gemäß Danfoss, ältere Versionen derselben Software verwendeten. Es ist das gleiche Muster des konzentrierten Risikos, das der Finanzsektor gelernt hat, bei Cloud-Anbietern zu kartieren, während der Lebensmitteleinzelhandel dies noch als Beschaffung von Geräten behandelt.

Dänemark, Frankreich und der Rest Europas

Die Analyse erstreckt sich über mehrere Länder. In Dänemark, dem Sitz von Danfoss, liegt der Druck beim Anbieter: Jeder Kunde des Unternehmens, egal in welchem Land, wird fragen, ob er die betroffenen Versionen verwendet und was es kostet, den Altbestand zu migrieren. In Frankreich testet der Fall die Reaktion des Staates auf einen Angriff auf die Lebensmittelversorgungskette, einen Sektor, den die europäische NIS2-Richtlinie als wichtig einstuft und der Verpflichtungen in Bezug auf Risikomanagement und Meldung unterliegt.

In den übrigen europäischen Märkten bietet die NIS2 den nationalen Regulierungsbehörden eine Grundlage, um von Lebensmittelverteilern dasselbe OT-Inventar zu fordern, das Frankreich nun hastig anfordert. Außerhalb der Europäischen Union, wo Danfoss-Steuerungen auch Supermärkte und Kühlräume von Distributoren ausstatten, ist die Frage für die Vorstände einfacher und unangenehmer: Wer im Unternehmen weiß, welche Firmware-Version auf den Kühlgeräten läuft und wer Zugang zu ihnen hat.

Der noch ungeklärte Punkt ist das Eindringvector. Danfoss spricht von alter Firmware; die ANSSI, laut der zitierten Quelle, von einer Software-Schwachstelle. Sollte die Untersuchung ergeben, dass der Zugriff durch Integrator-Anmeldeinformationen und nicht durch einen Produktfehler erfolgt ist, verschiebt sich die Verantwortung und damit die Wartungsverträge für Tausende von Geschäften.