IT-Sicherheit · Analyse
Von Kühlen auf Heizen: Die Angriffswelle auf Kühlanlagen im Einzelhandel
Statt fünf Grad waren es plötzlich fünfzig: In der Nacht auf den 2. November 2026 stellen Unbekannte in mehreren deutschen Supermärkten Kühlanlagen von Kühlen auf Heizen um. Große Mengen Fleisch, Milchprodukte und Tiefkühlware müssen entsorgt werden. Die Fälle kommen nicht isoliert. Ähnliche Angriffe hatte es in den Tagen zuvor in mehreren europäischen Ländern gegeben, drei Wochen früher bereits in Hunderten Filialen in Frankreich.
Bestätigt sind unter anderem zwei CAP-Märkte in Wuppertal und Wetter-Volmarstein, ein Rewe-Markt in Raesfeld, Edeka-Filialen in Lilienthal und Reisbach sowie das E-Center-Inkoop in Stuhr-Moordeich. Hinzu kommen eine Gaststätte in Abenberg und eine Metzgerei in der Oberpfalz. Ein einzelner Täter, ein einzelner Hersteller, ein einzelner Ort – das ist öffentlich nicht belegt. Was die Fälle verbindet, ist der Angriffsweg: über das Internet erreichbare Steuerungen und Fernwartungszugänge von Kühltechnik.
Der Ablauf ist ein Lehrstück, das weit über den Lebensmitteleinzelhandel hinausreicht. Wer Anlagen aus der Ferne wartet, öffnet eine Tür in die physische Welt. Eine kompromittierte Steuerung zerstört nicht zuerst Daten, sondern Ware, Kühlketten und Vertrauen. Genau das solltest du dir merken, wenn in deinem Unternehmen Heizung, Kühlung, Produktion oder Lager über Fernzugänge laufen.
Was in den Filialen passiert ist
Die Berichte aus den Märkten ähneln sich im Kern: Über Nacht steigt die Temperatur, am Morgen ist Ware nicht mehr zu halten. Christoph Nieder, verantwortlich für den CAP-Markt in Wuppertal (betrieben von der proviel GmbH), sagt dem WDR, viele Lebensmittel seien „dann eben auch auf dem Lkw in Richtung Abfallwirtschaftsgesellschaft gelandet“. Der Markt hatte am Montagnachmittag auf Facebook geschrieben: „Leider hat ein externer Zugriff am Wochenende dazu geführt, dass unsere Tiefkühl- und Kühlanlagen heute Vormittag zu warm waren.“
In Wetter-Volmarstein bestätigt eine AWO-Bereichsleiterin der dpa den Angriff. Betroffen seien Kühlregale ebenso wie Lagerbereiche außerhalb. Der eigentliche Angriff sei auf die Firma erfolgt, die die Kühlanlagen aus der Ferne warte. Eine Schadenssumme sei noch nicht zu beziffern. Dem WDR sagt Bereichsleiterin Sandra Salten dasselbe.
In Raesfeld bestätigt die Rewe-Zentrale den Cyberangriff. Betroffene Lebensmittel wurden vorsorglich entsorgt, die Kühltechnik war nach Angaben einer Sprecherin seit Montagnachmittag wieder in Betrieb. Weitere Märkte der Rewe-Group seien nicht betroffen. Der Angriff habe sich „gezielt gegen den Kühlsysteme-Anbieter Danfoss“ gerichtet (WDR) bzw. stehe „im Zusammenhang mit einem Cyberangriff auf den Systemanbieter Danfoss“ (FAZ).
In Lilienthal misst der Inhaber nach eigenen Angaben gegenüber Radio Bremen 70 Grad plus in der Frische-Theke und 30 Grad in den Kühlhäusern; ein kompletter Container mit Lebensmitteln muss entsorgt werden. Der Filialleiter erstattet Anzeige. In Reisbach sagt der Betreiber dem BR, die Anlagen seien in der Nacht auf „50 Grad heizen“ umgestellt worden. Foodsharing habe gerettet, was zu retten war; der Großteil musste entsorgt werden.
Im E-Center-Inkoop in Stuhr-Moordeich beschreibt Senior-Chef Bernd Oetken der Kreiszeitung den Ablauf besonders konkret: Die Temperatur der Tiefkühlung sei auf 50 Grad gesetzt, die mit der Kühlung gekoppelte Alarmanlage ausgehebelt worden. Als die Mitarbeitenden am Montagmorgen ankamen, war die Tiefkühlware verdorben. Die gewöhnlichen Kühlregale seien nicht betroffen gewesen. Ursache vermutet Oetken in einem „alten Steuergerät“, das bei der Übernahme der früheren Edeka-Filiale im März „nicht auf dem Schirm“ gewesen sei. Danach nimmt der Markt die Kühlung vom Netz und bedient sie nur noch vor Ort.
„Sie haben die Temperatur der Tiefkühlung auf 50 Grad Celsius gesetzt.“
Die Gaststätte Pflugsmühle in Abenberg und eine Metzgerei im Landkreis Neustadt an der Waldnaab zeigen, dass nicht nur Filialisten betroffen sind. Nordbayern.de berichtet von bis zu 150 Grad in den Kühlhäusern der Pflugsmühle und einem Schaden von rund 5.000 Euro; in der Metzgerei seien es ebenfalls etwa 150 Grad und ein fünfstelliger Schaden gewesen. Diese Temperaturangaben stammen aus der Lokalberichterstattung, nicht aus einem technischen Gutachten.
Fernwartung, alte Steuergeräte, ein Anbieter – was belegt ist
Drei technische Hinweise tauchen in den Berichten immer wieder auf. Erstens der Fernzugriff: CAP und Inkoop beschreiben einen externen Zugriff, Inkoop nimmt die Anlagen danach bewusst vom Netz. Zweitens veraltete oder übernommene Technik: Oetken nennt ausdrücklich ein altes Steuergerät aus der Zeit vor der Übernahme. Drittens ein namhafter Hersteller in mindestens einem Fall: Rewe verknüpft Raesfeld mit einem Angriff auf Danfoss.
Daraus folgt nicht, dass alle deutschen Fälle dieselbe Lücke und denselben Hersteller betreffen. Edeka betont gegenüber dem Handelsblatt, es handele sich um wenige Einzelfälle; wegen der genossenschaftlichen Struktur mit selbstständigen Kaufleuten gebe es keine einheitlichen Kühlsysteme. Rewe sagt, die Danfoss-Technik sei nur regional in wenigen Märkten im Einsatz. Wer aus einem bestätigten Danfoss-Fall eine bundesweite Danfoss-Kompromittierung macht, geht über den Stand der Quellen hinaus.
Nach den Angriffen in Frankreich hatte das BSI laut FAZ dazu aufgerufen, „aus dem Internet erreichbare Steuerungsanlagen nach dem Stand der Technik abzusichern“. Dass Wochen später deutsche Filialen mit Fernwartung und alten Steuergeräten getroffen wurden, zeigt vor allem: Ein Aufruf allein schließt die Lücke nicht, solange die Zugänge offen bleiben.
EU-Agrarkommissar Christophe Hansen sprach mit Blick auf die europäischen Vorfälle laut tagesschau von einem „bewussten Versuch, unsere Lebensmittelkette zu unterbrechen und das Vertrauen der Verbraucher in sie zu untergraben“. Das wiederholte Auftreten sei „zutiefst besorgniserregend“. Die Lebensmittelsicherheit in Europa sei derzeit nicht gefährdet. Wer hinter den Angriffen steht, blieb öffentlich offen; zu den Attacken bekannte sich bisher niemand.
Zeitstrahl des Ablaufs
Oktober 2026, etwa drei Wochen vor den deutschen Fällen:
Großangelegte Angriffe auf Kühlanlagen in Hunderten Filialen von Intermarché und Coopérative U in Frankreich. Sämtliche gekühlten und gefrorenen Waren mussten dort vernichtet werden, so die tagesschau. Das BSI ruft anschließend dazu auf, internet-erreichbare Steuerungen abzusichern. Quellen: tagesschau; FAZ.Ende Oktober / Anfang November 2026:
Ähnliche Fälle in Belgien (unter anderem Delhaize, Carrefour, SPAR, so der WDR unter Berufung auf die Agentur Belga), Schweden (ICA, Coop), Irland, Luxemburg, Estland, Finnland und den Niederlanden, später auch Italien und Portugal. Quelle: WDR; FAZ.Wochenende 31. Oktober / 1. November und Nacht auf den 2. November 2026:
Deutsche Fälle. CAP Wuppertal nennt einen externen Zugriff „am Wochenende“. Inkoop, die Pflugsmühle und mehrere andere Berichte sprechen von der Nacht von Sonntag auf Montag. Rewe Raesfeld: Beeinträchtigungen am Montag, Technik ab Montagnachmittag wieder in Betrieb. Quellen: WDR; FAZ; Kreiszeitung; nordbayern.de.Montag, 2. November 2026:
Märkte entsorgen Ware, einzelne Facebook-Hinweise, Anzeigen. Die Rewe-Zentrale bestätigt den Fall Raesfeld.Dienstag, 3. November 2026:
tagesschau, WDR, FAZ und Handelsblatt fassen die deutsche Lage zusammen. Die EU-Kommission beruft laut WDR Krisentreffen ein. Die Kriminalpolizei Landshut ermittelt in Reisbach wegen des Verdachts des Ausspähens von Daten und der Datenveränderung und will sich mit Behörden in anderen Ländern absprechen. Quelle: tagesschau; WDR.5. bis 7. November 2026:
Lokalberichte zur Pflugsmühle und zum Inkoop in Stuhr mit bezifferten Schäden. Inkoop nimmt die Kühlung vorsorglich vom Netz. Die ZKI Oldenburg teilt der Kreiszeitung mit, Verbindungen zwischen den Vorfällen und Motive der Täter seien Gegenstand der Ermittlungen.
Was heißt das für dein Unternehmen?
Der Fall ist kein reines Supermarkt-Thema. Dieselbe Architektur – eine Anlage, eine Steuerung, ein Fernwartungszugang, manchmal ein Standardpasswort – steht in Produktionshallen, Logistiklagern, Krankenhäusern, Hotels und Büros.
- 1.
Fernwartungszugänge wie privilegierte Admin-Konten behandeln.
Der eigentliche Angriff zielt in mehreren beschriebenen Fällen nicht auf die Kasse des Markts, sondern auf die Firma, die die Anlagen aus der Ferne wartet, oder auf das Steuergerät selbst. Inventarisiere, welche Anlagen in deinem Unternehmen über das Internet erreichbar sind, wer zugreift, ob die Zugänge noch gebraucht werden und welches Passwort dort seit der Inbetriebnahme gilt. - 2.
Übernommene und alte Steuerungen nicht vergessen.
Bei Inkoop war es ein altes Steuergerät, das mit einer übernommenen Filiale mitkam. Genau solche Altgeräte fehlen oft im Inventar. Nach jeder Übernahme, nach jedem Umbau und nach jedem Wechsel des Wartungsdienstleisters gehört die Steuerung auf den Tisch: erreichbar, aktuell, Passwort geändert, Protokollierung an. - 3.
Alarme dürfen nicht auf demselben Weg ausfallen wie die Anlage.
Oetken berichtet, die mit der Kühlung gekoppelte Alarmanlage sei ausgehebelt worden und habe deshalb nicht ausgelöst. Wenn Überwachung und Steuerung dieselbe kompromittierte Strecke nutzen, erfährst du den Schaden erst am nächsten Morgen. Trenne Meldewege, prüfe, ob ein Alarm auch bei ausgefallener Fernverbindung lokal ankommt. - 4.
Ein Not-aus vom Netz muss vorbereitet sein.
Inkoop hat die Kühlung nach dem Vorfall vom Netz genommen und bedient sie nur noch vor Ort. Das schließt den Fernangriff aus und verzögert die Wartung. Diese Abwägung gehört in den Notfallplan, nicht in den ersten Schock: Welche Anlagen darfst du im Ernstfall isolieren, und wer bedient sie dann vor Ort? - 5.
Der Schaden liegt in der physischen Welt.
Hier wurden keine Kundendaten geleakt, sondern Lebensmittel, Kühlketten und ein Teil des Wochenumsatzes zerstört. In Betrieben mit gesundheits- oder sicherheitskritischer Kühlung – von der Apotheke bis zur Produktion – ist das Szenario noch ernster. Ein OT-Vorfall braucht deshalb dieselben Melde- und Übungsroutinen wie ein IT-Vorfall, plus jemanden, der die Anlage selbst kennt. - 6.
Dienstleister und Hersteller vertraglich in die Pflicht nehmen.
Wenn ein Angriff „auf den Systemanbieter“ durchschlägt, trägst du trotzdem den Schaden in der Filiale. Frag Wartungsfirmen und Hersteller nach Mandantentrennung, nach Pflicht-Updates, nach dem Verbot von Standardpasswörtern und nach dem Meldeweg, wenn ihre zentrale Plattform angegriffen wird. Das BSI hat das nach Frankreich bereits allgemein formuliert: Steuerungsanlagen, die aus dem Internet erreichbar sind, gehören nach dem Stand der Technik abgesichert.
Wenn du prüfen willst, wo Fernwartung, alte Steuerungen oder ungetrennte Alarme in deinem Unternehmen ein vergleichbares Einfallstor bilden, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Die Angriffswelle zeigt vor allem eines: Die gefährliche Schnittstelle sitzt oft nicht im Büronetz, sondern an der Anlage, die du für selbstverständlich kalt hältst.
Häufige Fragen
Quellen
- tagesschau.de: Cyberangriffe auf Kühlanlagen auch in deutschen Supermärkten, 3.11.2026, 14:49 Uhr.
- WDR: Auch Supermärkte in NRW betroffen, 3.11.2026, 15:07 Uhr.
- Frankfurter Allgemeine Zeitung: Rewe und Edeka: Hacker greifen auch Kühltruhen in deutschen Supermärkten an, 3.11.2026, 12:48 Uhr.
- Kreiszeitung, Jannick Ripking: Hacker drehen Tiefkühlung auf 50 Grad: E-Center-Inkoop in Stuhr verliert 40.000 Euro, 7.11.2026, 08:24 Uhr.
- nordbayern.de, Pauline Hauser: Cyberattacken erreichen nun auch Franken: Kühlhäuser in Restaurant auf 150 Grad gestellt, 5.11.2026, 16:24 Uhr.
- Handelsblatt: Kühlregale: Hackerangriffe auf deutsche Supermärkte, 3.11.2026, 15:47 Uhr.
