senn-techKühlketten unter Angriff: Was zu den Danfoss-Steuerungen bekannt ist und was nicht
In der Nacht vom 11. auf den 12. Oktober 2026 sind in Frankreich Kühlungen in Supermärkten ausgefallen. Nach Help Net Security wurden die Einstellungen ferngesteuerter Kältesteuerungen des Herstellers Danfoss verstellt, sodass Kühl- und Tiefkühlmöbel warm wurden und Ware verdarb. Genannt werden die Gruppen Mousquetaires (Intermarché, Netto), Coopérative U und Leclerc, BFMTV spricht von Hunderten Märkten. Wie die Angreifer hineinkamen, ist nicht bestätigt. Dieser Beitrag trennt, was belegt ist, von dem, was in Foren vermutet wird, und sagt, was ein Betreiber von Kühlanlagen daraus ableiten kann.
Was belegt ist und was nicht
Belegt ist nach den gelesenen Quellen nur der Rahmen. Ein Podcaster hat laut Help Net Security bestätigt, dass Angreifer ferngesteuerte Danfoss-Systeme übernommen haben, und eine interne Mitteilung von Intermarché spricht davon, der Angriff sei „bei Danfoss" erfolgt. Die Quelle weist selbst darauf hin, dass offen ist, ob Danfoss gehackt wurde oder die Angreifer die Geräte auf anderem Weg erreichten. Schäden von zehn- bis hunderttausenden Euro je Gruppe sind nicht unabhängig bestätigt. Ein Zusammenhang mit der Störung bei Ahold Delhaize in den Niederlanden und Belgien, die am selben Tag gemeldet wurde, ist laut Quelle nicht erkennbar.
Die Überschrift eines Berichts von Tom's Hardware spricht von „automatischem Abtauen". Der Artikeltext war für uns nicht abrufbar, wir geben die Überschrift deshalb nur als Behauptung wieder.
Was seit August über das System bekannt ist
Am 9. August 2026 hat das Forschungsteam Claroty Team82 Schwachstellen im Danfoss AK-SM 800A veröffentlicht, einem zentralen Verwaltungssystem für Kältesteuerungen. Es soll nach Claroty in Supermärkten, Kühllagern und Lagerhallen stehen. Drei Schwachstellen betreffen die Weboberfläche:
| CVE | Wirkung | CVSS | Voraussetzung |
|---|---|---|---|
| CVE-2025-41450 | Anmeldung per „Code of the Day": ein aus dem Datum des Geräts erzeugtes Passwort, das sich nachrechnen lässt und einen Administratorzugang öffnet | 8,2 | keine |
| CVE-2025-41451 | Das Kennwort der E-Mail-Einstellungen gelangt unbereinigt in einen Shell-Befehl, Codeausführung möglich | 7,6 | angemeldet |
| CVE-2025-41452 | Eine hochgeladene Konfigurationsdatei des internen Webservers ändert Routen und lässt den Prozess der Oberfläche abstürzen | 5,4 | angemeldet |
Danfoss hat die Lücken laut Claroty in der Firmware R4.3.1 behoben. Auf derselben Seite steht allerdings ein Dashboard-Eintrag zu CVE-2025-41450 mit dem Verweis auf einen Patch 4.2, das widerspricht dem Text. Wer prüft, welche Version welche Lücke schließt, liest dazu das Advisory von Danfoss. Zur Reichweite nennt Claroty „Tausende" erreichbare Verwaltungsoberflächen und eine Censys-Zählung von 2.765 AK-SM 800A. Die Zahl zeigt erreichbare Oberflächen und sagt nichts darüber, wie viele davon eine verwundbare Firmware haben.
Im selben Forschungsblock stand eine zweite Familie. Für Copeland XWEB Pro nennt Claroty 23 Schwachstellen, davon 21 mit hoher Einstufung, darunter die Umgehung der Anmeldung CVE-2026-25085, vorhersehbare Administrator-Kennwörter (CVE-2026-21718) und 19 Befehlsinjektionen bis zu root. Copeland hat sie in der Firmware 1.13 behoben. Nach dem Bericht von Refindustry zeigten die Forscher an einem Feldregler, wie sich die angezeigte Temperatur zwischen -50 und 110 Grad verstellen lässt und Lüfter abschalten lassen, während der echte Fühler normal weiterläuft. Auf der Danfoss-Seite von Claroty selbst steht keine solche Vorführung. Zu Trane Tracer SC+ hat Claroty im Juni fünf Lücken veröffentlicht, behoben ab Version 6.3 vom 1. März 2026.
Was Foren vermuten
Der Bericht von Tom's Hardware lief auf Hacker News mit 911 Punkten und 1.005 Kommentaren (Thread). Wir haben die ersten gut 100.000 Zeichen der Kommentare gelesen. Die technischen Beiträge dort sind überwiegend Vermutungen, wir kennzeichnen sie so.
Vermutet wird, dass der Zugang über die Serverseite eines Modbus-Systems erfolgte, dass die Kühlgeräte in einem internen Netz hängen, das womöglich schon länger kompromittiert war, oder dass das Ziel eine Gebäudeleittechnik war, die an die Kühlung angeschlossen ist und anderen Organisationen gehört. Ein Kommentar zitiert den Claroty-Bericht mit den 2.765 erreichbaren Steuerungen, das ist belegt. Praktische Beiträge verlangen, Überwachung und Steuerung zu trennen, nur zu überwachen, wo Fernsteuerung nicht nötig ist, und eine Hardware-Verriegelung für das Abtauen aus der Ferne vorzusehen. Ein Kommentar verweist auf den EU Cyber Resilience Act, nach dem Hersteller künftig für fehlende Sicherheitsupdates haften könnten. Das ist eine Lesart eines Kommentierenden, keine Rechtsauskunft.
Was Betreiber von Kälteanlagen daraus ableiten können
Die folgenden Punkte stammen aus den Empfehlungen von Danfoss und Claroty und aus den praktischen Beiträgen. Sie sind Empfehlungen, keine Messung bei uns.
- Inventar der Steuerungen und Verwaltungssysteme anlegen, mit Hersteller, Typ und Firmware. Bei Danfoss AK-SM 800A gilt R4.3.1 oder neuer, bei Copeland XWEB Pro 1.13, bei Trane Tracer SC+ 6.3.
- Prüfen, ob eine Verwaltungsoberfläche aus dem Internet erreichbar ist, zum Beispiel mit einer Abfrage bei Censys oder Shodan nach der eigenen öffentlichen Adresse. Danfoss rät ausdrücklich, Verwaltungsoberflächen nicht direkt ins Internet zu stellen.
- Zugriff nur über ein VPN oder ein abgetrenntes Verwaltungsnetz erlauben, mit Segmentierung zwischen Kälte und Büronetz.
- Eine Alarmkette einrichten, die nicht über dieselbe Steuerung läuft: ein eigener Temperaturlogger mit eigenem Versandweg, damit eine verstellte Anzeige auffällt.
- Wenn ein Dienstleister die Anlage fernwartet, den Zugang und die Verantwortung schriftlich klären, denn die Anlagen gehören oft der Gebäudetechnik und nicht der IT.
So haben wir geprüft
Wir haben am 16. Oktober 2026 die Claroty-Veröffentlichung, die Berichte von Help Net Security, Refindustry und ITWire sowie den Hacker-News-Thread gelesen. Abweichungen zwischen den Quellen: ITWire datiert die Veröffentlichung auf den 11. August, Claroty auf den 9. August. ITWire schreibt, die Auswirkungen auf die Kühlung seien möglich, Refindustry schreibt, die Forscher hätten sie gezeigt. Nach Refindustry betrifft die Vorführung den Copeland-Regler, auf der Danfoss-Seite von Claroty steht keine. Das Advisory von Danfoss haben wir nicht gelesen. Eine Messung von uns gibt es zu diesem Fall nicht.
Weiterführende Quellen
Primärquellen
- Claroty Team82, Freeze the Controller, Defrost the Food: Danfoss refrigeration controllers, 9.8.2026
Unabhängige Berichte
- Help Net Security, Cyberattacks hit European grocers: French supermarket freezers hijacked, 12.10.2026
- Refindustry, Danfoss, Copeland and Trane address controller security vulnerabilities
- ITWire, Chilling discoveries: Claroty finds multiple security vulnerabilities in Danfoss and Copeland refrigeration controllers, 11.8.2026
Community
- Hacker News, 911 Punkte und 1.005 Kommentare zum Bericht von Tom's Hardware: news.ycombinator.com/item?id=50055304
Ist belegt, dass die Claroty-Lücken beim Angriff in Frankreich benutzt wurden?+
Nein. Help Net Security schreibt, dass weder der Einstiegspunkt noch ein Zusammenhang mit den im August veröffentlichten Schwachstellen bestätigt ist. Danfoss selbst hat sich in den gelesenen Quellen nicht zum Angriffsweg geäußert, eine interne Mitteilung eines Händlers nennt nur den Ort des Angriffs.
Welche Firmware schließt die bekannten Lücken im AK-SM 800A?+
Nach Claroty und Danfoss R4.3.1 oder neuer. Auf der Claroty-Seite verweist ein Dashboard-Eintrag zu CVE-2025-41450 allerdings auf einen Patch 4.2, das widerspricht R4.3.1 im Text. Welche Version welche CVE behebt, steht im Advisory von Danfoss.
Betrifft das nur Supermärkte?+
Der AK-SM 800A ist laut Claroty in Supermärkten, Kühllagern, Lagerhallen und anderen gewerblichen Umgebungen im Einsatz. Wer Tiefkühlware lagert oder transportiert, etwa in Logistik und Gastronomie, hat dieselbe Klasse von Steuerungen, auch wenn die Hersteller wechseln.