Was passiert, wenn ein IT-Sicherheitsproblem plötzlich ganz handfest wird? In der Nacht auf den 11. Oktober bekamen hunderte französische Supermärkte die Antwort: Ihre Kühlanlagen heizten sich auf bis zu 50 Grad Celsius auf, Lebensmittel mussten in großem Stil entsorgt werden.
Was ist passiert
Betroffen waren Kühlcontroller des dänischen Herstellers Danfoss, konkret die Serien AK-SM800 und AK-SC355. Diese Geräte steuern in vielen europäischen Supermärkten die Kühlketten für Fleisch, Milchprodukte und Tiefkühlware. In der Angriffsnacht liefen die Systeme offenbar in einen ungewollten Enteisungsmodus, der die Temperatur in den Kühlregalen über Stunden auf gefährliche Werte trieb.
Nach Unternehmensangaben waren mindestens 300 Filialen von Intermarché/Netto (Les Mousquetaires) betroffen, bei Coopérative U mehr als 100 von rund 2.000 Outlets, bei Carrefour rund 80 Supermärkte, bei Monoprix etwa 30 Filialen sowie mehrere Standorte von E.Leclerc. Thierry Cotillard, Chef von Les Mousquetaires, rechnet mit Verlusten in Höhe von „Dutzenden Millionen Euro“ durch weggeworfene Ware und Ausfallkosten. Der Coopérative-U-Chef Dominique Schelcher bezeichnete den Vorfall als „beispiellos“.
Die eigentliche Ursache bleibt vage
Danfoss selbst äußerte sich bislang nur zurückhaltend und bestätigte, dass es sich bei den betroffenen Geräten um Legacy-Modelle handle, die „keine Software- oder Sicherheitsupdates mehr erhalten“. Eine konkrete Schwachstelle — etwa ein Standard-Passwort oder eine offene Management-Oberfläche — wurde zum Zeitpunkt der Berichterstattung nicht offiziell bestätigt. Naheliegend ist aber, dass aus dem Internet erreichbare Verwaltungs-Interfaces in Kombination mit veralteter, ungepatchter Firmware den Zugriff ermöglicht haben.
Warum das für Self-Hoster relevant ist
Der Vorfall liest sich wie ein Lehrbuchbeispiel für ein Problem, das auch viele Homelab- und Smart-Home-Betreiber kennen: Industrie- und IoT-Steuerungen werden aus Bequemlichkeit direkt aus dem Internet erreichbar gemacht, oft mit Werkseinstellungen oder ohne regelmäßige Updates. Was im Kleinen eine überhitzte Pi-hole-Installation ist, wird bei einer Supermarktkette zu einem Millionenschaden. Wer eigene Kühlanlagen, Heizungssteuerungen oder andere Industrie-/IoT-Controller betreibt, sollte diese grundsätzlich hinter ein VPN oder zumindest in ein separates VLAN legen — niemals direkt am offenen Internet.
Auch die Lebensdauer solcher Steuerungen spielt eine Rolle: Anders als ein Homelab-Server, der sich binnen Minuten updaten lässt, bleiben Industriesteuerungen oft jahrzehntelang im Einsatz, lange nachdem der Hersteller den Support eingestellt hat. Der Danfoss-Fall zeigt, wie teuer diese Kombination aus langer Lebensdauer und fehlender Patch-Pflege werden kann, sobald ein Gerät doch ungeschützt im Netz hängt.