Hybride Bedrohungen: Cyberattacken auf Supermärkte werden Fall für die Geheimdienste

Nach der Manipulation von Kühlanlagen in europäischen Supermärkten ermitteln deutsche Geheimdienste. Auch US-Behörden sind alarmiert. Doch wer steckt hinter den Attacken?

Deutsche Nachrichtendienste und das Gemeinsame Zentrum zur Bekämpfung hybrider Bedrohungen (GAZ Hybrid) ermitteln nach Cyberangriffen auf Kühlsysteme in Supermärkten.

Die Angreifer nutzten automatisierte Suchprogramme und bekannte Schwachstellen von veralteter Software oder Standard-Passwörtern, um Kühlanlagen zu manipulieren.

Das Bundesamt für Sicherheit in der Informationstechnik und US-Behörden fordern Betreiber von Supermärkten und Kühlhäusern auf, Steuerungssysteme vom Internet zu trennen und Software zu aktualisieren.

Der Verfassungsschutz sieht ein hohes Risiko von Cyberangriffen insbesondere durch russische staatliche Akteure und prorussische Hacktivisten, betont aber, dass unklar ist, ob russische Hacker hinter den aktuellen Angriffen stecken.

Berlin. Nach den Cyberangriffen auf Kühlsysteme deutscher und europäischer Supermärkte haben sich die deutschen Nachrichtendienste eingeschaltet. Das Bundesamt für Verfassungsschutz (BfV) erklärte auf Anfrage des Handelsblatts: „Die Vorfälle sind Gegenstand aktueller nachrichtendienstlicher Ermittlungen. Außerdem befasst sich das ‚Gemeinsame Zentrum zur Bekämpfung hybrider Bedrohungen‘ (GAZ Hybrid) mit dem Thema.“

In dem Zentrum arbeiten Sicherheitsbehörden und Nachrichtendienste zusammen. Darunter sind neben dem Verfassungsschutz auch der Bundesnachrichtendienst (BND) und der Militärische Abschirmdienst (MAD). Zentrale Aufgabe des GAZ Hybrid ist unter anderem, Spionage, Sabotage, Staatsterrorismus und weitere Formen hybrider Bedrohungen zu erkennen und zu bekämpfen.

Ob die Angriffe auf die Kühlanlagen Teil einer koordinierten Sabotagekampagne gegen die europäische Lebensmittelversorgung sind, ist bislang ungeklärt. „Zum aktuellen Zeitpunkt liegen dem Bundesinnenministerium keine Erkenntnisse vor, die eine eindeutige Zuordnung dieser Angriffe zu einem spezifischen Akteur oder einer staatlichen Stelle zulassen würden“, sagte ein Ministeriumssprecher dem Handelsblatt. Eine abschließende Bewertung erfordere detaillierte Analysen.

Betroffen waren Supermärkte in Nordrhein-Westfalen, Niedersachsen und Bayern. Die Attacken haben inzwischen aber auch zahlreiche andere europäische Länder erreicht. Cyberangriffe wurden in den vergangenen Tagen auch auf Supermärkte in Belgien, Schweden, Irland, Luxemburg, Estland, Finnland und den Niederlanden gemeldet. In Frankreich wurden zudem Kühlsysteme von Blutbanken angegriffen. Die Attacken wurden aber rechtzeitig entdeckt.

Die Angreifer nutzten offenbar automatisierte Suchprogramme, um offene Systeme im Netz aufzuspüren, und verschafften sich über bekannte Schwachstellen veralteter Software oder unveränderte Standard-Passwörter den Zugriff. Betroffene Anlagen wurden nicht nur abgeschaltet. Die Täter aktivierten auch gezielt den Abtau- oder Heizmodus. Dadurch stiegen die Temperaturen in Kühlregalen und Tiefkühltruhen teils auf bis zu 50 Grad. Große Mengen an Lebensmitteln verdarben und mussten vernichtet werden.

„Die Manipulation von Steuerungssystemen mit dem Ziel, Waren zu zerstören, ist ein ernst zu nehmender Vorfall“, erklärte der Sprecher des Innenministeriums. Die Angriffe verdeutlichten „erneut die Risiken, die von direkt mit dem Internet verbundenen Industrieanlagen“ ausgingen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte deshalb am Dienstag seine Sicherheitswarnung erneuert. Betreiber sollen den direkten Zugriff auf industrielle Steuerungssysteme aus dem Internet unterbinden und ihre Software aktualisieren.

Auch die amerikanischen Sicherheitsbehörden schlagen Alarm. In einer gemeinsamen Erklärung der Bundespolizei FBI, der Cybersicherheitsbehörde CISA sowie der Ministerien für Gesundheit, Verkehr und Landwirtschaft heißt es, unbekannte Hacker hätten es auf Schwachstellen in Temperaturreglern abgesehen, die mit dem Internet verbunden seien.

Die Behörden riefen die Betreiber von Supermärkten und Kühlhäusern ebenfalls dazu auf, ihre Steuerungssysteme vom Internet zu trennen, sie von den Unternehmensnetzwerken zu isolieren und umgehend Software-Updates zu installieren.

Der deutsche Verfassungsschutz erklärte: „Die gegenwärtigen Erkenntnisse deuten auf eine Ausnutzung bekannter Schwachstellen der betroffenen Steuerungssysteme hin.“ Zugleich verweist der Inlandsnachrichtendienst auf die wachsende Bedrohung durch ausländische Geheimdienste. „Deutschland steht im Fokus ausländischer Geheimdienste.“

Besonders gefährdet seien Wirtschaftsunternehmen und Betreiber kritischer Infrastrukturen (Kritis), etwa in der Energieversorgung, der Wasserversorgung und im Gesundheitswesen.

Als besonders hoch bewertet der Verfassungsschutz die Gefahr durch Russland. „Vornehmlich als Reaktion auf Sanktionen der Europäischen Union und in Zusammenhang mit Deutschlands Unterstützung der Ukraine besteht ein anhaltend hohes Risiko etwa von Cyberangriffen durch russische staatliche Akteure.“

Als Beispiel führte die Behörde einen Vorfall in Polen an. Im Dezember 2025 habe dort die russische Gruppierung „Berserk Bear“ einen erfolgreichen Angriff auf die polnische Energieversorgung durchgeführt. Die Hacker griffen dabei Steuerungssysteme in Umspannwerken und Blockheizkraftwerken an. Umspannwerke verteilen elektrische Energie im Stromnetz, Blockheizkraftwerke erzeugen gleichzeitig Strom und Wärme.

Der Verfassungsschutz warnt zudem vor prorussischen Hackergruppen. Seit Juli 2024 reklamierten solche „Hacktivisten-Gruppierungen“ Angriffe auf unzureichend geschützte IT-Systeme für sich, darunter Steuerungen kleiner Wasserkraftanlagen und Videoüberwachungskameras. „Diese teils tatsächlichen, teils vorgeblichen Angriffe erzielen bislang vor allem im Informationsraum die von den Angreifern intendierte Wirkung“, erklärte die Behörde.

Ob russische Hacker auch hinter den aktuellen Angriffen auf die Kühlanlagen europäischer Supermärkte stecken, ließ der Verfassungsschutz offen.

Eine unmittelbare Gefährdung der Lebensmittelversorgung durch die aktuellen Vorfälle sieht die Bundesregierung derzeit nicht. Bei den betroffenen Unternehmen handele es sich um Betriebe „unterhalb der sogenannten Kritis-Schwellenwerte“.

Als kritische Infrastruktur gelten Anlagen, deren Ausfall die Versorgung vieler Menschen gefährden könnte. Maßgeblich sind gesetzlich festgelegte Schwellenwerte für die jeweilige Anlagenart, die sich an einem Richtwert von 500.000 versorgten Menschen orientieren.

Die aktuellen Vorfälle werden laut Innenministerium im Nationalen Cyber-Abwehrzentrum (Cyber-AZ) ausgewertet. Auch mit europäischen Partnerbehörden tauscht sich Deutschland demnach aus.