In der Nacht zum 11. Oktober wurden in Hunderten von Supermärkten in ganz Europa Tiefkühlanlagen zur Waffe. 

Angreifer verschafften sich Zugriff auf die Steuerungen von Kühlanlagen in mehreren hundert Filialen, erhöhten die Temperaturen auf bis zu 50 °C und verlängerten Abtauzyklen von einer auf acht Stunden, wodurch Alarme unterdrückt wurden, während sich die Schäden unbemerkt ausbreiteten. Am Morgen fanden die Mitarbeiter verdorbene Waren und rauchende Geräte vor. In mehreren Filialen kam es zu Bränden.  Laut CNBC bezifferte ein Geschäftsführer aus dem Einzelhandel die landesweiten Schäden innerhalb eines einzigen Tages auf mehrere zehn Millionen Euro.

Dabei handelte es sich nicht um eine klassische Datenschutzverletzung: Es wurde kein Dateiserver verschlüsselt und keine Lösegeldforderung auf Kassensystemen angezeigt. Der Angriff zielte direkt auf den physischen Geschäftsbetrieb ab. 

Dieses Risiko besteht in praktisch jeder Einzelhandelsumgebung: vernetzte, von Auftragnehmern installierte Geräte, die aus Betriebsbudgets finanziert werden, mit veralteter Firmware laufen und außerhalb des Blickfelds der Sicherheitsteams liegen.

Disaster-Recovery-Pläne setzen häufig eine vertrauenswürdige Umgebung voraus. Doch ein geschickter Angreifer kann schonungslos offenlegen, wie trügerisch diese Annahme sein kann. Unternehmen, die ihr Minimum Viable Business (MVB) definieren, eine unveränderbare Kopie ihrer Daten schützen und die Wiederherstellung regelmäßig testen, können den Geschäftsbetrieb aufrechterhalten, wenn sich das nächste vernetzte Gerät gegen sie richtet.

Ein physischer Angriff über ein Netzwerk

Dieser bemerkenswerte Angriff sorgte für großes Aufsehen. Die französische Cyber-Sicherheitsbehörde ANSSI veröffentlichte eine Warnung, in der die betroffenen Kühlmanagementsysteme identifiziert wurden. Betreibern wurde empfohlen, die Systeme vom Internet zu trennen oder den Zugriff einzuschränken sowie verfügbare Software-Updates einzuspielen. Der Gerätehersteller bestätigte, dass auf den betroffenen Anlagen veraltete Firmware eingesetzt wurde. Die Staatsanwaltschaft von Paris leitete Ermittlungen ein und der französische Premierminister beauftragte ANSSI mit der technischen Koordination der Reaktion.

Jenseits der Schlagzeilen wirkt dieser Vorfall vertraut für alle, die für die Sicherheit eines Filialnetzes verantwortlich sind. Zahlreiche Systeme der Betriebstechnik waren mit dem Netzwerk verbunden und liefen mit veralteter Software. Jemand hat diese Schwachstellen entdeckt, ihre Funktionsweise analysiert und sie über Nacht und in großem Maßstab ausgenutzt, als die Aufmerksamkeit am geringsten war. 

Das Muster ist klar erkennbar: Praktisch jede Einzelhandelsorganisation in Europa betreibt Geräte mit ähnlichen Schwachstellen und sollte unverzüglich Gegenmaßnahmen ergreifen.

Die Geräte, die Sie vergessen haben, sind genau die Geräte, die Angreifer finden

Eine moderne Einzelhandelsmarke besteht längst nicht mehr nur aus Filialen oder Servicebereichen. Sie ist ein eng vernetztes Ökosystem aus Zahlungsverkehr, Treueprogrammen, E-Commerce, Lagerhaltung und Logistik, Gebäudetechnik, Buchungssystemen und Kundenservices. All diese Bereiche werden durch eine gemeinsame digitale Infrastruktur verbunden, die für die meisten Kunden unsichtbar bleibt. In der Regel stehen diese Systeme unter der Aufsicht unternehmenseigener Sicherheitsteams. 

Steuerungen von Kühlanlagen, Gebäudeleittechnik, digitale Beschilderung und Zutrittssysteme sind jedoch mit denselben Netzwerken verbunden – und fallen oft nicht in die Zuständigkeit der Sicherheitsteams.

Diese Lücke bei der Zuständigkeit ist ein erheblicher Schwachpunkt. Geräte, die vor Jahren installiert, von externen Auftragnehmern eingerichtet, aus Betriebsbudgets finanziert und aus reiner Zweckmäßigkeit ans Netzwerk angebunden wurden, gehören heute zur Angriffsfläche. Die Empfehlung von ANSSI, die betroffenen Systeme vom Netz zu trennen, war als Sofortmaßnahme richtig. Sie macht jedoch auch deutlich, wie wenig Kontrolle Unternehmen über diese Geräte von Anfang an hatten. Prävention und Erkennung bleiben unverzichtbar. Doch eine Verteidigungsstrategie, die darauf angewiesen ist, dass jedes vernetzte Gerät in jeder Filiale jederzeit gepatcht ist, hat bereits versagt.

Disaster Recovery wurde nicht für den Schutz gegen Angreifer konzipiert

Die meisten Einzelhändler verfügen über einen Disaster-Recovery-Plan. Doch die meisten dieser Pläne hätten am Morgen des 12. Oktober kaum geholfen. 

Disaster Recovery basiert auf einer entscheidenden Annahme: Die Umgebung ist vertrauenswürdig. Wenn ein Speicher-Array ausfällt, wissen Sie in der Regel, was defekt ist und wo sich Ihre sauberen Backups befinden. Dabei versucht ein technischer Defekt nicht aktiv, die Wiederherstellung zu sabotieren. 

Bei einem Cyber-Angriff ist die Situation grundlegend anders. Oft ist unklar, welche Systeme kompromittiert wurden, ob Backups bereits vor Wochen manipuliert oder für eine Löschung vorbereitet wurden und ob sich der Angreifer noch immer im Netzwerk befindet. Fällt zudem das Identitätsmanagement aus, kommt die gesamte Wiederherstellung zum Stillstand. Gleichzeitig beobachten Kunden, Medien und Aufsichtsbehörden jeden Schritt.

Für Einzelhändler erhöht das den Druck erheblich. Während Sicherheitsteams die Wiederherstellung koordinieren, gehen Umsätze verloren. Wird vernetzte Infrastruktur kompromittiert, besteht der erste Impuls darin, sie zu isolieren – genau wie von der ANSSI empfohlen. Doch die Isolierung der Kühlkette, der Gebäudeleittechnik oder des Filialnetzwerks bedeutet, das Geschäft ohne diese Systeme weiterführen zu müssen. 

Jeder Sicherheitsverantwortliche im Einzelhandel sollte sich heute folgende Frage stellen: „Was benötigen wir, um weiter verkaufen zu können, wenn wir heute Nacht Teile einer Filiale oder unserer Infrastruktur vom Netz nehmen müssen?“

Das Minimum Viable Business (MVB) für den Einzelhandel

Rubrik hat eine Antwort auf diese Frage: ein Minimum Viable Business (MVB) – einen Kern geschäftskritischer Funktionen und Services, die unter widrigen Bedingungen für einen begrenzten Zeitraum aufrechterhalten werden können. Ein MVB stellt sicher, dass wesentliche Geschäftsprozesse weiterlaufen können, wenn der reguläre Betrieb nicht möglich ist. 

Im Einzelhandel gehören dazu in erster Linie Identitäts- und Netzwerkinfrastrukturen, denn ohne sie lässt sich nichts wiederherstellen. Welche weiteren Systeme und Anwendungen erforderlich sind, hängt vom jeweiligen Unternehmen ab. Typischerweise zählen jedoch Zahlungsabwicklung und Kassensysteme, Bestandsmanagement, E-Commerce-Plattformen, Buchungs- und Reservierungssysteme, Kundendatenplattformen und CRM-Anwendungen, ERP- und Finanzsysteme sowie die Kommunikationstools dazu, mit denen verteilte Teams zusammenarbeiten können, wenn die üblichen Kanäle ausfallen. 

Bei Lebensmittelhändlern umfasst die Liste außerdem die Systeme zur Steuerung der Filialtechnik, etwa der Kältetechnik, die die Kühlkette aufrechterhält.

Die Definition der kritischen MVB-Funktionen ist keine rein technische Aufgabe und sollte nicht erst um zwei Uhr morgens allein vom CISO getroffen werden. Sie erfordert die Zusammenarbeit von Geschäftsführung, Fachbereichen und IT, bevor eine Krise eintritt. Gemeinsam müssen sie festlegen, auf welche Services das Unternehmen keinesfalls verzichten kann, Abhängigkeiten dokumentieren und Wiederherstellungsszenarien durchspielen. 

Die Unternehmen, die sich vom nächsten Vorfall am schnellsten erholen, werden diejenigen sein, die ihr Minimum Viable Business definiert, eine vertrauenswürdige, unveränderliche Kopie davon gesichert und die Wiederherstellung unter realistischen Bedingungen geübt haben. 

Viele Unternehmen schließen OT-Systeme aus ihren Wiederherstellungsplänen aus, weil diese als veraltet, zu spezialisiert oder zu weit von der IT entfernt gelten. Dieser Vorfall zeigt, warum das ein Fehler ist. Für einen Lebensmittelhändler ist die Kältetechnik geschäftskritisch: Werden Steuerungen in einen dauerhaften Abtaumodus versetzt, kann die Kühlkette innerhalb weniger Stunden zusammenbrechen und Bestände vernichten.

Die Systeme zur Überwachung und Konfiguration der Filialtechnik gehören daher ebenfalls zum MVB. Dazu zählen Leitsysteme, Engineering-Workstations, bekannte funktionsfähige Steuerungskonfigurationen sowie Temperatur- und HACCP-Aufzeichnungen, mit denen die Lebensmittelsicherheit im Nachhinein nachgewiesen werden kann. Für jede dieser Komponenten sollten Einzelhändler einen Wiederherstellungsplan entwickeln, der festlegt, was zuerst wiederhergestellt wird, welche Abhängigkeiten bestehen, welcher Wiederherstellungspunkt verwendet wird und welches isolierte Netzwerk die Systeme aufnimmt. Anschließend sollten diese Abläufe regelmäßig geübt werden. Das Wiederherstellungsziel für diese Ebene wird in Stunden und nicht in Tagen gemessen.

Wie Rubrik einen wochenlangen Wiederherstellungsprozess auf eine Nacht reduziert

In dieser neuen Ära der Frontier-KI werden Angriffe wie der auf die französischen Supermärkte künftig zunehmen. KI führt Ausspähung, Ausnutzung von Schwachstellen und Koordination schneller durch, als Verteidiger reagieren können. Gleichzeitig schaffen Einzelhändler neue Risiken, indem sie eigene KI-Agenten mit privilegierten Zugriffsrechten innerhalb des Perimeters einsetzen. Sicherheitsteams müssen daher sowohl von einer möglichen Sicherheitsverletzung als auch von der Fehl- oder Übernutzung von Berechtigungen durch KI-Agenten ausgehen. Genau deshalb benötigen Unternehmen KI-Resilienz.

Rubrik patcht keine Kühlanlagensteuerungen. Rubrik sorgt jedoch dafür, dass ein Unternehmen den Betrieb aufrechterhalten und sich schnell erholen kann, wenn kompromittierte vernetzte Systeme gegen das Unternehmen missbraucht werden. Rubrik Agentic Cyber Resilience^TM vereint Daten, Identitäten und KI, damit Einzelhändler KI-gestützten Angriffen und fehlgeleiteten KI-Agenten standhalten, Geschäftsprozesse mit Maschinengeschwindigkeit wiederherstellen und KI sicher skalieren können, ohne die Kontrolle zu verlieren.

Rubrik bewahrt per Air Gap isolierte, unveränderliche Kopien der Systeme, die das Minimum Viable Business unterstützen. Dadurch kann ein Angreifer, der von einer Filialsteuerung bis ins Unternehmensnetzwerk vorgedrungen ist, nicht auch noch die Systeme verschlüsseln oder löschen, die für die Wiederherstellung des Geschäftsbetriebs benötigt werden. Die Plattform indiziert und klassifiziert diese Daten und analysiert sie kontinuierlich auf Bedrohungen. Ungewöhnliche Veränderungen in der Filiallandschaft fallen dadurch häufig bereits als Warnsignal auf, lange bevor ein Geschäft seine Türen öffnet. Saubere Wiederherstellungspunkte stehen dann bereits fest. So funktioniert es:

• Bei einem Vorfall durchsucht Rubrik Threat Analytics historische Backups nach Kompromittierungsindikatoren, um festzustellen, wie lange sich ein Angreifer bereits in der Umgebung befindet. Zudem wird der letzte saubere Wiederherstellungspunkt ermittelt, bevor die Wiederherstellung beginnt.

• Rubrik Threat Containment isoliert infizierte Snapshots, damit bei der Wiederherstellung nicht versehentlich genau die Malware erneut eingeführt wird, die entfernt werden soll.
• Rubrik Identity Resilience korreliert Änderungssignale aus Active Directory, Entra ID und Okta, setzt böswillige Änderungen zurück und entfernt die Persistenzmechanismen des Angreifers, während legitime Änderungen erhalten bleiben. Denn weder Kassensysteme noch Zahlungsgateways oder Buchungssysteme können authentifizieren, wenn die Identitätsdienste ausgefallen sind. 
• Mit der orchestrierten Cyber-Wiederherstellung von Rubrik wird anschließend der restliche Teil des Minimum Viable Business in einer vorab festgelegten Reihenfolge wiederhergestellt. Die Priorisierung erfolgt anhand geschäftlicher Anforderungen statt in hektischen Ad-hoc-Entscheidungen. Die Wiederherstellung findet in einer isolierten Umgebung statt, auf die der Angreifer keinen Zugriff hat.
• Rubrik Cyber Recovery Simulation ermöglicht es dem Team, diesen Plan zu validieren, bevor der Ernstfall eintritt. 
• Rubrik Agent Cloud überwacht jeden Agenten, setzt vor der Ausführung von Aktionen Sicherheitsleitplanken durch und macht schädliche Änderungen rückgängig, bevor ein fehlgeleiteter Agent den nächsten Vorfall verursacht.

Nichts davon hätte verhindert, dass ein Thermostat angewiesen wird, die Temperatur zu erhöhen. All dies entscheidet jedoch darüber, ob ein Einzelhändler nach dem Vorfall zum Normalbetrieb zurückkehren kann oder den Geschäftsbetrieb praktisch von Grund auf neu aufbauen muss. Angreifer nutzen bereits KI, um vergessene Geräte aufzuspüren und auszunutzen. Rubrik bringt dieselbe Geschwindigkeit auf die Seite der Verteidiger – über Daten, Identitäten und KI hinweg –, sodass das Unternehmen schneller wieder handlungsfähig wird, als ein Angreifer es lahmlegen kann.

Der nächste nächtliche Angriff zeichnet sich bereits ab

Die französischen Supermarktketten werden ihre Warenbestände ersetzen, ihre Filialen instand setzen und ihre Systeme unter deutlich strengeren Kontrollen wieder ans Netz bringen. Die laufenden Untersuchungen werden irgendwann klären, wie die Angreifer eindringen konnten. Für Einzelhändler in ganz EMEA ist Abwarten jedoch keine Option, bis die Untersuchungsergebnisse vorliegen. Denn die wichtigste Erkenntnis ist bereits klar: Jedes Unternehmen betreibt Systeme, die es nicht vollständig kontrolliert, in Netzwerken, die es nicht bis ins letzte Detail selbst entworfen hat, und sieht sich Angreifern gegenüber, die immer schneller und effizienter agieren.

Auch die Regulierung entwickelt sich in diese Richtung. NIS2 bezieht die Lebensmittelversorgung in ihren Geltungsbereich ein und macht die Sicherheit der Lieferkette, die Geschäftskontinuität und die Wiederherstellung zur Verantwortung auf Vorstandsebene. Mit dem Cyber Resilience Act werden Hersteller vernetzter Geräte zunehmend für Schwachstellen in ihren Produkten zur Rechenschaft gezogen. Keine dieser Vorschriften wird einen Kühlschrank über Nacht patchen. Beide senden jedoch dieselbe Botschaft: Resilienz ist etwas, das Einzelhändler künftig nachweisen müssen und nicht nur behaupten können.

Diesmal haben die Angreifer Kühlsysteme ins Visier genommen. Beim nächsten Mal wird es etwas anderes sein. Den Kunden, die morgens um sechs Uhr vor dem Geschäft stehen, wird das egal sein. Sie wollen nur, dass das Geschäft geöffnet ist.

Rubrik arbeitet mit Sicherheitsteams von Einzelhändlern in ganz EMEA zusammen, um deren Minimum Viable Business zu definieren, die zugrunde liegenden Abhängigkeiten zu identifizieren und nachzuweisen, dass sich der Geschäftsbetrieb wiederherstellen lässt, bevor der Ernstfall eintritt. Vereinbaren Sie noch heute einen Termin mit unseren MVB-Experten. 

Quellen: 

1. CNBC, „French supermarket fridges get hacked, heating to 122°F and sparking fires“, 13. Oktober 2026. https://www.cnbc.com/amp/2026/10/13/france-supermarket-hack-cyberattack-fridges-fires.html

Artikel zu ähnlichen Themen