Europäische Kühlketten wachten mit Tiefkühlgeräten auf, die im Abtaumodus feststeckten oder auf 50 °C zusteuerten, nachdem Angreifer schwache oder werkseitige Passwörter in aus dem Internet erreichbare Adminoberflächen von Kühlanlagen eingegeben hatten. Laut SentinelOne Labs authentifizierten sich die Täter an Überwachungssteuerungen, überwiegend Danfoss-Geräte, die für die Fernwartung durch Dienstleister erreichbar gelassen wurden, und schrieben dann die Sollwerte über die normale Verwaltungsoberfläche dieser Steuerungen um. In den öffentlichen Berichten tauchen weder Malware noch eine Lösegeldforderung auf. MFA an jede Steuerung zu setzen ist eine zu einfache Antwort, weil die Dienstleister, die diese Geräte warten, ständig wechseln. Die passende Lösung nimmt die Anmeldung an der Steuerung aus dem Internet und gibt jedem Techniker eine verifizierte, gerätegebundene Identität, die mit dem Auftrag abläuft.

Was öffentliche Berichte über die Anmeldungen an den Steuerungen festgestellt haben

SentinelOne Labs beschreibt einen Zugriff allein über Zugangsdaten auf Überwachungssteuerungen für Supermarktkühlung, die für die Fernwartung offen standen. Die französische ANSSI hatte bereits eine französische Welle im Oktober 2026 mit Adminoberflächen in Verbindung gebracht, die mit schwachen Passwörtern aus dem Internet erreichbar waren. Danfoss erklärte, dass die betroffenen niederländischen Systeme außerhalb eines sicheren Netzes lagen und noch Standardpasswörter hatten. Ein estnischer Markt betrieb eine alte Steuerung. Danfoss verwies außerdem auf veraltete, ungepatchte Software auf einigen Geräten.

In der Nacht zum 2. November 2026 traf eine zweite Welle Märkte in Belgien, den Niederlanden, Schweden, Estland, Irland, Luxemburg, Finnland, Italien, Portugal, Rumänien und Deutschland. Steuerungen blieben im Abtaumodus hängen oder erhielten Zieltemperaturen von 50 °C. ICA meldete 23 betroffene Märkte, die über einen externen Lieferanten getrennt von ihrem zentralen Unternehmensnetz angebunden waren. Öffentliche Quellen beschreiben keine laterale Bewegung in Zahlungssysteme, Kundendatenbanken oder die zentrale IT und auch keine Persistenz in OT- oder IT-Netzen.

Forscher haben eine Schwachstelle zur Umgehung der Authentifizierung im Danfoss AK-SM 800A dokumentiert. Die ANSSI sagte, dass diese Schwachstelle in der französischen Welle nicht genutzt wurde. Berichte haben eine Nutzung außerhalb Frankreichs nicht bestätigt, daher bleibt der dokumentierte Weg schwache und Standardpasswörter an offenen Adminzugängen. Keine öffentliche Quelle gibt an, dass an diesen Oberflächen Multi-Faktor-Authentifizierung vorhanden war. Die vollständige Darstellung der Angriffskette steht auf legacymfa.sucks.

Warum Dienstleistersteuerungen mit reinem Passwortzugang weiter gegen Spraying verlieren

Dienstleister lassen Überwachungssteuerungen für Kühlanlagen im öffentlichen Internet, damit Techniker Abtauzyklen und Zieltemperaturen ohne Anfahrt anpassen können. Diese Bequemlichkeit bestimmte die gesamte Authentifizierungsfläche. Die Angreifer setzten Password Spraying und Brute Force gegen die Fernadminoberflächen ein, bis schwache oder werkseitige Zugangsdaten funktionierten, und nutzten dann die legitimen Verwaltungsoberflächen so, wie es ein Servicetechniker tun würde.

Das Geheimnis war übertragbar. Wer das Anmeldeformular erreichen konnte, konnte es so lange versuchen, bis das gemeinsame Passwort funktionierte. Nichts in den öffentlichen Berichten zeigt einen zweiten Faktor, einen hardwaregebundenen Nachweis oder eine an den Ursprung gebundene Gerätesignatur bei den erfolgreichen Anmeldungen. Nachdem das Passwortfeld den Versuch akzeptiert hatte, behandelte die Steuerung den Aufrufer als vertrauenswürdigen Bediener. Den Abtauzustand zu ändern oder einen Sollwert auf 50 °C zu setzen, erforderte nach erfolgreicher Authentifizierung keine Exploit-Kette.

Identitätsteams in Unternehmen haben jahrelang Mitarbeiterportale für SaaS und VPN-Gateways gehärtet und dann die Steuerungen der Kühlräume mit einem einzigen gemeinsamen Geheimnis gelassen. Fernadministration mit reinem Passwortzugang an OT-Geräten ist weiterhin ein vollwertiger Anmeldeweg für Dienstleister. Sie liegt nur auf einer Tiefkühlsteuerung statt bei einem Cloud-IdP. Spraying funktioniert überall dort, wo dieses Modell aus dem Internet erreichbar bleibt.

Kontrolle an der Steuerung Gegen Password Spraying Nach erfolgreicher Anmeldung
Standard- oder schwaches Passwort Versagt; das Geheimnis ist erratbar N/A
Aus dem Internet erreichbare Adminoberfläche Ohne VPN erreichbar Dieselbe Oberfläche akzeptiert Sollwerte
Fernadministration mit reinem Passwortzugang Kein zweiter Faktor Verwaltungsoberflächen gelten als vertrauenswürdig
Nur Patchstand Verhindert keine Passworteingabe Begrenzt nur einige Codefehler

Veraltete Software und alte Hardware sind für andere Arten von Mängeln wichtig. Sie haben nicht die Anmeldelotterie geschaffen, die das Spraying gewonnen hat. Das Authentifizierungsmodell entsprach einem Gerät von 2005: ein Passwortfeld, oft nach der Installation nie geändert, erreichbar von überall im Internet, wo Dienstleister es brauchten.

Warum MFA an der Steuerung nicht ausreicht

Es ist verlockend zu sagen, MFA 2.0 hätte diese Welle gestoppt, und es dabei zu belassen. Die Menschen, die sich an diesen Steuerungen anmelden, machen das schwieriger. Die Kältewartung ist ausgelagert, und öffentliche Berichte nennen immer wieder externe Dienstleister und Lieferanten: Sabcobel betreut die Kühlung für Delhaize, Kitman Coldtech beliefert Selver, und ICA sagte, dass ihre betroffenen Märkte einen externen Lieferanten nutzten. Die Techniker dieser Firmen kommen und gehen fast wie Gig-Worker, und eine Handelskette lernt die Person, die ihre Tiefkühlgeräte einstellt, womöglich nie kennen.

Diesen Technikern vom Markt ausgegebene Zugangsdaten zu geben, skaliert nicht. Ein gemeinsames Standortpasswort landet in den Notizen eines Dienstleisters und überdauert den Vertrag. Eine OTP-App oder ein SMS-Code braucht eine Telefonnummer und einen Registrierungsschritt, den jemand in der Kette betreuen muss. Ein Smartphone des Marktes muss gekauft, verwaltet, eingesammelt und gelöscht werden, wenn der Techniker weiterzieht. Jede dieser Optionen legt Kontoanlage, Zurücksetzungen und Offboarding auf Mitarbeitende, die nicht wissen, wer der Techniker ist. Bei diesem Aufwand bleiben Standard- und gemeinsame Passwörter meist bestehen.

Die Steuerungen selbst sind zudem ein schlechter Ort für einen zweiten Faktor. Danfoss sagte, die meisten in Frankreich getroffenen Geräte seien ältere Modelle, die das Unternehmen nicht mehr aktualisiert, und der estnische Markt betrieb ein älteres Danfoss-System. Ein Gerät, das keine Updates mehr erhält, bekommt kein modernes Anmeldeverfahren. Das stärkere Design verlagert die Identitätsprüfung weg von der Steuerung und vor sie.

Ein Remote-Access-Gateway vor der Steuerung

Die erste Änderung betrifft die Erreichbarkeit. Die Adminoberfläche der Steuerung antwortet im öffentlichen Internet überhaupt nicht. Die Empfehlung des CERT-FR nach der französischen Welle war laut The Hacker News, die Geräte aus dem Internet unerreichbar zu machen und den Zugang nur über ein sicheres VPN oder ein geschütztes Netz wiederherzustellen. Ein Remote-Access-Gateway vor der Steuerung erledigt diese Aufgabe für Dienstleister. Die Steuerung nimmt nur Verbindungen vom Gateway an, und der einzige Weg durch das Gateway ist eine verifizierte Person, die sich daran anmeldet. Wer aus dem Internet Passwörter sprüht, findet kein Anmeldeformular der Steuerung, das er ausprobieren könnte.

Das Gateway nimmt das Passwort der Steuerung außerdem aus den Händen der Menschen. Das Standard- oder gemeinsame Standortpasswort wird durch ein eindeutiges Passwort pro Steuerung ersetzt, das im Tresor des Gateways liegt und vom Gateway eingesetzt wird, wenn sich eine autorisierte Sitzung öffnet. Kein Techniker, keine Marktleitung und kein Lieferant sieht es, also kann es weder notiert noch standortübergreifend wiederverwendet noch an den nächsten Dienstleister weitergegeben werden. Das schließt den Weg über Standardpasswörter selbst an einer alten Steuerung, die nie ein Firmware-Update bekommen wird, denn das Einzige, was sich am Gerät ändert, ist sein Passwort.

Nachweisen, wer der Techniker ist, bevor irgendein Zugang existiert

Die zweite Änderung betrifft die Frage, wie ein Techniker überhaupt zu einer Identität kommt. Mit einer Identitätsprüfung per Self-Service weist ein neuer Dienstleistertechniker einmal nach, wer er ist, indem er ein Ausweisdokument scannt und sein Gesicht damit abgleicht, bevor ein Konto oder Zugang existiert. Niemand in der Handelskette legt das Konto von Hand an, und niemand setzt es am Telefon zurück. Die Aufgabe der Kette schrumpft auf die Entscheidung, welcher Lieferant und welche Person an welchen Standorten arbeiten darf.

Direkt nach der Prüfung registriert sich der Techniker bei Bedarf. MFA 2.0 bindet ein phishing-sicheres, gerätegebundenes Credential an das eigene Telefon oder den eigenen Laptop des Technikers. Die gerätegebundene Architektur hält den privaten Schlüssel in der Hardware dieses Geräts, und das Gateway speichert nur einen öffentlichen Schlüssel. Es gibt keine OTP-App, keinen SMS-Code und kein Passwort, das ausgegeben, gespeichert oder zurückgesetzt werden müsste. Sich am Gateway anzumelden bedeutet, auf dem registrierten Gerät eine neue Signatur für den Ursprung des Gateways zu erzeugen, und das kann ein entfernter Angreifer mit nichts, was er erraten oder weiterleiten kann, abschließen. Verliert der Techniker das Gerät, weist er erneut nach, wer er ist, und registriert ein neues, sodass auch die Wiederherstellung nicht auf einen am Telefon vorgelesenen Code zurückfällt.

Zugang pro Auftrag, der von selbst endet

Die dritte Änderung betrifft die Form des Zugangs. Statt eines dauerhaften Kontos auf jeder Steuerung, die ein Lieferant je gewartet hat, erhält der Techniker Zugang zu einem Standort oder einem Auftrag, und diese Freigabe läuft von selbst ab, wenn das Auftragsfenster schließt. Wenn ein Techniker geht oder eine Handelskette den Kältedienstleister wechselt, gibt es keine Liste von Steuerungskonten, die gefunden und deaktiviert werden müssten. Die geprüfte Identität kann weiter bestehen, aber sie öffnet nichts, bis jemand einen neuen Auftrag freigibt.

Das ist der Teil, der zum Wechsel der Dienstleister passt. Das Onboarding läuft per Self-Service, und das Offboarding erledigt sich weitgehend von selbst, weil von Anfang an kein Zugang dauerhaft war.

Jede Sollwertänderung an einen namentlich bekannten Techniker gebunden

Die vierte Änderung betrifft die Sichtbarkeit nach der Anmeldung. Weil jede Sitzung unter einer geprüften Identität über das Gateway läuft, werden Sollwert- und Abtauänderungen pro namentlich bekanntem Techniker protokolliert statt pro gemeinsamem Standortkonto, und eine Änderung außerhalb eines offenen Ticketfensters löst einen Alarm aus. Bei dieser Art von Angriff zählt die Reaktionszeit. Im Selver-Markt in Estland erwärmte sich ein auf 50 °C gestelltes Tiefkühlgerät nur um etwa 2 bis 3 °C, weil das Problem laut seinem Kältelieferanten innerhalb von etwa 10 Minuten behoben war. Ein Alarm, der an eine Person und ein Ticket gebunden ist, hilft einem Markt, eine unerwartete Änderung so schnell zu bemerken.

Für den Anmeldeweg ist das Prävention statt Erkennung: Das für Spraying offene Formular der Steuerung ist verschwunden, bevor eine Sitzung existiert. Die Protokollierung deckt die erlaubten Sitzungen ab. Sie macht eine bereits erfolgte Temperaturänderung nicht rückgängig. Bekannte, korrekte Sollwerte wiederherzustellen bleibt Betriebsarbeit.

Was dieses Design nicht abdeckt

Dieses Design behandelt den Anmeldeweg, den öffentliche Berichte dokumentieren: schwache und Standardpasswörter an aus dem Internet erreichbaren Adminoberflächen von Steuerungen. Es deckt nicht jeden Weg in jede Welle ab. Danfoss sagte dem belgischen Sender VTM außerdem, die Schwachstelle liege hauptsächlich in veralteter Software, und betroffen seien Kunden gewesen, die nicht aktualisiert hatten. Forscher von Claroty dokumentierten eine Schwachstelle zur Umgehung der Authentifizierung im Danfoss AK-SM 800A, mit der Angreifer die Passwortabfrage überspringen und Code aus der Ferne ausführen konnten, wie Cybersecurity Dive berichtete. Die ANSSI sagte, dass diese Schwachstelle in der französischen Welle nicht genutzt wurde, und Berichte haben eine Nutzung an anderer Stelle nicht bestätigt.

Ein Gateway hilft gegen diese Risiken nur in dem Maß, in dem die Steuerung tatsächlich ausschließlich über das Gateway erreichbar ist. Ein Gerät, das noch an einer öffentlichen IP-Adresse hängt, oder eines mit einer aus dem Marktnetz erreichbaren Schwachstelle braucht Patches, Austausch oder Isolierung, unabhängig davon, wie sich Techniker anmelden. Das CERT-FR warnt, dass Geräte am Ende ihres Lebenszyklus, die im Internet bleiben, sehr wahrscheinlich kompromittiert werden und dass ein Zurücksetzen auf Werkseinstellungen allein sie wieder angreifbar lässt. Malware auf einem bereits angemeldeten Gerät eines Technikers ist zudem ein anderes Problem als Password Spraying, und diese Kampagne brauchte sie, soweit veröffentlicht, nicht.

Die wichtigsten Punkte für Verteidiger

Die Novemberwelle brauchte keine neue Malware, nur Steuerungspasswörter, die für die Wartung durch Dienstleister erreichbar gelassen wurden. Diese Passwörter aus dem Internet und aus den Händen der Menschen zu nehmen und jedem Techniker eine verifizierte Identität zu geben, die mit dem Auftrag abläuft, schließt diesen Weg, ohne das Marktpersonal Konten für Arbeitskräfte verwalten zu lassen, denen es nie begegnet.

Häufige Fragen

Hätte gerätegebundene MFA allein die Anmeldungen an den Danfoss-Steuerungen der Supermärkte verhindert?

Gerätegebundene MFA allein ist nicht die ganze Antwort auf die Anmeldungen an den Danfoss-Steuerungen der Supermärkte, weil die Steuerungen ein einziges Passwortfeld bieten und viele davon ältere Geräte sind, die keine Updates mehr erhalten. Laut SentinelOne Labs authentifizierten sich die Angreifer mit schwachen oder Standardpasswörtern und nutzten dann die normalen Verwaltungsoberflächen. Der passende Ansatz ist, die Steuerung aus dem Internet zu nehmen und hinter ein Remote-Access-Gateway zu stellen, ihr Passwort durch ein eindeutiges, im Tresor verwahrtes Passwort zu ersetzen und zu verlangen, dass sich ein verifizierter Techniker mit einem gerätegebundenen MFA 2.0-Credential am Gateway anmeldet.

Wie können Handelsketten wechselnden Kältedienstleistern Zugang ohne Passwörter oder OTPs geben?

Handelsketten können wechselnden Kältedienstleistern Zugang ohne Passwörter oder OTPs geben, indem jeder Techniker seine Identität einmal per Self-Service-Identitätsprüfung nachweist, mit einem Ausweisdokument und einem Gesichtsabgleich, und danach ein gerätegebundenes MFA 2.0-Credential auf seinem eigenen Gerät registriert. Niemand in der Kette legt Konten von Hand an oder setzt sie zurück. Der Zugang wird dann pro Auftrag oder pro Standort vergeben und läuft von selbst ab, sodass ein Dienstleisterwechsel keine dauerhaften Konten hinterlässt, die entfernt werden müssten.

Macht Anmeldesicherheit Sollwertänderungen rückgängig, wenn eine Kühlsteuerung bereits geöffnet wurde?

Anmeldesicherheit macht Sollwertänderungen nicht rückgängig, wenn eine Kühlsteuerung bereits geöffnet wurde, weil diese Änderungen nach der Authentifizierung über die eigenen Verwaltungsoberflächen der Steuerung erfolgen. Bei den Angriffen auf die Kühlung europäischer Supermärkte entstand der Schaden durch vertrauenswürdige Adminfunktionen, sobald das Passwort funktionierte. Nach der Anmeldung hilft es, jede Sollwert- und Abtauänderung pro namentlich bekanntem Techniker zu protokollieren und bei Änderungen außerhalb eines Ticketfensters zu alarmieren. Bekannte, korrekte Temperaturen wiederherzustellen bleibt Betriebsarbeit.

Wurde an den betroffenen Danfoss-Adminoberflächen Multi-Faktor-Authentifizierung gemeldet?

Keine öffentliche Quelle meldet Multi-Faktor-Authentifizierung an den betroffenen Danfoss-Adminoberflächen bei den Angriffen auf Kühlsteuerungen europäischer Supermärkte. Die Authentifizierung wird als reiner Passwortzugang beschrieben, gegen schwache oder Standardzugangsdaten, an Steuerungen, die für die Wartung durch Dienstleister erreichbar blieben. Dieser einstufige Fernadminweg ist es, den Password Spraying in den veröffentlichten Wellen überwunden hat.

Stoppt dieser Ansatz jeden Angriff auf Kühlsteuerungen?

Dieser Ansatz stoppt nicht jeden Angriff auf Kühlsteuerungen. Er schließt den dokumentierten Weg über schwache und Standardpasswörter an aus dem Internet erreichbaren Adminoberflächen. Danfoss machte außerdem veraltete Software verantwortlich, die Kunden nicht aktualisiert hatten, und eine Schwachstelle zur Umgehung der Authentifizierung im Danfoss AK-SM 800A ist dokumentiert, obwohl die ANSSI sagte, dass sie in der französischen Welle nicht genutzt wurde. Steuerungen, die außerhalb des Gateways erreichbar bleiben oder ungepatchten Code ausführen, brauchen weiterhin Patches, Austausch oder Isolierung.