Frankreich macht eine mit den iranischen Revolutionsgarden verbundene Einheit für Cyberangriffe auf Kühlsysteme an rund 700 gewerblichen Standorten verantwortlich. Betroffen waren vor allem Supermärkte. Bei den Angriffen am 11. und 12. Oktober 2026 wurden digital gesteuerte Thermostate manipuliert und Temperaturen in Kühlanlagen auf mehr als 50 Grad Celsius erhöht. Lebensmittel verdarben, mindestens 15 Brände brachen aus. Die Schäden und Warenverluste sollen sich auf mehrere zehn Millionen Euro belaufen.
Das französische Cyber-Krisenzentrum schreibt die Operation der Einheit Shahid Kaveh innerhalb der Islamischen Revolutionsgarden, kurz IRGC, zu. Nach Darstellung des Außenministeriums handelt es sich um die erste auf französischem Territorium ausgeführte iranische Cyberkampagne, deren Zweck ausschließlich Sabotage gewesen sei. Anders als bei Datendiebstahl oder dem Ausfall einer Website griff die Operation direkt in einen physischen Prozess ein.
Der entscheidende Mechanismus liegt dabei nicht in einem spektakulären Einzelziel. Kühltechnik ist über Filialen, Lager und Dienstleister verteilt, läuft dauerhaft und wird zunehmend aus der Ferne überwacht. Wird die Steuerung einer solchen Geräteflotte erreichbar, kann aus einem digitalen Zugriff binnen Stunden ein Waren-, Brand- und Betriebsproblem werden.
Manipulierte Thermostate führten zu physischen Schäden
Nach den bislang veröffentlichten Angaben übernahmen die Angreifer die Kontrolle über digitale Thermostate. Sie veränderten die Sollwerte so stark, dass Kühlgeräte auf mehr als 50 Grad Celsius aufgeheizt wurden. Damit blieb es nicht bei einer vorübergehenden Störung: Waren mussten entsorgt werden, Anlagen wurden beschädigt und in mindestens 15 Fällen entstanden Brände.
Vom digitalen Zugriff zum physischen Schaden
Die Grafik zeigt die von französischen Behörden beschriebene Wirkungskette: manipulierte Thermostate, Temperaturen über 50 Grad Celsius, verdorbene Waren und Brände sowie Schäden in Millionenhöhe.
Welche Hersteller, Gerätemodelle oder Steuerungsplattformen betroffen waren, wurde nicht veröffentlicht. Ebenso fehlen Angaben zu einer konkreten Schwachstelle, einer CVE, verwendeten Zugangsdaten oder dem genauen Weg des Erstzugriffs. Es gibt deshalb keine allgemein benennbare gepatchte Version und kein einzelnes Update, das Betreiber nun flächendeckend installieren könnten. Bekannt ist lediglich, dass bei einem Teil der betroffenen Systeme veraltete Geräte oder überholte Software den Zugriff erleichtert haben könnten.
Die Angriffe sind keine theoretische Schwachstellenmeldung und kein bloßer Machbarkeitsnachweis. Die Manipulationen wurden beobachtet und hatten bestätigte materielle Folgen. Gleichzeitig lässt sich aus den öffentlichen Informationen nicht ableiten, dass jedes internetfähige Kühlsystem auf dieselbe Weise angreifbar wäre.
Die Zuordnung stützt sich auf mehrere Spuren
Französische Ermittler führen die Attribution nicht allein auf Bekennerschreiben zurück. Nach Behördenangaben wurden Teile der bei den Angriffen verwendeten Infrastruktur zuvor zum Scannen industrieller Anlagen eingesetzt. Die Methoden ähnelten früheren Shahid-Kaveh-Operationen. Hinzu kamen Spuren in persischer Sprache, IP-Adressen mit Bezug zu Geräten im Iran und ein der Einheit zugerechneter Propagandakanal, der den Angriff öffentlich verbreitete.
Die französischen Nachrichtendienste verbinden Shahid Kaveh außerdem mit den Online-Identitäten CyberAveng3rs und Soldiers of Solomon. Der Einheit werden frühere Aktionen gegen israelische Kühltechnik sowie eine Kampagne aus dem Jahr 2023 gegen Industriesteuerungen des Herstellers Unitronics zugerechnet. Iranische Akteure hatten in der Vergangenheit zudem Wassersysteme in den USA ins Visier genommen.
Im Zuge derselben französischen Operation sollen auch Steuerungen kleiner Wasserkraftanlagen angegriffen worden sein. Dort blieben die Auswirkungen laut einem Geheimdienstbericht begrenzt. Eine weitere Welle von Angriffen auf Kühlanlagen in der vergangenen Woche hat Frankreich dagegen bislang nicht öffentlich derselben Gruppe zugeschrieben. Auch Meldungen über ähnliche Vorfälle in anderen europäischen Ländern und bei einer französischen Blutbank sind kein Beleg für einen gemeinsamen Urheber.
Das Risiko steckt in der verteilten Geräteflotte
Für Supermarktbetreiber ist Kühltechnik häufig weder klassische IT noch eine abgeschottete Industrieanlage. Steuerungen werden über viele Standorte verteilt, von externen Technikfirmen betreut und für Wartung oder Alarmierung an Netze angebunden. Geräte bleiben zudem länger im Einsatz als typische Bürorechner. Dadurch entstehen Umgebungen, in denen alte Software, Fernzugänge und uneinheitliche Zuständigkeiten zusammentreffen können.
Genau diese Verteilung vergrößert den möglichen Schaden. Ein kompromittierter Bürorechner betrifft zunächst einen Arbeitsplatz. Eine manipulierte Kühlungssteuerung kann dagegen gleichzeitig Waren vernichten, Filialen schließen und Techniker zu hunderten Standorten zwingen. Selbst wenn der technische Einstieg einfach gewesen sein sollte, ist die operative Bereinigung aufwendig: Jede Anlage muss auf Konfiguration, unbefugte Zugänge und mögliche Folgeschäden geprüft werden.
Was Betreiber jetzt konkret prüfen sollten
Ohne veröffentlichte Produktliste oder CVE beginnt die Reaktion mit einer belastbaren Bestandsaufnahme. Betreiber sollten erfassen, welche Kühlungs-, Heizungs- und Gebäudesteuerungen aus dem Internet oder über Dienstleister erreichbar sind, welche Softwarestände sie verwenden und welche Konten Änderungen an Sollwerten ausführen dürfen. Nicht benötigte Fernzugänge sollten geschlossen, notwendige Zugänge durch starke individuelle Anmeldedaten und zusätzliche Authentifizierung abgesichert werden.
Entscheidend ist außerdem, ungewöhnliche Sollwertänderungen nicht nur digital zu protokollieren. Separate Temperaturfühler, lokale Alarme und klar definierte Abschalt- oder Notfallprozesse können verhindern, dass eine kompromittierte Steuerung unbemerkt weiterheizt. IT- und Betriebstechnik sollten ihre Protokolle gemeinsam auswerten. Wer verdächtige Veränderungen entdeckt, sollte die Beweise sichern, Zugänge kontrolliert sperren und betroffene Anlagen technisch untersuchen lassen, statt lediglich die Temperatur zurückzusetzen.
Frankreich hat eine gerichtliche Untersuchung eingeleitet und internationale Haftbefehle gegen den mutmaßlichen Leiter von Shahid Kaveh und dessen Stellvertreter beantragt. Die Regierung kündigte zudem an, den iranischen Botschafter einzubestellen und neue EU-Sanktionen gegen beteiligte Personen und Organisationen vorzuschlagen. Die iranische UN-Vertretung reagierte zunächst nicht auf Anfragen zu den Vorwürfen.
Der Vorfall macht damit eine unscheinbare Abhängigkeit sichtbar: Die Sicherheit der Lebensmittelkette endet nicht am Rechenzentrum eines Handelskonzerns. Sie reicht bis zu Thermostaten und Steuerungen, die jahrelang in Nebenräumen laufen. Wo deren Erreichbarkeit, Softwarestand und Zuständigkeit unbekannt sind, existiert auch kein einzelner Patch, der das Problem nach einem Angriff wieder aus der Welt schafft.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
