Der Angriff ereignete sich Anfang des Monats. Betroffen waren unter anderem die Handelsketten Intermarché, Carrefour, Monoprix, Leclerc und Coopérative U. Die finanziellen Schäden werden auf mehrere zehn Millionen Euro geschätzt, da verdorbene Warenbestände entsorgt werden mussten.

Die französische Cybersicherheitsbehörde ANSSI erklärte, sie habe „Kenntnis von der Kompromittierung von Fernsteuerungen für Kälteanlagen“, und nannte konkret die Serien AK-SM und AK-SC von Danfoss sowie die xweb-Produkte von Copeland und Dixell. Das Computer-Notfallteam der Behörde, CERT-FR, veröffentlichte am vergangenen Montag eine Warnmeldung; ANSSI forderte Betreiber auf, sämtliche ins Internet exponierten Steuerungen vom Netz zu nehmen oder zu filtern, um weitere Angriffe zu verhindern.

„Die Ermittlungen dauern an“, teilte die Behörde mit. Sie koordiniere präventive Maßnahmen und Abhilfemaßnahmen über die möglicherweise betroffenen Sektoren hinweg, „mit besonderem Fokus auf den Lebensmitteleinzelhandel“. Zudem sei sie „gleichermaßen auf europäischer Ebene mobilisiert“ und stehe in regelmäßigem Austausch mit ihren Partnerbehörden.

Copeland räumte in einer Stellungnahme „die Schwachstelle ein, die in einer eingestellten, am Ende ihres Lebenszyklus angelangten Generation von Steuerungen identifiziert wurde“, und erklärte, man arbeite „derzeit mit betroffenen Kunden daran, das Risiko zu mindern“. Man werde Kunden „weiterhin dabei unterstützen, die Cybersicherheit durch unterstützte Produkte, aktuelle Software und branchenübliche Praktiken zu stärken“. Wie viele Kunden betroffen sind, nannte das Unternehmen nicht. Danfoss äußerte sich auf Anfrage nicht, hat aber erklärt, dass auch die betroffenen Geräte des Herstellers das Ende ihres Lebenszyklus erreicht hätten.

Die Pariser Staatsanwaltschaft erklärte, es seien „etwa zehn Anzeigen“ eingegangen, die Zahl der Opfer werde „auf rund 700“ geschätzt. Auch diese Ermittlungen laufen noch; bislang hat sich niemand zu dem Angriff bekannt.

Meldepflicht ja, Patchpflicht nein

Bestimmungen des EU Cyber Resilience Act, die im vergangenen Monat in Kraft getreten sind, verpflichten Hersteller vernetzter Hardware und Software, die in der EU verkauft wird – von Verbrauchergeräten bis zu Industriesteuerungen wie den in Frankreich angegriffenen –, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden.

ENISA erklärte, diese Pflicht erstrecke sich auch auf Produkte am Ende ihres Lebenszyklus, die „in der EU nicht mehr verkauft werden, aber weiterhin im Einsatz sind“; die „Meldepflichten gelten weiter, nachdem ein Produkt mit digitalen Elementen nicht mehr unterstützt wird“.

Die davon getrennten Pflichten zum Umgang mit Schwachstellen – einschließlich ihrer Behebung und der Bereitstellung kostenloser Sicherheitsupdates – gelten dagegen nur während des vom Hersteller selbst definierten Unterstützungszeitraums. Wurde ein Produkt vor dem 11. Dezember 2027 in Verkehr gebracht oder ist seine Unterstützung beendet – wie bei den angegriffenen Kühlsteuerungen –, sei „der Hersteller nicht verpflichtet, die Pflichten zum Umgang mit Schwachstellen zu erfüllen“, so ENISA.

Die Agentur wollte keine Angaben zu konkreten Meldungen machen, die sie möglicherweise von Herstellern erhalten hat, und äußerte sich auch nicht dazu, ob überhaupt jemand die Angriffe gemeldet hat. Das EU-Netzwerk der nationalen Computer-Notfallteams (CSIRTs Network) tausche „aktiv Informationen aus und beobachtet die Lage“.