In der Nacht zum 2. November haben Unbekannte die Steuerung von Kälteräumen manipuliert, in denen die französische Blutbank EFS Plasma für Transfusionen und Arzneimittel lagert. Betroffen waren drei Standorte – angegriffen wurde aber nicht die Blutbank selbst, sondern ihr Kühltechnik-Dienstleister. Alarmketten und ein diensthabender Techniker verhinderten den Verlust von Blutprodukten. Wer hinter dem Angriff steckt, ist offiziell offen; die Spur führt in eine seit Wochen laufende Serie ähnlicher Vorfälle in Europa.
Die EFS – Établissement français du sang – ist Frankreichs staatlicher Blutspendedienst. Sie sammelt, testet, verarbeitet und verteilt Blut, Plasma und Thrombozyten an mehr als 1.900 Krankenhäuser und andere Gesundheitseinrichtungen und versorgt nach eigenen Angaben mehr als eine Million Patienten im Jahr 3. Genau diese Infrastruktur geriet in der Nacht vom 1. auf den 2. November ins Visier.
Ein Dienstleister, drei Standorte, manipulierte Sollwerte
Betroffen waren nach Angaben der EFS die „Anlagen zur Überwachung und Steuerung von Kälteräumen“, die an drei Standorten im Einsatz sind. Unbekannte veränderten aus der Ferne die Einstellungen; Temperatur- und Abtau-Schwellen seien „auf sehr hohe Werte“ angehoben worden 1 2. In den Kühlräumen lagerten Plasmapäckchen für Transfusionen sowie Plasma, das zur Herstellung von Arzneimitteln weiterverarbeitet wird 1 2.
Nach Informationen des Wochenblatts „Le Canard enchaîné“, das den Fall publik machte, sollen die Sollwerte auf 110 Grad Celsius gesetzt worden sein – statt der für tiefgekühltes Plasma üblichen rund minus 30 Grad 6. Die EFS bestätigte diese Zahl auf Nachfrage nicht; sie sprach lediglich von „sehr hohen“ Schwellenwerten 7.
Angriffsziel war nicht die Blutbank selbst. Betroffen war ein Dienstleister für Kühltechnik, den die EFS mit dem Betrieb der Kälteräume beauftragt hat; nach Recherchen des „Canard enchaîné“ handelt es sich um das Unternehmen Coolworld, das Kühlraumlösungen bereitstellt und betreut 2 6. Die EFS bestätigte, dass ein „Anbieter von Kühlgeräten“ Opfer eines „Cybersicherheitsvorfalls“ geworden sei 2.
Coolworld erklärte, die in den Medien diskutierte Schwachstelle betreffe eine Komponente eines Drittanbieters, die das Unternehmen nicht unmittelbar kontrolliere. Betroffen sei „nur eine begrenzte Zahl von Einheiten“ 2 8.
Warum das Plasma nicht verdarb
Entscheidend war die Reaktionskette hinter dem Angriff, nicht der Angriff selbst. Die Überwachungs- und Alarmsysteme der EFS schlugen an, ein diensthabender Techniker reagierte, die betroffenen Anlagen wurden nach Angaben der Blutbank entweder unter Kontrolle gebracht oder stillgelegt, die gelagerten Produkte vorsorglich an andere Standorte verbracht 1 2. „Es wurde keine gesundheitliche Auswirkung festgestellt, und es ist kein Verlust von Blutprodukten zu beklagen“, heißt es in der Mitteilung der EFS 1.
Biologisch war die Sache knapp. Tiefgekühltes Plasma verliert beim Auftauen seine Gerinnungsfaktoren, ein erneutes Einfrieren ist nach den geltenden Regeln nicht zulässig. Wäre die Kühlkette über Stunden gebrochen, hätten die betroffenen Chargen vernichtet werden müssen – mit Folgen für die Versorgung, weil Plasmapräparate nicht kurzfristig nachproduziert werden können. Die EFS teilte mit, Blutspende und Auslieferung hätten ohne Unterbrechung weiterlaufen können 1 5.
Ob die Angreifer neben den Steuerungssystemen auch Zugriff auf Daten erlangten, teilte die Blutbank nicht mit. Lösegeldforderungen wurden bislang nicht bekannt.
Wer hinter dem Angriff steckt, bleibt offen
Offiziell gibt es keine Zuschreibung. Die Gruppen NoName057(16) und Z-Pentest Alliance hatten erklärt, sie hätten den Kühltechnikhersteller Danfoss angegriffen; daraus wurde in sozialen Netzwerken eine Täterschaft für die Kühlangriffe konstruiert 4. Das französische Sicherheitsunternehmen Sekoia, das die Vorfälle auswertet, hält davon wenig: Es gebe „keine technischen Belege für die Beteiligung russischsprachiger Gruppen“; NoName057 sei bislang durch Überlastungsangriffe aufgefallen und habe wiederholt falsche Verantwortungsbekundungen abgegeben 4.
Sekoia hält stattdessen mehrere Szenarien für plausibel: russische Hacktivisten oder staatliche Akteure, aber auch iranische Kräfte, die in der Vergangenheit bereits exponierte industrielle Steuerungssysteme ins Visier genommen hätten 4. Auch Nachahmer oder eine koordinierte Gruppe ohne politischen Auftrag werden nicht ausgeschlossen.
Für Planung spricht die Logistik des Angriffs. Mehrere Sicherheitsfirmen hatten digitale Köder – sogenannte Honeypots – als vermeintlich exponierte Kühlsteuerungen aufgesetzt. Nach den Beobachtungen der schottischen Firma Lupovis wurden zehn Tage vor der zweiten Welle gezielt europäische Köder angesprochen, afrikanische oder südamerikanische dagegen nicht 4. Der Einstiegspunkt der betroffenen Gerätesoftware war technisch anspruchslos: Die Systeme waren schlecht geschützt, passende Angriffsmethoden kursierten bereits im Netz. Die Angreifer mussten allerdings öffentlich erreichbare Adressen sammeln, um überhaupt Ziellisten zu bilden 4.
Eine Serie, die Europa beschäftigt
Der Fall ist Teil einer Serie. Mitte Oktober hatten Angreifer in Frankreich Kühlaggregate in bis zu 700 Supermärkten ferngesteuert 3. Anfang November folgte eine zweite Welle, die Filialen in rund einem Dutzend europäischer Länder traf – von Schweden und Estland bis Portugal und Italien; in einzelnen Filialen stiegen die Temperaturen auf bis zu 50 Grad, Millionen Euro an Ware verdarben 3 4.
In den USA wurden im August Kühlräume auf mindestens sechs Militärstützpunkten in den Abtaumodus versetzt, das Pentagon ermittelt 3. Bereits 2022 waren nach Angaben von Sekoia rund 40 israelische Supermärkte mit Steuerungen des Herstellers Danfoss kompromittiert 4.
Die EU-Kommission sprach von keinem Einzelfall. „Das sind keine isolierten Vorfälle, und wir müssen gemeinsam widerstandsfähig und auf solche Cybervorfälle vorbereitet sein“, sagte Kommissionssprecher Thomas Regnier, ohne mögliche Urheber zu nennen 3. Italien berief Krisengespräche mit den Geheimdiensten ein 3.
Wo digitale Risiken zur realen Gefahr werden
Für die französische Blutversorgung ist der Vorfall glimpflich ausgegangen – auch, weil die EFS auf Redundanz setzen konnte: mehrere Standorte, ausweichfähige Lagerkapazität und eine technische Alarmierung, die unabhängig von der angegriffenen Steuerungssoftware funktionierte. Genau diese doppelte Absicherung ist der Punkt, an dem sich der Fall verallgemeinern lässt. Angegriffen wurde nicht das Zentrum der kritischen Infrastruktur, sondern ein Dienstleister mit Fernzugriff auf deren Anlagen.
Dieser Angriffsweg ist in der europäischen Gesundheitswirtschaft weit verbreitet. Krankenhäuser, Labore und Blutspendedienste lassen Kühltechnik, Gebäudesteuerung und Wartung regelmäßig von externen Firmen betreiben; die Zugänge laufen häufig über dasselbe Fernwartungsnetz wie die Anlagen selbst. Die europäische NIS2-Richtlinie, die seit Oktober 2024 in nationales Recht umgesetzt sein muss, zählt Gesundheitseinrichtungen und wichtige Zulieferer zur kritischen Infrastruktur und verlangt Risikomanagement sowie Meldepflichten bei Sicherheitsvorfällen. In der Praxis entscheidet jedoch weniger die Regel als ihre Durchsetzung: ob Betreiber die Fernzugriffe ihrer Dienstleister protokollieren, begrenzen und im Ernstfall trennen können.
Die EFS hat angekündigt, die Überwachung aller Temperatur- und Betriebsdaten zu verstärken; ihre Technikteams arbeiten nach eigenen Angaben mit der französischen Cybersicherheitsbehörde ANSSI und dem Gesundheitsministerium 1 2. Das Haus von Gesundheitsministerin Stéphanie Rist kündigte einen „neuen Stand der Dinge“ an, sobald die Erkenntnisse belastbar seien 2.
Offen ist, ob es bei der technischen Aufarbeitung bleibt oder ob die Justiz ein Ermittlungsverfahren eröffnet – und ob die Betreiber nach diesem Fall die Fernzugriffe ihrer Kühltechnik-Dienstleister neu bewerten.
