Der Hybridkrieg in Europa nimmt mit der Sabotage von kommerziellen Kühlschränken eine sehr konkrete Form an. Am 9. November 2026 schrieb Paris den französischen Angriff vom Oktober einer Einheit der iranischen Revolutionsgarden zu. Prorussische Kollektive hatten ähnliche Angriffe behauptet. Nordkorea erscheint in anderen Fällen. Hinter dieser Namensfolge müssen mehrere Operationen, Organisationen und Grade der Sicherheit unterschieden werden.
Die französische Ankündigung gibt eine Antwort auf die designierten Täter eines bestimmten Angriffs. Es löst nicht alle Eingriffe, die europäische Kühlanlagen betroffen haben. Sie bezieht ihren Wert auch nicht aus früheren Einsätzen in Moskau oder Pjöngjang in anderen Fällen. Der entscheidende Punkt ist, für jede Episode die beobachteten Fakten zu identifizieren und was die Untersuchungen tatsächlich klarstellen.
Oktober und November: zwei Wellen, die nicht zu verwechseln sind
Die erste Welle traf hauptsächlich Frankreich in der Nacht vom 11. zum 12. Oktober 2026. Angreifer ändern aus der Ferne die Parameter von Kältereglern. Rund 700 große Vertriebsstandorte sind betroffen. Die Folgen gehen über die Nichtverfügbarkeit von Computern hinaus: Betreiber verlieren Waren und müssen ihre Anlagen kontrollieren, bevor sie zu normalen Aktivitäten zurückkehren.
Eine neue Welle ereignete sich in der Nacht vom 1. zum 2. November. Es betrifft mehrere andere europäische Länder. Trades berichten ähnliche Störungen, vor allem in Belgien und Schweden. Die Nähe von Daten, Ausrüstung und Effekten begünstigt die Idee einer einzigartigen Kampagne. Es bietet jedoch keine technische Demonstration.
Am 9. November richtete sich die französische Auszeichnung ausdrücklich gegen den Oktoberangriff auf französische Kühlregler. Der Ursprung der zweiten Welle bleibt in den zu diesem Zeitpunkt eingesehenen öffentlichen Informationen eindeutig. Eine Untersuchung muss mögliche Verbindungen zwischen Episoden herstellen. Der gleiche Flugzeugtyp kann für mehrere Angreifer von Interesse sein, insbesondere wenn vergleichbare Anlagen die gleichen Schutzmängel aufweisen.
Shahid Kaveh, eine iranische Einheit hinter mehreren Namen
Die französischen Dienste bezeichnen die Cyber-Offensive-Einheit Shahid Kaveh als Durchführung des Oktober-Angriffs. Sie verbinden es mit dem Electronic and Cyber Center des Korps der Islamischen Revolutionsgarde. In ihrem Bericht werden zwei Beamte ernannt, Reza Salarvand und Mahdi Lashgarian. Es beschreibt somit eine Struktur, die mit einem Staatsapparat verbunden ist, nicht nur eine Versammlung digitaler Aktivisten.
Diese Einheit erscheint unter verschiedenen öffentlichen Identitäten: CyberAveng3rs, Soldaten von Salomo, Mr. Soul und Cyber Isnaad Front. Diese Namen werden insbesondere verwendet, um bestimmte Transaktionen zu beanspruchen. CyberbanNews spielt eine Kommunikationsrolle. Ein Leser kann somit mehrere Unterschriften treffen, ohne sich notwendigerweise mit mehreren autonomen Organisationen auseinanderzusetzen.
Die Ausrichtung von Industrieanlagen ist ein zentrales Element ihrer Tätigkeit. Die von den französischen Behörden angeführten Präzedenzfälle betreffen insbesondere Israel und die Vereinigten Staaten. Sie erwähnen industrielle Steuerungsgeräte und Kühlsysteme. Dieser Pfad macht die Wirkungsweise konsistent mit den der Einheit zugewiesenen Fähigkeiten. Sie verzichtet jedoch nicht darauf, die Verantwortung für jeden neuen Angriff zu übernehmen.
Eine weitere iranische Einheit für Charlie Hebdo und die Olympischen Spiele
Die französische Datei zitiert auch Shahid Shoostari, bekannt als Emennet Pasargad und d’Iliyanet. Es muss von Shahid Kaveh unterschieden werden. Die Behörden verbinden sie mit anderen Operationen gegen französische Interessen, in einer Logik der Einschüchterung oder Destabilisierung. Eine institutionelle Verbindung zu teilen bedeutet nicht, dass die gleichen Teams alle Angriffe führen.
Im Januar 2023 wurde der Online-Shop von Charlie Hebdo einer Entstellung und Datenexfiltration unterzogen. Die Zeitung veröffentlichte dann Cartoons von Ali Khamenei. Die französischen Dienste weisen diese Operation nun Shahid Shoostari zu. Die Zielsetzung geht hier über die Fehlfunktion einer kommerziellen Website hinaus: Der redaktionelle Kontext ist Teil des von den Behörden beschriebenen Targetings.
Ab dem 20. Juli 2024 erlebte ein französisches Unternehmen, das Video-Display-Terminals verwaltet, einen weiteren Kompromiss. Die Angreifer versuchen, Montagen zu senden, in denen die Teilnahme israelischer Athleten an den Olympischen Spielen in Paris angeprangert wird. Die Entdeckung des Eindringens erfolgt vor ihrer Anzeige. Diese Präzision zählt: Ein vereitelter Versuch sollte nicht als tatsächlich ausgestrahlte Kampagne bezeichnet werden.
Prorussische Kollektive, die die Kühlschränke beanspruchten
NoName057(16) und Z-Pentest gehörten zu den Gruppen, die die kalten Angriffe auf Telegram Anfang November behaupteten. Ihre Kommunikation befeuerte die russische Spur in der öffentlichen Debatte. Eine spezielle Analyse, die vor der französischen Zuteilung veröffentlicht wurde, beschrieb diese Behauptungen jedoch als nicht verifiziert. Die Publizität einer Operation allein stellt keinen Nachweis der Teilnahme dar.
NoName057(16) zeichnet sich vor allem durch sogenannte DDoS-Attacken aus. Sie bestehen darin, einen Abfragedienst zu untertauchen, um den Zugriff zu erschweren. Regierungen, Unternehmen und Institutionen von Ländern, die die Ukraine unterstützen, gehören zu ihren Zielen. Die internationale Polizeioperation Eastwood, die im Juli 2025 durchgeführt wurde, zielte auf ihr Netzwerk und ihre Infrastruktur ab.
Die Gruppe setzt insbesondere auf DDoSia, einen Mechanismus, der die Teilnahme von Sympathisanten erleichtert. Die Organisation kann somit den Aufwand auf mehrere Mitwirkende verteilen. Dieser Vorgang unterscheidet sich von der Sabotage einer industriellen Steuerung. Ein Schauspieler kann neue Fähigkeiten entwickeln oder mit anderen zusammenarbeiten, aber sein Ruf in einer Kategorie von Angriffen beweist nicht seine Verantwortung in einer anderen.
Z-Pentest und CARR: Russische Links, um genau zu beschreiben
Z-Pentest konzentriert sich mehr auf Betriebstechnologien, die die physische Ausrüstung steuern. Internationale Einschätzungen beschreiben ihn als von Mitgliedern von NoName057(16) und Cyber Army of Russia Reborn oder CARR. Seine Gründung geht auf den September 2024 zurück. Der Wasser- und Energiesektor gehört zu seinen bekannten Zielen.
Am 13. Juli 2026 verhängte der Rat der Europäischen Union Sanktionen gegen Z-Pentest. Er zitierte insbesondere einen Angriff auf eine dänische Wasserverteilung im Dezember 2024. Diese Entscheidung dokumentiert einen konkreten europäischen Präzedenzfall. Sie gilt nicht für die frühzeitige Validierung etwaiger später von der Gruppe veröffentlichter Angaben, insbesondere zu Kühlschränken.
Die Beziehungen zum russischen Staat beschränken sich nicht auf eine einzige Formel. Eine internationale Stellungnahme vom Dezember 2025 ist der Ansicht, dass die GRU wahrscheinlich die Gründung von CARR unterstützt hat. Er beschreibt NoName als ein Projekt, das mit dem russischen CISM Center verbunden ist. Das gleiche Dokument stellt die Bildung von Z-Pentest im Gegensatz zur Beteiligung der GRU dar. Diese Nuancen verhindern, dass alle pro-russischen Kollektive automatisch an Militäreinheiten assimiliert werden, die die gleichen Befehle erhalten.
Warum Russland in anderen Fällen bereits angeklagt wurde
Die Anklage gegen Moskau basiert nicht nur auf Aussagen von digitalen Kollektiven. Bestimmte Transaktionen waren Gegenstand spezifischer öffentlicher Zuteilungen. Am 29. April 2025 bezeichnete Frankreich den russischen Militärgeheimdienst GRU für mehrere Angriffe mit MOP APT28. Dieser Begriff umfasst Techniken und Infrastrukturen, die von Ermittlern verfolgt werden.
Paris zitierte die Sabotage von TV5World im Jahr 2015 und den Versuch, den französischen Wahlprozess 2017 zu destabilisieren. Die Erklärung bezog sich auch auf das Targeting oder den Kompromiss von rund zehn französischen Unternehmen seit 2021. Dazu gehörten öffentliche Dienste, Unternehmen und eine mit den Spielen 2024 verbundene Sportorganisation.
Ein weiterer Präzedenzfall betrifft NotPetya, den zerstörerischen Angriff vom Juni 2017. Das Vereinigte Königreich hat es im Februar 2018 der russischen Armee zugeteilt. Die britischen Behörden hielten diese Verantwortung für fast sicher. Diese Dateien umfassen identifizierte Transaktionen und datierte Auswertungen. Die Zuteilung von Kühlschränken an eine iranische Einheit widerspricht ihnen nicht: Mehrere Staaten führen gleichzeitig unterschiedliche offensive Aktivitäten durch.
Nordkorea erscheint in Flügen und WannaCry
Keine offizielle Zuordnung von kalten Angriffen nach Nordkorea erscheint in den öffentlichen Elementen für diese Datei konsultiert. Sein Name bezieht sich jedoch auf mehrere große Operationen, von denen einige kürzlich die Nachrichten aufgenommen haben. Sie mit den Kühlschränken zu verwechseln, würde eine falsche Abfolge von Verdächtigen in der gleichen Untersuchung schaffen.
Im Mai 2017 störte WannaCry Organisationen in vielen Ländern, einschließlich des britischen Gesundheitssystems. Am 19. Dezember erklärte London höchst wahrscheinlich die Verantwortung der nordkoreanischen Schauspieler als Lazarus bekannt. Diese Aufgabe betrifft die Ransomware-Kampagne. Es beschreibt keine Operation gegen die Kühlkette.
Das FBI führte auch den Diebstahl der nordkoreanischen TraderTraitor-Aktivität von rund 1,5 Milliarden US-Dollar von Bybit im Februar 2025 zu. Am 31. Oktober 2026 stellte er die gleiche Aktivität beim Diebstahl von mehr als sechs Milliarden bei Binance in Frage. Die Pressemitteilung platziert diese letzte Episode um den 29. Oktober. Dies sind kryptoaktive Fälle mit separaten Opfern und Mechanismen.
Die Ziele können daher sehr unterschiedlich sein. Geld zu stehlen, Informationen zu sammeln, eine Wahl zu stören und eine Industrieanlage zu beschädigen, sind keine austauschbaren Transaktionen. Ein Staat kann mehrere dieser Ziele verfolgen. Für den Leser muss der Name eines Landes immer mit dem spezifischen Vorfall verbunden bleiben, den die Behörden ihm zuschreiben.
Rezitieren, Zuweisen, Beurteilen: drei verschiedene Ansätze
Der Anspruch ist zunächst eine Erklärung des Schauspielers, der sich als verantwortlich präsentiert. Es kann genau, übertrieben oder falsch sein. Kollektive suchen manchmal Sichtbarkeit, indem sie Videos oder Screenshots senden. Diese Elemente müssen den technischen Zeitschriften, dem Zeitplan und den tatsächlichen Folgen der Opfer näher gebracht werden.
Technische Allokation sucht Kontinuität: verwendete Infrastruktur, Methoden, Werkzeuge und Verhalten. LANSSI weist darauf hin, dass die Grenzen zwischen staatlichen und kriminellen Akteuren verschwimmen. Die Verwendung gemeinsam genutzter Tools, missbrauchter legitimer Dienste oder falscher Leads erschwert Abgleiche. Eine Serveradresse oder Sprache reicht nicht aus, um eine Regierung zu identifizieren.
Die öffentliche Auszeichnung beinhaltet dann eine politische Autorität auf der Grundlage der ihr zur Verfügung stehenden Informationen. Ein weiteres Ziel des Strafverfahrens ist es, individuelle Verantwortlichkeiten gemäß den gerichtlichen Vorschriften festzulegen. Gerichtsinformationen oder ein Antrag auf einen Haftbefehl stellen keine Verurteilung dar. Im französischen Fall muss diese Unterscheidung die Präsentation der Befragten begleiten.
Hybridkrieg in Europa zielt auch auf tägliche Dienste
Der Begriff bezieht sich auf eine Kombination von Mitteln, um einen Gegner zu schwächen oder seine Entscheidungen zu beeinflussen. Es kann Cyberangriffe, Informationsmanipulation, Sabotage, wirtschaftlichen Druck und militärische Aktionen kombinieren. Insbesondere versuchen die Akteure, die Schwachstellen einer Gesellschaft auszunutzen und die Reaktion zu erschweren. Unsicherheit über den Autor ist manchmal Teil dieser Schwierigkeit.
Hybrider Krieg bedeutet nicht die Abwesenheit von Kämpfen. Illegale Operationen können einen offenen Krieg vorbereiten, begleiten oder verlängern. Am 24. Februar 2022 traf ein Angriff das KA-SAT-Satellitennetz, das von Viasat betrieben wurde, eine Stunde vor der russischen Invasion der Ukraine. Die Unruhen betreffen die Ukraine und mehrere Länder der Europäischen Union.
Am 10. Mai hat die Union die Operation Russland zugewiesen. Dieser Fall zeigt die mögliche Artikulation zwischen digitaler Disruption und militärischer Offensive. Es unterscheidet sich von einem opportunistischen Angriff auf Lösegeld. Die Qualifizierung der hybriden Bedrohung hängt vom Kontext, den Zielen und der Koordinierung der Mittel ab, nicht nur von der Existenz von Computerschäden.
Kühlschränke machen eine weitere Schwachstelle sichtbar: Digital steuert jetzt die benötigte Grundausstattung. Ein Eindringen kann Bestände zerstören, ohne physisch in ein Geschäft einzudringen. Sie kann Audits verhängen, Aktivitäten unterbrechen und öffentliche Dienste mobilisieren. Diese Effekte geben Sabotage eine Reichweite, die über den Bildschirm des kompromittierten Computers hinausgeht.
Desorganisation kann so viel zählen wie Zerstörung
Die europäischen Institutionen beschreiben Kampagnen, um das Vertrauen zu schwächen und politische Entscheidungen zu beeinflussen. Im März 2026 verurteilte der Rat erneut hybride Aktivitäten Russlands gegen die Union, ihre Mitgliedstaaten und ihre Partner. Er betonte insbesondere ihre Auswirkungen auf den Zusammenhalt der Gesellschaften und auf die Unterstützung der Ukraine.
In dieser Perspektive kann ein Angreifer nach mehreren Effekten aus einem begrenzten Vorfall suchen. Wirtschaftliche Verluste sind ein erstes Ergebnis. Die Aufmerksamkeit der Medien und die Sorge um die Kontinuität der Dienste können ihren Umfang erweitern. Diese allgemeine Logik muss jedoch von einem bestimmten nachgewiesenen Ziel unterschieden werden. Öffentliche Elemente auf Kühlschränken offenbaren nicht alle genauen Absichten ihrer Autoren.
Vorsicht vermeidet auch das Lesen, das jede Aufschlüsselung zu einer koordinierten feindlichen Handlung macht. Es gibt Unfälle, technische Defekte und lukrative Kriminalität. Ähnliche Vorfälle können von verschiedenen Akteuren kommen. Die Demonstration einer Kampagne erfordert mehr als ein Zufall von Daten oder einen vermeintlichen politischen Nutzen für einen Staat.
Schützen Sie die Kälte, ohne darauf zu warten, alle Autoren zu kennen
Die technische Reaktion hängt nicht von der endgültigen Schlussfolgerung zur Identität der Angreifer ab. Die öffentlichen Empfehlungen betonen die Begrenzung der Exposition von Industriegeräten gegenüber dem Internet. Sie fordern auch eine verbesserte Authentifizierung, Zugriffsinventar und Systemüberwachung. Unternehmen müssen wissen, wer die Parameter ändern kann und auf welchem Weg.
Der Zugang zur Wartung erfordert die Arbeit mit Dienstleistern. Der Schutz sollte die gesamte Kette abdecken, nicht nur den Laden. Betreiber benötigen auch Verfahren, um die Einstellungen nach einem Vorfall zu überprüfen und den Dienst in Sicherheit zu bringen. Eine Schnittstelle wieder zugänglich zu machen, garantiert nicht, dass die Installation ordnungsgemäß funktioniert.
Politisch kündigte Paris eine diplomatische Antwort an und forderte europäische Sanktionen gegen die Verantwortlichen für den Angriff im Oktober. Die gerichtliche Untersuchung muss die individuellen Verantwortlichkeiten spezifizieren. Ein weiterer Punkt bleibt am 9. November offen: die Identifizierung der Autoren der europäischen Welle von Anfang November und ihre möglichen Verbindungen mit der ersten Kampagne.
Illustration: Europäische Kommission in Brüssel. Bildnachweis: Jai79 / Pixabay, Foto in der Libnanews Medienbibliothek aufbewahrt.
Kommentare