Frankreich wirft Iran Cyber-Sabotage an der Kühlung von 700 Supermärkten vor – die Einheit der Revolutionsgarden und die Maßnahmen von Paris

Paris hat den Cyberangriff, der im Oktober die Kühlanlagen Hunderter französischer Supermärkte traf, offiziell dem Iran zugeschrieben. In einer Zuschreibungserklärung, die am Montag, dem 9. November, veröffentlicht wurde, verurteilt das französische Außenministerium das Vorgehen der Islamischen Republik „in den schärfstmöglichen Worten“ und bezeichnet es als erste Cyberangriffskampagne auf französischem Staatsgebiet, deren alleiniges Ziel Sabotage war.

Der Angriff fand in der Nacht von Sonntag, dem 11. Oktober, auf Montag, den 12. Oktober, statt. Die Angreifer übernahmen die Kühlsteuerungen in rund 700 Verkaufsstellen und stellten die Abtauzyklen auf hohe Temperaturen ein. Dadurch wurden Lebensmittel im Wert von mehreren zehn Millionen Euro verdorben, und in mindestens 15 Fällen brach ein Brand aus. Betroffen waren vor allem Filialen der Gruppen Casino, Leclerc, Coopérative U, Metro, Carrefour und Intermarché, aber auch kleine Metzgereien, ein Schlachthof und Lebensmittelgenossenschaften.

Die Einheit Shahid Kaveh und die Spuren auf Farsi

Das Cyber-Krisenkoordinierungszentrum (C4), dem ANSSI, DGSE, DGSI, die Generaldirektion für Rüstung und das Cyber-Verteidigungskommando angehören, macht die Einheit Shahid Kaveh des Kommandos für elektronische Kriegsführung und Cyber der Revolutionsgarden (CEC) verantwortlich. In seinem technischen Bericht nennt CERT-FR Reza Salarvand und Mahdi Lashgarian als Kommandeure der Einheit sowie Hamid Reza Lashgarian als Leiter des Zentrums.

Die Franzosen führen vier Punkte an. Erstens wurde dieselbe Infrastruktur im selben Zeitraum genutzt, um Geräte von Schneider Electric über das Modbus-Protokoll (Port 502) zu scannen, eine Methode, die die Einheit seit mindestens April anwendet. Zweitens scannten die Täter Ziele mit dem Werkzeug FOFA, das normalerweise von derselben Gruppe genutzt wird. Drittens verbreitete das mit der Einheit verbundene „Propagandaorgan“ CyberbanNews bereits am 13. Oktober Meldungen über den Angriff. Viertens wurden Spuren von Farsi-Nutzung in der Infrastruktur gefunden. Bei einer verwandten Operation, die Frankreich demselben Angriff zuordnet, wurden außerdem Schneider-Electric-Geräte in kleinen Wasserkraftwerken angegriffen, mit begrenzten Auswirkungen.

Shahid Kaveh tritt typischerweise hinter „Hacktivisten“-Identitäten wie CyberAveng3rs, Soldiers of Solomon, Mr. Soul und Cyber Isnaad Front auf. Im Jahr 2023 reklamierte die Einheit Angriffe auf Systeme des israelischen Unternehmens Unitronics, und im März und April 2026 beanspruchte sie eine Sabotagekampagne gegen Industrieanlagen israelischer und amerikanischer Interessen, darunter israelische Kühlsysteme. Am 5. November hatten US-Behörden vor Angriffen auf Kühlsteuerungen in Supermärkten gewarnt. Seit Beginn des Krieges mit dem Iran im Februar werden Cyberangriffe auf US-Infrastruktur iranischen Gruppen zugeschrieben, darunter der Nahverkehr von Los Angeles im März und Wasseraufbereitungsanlagen im Juli.

Frankreich bringt den Fall außerdem mit früheren Aktionen einer zweiten Einheit in Verbindung, Shahid Shoostari, auch bekannt als Emennet Pasargad: dem Angriff auf den Online-Shop von Charlie Hebdo im Januar 2023 und dem Versuch, auf Bildschirmen propagandistische Fotomontagen gegen die Teilnahme israelischer Athleten an den Olympischen Spielen 2024 in Paris zu zeigen.

Die Reaktion von Paris

Paris bestellte den iranischen Botschafter ins Quai d’Orsay ein, um seine schärfstmögliche Verurteilung zum Ausdruck zu bringen, wird seinen europäischen Partnern neue Sanktionen gegen iranische Personen und Organisationen vorschlagen und behält sich vor, „jede weitere Maßnahme, öffentlich oder nicht öffentlich“, zu ergreifen. Gleichzeitig beantragte die Pariser Staatsanwaltschaft internationale Haftbefehle gegen den Leiter der Einheit und seine beiden Stellvertreter. Teheran bestreitet durchgängig, böswillige Cyberoperationen durchzuführen.