Eine Woche lang konnten Millionen Kundinnen und Kunden der US-Ketten von Ahold Delhaize nicht online bestellen, keine digitalen Coupons einlösen und keine Treuepunkte sammeln. Seit dem 20. Oktober sind die Websites und Apps von Stop & Shop, Giant Food, Hannaford und Food Lion wieder erreichbar. Der Konzern spricht von „böswilligen Handlungen Dritter“ – doch wer dahintersteckt, ist weiter offen.
Ein Netzwerk, ein Konzern – und plötzlich kein Online-Geschäft
Am 12. Oktober 2026 veröffentlichte Ahold Delhaize eine knappe Mitteilung: Man erlebe ein „Sicherheitsproblem“ im eigenen Netzwerk, die Teams arbeiteten an Bewertung und Eindämmung, einige Systeme würden „zum Schutz“ vom Netz genommen 2. Was als Vorsichtsmaßnahme begann, wurde zur längsten digitalen Störung, die der niederländisch-belgische Handelskonzern bislang öffentlich einräumen musste. Erst am 20. Oktober meldete Stop & Shop die vollständige Rückkehr seiner Dienste 5.
Ahold Delhaize betreibt in den USA fünf Regionalketten – Stop & Shop, Giant Food, The Giant Company, Hannaford und Food Lion –, die zusammen zu den größten Lebensmittelhändlern des Landes zählen 3. In Europa gehören Albert Heijn in den Niederlanden, Delhaize in Belgien sowie mehrere Ketten in Mittel- und Südosteuropa zur Gruppe 1. Entsprechend groß war die Reichweite: Nach Konzernangaben waren die Websites und Apps „der meisten“ Marken in Europa und den USA betroffen, wenn auch in unterschiedlichem Ausmaß 1. Die stationären Geschäfte blieben durchgehend geöffnet 1 2.
Was lahm lag – und was weiterlief
Betroffen waren die digitalen Zugänge der Ketten: Online-Bestellungen, Liefer- und Abholdienste, Treueprogramme und digitale Coupons 5 6. Kundinnen und Kunden, deren Bestellungen nicht mehr erfüllt werden konnten, sollten Erstattungen erhalten; auf den Websites der US-Ketten verwiesen Hinweise auf Instacart, DoorDash und Uber Eats als Ausweichwege 6 5. Auch die Logistik litt: Nach Angaben aus der Berichterstattung waren die Verteilkanäle betroffen, mehrere Märkte meldeten Nachschubprobleme 3.
Lesen Sie auchCyberattacke auf Ahold Delhaize legt US-Supermärkte lahm→
Die zentrale Frage – sind Daten abgeflossen? – beantwortet der Konzern bislang mit einem Vorbehalt. Man habe „zum jetzigen Zeitpunkt keine Hinweise darauf, dass sensible Kunden-, Mitarbeiter- oder Partnerdaten entwendet wurden“, heißt es in der Mitteilung vom 19. Oktober 1. Die Untersuchung laufe noch, weitere Details wolle man nicht teilen, um Sicherheitsmaßnahmen nicht zu gefährden 1 4. Ein Sprecher von Stop & Shop sagte der Boston Globe, es gebe „keine Hinweise“ auf kompromittierte Kundendaten 5.
Elf Tage Stillstand – und eine gestaffelte Rückkehr
Der Konzern fuhr die Dienste regional gestaffelt wieder hoch, Europa zuerst. Am 19. Oktober waren die Website und die App von Albert Heijn wieder erreichbar, die Lieferungen sollten ab Freitag, dem 23. Oktober, wieder anlaufen – für die niederländische Marke bedeutete das mindestens elf Tage ohne Online-Bestellung 1 3. Online macht bei Albert Heijn rund zehn Prozent des Umsatzes aus 3. Auch Etos und Gall & Gall sowie die belgische Kette Delhaize waren wieder online, in Belgien lief der E-Commerce vollständig, in Mittel- und Südosteuropa war die Mehrheit der Marken-Websites verfügbar 1.
Für die USA blieb es zunächst bei der Formel „in den kommenden Tagen“ 1 7. Am 20. Oktober dann die Meldung aus Quincy, Massachusetts: Die Website von Stop & Shop sei seit dem Morgen wieder online, alle Dienste einschließlich Online-Bestellung und Treuevorteilen vollständig wiederhergestellt, bestätigte ein Unternehmenssprecher 5. Hannaford folgte am Nachmittag 5. Als Entschädigung gewährten Stop & Shop und The Giant Co. zehn Prozent Rabatt auf den nächsten Einkauf im Markt, gedeckelt auf zehn Dollar 5 7.
„Systeme vom Netz zu nehmen, um sie zu schützen, war eine Vorsichtsmaßnahme, die die meisten unserer Marken in Europa und den USA betraf. Die bisherige Untersuchung bestätigt, dass diese Entscheidung richtig war“, sagte Konzernchef Frans Muller 1.
Kein Bekenntnis – und viele Spekulationen
Wer hinter dem Angriff steckt, ist öffentlich weiter unklar. Der Konzern bestätigt lediglich, dass die Störung auf „böswillige Handlungen Dritter“ zurückgeht, und nennt keine Tätergruppe 1 3. Bis Redaktionsschluss hatte keine Erpresser- oder Hackergruppe die Verantwortung für sich reklamiert. Das niederländische Nationale Cyber-Sicherheitszentrum (NCSC) erklärte, es gebe keinen Anlass zu der Annahme, dass der Vorfall in den Niederlanden direkt mit Cyberangriffen in anderen Ländern zusammenhänge 3.
Der zeitliche Zusammenhang hatte Spekulationen befeuert: Zeitgleich legte ein Angriff auf Kühl- und Gefrieranlagen in mehreren hundert französischen Supermärkten die Kühlkette lahm, die Temperaturen stiegen auf bis zu 50 Grad Celsius, es kam zu Bränden und verdorbener Ware 3 7. In den USA brachte der Sicherheitsexperte Jack Tomarchio, ehemals im Heimatschutzministerium tätig, den Iran ins Spiel – ausdrücklich als Vermutung, nicht als Befund. Auffällig sei, dass bis dahin keine Lösegeldforderung bekannt geworden sei 8. Solche Zuschreibungen sind mit Vorsicht zu behandeln: Öffentliche Schuldzuweisungen an staatliche Akteure ohne technische Indizien sind in laufenden Ermittlungen regelmäßig falsch gelegen.
Bemerkenswert ist der Präzedenzfall im eigenen Haus. Bereits im November 2024 hatte ein Angriff Ahold Delhaize getroffen; damals waren nach Unternehmensangaben Daten von mehr als 2,2 Millionen Menschen betroffen 5 6. Dass ein Konzern binnen zwei Jahren zweimal mit derselben Art von Störung konfrontiert ist, dürfte den Erwartungsdruck auf das Sicherheitsmanagement erhöhen – unabhängig davon, ob diesmal Daten abgeflossen sind.
Was der Einzelhandel daraus lernt
Verfügbarkeit ist zum eigentlichen Risiko geworden. Der Schaden entsteht hier nicht primär durch gestohlene Daten, sondern durch Stillstand. „Sie arbeiten mit extrem engen Zeitfenstern und wickeln täglich Transaktionen in hohem Volumen ab. Das erzeugt enormen Druck, schnell wieder online zu sein – und Kriminelle wissen, dass operativer Schmerz und Panik ihnen maximale Hebelwirkung für Erpressung geben“, sagte Tom Clayton vom Sicherheitsanbieter Aura der Boston Globe 5.
Abschalten schützt, kostet aber Zeit. Die Wiederherstellung dauert regelmäßig länger als die Abschaltung, weil Sicherheitsteams klären müssen, wann Angreifer erstmals Zugriff hatten, und verhindern müssen, dass die alten Schwachstellen mit den Systemen zurückkehren. In manchen Fällen seien Angreifer monatelang unentdeckt im Netz gewesen, sagte Tony Sabaj von Check Point 5.
Die digitale Abhängigkeitskette ist länger als gedacht. Treuepunkte, Coupons, Bestellhistorie und Lieferplanung hängen an denselben Systemen. Wer nur den Webshop als „kritisch“ klassifiziert, unterschätzt die Bindungswirkung dieser Funktionen – für manche Kunden sind sie der eigentliche Grund, in einem bestimmten Markt einzukaufen 5.
Ersatzwege erreichen nicht alle. Der Verweis auf Lieferdienste half vielen, aber nicht allen: Wer im ländlichen Raum lebt, für den Instacart und Uber Eats nicht fahren, stand ohne Alternative da 5.
Meldepflichten greifen schnell. Ahold Delhaize informierte das niederländische NCSC nach eigenen Angaben binnen 24 Stunden nach Entdeckung der Aktivität und erstattete am 19. Oktober förmlich Anzeige bei der niederländischen Polizei 1. Für europäische Handelskonzerne ist das kein Sonderfall, sondern der Rahmen, den die NIS-2-Richtlinie vorgibt.
Ausblick
Über die Kosten hat der Konzern nichts mitgeteilt. Aufschluss dürfte der 4. November geben, wenn Ahold Delhaize die Zahlen zum dritten Quartal vorlegt 1. Die Störung fällt zudem in die Endphase der Amtszeit von Frans Muller; für seinen designierten Nachfolger Thierry Garnier hat der Konzern in dieser Woche den Starttermin bekannt gegeben 1.
Bis dahin bleibt eine Frage offen, die für Kundinnen und Kunden wichtiger ist als jede Quartalszahl: Ob die beruhigende Formulierung „keine Hinweise auf Datenabfluss“ auch nach Abschluss der Forensik Bestand hat. Bei Ahold Delhaize hat man 2024 erlebt, wie lange solche Untersuchungen dauern – und wie viel sich in dieser Zeit noch ändern kann.
Ähnliche Artikel
