Der Logistikkonzern Ceva Logistics sieht sich nach einem Cyberangriff auf acht europäische Lager mit einer Sammelklage konfrontiert. Ein ehemaliger Mitarbeiter wirft dem Unternehmen vor, sensible Personendaten von Beschäftigten unzureichend geschützt zu haben – und fordert mindestens fünf Millionen US-Dollar Schadensersatz.
Der Logistikkonzern Ceva Logistics sieht sich nach einem Cyberangriff auf seine europäischen Standorte mit einer Sammelklage konfrontiert. Ein ehemaliger Mitarbeiter wirft dem Unternehmen vor, bei der Sicherung sensibler Personendaten versagt zu haben. Der Fall zeigt, dass die Folgen des Angriffs vom Juli weit über die betroffenen Kunden hinausreichen.
Klage in Houston eingereicht
Der frühere Beschäftigte Kevin Krupa hat Ende August Klage vor dem US-Bezirksgericht für den Southern District of Texas in Houston eingereicht, wo sich der US-Hauptsitz von Ceva Logistics befindet [1]. In der Klageschrift heißt es, bei dem Cyberangriff seien auch persönliche Daten von Mitarbeitern gestohlen worden – darunter Bankverbindungen und Sozialversicherungsnummern [1].
Krupa wirft dem Unternehmen vor, keine angemessenen Sicherheitsvorkehrungen getroffen zu haben. „Cyberkriminelle konnten in die Systeme des Beklagten eindringen, weil der Beklagte es versäumt hat, seine Mitarbeiter angemessen in Cybersicherheit zu schulen und angemessene Sicherheitsmaßnahmen oder -protokolle zum Schutz der privaten Daten der Klasse aufrechtzuerhalten“, zitiert die Klageschrift [1]. Zudem habe Ceva seine Beschäftigten nicht förmlich über den Vorfall informiert, sodass diese keine Möglichkeit gehabt hätten, den Missbrauch ihrer Daten etwa für Betrug zu verhindern [1].
Lesen Sie auchCyberangriff auf Ceva Logistics stört Lieferketten in Europa→
Der Kläger selbst berichtet von betrügerischen Aktivitäten auf seiner Kreditkarte, die er habe sperren lassen müssen, sowie von einer Zunahme an Spam- und Betrugsanrufen [1]. Die Klage beantragt den Status einer Sammelklage: Mindestens 100 Mitarbeiter seien geschädigt worden, die Zahl der Betroffenen könne in die Tausende gehen [1]. Gefordert werden mindestens fünf Millionen US-Dollar Schadensersatz wegen angeblicher Fahrlässigkeit, Verletzung eines stillschweigenden Vertrags und ungerechtfertigter Bereicherung [1].
Der Angriff auf acht europäische Lager
Hintergrund des Rechtsstreits ist ein Cyberangriff Ende Juli, der den Betrieb von acht Ceva-Lagern in Europa störte, die für Einzelhändler in den Niederlanden und anderen europäischen Ländern Warennachschub und E-Commerce-Aufträge abwickeln [1] [2]. Die Störung trat am 29. Juli auf; am 1. August informierte das Unternehmen betroffene Kunden darüber, dass Waren in den betroffenen Lagern derzeit nicht versendet werden [2].
Betroffen waren unter anderem die niederländischen Händler Bol und De Bijenkorf, die Bank ING, der Brillenhändler Ace & Tate, der Amsterdamer Fußballclub Ajax sowie der Spieleanbieter Valve, der über Ceva Hardware in Europa ausliefert [2]. Mehrere Unternehmen bestätigten, dass Kundendaten wie Namen, Adressen, E-Mail-Adressen und Bestelldaten abgegriffen worden sein könnten [2]. Die niederländische Datenschutzbehörde leitete eine Untersuchung ein [3].
Ceva Logistics selbst hat sich zu dem Vorfall bislang nicht öffentlich geäußert [3]. Das Unternehmen gehört zum französischen Schifffahrtskonzern CMA CGM Group und zählt mit mehr als 1.000 Lagern weltweit zu den größten Logistikdienstleistern; im vergangenen Jahr erzielte es einen Umsatz von 18,3 Milliarden US-Dollar [1] [3].
Wiederholte Angriffe und Führungswechsel
Die Klage verweist darauf, dass der jüngste Angriff hätte verhindert werden können, wenn Ceva nach einem ähnlichen Vorfall ein Jahr zuvor angemessene Vorsichtsmaßnahmen ergriffen hätte [1]. Nach Angaben der Cyber-Intelligence-Plattform SOCRadar hatte die Erpresserbande CoinbaseCartel bereits im September 2025 einen Ransomware-Angriff auf Ceva gestartet; das Unternehmen machte den Vorfall damals nicht öffentlich [1].
Auffällig ist zudem eine Reihe von Wechseln in der IT-Führung: Im November kündigte Bryant Duke, Vice President of IT Infrastructure Americas, seinen Abschied an; im März folgte die globale IT-Chefin Susanne Shustein [1]. Im Sommer versetzte die Muttergesellschaft CMA CGM den bisherigen Ceva-Chef Mathieu Friedberg auf den Posten des Executive Vice President für Transformation und Cyber bei CMA CGM [1]. Ein Unternehmensinsider wertete dies als Hinweis, dass die Bedrohung nicht auf Ceva beschränkt sei, sondern den gesamten Konzern betreffe [1].
Einordnung: Logistik als Zielscheibe
Der Fall reiht sich in eine Serie von Cyberangriffen auf die Logistikbranche ein, die wegen ihrer zentralen Rolle in Lieferketten als besonders attraktives Ziel gilt. Bereits in der Vergangenheit trafen Angriffe etwa den dänischen Schifffahrtsriesen Maersk oder den US-Spediteur Expeditors International [3]. Die Sammelklage gegen Ceva ist ein Beispiel dafür, dass sich die rechtlichen Folgen solcher Vorfälle zunehmend auch auf die Beschäftigten der betroffenen Unternehmen erstrecken – und nicht nur auf Kunden.
Ob die Klage Erfolg haben wird, ist offen. Ceva Logistics hat sich bislang nicht zu den Vorwürfen geäußert. Marktbeobachter erwarten, dass der Fall angesichts der hohen Zahl potenziell Betroffener und der sensiblen Datenkategorien über mehrere Instanzen verhandelt werden dürfte.