Der niederländische Handelskonzern Ahold Delhaize kämpft seit dem Wochenende mit einem großflächigen IT-Sicherheitsvorfall. Betroffen sind die Onlinekanäle mehrerer US-Supermarktketten – darunter Giant, Food Lion und Stop & Shop – sowie von Albert Heijn, Etos und Gall & Gall in den Niederlanden. Der Konzern hat Teile seiner Systeme vorsorglich abgeschaltet, die Filialen bleiben geöffnet. Wer hinter dem Angriff steckt, ist weiterhin offen.
Ein Konzern mit 17 Marken in neun Ländern
Ahold Delhaize mit Sitz im niederländischen Zaandam gehört zu den größten Lebensmittelhändlern der Welt. Der Konzern betreibt 17 lokale Marken in neun Ländern [3]. In den USA gehören ihm fünf Ketten – Stop & Shop, Hannaford, Giant Food, The GIANT Company und Food Lion – mit mehr als 2.000 Filialen in 23 Bundesstaaten; das Unternehmen bezeichnet sich selbst als größte Lebensmittelhandelsgruppe an der US-Ostküste [4]. In Europa ist vor allem Albert Heijn in den Niederlanden relevant, daneben Etos, Gall & Gall und Delhaize in Belgien. Hinzu kommen Aktivitäten in Griechenland, Rumänien und Indonesien [4].
Für den Konzern steht viel auf dem Spiel: In den USA ist der E-Commerce besonders wichtig, rund ein Drittel der Kunden gilt als "digital engagiert" [4]. Bei Albert Heijn macht der Onlinehandel etwa zehn Prozent des Umsatzes aus [7].
Was offline ist – und was weiterläuft
Am Sonntagnachmittag fielen zunächst die Websites und Apps von Albert Heijn, Etos und Gall & Gall aus [5]. Am Montag bestätigte der Konzern, dass er "ein Sicherheitsproblem innerhalb des Netzwerks" festgestellt habe und Teile der Systeme abgeschaltet habe, "um sie zu schützen" [1]. Die Filialen blieben geöffnet [1].
In den USA waren die Websites und Apps von Stop & Shop, Hannaford und Giant Food am Montag und am Dienstag nicht erreichbar; stattdessen erschienen Wartungshinweise [3]. Hannaford meldete, betroffen seien Website, mobile App sowie die Abhol- und Lieferdienste "To Go" [3]. Bestellungen über die konzerneigene Lieferplattform Peapod waren nicht möglich, wohl aber über Drittanbieter wie DoorDash, Uber Eats und Instacart [3]. Kühlung und Kassensysteme in den Märkten seien nicht betroffen, bestätigte ein Sprecher der Boston Globe [3]. Nicht erfüllte Online-Bestellungen sollen erstattet werden [3].
Lesen Sie auchCyberangriff auf Albert Heijn: Logistik gestört, leere Regale drohen→
In den Niederlanden traf es die Kunden härter: Online-Bestellungen bei Albert Heijn, Gall & Gall und Etos sind seit Sonntag nicht möglich, auch das Bonus-Kundenprogramm ist offline. Kunden, denen dadurch Rabatte entgehen, sollen später entschädigt werden [4]. In den Filialen zeigten elektronische Preisschilder falsche Preise [5].
Lieferketten unter Druck
Besonders heikel ist die Lage in der Logistik. Mehrere Verteilzentren von Albert Heijn standen still, nach Angaben des Senders RTL Z arbeitete nur noch das Zentrum in Zaandam [4]. Lieferanten wurden gebeten, ausschließlich Zaandam anzufahren und vorab feste Zeitfenster zu vereinbaren, "damit wir den Warenfluss handhabbar halten können" [4].
Albert Heijn räumte ein, die Produktverfügbarkeit werde "in den kommenden Tagen je nach Filiale schwanken". Tiefkühlware, Brot und länger haltbare Produkte dürften besser verfügbar bleiben als Frischware wie Obst und Gemüse [4]. In den Niederlanden wichen Kunden nach Angaben der Nachrichtenagentur ANP auf Wettbewerber aus [7].
Keine Spur zu den Tätern
Wer hinter dem Vorfall steckt, ist offiziell weiterhin unklar. Ahold Delhaize spricht von einem "Cybersecurity-Vorfall", bestätigt aber keinen Angriff und nennt keine Tätergruppe [1] [2]. In der Aktualisierung vom Dienstag erklärte der Konzern, man arbeite mit internen Teams und externen Cybersicherheitsexperten, stehe mit den zuständigen Behörden in Kontakt und habe mit einer "kontrollierten Wiederinbetriebnahme" einzelner Systeme begonnen. Man teile keine weiteren Details, die Sicherheitsmaßnahmen gefährden oder die Reaktion behindern könnten [2].
Eine Entwarnung gab es zumindest bei den Daten: Nach derzeitigem Stand gebe es keine Hinweise darauf, dass Kunden- oder Mitarbeiterdaten abgeflossen seien [2]. Die Untersuchung dauere an.
Sicherheitsexperten halten einen Angriff dennoch für sehr wahrscheinlich. "Eine Organisation dieser Größe ergreift nicht ohne guten Grund so drastische Maßnahmen", sagte der Cybersicherheitsexperte Joey Fennis dem NOS. "Wenn jemand den Schlüssel im Schloss der Haustür herumgedreht hat, kann er durchaus hineingeschaut und Daten eingesehen oder gestohlen haben" [5]. Der Experte Pim Takkenberg sagte dem Format Nieuwsuur, es erscheine "ziemlich klar, dass ein Angreifer im System war"; ein Ausfall dauere normalerweise nicht so lange [5]. Der Berater Eward Driehuis hielt demgegenüber auch für möglich, dass der Konzern selbst eine Schwachstelle entdeckt und die digitalen Türen geschlossen hat, um sie zu beheben [5].
Einordnung: Ein Weckruf für den Lebensmittelhandel
Der Fall steht nicht allein. Zeitgleich legten Angriffe in Frankreich die Kühltechnik von Supermärkten lahm: Nach Angaben des französischen Finanzministers Roland Lescure waren rund 700 Märkte betroffen [3]. Nach Recherchen der Zeitung Sud Ouest belief sich der Warenschaden in zwei Filialen im elsässischen Haguenau auf rund 270.000 Euro [7]. Betroffen waren Ketten wie Intermarché, E.Leclerc und Coopérative U; die Angreifer sollen eine Schwachstelle in Fernwartungssoftware des dänischen Herstellers Danfoss genutzt haben, um Kühlregler auf Dauerabtauung zu programmieren und Temperaturen bis 50 Grad Celsius zu erzeugen [7]. Danfoss erklärte, die betroffenen Anlagen hätten "veraltete Firmware" ausgeführt [7].
Ob es einen Zusammenhang gibt, ist offen. Das niederländische Nationale Cyber-Sicherheitszentrum (NCSC) sieht derzeit keinen Anlass zu der Annahme, dass die verschiedenen Vorfälle im europäischen Lebensmittelsektor miteinander verbunden sind [6].
Bemerkenswert ist der Umgang des Konzerns mit der Börsenpflicht: Ahold Delhaize stufte die erste Mitteilung ausdrücklich als Insiderinformation im Sinne von Artikel 7 Absatz 1 der EU-Marktmissbrauchsverordnung ein [1]. Der Markt reagierte: Die Aktie schloss am Montag an der Euronext Amsterdam bei 31,38 Euro, ein Minus von 3,15 Prozent gegenüber der Eröffnung und nahe dem 52-Wochen-Tief von 30,335 Euro. Im März hatte das Papier noch bei 42,54 Euro notiert [4].
Für die Branche ist der Vorfall ein weiterer Beleg dafür, wie eng digitale Bestell-, Logistik- und Kassensysteme inzwischen mit dem physischen Betrieb verzahnt sind. Dass die Regale in den Niederlanden leer bleiben, während die Kassen weiterlaufen, zeigt: Nicht der Angriff selbst, sondern die Abschaltung als Schutzmaßnahme trifft die Kunden zuerst. Wie lange die Wiederherstellung dauert, ließ der Konzern offen – weitere Updates will er "bei gegebener Zeit" nachreichen [2].