Ein Cyberangriff hat die IT von Ahold Delhaize lahmgelegt – und die niederländische Tochter Albert Heijn nach Berechnungen zweier Handelsexperten 120 bis 150 Millionen Euro Umsatz gekostet, umgerechnet bis zu 169 Millionen Dollar. Die Zahl ist keine Bilanzgröße, sondern eine Hochrechnung. Sie zeigt dennoch, was ein Ausfall der Warenwirtschaft für einen Lebensmittelhändler bedeutet: leere Regale, eine Woche ohne Onlinehandel, abwandernde Kunden.
Wenn aus einem IT-Problem ein Umsatzproblem wird.
Am Sonntagnachmittag des 11. Oktober brach die Warenwirtschaft bei Albert Heijn, der größten Supermarktkette der Niederlande, zusammen 2. Kunden konnten nicht mehr online bestellen, die App zeigte Fehlermeldungen, und in mehreren Verteilzentren kam die Arbeit zum Erliegen. Nach Angaben von Zulieferern lief nur noch das Zentrum in Zaandam; Albert Heijn bat Lieferanten, ausschließlich Zaandam anzufahren und Zeitfenster vorab fest zu vereinbaren, "damit der Warenfluss beherrschbar bleibt" 1.
Ahold Delhaize, der Mutterkonzern von Albert Heijn, Etos und Gall & Gall, sprach zunächst von einem "Sicherheitsproblem im Netzwerk". Am 19. Oktober folgte die offizielle Einordnung: Die verdächtigen Aktivitäten gingen auf "böswillige Handlungen Dritter" zurück. Der Konzern habe Systeme vorsorglich vom Netz genommen, darunter Websites und Apps der meisten Marken in Europa und den USA 3. Die Filialen blieben durchgehend geöffnet. Hinweise auf den Abfluss sensibler Kunden-, Mitarbeiter- oder Partnerdaten gebe es bislang nicht 3.
Lesen Sie auchCyberangriff auf Albert Heijn: Logistik gestört, leere Regale drohen→
Sichtbar wurde der Ausfall trotzdem. Vor allem frisches Obst und Gemüse fehlten; Tiefkühlware, Brot und haltbare Produkte waren nach Unternehmensangaben besser verfügbar 1. Elektronische Preisschilder zeigten falsche Preise, das Bonusprogramm mit der Kundenkarte fiel aus, und Albert Heijn warnte vor Phishing-Mails, die sich den Ausfall zunutze machten 4. Zum Konzern gehören weltweit 9.551 Märkte, 384.000 Beschäftigte und rund 77 Millionen Kunden pro Woche 10.
120 bis 150 Millionen Euro – was die Zahl wirklich sagt
Der Handelsprofessor Laurens Sloot von der Universität Groningen rechnet mit einem Normalumsatz von rund 360 Millionen Euro pro Woche. In der Ausfallwoche seien davon 20 bis 25 Prozent entfallen, also 70 bis 90 Millionen Euro. Hinzu komme das Online-Geschäft, das sonst etwa 40 Millionen Euro pro Woche beisteuert und zuletzt auf null lag. In Summe ergeben sich rund 150 Millionen Euro 6.
Der Supermarktexperte Erik Hemmes setzt bei 380 Millionen Euro an und kommt auf etwa 120 Millionen Euro, weil er den Einbruch im Filialgeschäft mit rund zehn Prozent über eineinhalb Wochen veranschlagt 6. Die US-Fachpublikation Business Insurance hat die Spanne in Dollar umgerechnet: 135 bis 169 Millionen Dollar 7. Die vielzitierte Zahl von 169 Millionen Dollar ist damit die Obergrenze einer Schätzung – keine vom Unternehmen gemeldete Größe.
Sloot selbst relativiert: Es handele sich um entgangenen Umsatz, nicht um einen reinen Verlust 6. Ein Teil der Einkäufe wird später nachgeholt, ein Teil wandert dauerhaft zur Konkurrenz. Hemmes beziffert den entgangenen Vorsteuergewinn auf rund fünf Millionen Euro, hinzu kämen etwa eine Million Euro zusätzlicher Kosten 6. Diese Relation ist der eigentliche Befund: Ein Umsatzausfall von 150 Millionen Euro schlägt bei einem Lebensmittelhändler mit Margen im niedrigen einstelligen Prozentbereich nur als niedriger einstelliger Millionenbetrag im Ergebnis durch.
Ahold Delhaize hat sich zur Höhe des Schadens nicht geäußert 3. Ob der Konzern die Belastung beziffert, wird sich am 4. November zeigen, wenn die Zahlen für das dritte Quartal vorgelegt werden 11.
Die Kühlkette hielt, der Nachschub brach
Anders als in Frankreich gibt es bei Albert Heijn keine Hinweise darauf, dass Angreifer Kälteanlagen manipuliert hätten. Der Ausfall traf die Kühlkette indirekt – über die Logistik. Weil die Verteilzentren standen, erreichten frische Waren die Märkte nicht. Was nicht mehr ausgeliefert werden konnte, landete teilweise bei der Tafel: Die Voedselbank Rotterdam erhielt eine große Spende, überwiegend Obst, Gemüse und andere Frischware 4.
In Frankreich verlief derselbe Zeitraum anders. In der Nacht zum 12. Oktober drangen Unbekannte in Steuerungen von Kühlanlagen bei rund 350 Supermärkten ein und erhöhten die Temperaturen auf bis zu 50 Grad Celsius; Lebensmittel verdarben, in einigen Filialen entstanden Brände 9. Betroffen waren Systeme der Hersteller Danfoss, Copeland und Dixell. Frankreichs Wirtschaftsminister Roland Lescure sprach von rund 700 betroffenen Vertriebszentren 2. Thierry Cotillard, Chef der Intermarché-Mutter Les Mousquetaires, schätzte die Gesamtkosten landesweit auf einen zweistelligen Millionenbetrag 9. Eine Verbindung zwischen beiden Vorfällen ist bislang nicht belegt 2.
Onlinehandel: eine verlorene Woche, verlorene Kunden
Für Albert Heijn war der Ausfall im Digitalgeschäft am schmerzhaftesten. Website und App waren vom 12. bis 18. Oktober nicht erreichbar, die Auslieferung von Online-Bestellungen ruht voraussichtlich bis Freitag, den 23. Oktober. Bestellungen, die vorher aufgegeben wurden, sagt das Unternehmen ab; bereits bezahlte Aufträge werden erstattet. Kunden, die in der Ausfallwoche auf Treuepunkte verzichten mussten, können diese mit Kassenbon nachträglich geltend machen 5.
Das Online-Geschäft trug zuletzt rund 40 Millionen Euro pro Woche zum Umsatz bei – in der Ausfallwoche fiel es auf null 6. Die Konkurrenz profitierte: Jumbo, Lidl, Picnic, ALDI und PLUS meldeten vollere Filialen und mehr Online-Bestellungen 4. Besonders heikel ist das im E-Commerce, weil Kunden dort einmal eingerichtete Konten und Lieferrhythmen selten zurückwechseln. In den USA, wo Ahold Delhaize mit Food Lion, Giant, Hannaford und Stop & Shop stark auf digitale Kanäle setzt, dauerte die Wiederherstellung länger; in Belgien lief der Onlinehandel bereits wieder vollständig 3.
Versicherungslücke und ein zweiter Vorfall
Zur Versicherungsdeckung hat sich Ahold Delhaize nicht geäußert. Die Branche gibt wenig Anlass zu Optimismus. Cyberpolicen decken typischerweise Untersuchungskosten, Forensik oder PR-Beratung, nicht aber physische Schäden – vier Makler bestätigten das gegenüber Reuters 9. Intermarché erklärte nach dem französischen Vorfall, die eigene Police erfasse diese Art von Schaden nicht 9. David Molony von Aon empfiehlt Händlern deshalb explizit Zusatzdeckung für verderbliche Ware; Sydonie Williams von Beazley rechnet mit steigenden Prämien 9.
Bemerkenswerter als die Höhe des Schadens ist die Vorgeschichte. Es ist der zweite größere Vorfall bei Ahold Delhaize innerhalb von zwei Jahren. Im November 2024 legte eine Attacke, zu der sich die Gruppe INC Ransom bekannte, Systeme in den USA lahm; in einzelnen Stop-&-Shop-Filialen stockten Rezepte, Food-Lion-Mitarbeiter meldeten ausbleibende Lieferungen. Am Ende waren Daten von mehr als 2,2 Millionen Menschen betroffen, darunter persönliche, finanzielle und Gesundheitsdaten 8. An der Börse notierte die Aktie am 12. Oktober bei 31,38 Euro, ein Minus von 3,15 Prozent und nahe dem 52-Wochen-Tief von 30,34 Euro; im März hatte sie bei 42,54 Euro ein Allzeithoch markiert 1.
Was der Handel daraus lernen muss
Rafe Pilling, Threat-Intelligence-Direktor bei Sophos, zieht aus den beiden Oktober-Fällen eine gemeinsame Lehre: "Cyber-Risiko im Einzelhandel ist inzwischen eine Frage der Betriebskontinuität, nicht nur der IT" 2. Der französische Fall zeige, wie ein Angriff physische Folgen haben könne; der niederländische, wie er digitale Dienste und Geschäftsabläufe lahmlege 2.
Die technischen Empfehlungen sind unspektakulär: Kälte- und Gebäudetechnik inventarisieren, prüfen, ob Hersteller noch Sicherheitsupdates liefern, Fernzugänge auf vertrauenswürdige Netze beschränken, Netze segmentieren, Steuerungen auf unerwartete Änderungen überwachen 2. Kevin Tellier vom französischen Sicherheitsdienstleister Synacktiv sagt, die französische Attacke sei technisch nicht anspruchsvoll gewesen: "Ein 15-Jähriger hätte das tun können" 2. Operational Technology sei jahrzehntelang unterschätzt worden, weil Updates dort als Störfall gelten 2.
Dazu kommt die organisatorische Seite. Ahold Delhaize meldete den Vorfall binnen 24 Stunden an das nationale Cyber-Sicherheitszentrum und erstattete am 19. Oktober Anzeige bei der niederländischen Polizei 3 – ein Zeitrahmen, der den Meldefristen der EU-Richtlinie NIS2 entspricht. Was in den Akten fehlt, ist ein belastbarer Plan B für den Warenfluss: Wie beliefert man Hunderte Filialen, wenn das zentrale Dispositionssystem ausfällt? Der Makler Howden beziffert die wirtschaftlichen Schäden durch Cyberangriffe in Frankreich, Deutschland, Italien und Spanien zwischen 2020 und 2025 auf mehr als 300 Milliarden Euro 9.
Die 169 Millionen Dollar sind eine Hochrechnung, keine Bilanzposition. Ihre Wirkung entfalten sie trotzdem: Sie verschieben die Debatte von der Frage, ob sich Sicherheitsinvestitionen lohnen, zu der Frage, was ein Ausfall kostet, wenn sie ausbleiben.
Ähnliche Artikel
