Blue Yonder: die Ransomware beim Dienstleister, die die Lager des Handels stoppte

Am 21. November 2024 traf Ransomware die Managed-Services-Umgebung von Blue Yonder und stoppte die Lohnabrechnung bei Starbucks und die Frischwarenlager von Morrisons. Die Analyse: Rückwirkungsschäden, verderbliche Ware, Kumul im Handel und Fragen für die Vertragsverlängerung.

Archiv: Rekonstruktion, geschrieben im November 2026

Thema des Monats November 2024 · von cybercoverinsurance

Am 21. November 2024 wurde Blue Yonder, einer der größten Anbieter von Software für die Supply Chain, in seiner Umgebung für Managed Services von Ransomware getroffen. In den folgenden Tagen musste Starbucks Beschäftigte in Tausenden Filialen von Hand bezahlen, Morrisons verlor das Lagerverwaltungssystem für Frischwaren und Sainsbury's aktivierte Notfallverfahren. Keiner der Kunden war selbst kompromittiert worden.

Der Fall kam wenige Monate nach Change Healthcare und CDK Global und bestätigte das Muster von 2024. Der größte Schaden eines Ransomware-Angriffs entsteht nicht beim angegriffenen Unternehmen, sondern bei den Kunden, die von seinen gehosteten Diensten abhängen. Für Cyber-Risikoträger ist Blue Yonder ein Test für die Deckung von Rückwirkungsschäden und für den Kumul im Einzelhandel, zu einer Jahreszeit, in der jeder Ausfalltag schwerer wiegt.

Was bekannt ist

Der Angriff. Blue Yonder teilte am 21. November 2024 mit, dass seine gehostete Managed-Services-Umgebung gestört sei, was später auf Ransomware zurückgeführt wurde (CyberScoop). Das Unternehmen mit Sitz in Arizona gehört zu Panasonic und hat mehr als 3.000 Kunden unter Herstellern, Händlern und Logistikunternehmen (BleepingComputer). Seine Umgebung in der öffentlichen Azure-Cloud war nicht betroffen (Cybersecurity Dive).

Die betroffenen Kunden. Starbucks meldete Auswirkungen auf rund 11.000 Filialen in Nordamerika bei Dienstplänen und Lohnabrechnung, ohne Folgen für den Kundenservice. Morrisons verlor die Lagersysteme für Frischwaren sowie Obst und Gemüse, während Trockensortiment und Tiefkühlware nicht betroffen waren, und arbeitete mit Ersatzsystemen. Sainsbury's aktivierte Notfallverfahren, um die Versorgung zu sichern. Tesco und DHL erklärten, nicht betroffen zu sein (ITPro). BIC meldete Lieferverzögerungen (BleepingComputer).

Die Wiederherstellung. Am 1. Dezember teilte Blue Yonder mit, dass mehrere Kunden wieder in Betrieb seien (Cybersecurity Dive). Am 6. Dezember erklärte Morrisons, den Normalbetrieb wiederhergestellt zu haben und dass das eigene Netz nicht kompromittiert worden sei (Cybersecurity Dive). Blue Yonder hat die Zahl der betroffenen Kunden nicht offengelegt.

Das Bekenntnis. Die Gruppe Termite, die Mitte Oktober 2024 aufgetaucht war, bekannte sich zu dem Angriff und gab an, 680 GB Daten entwendet zu haben, darunter mehr als 16.000 E-Mail-Adressen und mehr als 200.000 Dokumente. Termite nutzt eine Version des Codes von Babuk, der 2021 öffentlich wurde. Blue Yonder erklärte, das Bekenntnis zu prüfen (BleepingComputer). Im Januar 2025 führte die Gruppe Clop Blue Yonder in einer Liste von rund 60 Unternehmen, die über Schwachstellen in der Dateiübertragungssoftware Cleo angegriffen worden seien. Blue Yonder bestätigte, Cleo zu nutzen, und kündigte eine Prüfung an. Eine Verbindung zum Angriff vom November ist nicht bekannt (Cybersecurity Dive).

Was nicht bekannt ist. Der Angriffsweg, eine etwaige Lösegeldzahlung und die Kosten für Blue Yonder und seine Kunden wurden nicht veröffentlicht.

Der Schaden liegt bei den Kunden

Kein Kunde wurde kompromittiert, viele standen still. Morrisons erklärte, das eigene Netz sei nicht berührt worden. Der Schaden kam aus dem gehosteten Dienst, von dem die Lager abhingen. Es ist dasselbe Muster wie bei Change Healthcare im Gesundheitswesen und bei CDK Global für Autohäuser: Ein Anbieter von Software als Dienstleistung wird zur Bruchstelle einer ganzen Branche.

Der Ausfall kam zur schlechtesten Zeit. Der Angriff erfolgte wenige Tage vor dem US-Thanksgiving und zu Beginn der Weihnachtssaison im Vereinigten Königreich (Cybersecurity Dive). Für einen Frischwarenhändler können schon wenige Tage manueller Lagerverwaltung abgelaufene Ware, leere Regale und entgangene Verkäufe bedeuten.

Die Kosten der Kunden sind vor allem Mehrkosten. Von Hand berechnete Löhne, zusätzliches Lagerpersonal, Ersatzsysteme. Es sind reale Kosten, oft leichter zu belegen als entgangener Deckungsbeitrag, die viele Policen aber nur innerhalb von Sublimits decken.

Welche Deckung greift

Die Deckung für Rückwirkungsschäden ist entscheidend. Kunden von Blue Yonder können nur die Betriebsunterbrechung aus Rückwirkungsschäden geltend machen, sofern sie diese abgeschlossen haben. Viele Policen beschränken sie auf IT-Dienstleister. Blue Yonder fällt unter diese Definition, doch die Sublimits liegen oft weit unter dem Hauptlimit.

Der zeitliche Selbstbehalt entscheidet über den Schaden. Ein Selbstbehalt von 8, 12 oder 24 Stunden, in Cyber-Policen üblich, spielt bei einem zweiwöchigen Ausfall kaum eine Rolle. Kunden, die dank Ersatzsystemen nach wenigen Tagen wieder arbeiteten, können aber unter der Schwelle oder knapp darüber bleiben. Dann bleiben die realen Kosten beim Versicherten.

Der Verlust verderblicher Ware ist eine Grauzone. Frischwaren, die wegen eines durch einen Cyberangriff verursachten Lagerfehlers entsorgt werden: Sachschaden oder Unterbrechungsschaden? Cyber-Policen schließen Sachschäden meist aus, Sachversicherungen schließen Cyber-Ereignisse oft aus. Das ist in den Bedingungen für den Lebensmittelhandel zu klären.

Der Datendiebstahl beim Dienstleister eröffnet einen zweiten Strang. Enthalten die von Termite entwendeten Daten Informationen über Kunden von Blue Yonder, können diese eigene Benachrichtigungspflichten haben. Diese Kosten entstehen aus dem Vorfall eines anderen und müssen von der Police des Kunden als Verletzung bei einem Dritten gedeckt sein.

Kumul im Einzelhandel

Mehr als 3.000 Kunden, eine einzige Umgebung. Blue Yonder bedient Hersteller, Handelsketten und Logistikunternehmen. Ein Versicherer mit großem Handelsportfolio kann Dutzende Versicherte haben, die vom selben Dienst abhängen. Ein einziges Ereignis erzeugt korrelierte Rückwirkungsschäden, im selben Zeitraum und in derselben Region.

Die Konzentration kennt nur, wer danach fragt. Die Kunden von Blue Yonder waren keine öffentliche Liste. Nur einige der betroffenen Kunden äußerten sich. Ohne eine gezielte Frage im Underwriting-Fragebogen entdeckt der Versicherer die Abhängigkeit erst im Schadenfall.

2024 zeigte eine Serie, keinen Einzelfall. Change Healthcare im Februar, CDK Global im Juni (TechTarget), Blue Yonder im November. Jedes Mal legte ein Anbieter gehosteter Software für eine bestimmte Branche Tausende Kunden lahm. Für ein Portfolio bilden diese vertikalen Anbieter einen eigenen Kumul neben dem der großen Clouds, und oft einen schlechter kartierten.

Was in die Vertragsverlängerung gehört

Auswirkung für VersichererHoch

Ein einzelner Anbieter von Supply-Chain-Software legte kritische Prozesse bei mehreren Handelsketten gleichzeitig still, mitten in der Hochsaison.

Auf Portfolioebene ist eine Liste der vertikalen Softwareanbieter nützlich, die die Versicherten jeder Branche nutzen: Supply Chain für den Handel, Software für Autohäuser, Zahlungsintermediäre für das Gesundheitswesen. Jeder ist ein mögliches Ereignis mit vielen Schäden zugleich und sollte als eigenes Schadenszenario behandelt werden.