ANALYSEN
BridgePay, Zahlungen tagelang gestoppt: die Abhängigkeit, die kleine Unternehmen nicht sehen
Am 6. Februar 2026 legte Ransomware die US-Zahlungsplattform BridgePay mindestens vier Tage lahm: Händler nur noch mit Bargeld, Kommunen und Wasserversorger ohne Online-Inkasso. Die Analyse: der versteckte Lieferant, Wartezeiten und Selbstbehalte, Kumul im Zahlungsverkehr und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Februar 2026 · von cybercoverinsurance
Am 6. Februar 2026 gegen 3:30 Uhr Ostküstenzeit fiel die US-Zahlungsplattform BridgePay aus. Am Abend bestätigte das Unternehmen einen Ransomware-Angriff. Gateway, virtuelle Terminals, Zahlungsseiten und Partnerportale blieben tagelang abgeschaltet. Einige Händler akzeptierten nur Bargeld, Städte und Wasserversorger konnten Rechnungen nicht online einziehen.
Für Cyber-Risikoträger ist der Fall ein Beispiel für Rückwirkungsunterbrechung bei kleinen Unternehmen: Händler im ganzen Land, die womöglich nicht wussten, dass sie von BridgePay abhingen, weil die Plattform hinter der Kassen- oder Abrechnungssoftware arbeitete, die sie nutzten. Er ist auch ein Beispiel für Kumul im Zahlungsverkehr.
Was bekannt ist
Der Angriff. Am 6. Februar meldete BridgePay um 3:29 Uhr eingeschränkte Systeme, erkannte um 6:34 Uhr einen Cybervorfall und bestätigte am Abend Ransomware. FBI, Secret Service und externe Fachleute wurden eingeschaltet. Die verantwortliche Gruppe wurde nicht genannt (Cyber Security News).
Die ausgefallenen Dienste. Ausgefallen waren die Schnittstelle des Zahlungs-Gateways, der Cloud-Dienst für Terminals, das virtuelle Terminal mit Berichten, die gehosteten Zahlungsseiten und die Partnerportale. Laut ersten forensischen Erkenntnissen wurden keine Kartendaten kompromittiert, und die Dateien waren nur verschlüsselt, ohne Hinweise auf den Abfluss verwertbarer Daten (BleepingComputer).
Die Folgen. Einige Händler konnten nur Bargeld annehmen, darunter ein in der Presse erwähntes Restaurant. Die Stadt Palm Bay in Florida bat die Einwohner, persönlich zu zahlen. Auch Frisco in Texas sowie die Plattformen Lightspeed Commerce und ThriftTrac meldeten Probleme (BleepingComputer). Am 9. Februar waren alle Dienste noch abgeschaltet, und BridgePay nannte kein Datum für die Wiederherstellung (Payment Expert).
Die Wasserversorger. WaterISAC meldete am 12. Februar, dass mehrere kommunale Wasserversorger, vor allem in Texas, aber auch in Kansas, Michigan, Wisconsin und Florida, keine Rechnungen einziehen konnten. Wichita stellte die Online-Zahlungen dank einer Umgehungslösung seines Anbieters wieder her, während die Plattform noch abgeschaltet war (WaterISAC).
Was nicht bekannt ist. Die Zahl der betroffenen Händler, das Datum der vollständigen Wiederherstellung, der Einfallsweg, die verantwortliche Gruppe und eine etwaige Lösegeldzahlung wurden nicht veröffentlicht.
Die Abhängigkeit, die niemand kennt
Der versteckte Lieferant. Die Technik von BridgePay arbeitet oft hinter Softwareplattformen Dritter (Payment Expert). Ein Restaurant wählt eine Kassensoftware, kein Zahlungs-Gateway. Fällt das Gateway aus, entdeckt der Händler eine Abhängigkeit, die er nie angegeben hatte.
Der Fragebogen sieht sie nicht. Fragen zu kritischen Lieferanten erfassen die Namen, die der Versicherte kennt: die Cloud, die Unternehmenssoftware, die Kassensoftware. Der Lieferant des Lieferanten bleibt außen vor. Bei einer auf benannte Lieferanten begrenzten Deckung für Rückwirkungsunterbrechung wäre BridgePay nicht dabei gewesen.
Bargeld als Notfallplan. Für einen kleinen Händler heißt nur Bargeld anzunehmen, einen großen Teil der Einnahmen zu verlieren. Der Schaden ist ein Umsatzverlust, verteilt auf viele kleine Unternehmen, jeder oft nahe am Selbstbehalt oder darunter.
Wartezeit und Dauer
Tage, nicht Stunden. Der Ausfall dauerte mindestens vier Tage (Payment Expert). Bei Wartezeiten, die in der Regel in Stunden bemessen sind, hätten viele Händler die zeitliche Schwelle überschritten. Ihr Problem ist der Betrag: Einige Tage entgangener Kartenumsätze können unter dem Selbstbehalt liegen.
Die Umgehungslösung verringert den Schaden. Wichita stellte die Zahlungen dank eines Anbieters wieder her, der BridgePay umging (WaterISAC). Versicherte mit einem zweiten Zahlungskanal oder einem Anbieter, der schnell umstellen kann, begrenzen die Dauer des Schadens.
Öffentliche Stellen nehmen weniger ein, verlieren aber nicht. Für Städte und Wasserversorger besteht der Schaden vor allem aus verzögerten Einnahmen und Kosten für manuelle Abwicklung. Der versicherbare Schaden ist kleiner, der Druck auf die Dienste für die Bürger aber hoch.
Kumul im Zahlungsverkehr
Ein Ereignis, viele kleine Versicherte. Ein Ausfall der Plattform traf Händler verschiedener Branchen, Kommunen und Wasserversorger in mehreren Bundesstaaten. Für ein Portfolio kleiner Unternehmen ist der Zahlungsverkehr ein Kumulpunkt wie die Cloud.
Die Kette ist lang. Händler, Kassensoftware, Gateway, Abwickler, Kartennetz. Jedes Glied kann ausfallen. Der Kumul hängt nicht vom Namen des Lieferanten ab, den der Versicherte kennt, sondern von dem, der weiter unten in der Kette steht.
Der Zahlungsdienstleister als Versicherter. Für Versicherer von BridgePay oder ähnlichen Plattformen ist das größte Risiko die Haftung gegenüber Partnern und Händlern für entgangene Einnahmen. Verträge begrenzen diese Haftung meist, aber die Zahl der Gegenparteien ist sehr hoch.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererMittel
Ransomware legte eine US-Zahlungsplattform mindestens vier Tage lahm, zwang Händler zu reinem Bargeldbetrieb und hinderte Kommunen und Wasserversorger daran, online Zahlungen einzuziehen.
Auf Portfolioebene legt der Fall BridgePay nahe, die Zahlungskette der versicherten kleinen Unternehmen abzubilden, zumindest für die wichtigsten Gateways und Abwickler jedes Marktes. Ein Szenario eines einwöchigen Ausfalls eines verbreiteten Gateways, mit kleinen Schäden bei Tausenden Versicherten, ist ein nützlicher Test für den Kumul und für die Selbstbehalte bei Deckungen für Rückwirkungsunterbrechung.