ANALYSEN
CEVA Logistics, acht Lager stillgelegt: Rückwirkungsschäden über die Logistik
Am 29. Juli 2026 legte ein Angriff auf CEVA Logistics mindestens acht europäische Lager still, blockierte Waren von Kunden wie Bol, de Bijenkorf und Valve und legte Daten ihrer Endkunden offen. Die Analyse: Waren im Lager eines anderen, Kundendaten beim Dienstleister, der Kumul in der Logistik und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats August 2026 · von cybercoverinsurance
Am 29. Juli 2026 traf ein Cyberangriff CEVA Logistics, die Logistikgruppe der französischen Reederei CMA CGM. Mindestens acht europäische Lager standen still, und am 1. August teilte CEVA den Kunden mit, dass Waren an diesen Standorten nicht versandt werden konnten. Zu den betroffenen Kunden gehörten der niederländische Onlinehändler Bol, die Warenhauskette de Bijenkorf und Valve, das Steam-Hardware in Europa über CEVA ausliefert. Auch Daten der Endkunden wurden offengelegt.
Für Cyber-Risikoträger ist der Fall ein Beispiel für Rückwirkungsschäden in der Logistik: Unternehmen, die nicht angegriffen wurden, aber nicht liefern können, weil ihre Waren im Lager eines Dienstleisters festsitzen. Hinzu kommt eine Verletzung der Daten ihrer Kunden, die beim Dienstleister lagen.
Was bekannt ist
Der Angriff. CEVA sagte TechCrunch, der Angriff habe wahrscheinlich am 29. Juli begonnen. Mindestens acht Lager in Europa waren betroffen. CEVA ist in mehr als 170 Ländern tätig und erzielte im Vorjahr 18,3 Milliarden Dollar Bruttoumsatz (TechRadar). Am 1. August teilte das Unternehmen den Kunden mit, dass Waren an den betroffenen Standorten nicht versandt werden konnten. Es nannte keine technischen Details und keinen Angreifer, und bis Mitte August hatte sich keine Gruppe zu dem Angriff bekannt (Security Affairs).
Die Kunden. Bol erklärte, die eigenen Systeme seien nicht betroffen, wohl aber zwei Systeme zur Auftragsabwicklung an einem CEVA-Standort: Die Waren dieses Standorts wurden aus dem Verkauf genommen, und die Wiederherstellung dauerte länger als erwartet. De Bijenkorf hielt die Filialen offen und warnte, Onlinebestellungen, Rücksendungen und Erstattungen könnten sich verzögern. Valve erklärte, dass CEVA Lieferdaten für Steam-Hardware bis zu 90 Tage aufbewahrt und dass Namen, Adressen, Telefonnummern, E-Mail-Adressen sowie Produktart und Preis wahrscheinlich kompromittiert wurden (TechRadar).
Die Daten. De Bijenkorf gab an, Namen, Kontaktdaten, Bestelldaten und in einigen Fällen Umsatzsteuernummern könnten offengelegt sein, nicht aber Zahlungsdaten oder Passwörter. Die niederländische Datenschutzbehörde hatte zehn Meldungen über Datenschutzverletzungen erhalten (TechRadar). Ein Verkäufer im Darknet bot an, was er als Datenbank von CEVA ausgab, mit Kundenlisten, Sendungen, Verträgen, Preisen und Bankdaten; die Behauptung ist nicht bestätigt (Security Affairs).
Was nicht bekannt ist. Art des Angriffs, Täter, eine mögliche Lösegeldforderung, die Dauer des Lagerstillstands und die Kosten für CEVA und seine Kunden wurden nicht veröffentlicht.
Waren im Lager eines anderen
Der Dienstleister ohne IT. CEVA ist kein Software- oder Cloud-Anbieter, sondern ein Logistikdienstleister. Für die Kunden hat der Lagerstillstand dieselbe Wirkung wie ein IT-Ausfall: keine Lieferungen, keine Umsätze. Deckungen für Rückwirkungsschäden, die auf IT-Dienstleister beschränkt sind, greifen nicht.
Blockierte Waren. Bol nahm die Waren des betroffenen Standorts aus dem Verkauf (TechRadar). Für einen Onlinehändler sind Waren in einem fremden Lager entgangener Umsatz, bis das Lager wieder läuft. Der Schaden dauert so lange wie die Wiederherstellung beim Dienstleister, die der Kunde nicht steuert.
Die Haftzeit hängt vom Dienstleister ab. Die Wiederherstellung des Bol-Standorts dauerte länger als erwartet (TechRadar). Für den Versicherten hängt die Dauer des Schadens ganz von der Reaktion eines Dritten ab. Eine Rückwirkungsschadendeckung mit kurzer Haftzeit reicht womöglich nicht aus.
Kundendaten beim Dienstleister
Die Verletzung kommt von außen. Valve und de Bijenkorf mussten ihre eigenen Kunden über eine Verletzung bei CEVA informieren (TechRadar). Für den Versicherten bleiben die Meldepflichten bei ihm, auch wenn die Daten bei einem Dienstleister lagen.
Der Dienstleister speichert mehr als nötig. CEVA bewahrte Lieferdaten bis zu 90 Tage auf (TechRadar). Jeder zusätzliche Speichertag erhöht die Zahl der Betroffenen einer Verletzung. Verträge mit Logistikdienstleistern sollten die Aufbewahrung auf das unbedingt Nötige begrenzen.
Regress gegen den Dienstleister. Kunden von CEVA könnten versuchen, Meldekosten und Verluste zurückzufordern. Logistikverträge begrenzen meist die Haftung, und in der Logistik werden mittelbare Schäden oft ausgeschlossen oder begrenzt. Für den Versicherer des Kunden ist der Regress möglich, aber unsicher.
Kumul in der Logistik
Ein Dienstleister, viele Kunden. Acht europäische Lager eines einzigen Dienstleisters belieferten unterschiedliche Kunden: Onlinehandel, Warenhäuser, Unterhaltungselektronik (TechRadar). Für ein Portfolio von Handelsunternehmen ist ein großer Logistikdienstleister ein Kumulpunkt wie die Cloud.
Die selten erhobene Angabe. Der Fragebogen fragt nach kritischen IT-Dienstleistern, fast nie nach Logistikdienstleistern. Dabei ist für viele Händler das externe Lager der Dienstleister, von dem der gesamte Umsatz abhängt.
Die Reederei dahinter. CEVA gehört zu CMA CGM (Security Affairs). Der Schifffahrts- und Logistiksektor wurde in den letzten Jahren wiederholt getroffen, von Angriffen auf Häfen bis zum Fall n0n im Oktober 2026. Das Risiko für die Kunden konzentriert sich auf wenige große Gruppen.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererMittel
Ein Angriff auf CEVA Logistics legte mindestens acht europäische Lager still, blockierte Waren von Kunden wie Bol, de Bijenkorf und Valve und legte Daten ihrer Endkunden offen.
Auf Portfolioebene legt der Fall CEVA nahe, die Namen der wichtigsten Logistikdienstleister von Versicherten aus Handel und Industrie zu erheben und in die Kumultests ein Szenario mit dem Ausfall mehrerer Lager eines großen Dienstleisters aufzunehmen, mit Rückwirkungsschäden und Meldungen von Datenschutzverletzungen bei vielen Kunden gleichzeitig.