Cyber-Versicherung: die Ereignisse der Woche vom 31. Oktober bis 7. November 2026

Fünf Cyber-Ereignisse der Woche vom 31. Oktober bis 7. November 2026, von der neuen Angriffswelle auf Kühlanlagen europäischer Supermärkte bis zu Crédit Mutuel Arkéa, Chainalysis, DigiCert und Queens Public Library, verbunden durch erreichbare Systeme und Dienstleister als Einfallstor. Mit den Auswirkungen auf die Versicherung und den Fragen für die Vertragsverlängerung.

Woche vom 31. Oktober bis 7. November 2026

Die Woche vom 31. Oktober bis 7. November 2026 hat einen roten Faden: Systeme, die offen gelassen wurden, manchmal jahrelang, und so zum Einfallstor werden. In Europa trifft eine zweite Angriffswelle Kühlanlagen von Supermärkten mit veralteter Software und Standardpasswörtern, bis nach Sizilien. In Frankreich verliert eine Genossenschaftsbank rund 100 Millionen Euro über die Plattform eines Dienstleisters. Eine Zertifizierungsstelle stellt fest, dass ein internes System mehr als 16 Monate aus dem Internet erreichbar war, und ein Unternehmen für Blockchain-Analysen räumt ein, dass der Angriff von Ende Oktober auch Passwörter von Kunden offengelegt hat. Für die Risikozeichnung im Cyber-Bereich lautet die Frage nicht nur, ob der Versicherte bekannte Schwachstellen behoben hat, sondern ob er weiß, welche Systeme er tatsächlich offen hat.

Kurz gefasst

Kühlanlagen in Europa: in der Nacht vom 1. auf den 2. November trifft eine neue Welle Supermärkte in Belgien, Schweden, Irland, den Niederlanden, Portugal, Estland, Finnland und Italien; am 4. November veröffentlichen ENISA, Europäische Kommission, Europol und das CSIRT-Netzwerk eine gemeinsame Erklärung.
Crédit Mutuel Arkéa: am 4. November bestätigt die Bank einen Angriff, der betrügerische Transaktionen ermöglichte; der Schaden liegt in der Größenordnung von 100 Millionen Euro, umgewandelt in Kryptowährungen.
Chainalysis: am 4. November bestätigt das Unternehmen, dass der Angriff von Ende Oktober auch einen Teil der Kundenpasswörter offengelegt hat; mehrere Produkte bleiben abgeschaltet.
DigiCert: ein internes System war mehr als 16 Monate aus dem Internet erreichbar; zwischen dem 27. Juni und dem 2. Juli sah ein unbefugtes Konto archivierte Kundendaten ein, möglicherweise auch Ausweisdokumente.
Queens Public Library: ab dem 4. November legt Ransomware Website, App, Selbstausleihe, Computer und WLAN in allen 66 Standorten des New Yorker Bibliothekssystems lahm.

Die Angriffe der Woche

1. Kühlanlagen: die zweite Welle in Europa

In der Nacht von Sonntag, dem 1., auf Montag, den 2. November 2026 trafen Cyberangriffe die Kühlsysteme von Supermärkten in mehreren europäischen Ländern. In Belgien wurden die Anlagen in den Abtaumodus versetzt und heizten, statt zu kühlen: betroffen waren mehrere Dutzend Delhaize-Filialen, 15 Carrefour-, 10 bis 15 Intermarché- und 5 Spar-Märkte. In Schweden wurden in einem ICA-Markt die Temperaturen auf 50 °C gestellt, die Ware wurde entsorgt. In Irland nahm Musgrave vorsorglich Frisch- und Tiefkühlprodukte aus 13 SuperValu-Märkten. Fälle wurden auch aus den Niederlanden, Portugal, Estland, Finnland und Italien gemeldet, wo mindestens vier Coop-Supermärkte der Gruppe Radenza auf Sizilien betroffen waren (The Hacker News).

Die Methode erinnert an die Angriffe vom 11. Oktober auf Hunderte französischer Supermärkte, bei denen Danfoss-Steuerungen AK-SM 800 und AK-SC 355 ausgenutzt wurden, die der Hersteller nicht mehr aktualisiert. Die Warnung des CERT-FR betrifft auch Geräte von Copeland und Dixell xweb. Danfoss erklärte, die in den Niederlanden betroffenen Systeme hätten sich nicht in einem geschützten Netz befunden und noch Standardpasswörter verwendet. Niemand hat sich zu den Angriffen bekannt; das belgische Zentrum für Cybersicherheit sagte, der Täter werde möglicherweise nie ermittelt, und die belgische Bundesstaatsanwaltschaft hat Ermittlungen aufgenommen (gleiche Quelle).

Am 4. November veröffentlichten ENISA, die Europäische Kommission, das Europol-Zentrum für Cyberkriminalität, das CSIRT-Netzwerk der EU und EU-CyCLONe eine gemeinsame Erklärung zu Vorfällen in gewerblichen Kühlanlagen in mehreren Mitgliedstaaten und forderten, die Erreichbarkeit der Systeme sofort zu verringern. Die Erklärung schreibt die Angriffe niemandem zu (ENISA).

2. Crédit Mutuel Arkéa: rund 100 Millionen vom eigenen Konto der Bank

Am 4. November 2026 bestätigte Crédit Mutuel Arkéa, eine genossenschaftliche Bankengruppe mit Crédit Mutuel de Bretagne, Crédit Mutuel du Sud-Ouest und Fortuneo, einen Cyberangriff, der «la réalisation d'opérations frauduleuses» ermöglichte, und bezeichnete den Vorfall als unter Kontrolle. Einige Transaktionen wurden vorsorglich ausgesetzt, Überweisungen verzögerten sich. Laut Le Télégramme wurden rund 118 Millionen Euro entwendet; die Bank hat die Zahl nicht bestätigt. Die Mittel sollen auf andere Konten und Handelsplattformen übertragen und in Kryptowährungen umgewandelt worden sein; Kraken und Crypto.com sollen mit den Bewegungen verbundene Konten gesperrt haben. Die Bank erklärt, der Vorfall habe keine finanziellen Folgen für die Kunden (Le Monde Informatique).

Die Bank erläuterte später, die Angreifer seien über die Plattform eines nicht genannten Dienstleisters eingedrungen und hätten das eigene Konto der Bank genutzt, um Überweisungen an andere Banken zu senden, ohne Kundenkonten anzutasten. Sie sprach von einem raffinierten Angriff von außen, schloss menschliches Versagen intern aus und bestätigte nur die Größenordnung des Schadens, der 100 Millionen Euro übersteigen könnte. Niemand hat sich zu dem Angriff bekannt (DH).

Ein in derselben Quelle zitierter Experte stellt die für den Markt entscheidende Frage: Wenn der Dienstleister auch andere Banken bedient, betrifft das Risiko nicht nur ein Institut.

3. Chainalysis: von E-Mails zu Passwörtern

Am 30. Oktober 2026 hatte Chainalysis, ein Unternehmen für Blockchain-Analysen, einen Angriff gemeldet und betont, er stehe nicht im Zusammenhang mit dem Diebstahl bei Binance. Die erste Analyse ergab, dass nur Benutzerkennungen, Namen, E-Mail-Adressen und Rollen offengelegt wurden, ohne Zugriff auf Zugangsdaten oder Sitzungstoken. Am 4. November bestätigte das Unternehmen, dass ein «on-path»-Angriff auch einen Teil der Kundenpasswörter offengelegt habe und der Angriffsweg eingedämmt sei. Reactor, Data Solutions und Chain (Beta) wurden vorsorglich abgeschaltet; KYT, die übrigen Produkte zur Adressprüfung und die Anmeldeseite wurden wegen ungewöhnlicher Aktivität gestoppt und waren zum Zeitpunkt des Artikels teilweise wiederhergestellt. Chainalysis verlangte von allen Nutzern eine Passwortänderung und bat Kunden, API-Schlüssel zu wechseln. Keine Gruppe hat sich zu dem Angriff bekannt (TechRadar).

Der Schaden bleibt nicht bei Chainalysis: Die Kunden nutzen KYT und die übrigen Produkte, um Transaktionen und Adressen zu prüfen, und ein Ausfall dieser Dienste bedeutet bei ihnen ausgesetzte oder manuelle Prüfungen.

4. DigiCert: 16 Monate unbemerkte Erreichbarkeit

Am 6. November 2026 wurde bekannt, dass bei DigiCert, einer Zertifizierungsstelle, auf archivierte Kundendaten zugegriffen wurde. Im Februar 2025 war ein internes Geschäftssystem aus einem VPN-geschützten Netz in eine andere Zone verlegt worden und damit aus dem Internet erreichbar; das blieb mehr als 16 Monate so. Das System hatte eine Selbstregistrierung, mit der jeder ohne Multi-Faktor-Authentifizierung ein Konto anlegen konnte, und ein Rechtefehler erlaubte diesen Konten, archivierte Daten einzusehen. DigiCert fand die unbefugten Konten am 18. Juni 2026, hielt sie aber für harmlos; am 2. Juli schloss es die Registrierung; am 19. Oktober bestätigte es, dass ein Konto zwischen dem 27. Juni und dem 2. Juli einen Teil der Datensätze eingesehen hatte (The Register).

Betroffen sind Namen, geschäftliche E-Mail-Adressen, Telefonnummern und Anschriften; einige Datensätze könnten Reisepässe, Führerscheine oder Rechnungen enthalten, die zur Identitätsprüfung eingereicht wurden. DigiCert hat die Zahl der betroffenen Kunden nicht genannt und erklärt, der Betrieb der Zertifizierungsstelle, CertCentral und DigiCert ONE seien nicht betroffen; es gebe keine Hinweise auf Zertifikate, die das unbefugte Konto ausgestellt, widerrufen oder validiert hätte (gleiche Quelle).

5. Queens Public Library: 66 Standorte ohne Systeme

Am 4. November 2026 meldete die Queens Public Library in New York einen systemweiten Netzausfall, der später Ransomware zugeschrieben wurde. Am Folgetag waren Website und App, die Automaten für Ausleihe und Rückgabe, Verlängerungen, die Computer in den Standorten und das kostenlose WLAN ausgefallen; die 66 Standorte blieben geöffnet. Die Bibliothek arbeitet mit der New Yorker Polizei, Bundesbehörden und externen Fachleuten zusammen; die Polizei kooperiert mit dem FBI. Weder die verantwortliche Gruppe noch ein möglicher Datenabfluss wurden genannt, und es gibt keinen Termin für die Wiederherstellung (NY1).

Weitere erwähnenswerte Ereignisse

Binance (Kryptowährungen): am 31. Oktober schreibt das FBI den Diebstahl von 6,3 Milliarden Dollar der nordkoreanischen Gruppe TraderTraitor zu; am 1. November öffnet die Börse Auszahlungen schrittweise wieder und verzeichnet binnen Stunden einen Nettoabfluss von 3,6 Milliarden, 2,1 % der Vermögenswerte.
Amadeus (Luftverkehr): die vom Zugriff auf das Buchungssystem betroffenen Fluggesellschaften steigen auf mindestens 15; am 3. November meldet Singapore Airlines rund 46.000 Datensätze, Condor bestätigt Daten internationaler Flüge und Qantas prüft die eigene Betroffenheit.
Synology (Technologie): die Gruppe C3RB3R verschlüsselt NAS mit nicht aktualisierten DSM-Versionen und nutzt Lücken, die zwischen Ende 2024 und September 2026 behoben wurden.
QNAP und Plex (Technologie): QNAP meldet über die vier Plex2Shell-Lücken in Plex Media Server kompromittierte NAS und warnt, dass ein Update bereits installierte Programme der Angreifer nicht entfernt.

Auswirkungen auf die Versicherung

Das gemeinsame Bild ist ungesteuerte Erreichbarkeit: Geräte und Systeme, die aus dem Internet erreichbar sind und die der Versicherte nicht kontrolliert oder von denen er nichts weiß. Für jedes Ereignis lässt sich die mögliche Wirkung auf die Policen so lesen.

Kühlanlagen. Deckungen: Schäden an Sachen Dritter und verdorbene Ware, Betriebsunterbrechung, Incident Response. Kumulpotenzial: sehr hoch, weil dieselben Steuerungen in Tausenden von Märkten in mehreren Ländern installiert sind. Vertraglicher Knackpunkt: der Sachschaden durch ein Cyber-Ereignis, der zwischen Cyber- und Sachversicherung fallen kann, und mögliche Ausschlüsse für Systeme ohne Herstellerunterstützung.
Crédit Mutuel Arkéa. Deckungen: Computerbetrug und betrügerische Überweisung von Geldern, Incident Response. Kumulpotenzial: mittel bis hoch, falls der Dienstleister andere Banken bedient. Vertraglicher Knackpunkt: die Grenze zwischen Vertrauensschaden- und Cyber-Police beim direkten Verlust von Geldern sowie die Rolle des Dienstleisters in der Haftungskette.
Chainalysis. Deckungen: Betriebsunterbrechung, Haftung gegenüber Kunden, Benachrichtigung. Kumulpotenzial: mittel, für Kunden, die von Diensten zur Transaktionsprüfung abhängen. Vertraglicher Knackpunkt: die abhängige Betriebsunterbrechung bei den Kunden und die Dauer des Produktausfalls.
DigiCert. Deckungen: Benachrichtigung, Datenschutzhaftung, Incident Response. Kumulpotenzial: niedrig für die Daten, aber wegen der zentralen Stellung des Ausstellers zu beobachten. Vertraglicher Knackpunkt: eine 2025 begonnene und 2026 entdeckte Erreichbarkeit im Verhältnis zur Rückwärtsversicherung und zum Entdeckungsdatum.
Queens Public Library. Deckungen: Wiederherstellung, Unterbrechung der Dienste, Erpressung, Benachrichtigung. Kumulpotenzial: niedrig. Vertraglicher Knackpunkt: die Mehrkosten, um öffentliche Dienste bei ausgefallenen Systemen offen zu halten.

Der Cyberschaden wird physisch. Angriffe auf Kühlanlagen vernichten Ware und können Geräte beschädigen. Das Szenario stellt die Definitionen des Sachschadens und die Ausschlüsse in Cyber- und Sachversicherungen auf die Probe.

Der Dienstleister ist das Einfallstor. Crédit Mutuel Arkéa verweist auf die Plattform eines Dienstleisters, und Chainalysis ist selbst Dienstleister vieler Marktteilnehmer. Das Risiko wandert vom Versicherten zu seinen Abhängigkeiten.

Die Erreichbarkeit dauert länger als der Angriff. DigiCert lässt ein System 16 Monate erreichbar, und die Steuerungen der Supermärkte sind seit Jahren ohne Herstellerunterstützung. Das Inventar der erreichbaren Systeme und die Entdeckungsdaten zählen mehr als der einzelne Angriff.

Was in die Vertragsverlängerung gehört

Hat der Versicherte ein Inventar der aus dem Internet erreichbaren Steuergeräte (Kühlung, Klimatisierung, Gebäudetechnik), und wer betreut sie?
Sind Geräte ohne Herstellerunterstützung vom öffentlichen Netz getrennt, und wurden Standardpasswörter geändert?
Deckt die Police Schäden an Sachen und Waren durch einen Cyberangriff, oder verweist sie auf die Sachversicherung?
Wie werden direkte Geldverluste durch betrügerische Überweisungen behandelt, und welche Police leistet zwischen Vertrauensschaden und Cyber?
Welche Dienstleister haben Zugang zu den Zahlungssystemen oder Konten des Versicherten, und mit welchen Kontrollen?
Wie prüft der Versicherte, dass eine Netz- oder Konfigurationsänderung keine internen Systeme ins Internet öffnet?
Welche externen Dienste sind für die gesetzlichen Pflichten des Versicherten unverzichtbar, etwa die Transaktionsprüfung, und was passiert, wenn sie ausfallen?

Auf Portfolioebene lohnt es sich, Versicherte aus dem Lebensmittelhandel und der Kühllogistik mit erreichbaren Steuerungen zu erfassen und Anbieter von Bankplattformen und Diensten zur Transaktionsprüfung als gemeinsame Kumulpunkte zu behandeln.