Cyber-Versicherung: die Ereignisse der Woche vom 7. bis 14. November 2026

Fünf Cyber-Ereignisse der Woche vom 7. bis 14. November 2026, von Expedia, getroffen über die Datenplattform eines Dienstleisters, bis zu Maersk, dem Brenner-Basistunnel, Nitori und Vanderbilt University, verbunden durch periphere, geerbte oder ausgelagerte Systeme. Mit den Auswirkungen auf die Versicherung und den Fragen für die Vertragsverlängerung.

Woche vom 7. bis 14. November 2026

Die Woche vom 7. bis 14. November 2026 hat einen roten Faden: Die Schwachstelle liegt dort, wo das Unternehmen am wenigsten hinschaut. Ein großer Online-Reisekonzern wird über die Datenplattform eines Dienstleisters erreicht, während eine kriminelle Gruppe fast eine Milliarde gestohlene Datensätze behauptet. Ein Logistikriese entdeckt einen Einbruch in ein System, das er mit einer Übernahme geerbt hat. Die Gesellschaft, die den Brenner-Basistunnel baut, bestätigt den Diebstahl von Daten von einem Server für den Dateiaustausch mit Dritten. In Japan schätzt ein großer Möbelhändler bis zu 37,6 Millionen offengelegte Datensätze, und in den USA bittet eine Universität alle, ihre Computer auszuschalten. Für die Risikozeichnung im Cyber-Bereich lautet die Frage nicht nur, wie das Hauptsystem des Versicherten geschützt ist, sondern welche Neben-, Alt- oder ausgelagerten Systeme mit seinen Daten verbunden bleiben.

Kurz gefasst

Expedia Group: am 12. November bestätigt der Konzern einen Zugriff auf seine Systeme über einen kompromittierten Anbieter von Datenplattformen; die Gruppe n0n behauptet mehr als 830 Millionen Datensätze aus Treueprogrammen, Zahlen nicht bestätigt.
Maersk: am 11. November bestätigt der Konzern den Datendiebstahl aus einem Altsystem, das mit einer Übernahme übernommen wurde; keine Auswirkungen auf den Betrieb gemeldet.
Brenner-Basistunnel: am 7. November bestätigt BBT SE einen Angriff von Mitte Oktober auf aus dem Internet erreichbare Daten; die Gruppe Everest behauptet 812 GB und verlangt Lösegeld, das die Gesellschaft verweigert.
Nitori: am 10. November meldet der japanische Möbelhändler bis zu 37,62 Millionen möglicherweise entwendete personenbezogene Datensätze.
Vanderbilt University: am 9. November meldet die Universität einen Angriff und bittet, alle Geräte auszuschalten; die Gruppe BYOD führt sie auf ihrer Seite.

Die Angriffe der Woche

1. Expedia Group: der Anbieter der Datenplattform

Am Donnerstag, dem 12. November 2026 bestätigte Expedia Group, dass Angreifer über einen kompromittierten Anbieter von Datenplattformen in seine Systeme gelangt sind, bei einem Lieferkettenangriff, der auch andere Unternehmen traf. Der Konzern erklärt, den Vorfall eingedämmt zu haben, mit externen Fachleuten zu ermitteln und dass seine Plattformen sicher bleiben; weder der Anbieter noch der Umfang der betroffenen Daten wurden genannt. Forscher von Wiz und Sentra dokumentierten einen Angriff zwischen dem 14. und 26. Oktober, der Qubole betraf, eine Cloud-Datenplattform und früherer Dienstleister von Expedia; Expedia hat den Zusammenhang nicht bestätigt (Skift).

Die Erpressergruppe n0n, Mitte September 2026 aufgetaucht und eher auf Datendiebstahl als auf Verschlüsselung ausgerichtet, behauptet, mehr als 830 Millionen Datensätze aus 35 Treueprogrammen, 58 Millionen Reiseprofile, mehr als 333 Millionen Konto- und Zugangsdatensätze sowie rund 2,5 Millionen Kartenausgaben-Datensätze mit gehashten E-Mail-Adressen erbeutet zu haben. Laut Security Affairs nutzten die Angreifer nach Angaben von Wiz und Sentra einen gestohlenen Qubole-Dienstleisterschlüssel, um auf die Big-Data-Plattform von Expedia zuzugreifen. Expedia hat die Zahlen von n0n nicht bestätigt (Security Affairs).

2. Maersk: das mit einer Übernahme geerbte System

Am 11. November 2026 meldete Maersk einen IT-Sicherheitsvorfall in «einem Altsystem, das mit einer früheren Übernahme übernommen wurde». Die Angreifer verschafften sich unbefugten Zugang und entwendeten Daten; nach ersten Prüfungen wurden keine sensiblen Informationen offengelegt. Maersk erklärt, der Vorfall scheine auf dieses System begrenzt zu sein, ohne Anzeichen einer Kompromittierung der übrigen Infrastruktur oder der über APIs und EDI verbundenen Systeme von Kunden und Partnern, und hat keine Unterbrechung der Logistik gemeldet (IT Nerd).

Die Gruppe WhiteArmour führte Maersk auf ihrer Seite, behauptete, mehr als 16.000 im Klartext gespeicherte Passwörter von Fahrern zu besitzen, und verlangte 5 Millionen Dollar in Bitcoin; Maersk hat den Zusammenhang nicht bestätigt. Forscher von Cybernews verbinden den Vorfall mit LF Logistics, einem Logistikunternehmen, das Maersk 2022 übernommen hat (Cybernews). Für einen Konzern, den 2017 NotPetya traf, bestätigt der Fall, dass Übernahmen Systeme, Zugangsdaten und Verbindungen mitbringen, die überprüft werden müssen.

3. Brenner-Basistunnel: die Daten der Baustelle

Am 7. November 2026 bestätigte BBT SE, die Gesellschaft, die den Brenner-Basistunnel zwischen Italien und Österreich baut und von ÖBB und RFI kontrolliert wird, einen gezielten Angriff von Mitte Oktober. Die Angreifer erhielten teilweise Zugang zu Daten, die «über das Internet zugänglich» waren; die betroffenen Systeme wurden isoliert, externe Fachleute und die Behörden eingeschaltet. Am 17. Oktober hatte die Gruppe Everest den Tunnel auf ihrer Seite aufgeführt und behauptet, 812 GB gestohlen zu haben; die Zahl ist nicht überprüft (bluewin).

Laut Escudo Digital war der Einstiegspunkt ein mit dem Internet verbundener Server für den Datenaustausch mit Dritten, und zu den entwendeten Daten gehören Verwaltungsunterlagen, topografische Daten und Ausschreibungsunterlagen. Everest verlangte ein Lösegeld in nicht genannter Höhe; BBT SE lehnt Verhandlungen und Zahlung ab und meldet jeden Kontakt der Polizei. Die Gesellschaft erklärt, der Angriff habe keine technischen Auswirkungen auf den Vortrieb gehabt und die industriellen Sicherheitssysteme seien intakt; die Ermittlungen in Österreich und Italien laufen (Escudo Digital).

4. Nitori: bis zu 37,6 Millionen Datensätze

Am 10. November 2026 meldete Nitori, ein großer japanischer Händler für Möbel und Wohnaccessoires, dass bis zu 37,62 Millionen personenbezogene Datensätze «nach außen gelangt sein könnten». Das Unternehmen entdeckte und blockierte den Einbruch am 6. November; laut der Untersuchung hatte der Angreifer etwa seit Mitte Oktober Zugriff auf das System. Möglicherweise betroffen sind Mitgliedsnummern, Namen, E-Mail-Adressen, Anschriften, Telefonnummern, Geburtsdaten und Geschlecht von Kunden, Daten von Firmenkunden und Informationen zu Online-Bestellungen; Nitori schließt Passwörter und Kreditkarten aus. Die Zahl ist eine Obergrenze, die Zahl der tatsächlich betroffenen Kunden steht noch nicht fest; das Unternehmen prüft auch, ob Ransomware im Spiel war (BleepingComputer).

5. Vanderbilt University: alles ausschalten

Am Montag, dem 9. November 2026 meldete Vanderbilt University einen Cyberangriff, der Geräte und Systeme des Campus betreffen konnte. Die Universität bat alle, ihre Geräte auszuschalten, sich vom WLAN zu trennen und Warnfenster, Dateiänderungen oder Passwortabfragen zu melden. Der Angriff wurde bekannt, nachdem die Gruppe BYOD die Universität auf ihrer Seite aufgeführt hatte, mit Behauptungen über Datendiebstahl. Ob das Vanderbilt University Medical Center betroffen ist, wird nicht gesagt. BYOD, laut dem Experten Allan Liska seit Ende September aktiv, ist dieselbe Gruppe, die sich zum Angriff auf die University of New Mexico bekannt hat (The Record).

Weitere erwähnenswerte Ereignisse

Microsoft 365 (Technologie): ab dem 12. November legt eine Störung Outlook, Exchange Online und weitere Dienste in mehreren Regionen fast 24 Stunden lahm; Microsoft verweist auf einen überlasteten Serverprozess und erklärt, es gebe keine Anzeichen bösartiger Aktivität. Morningstar DBRS schätzt vorläufig weltweite versicherte Schäden zwischen 300 und 500 Millionen Dollar (Actuarial Post).
Quantum Systems (Verteidigung): der deutsche Drohnenhersteller bestätigt einen Angriff von Ende Oktober; laut Spiegel und Financial Times wurde ein bösartiges Update der Missionsplanungssoftware vom Server des Herstellers verteilt, und die Bundeswehr ließ die Drohnen vorsorglich am Boden.
TSMC (Halbleiter): am 12. November meldet der Chiphersteller, dass personenbezogene Daten aktueller und ehemaliger Mitarbeiter, die mit Datensätzen eines Cloud-Anbieters übereinstimmen, online aufgetaucht sind; keine Hinweise auf eine Kompromittierung der eigenen Systeme.
Baker Tilly (Beratung): die Prüfungsgesellschaft informiert Mandanten über einen Vorfall bei einem nicht genannten Dienstleister, mit Sozialversicherungsnummern; allein in Texas 10.456 Personen.

Auswirkungen auf die Versicherung

Das gemeinsame Bild ist die Peripherie: Datendienstleister, geerbte Systeme, Server für den Dateiaustausch und gemeinsam genutzte Cloud-Dienste. Für jedes Ereignis lässt sich die mögliche Wirkung auf die Policen so lesen.

Expedia Group. Deckungen: Incident Response, Benachrichtigung, Datenschutzhaftung, Erpressung. Kumulpotenzial: hoch, weil dieselbe Datenplattform mehrere Unternehmen bediente. Vertraglicher Knackpunkt: ein beim Dienstleister entstandener Schaden und die Möglichkeit des Regresses, dazu nicht überprüfte Behauptungen der kriminellen Gruppe.
Maersk. Deckungen: Incident Response, Benachrichtigung, Erpressung. Kumulpotenzial: niedrig. Vertraglicher Knackpunkt: die Systeme übernommener Gesellschaften und ob sie unter die Definition des IT-Systems des Versicherten fallen.
Brenner-Basistunnel. Deckungen: Incident Response, Erpressung, Haftung gegenüber Dritten für Ausschreibungs- und technische Unterlagen. Kumulpotenzial: niedrig. Vertraglicher Knackpunkt: die Vertraulichkeit technischer Daten einer strategischen Infrastruktur und die Ausschlüsse für staatliche Operationen, falls sich eine Verbindung zeigt.
Nitori. Deckungen: Benachrichtigung, Datenschutzhaftung, Bußgelder, soweit versicherbar. Kumulpotenzial: niedrig. Vertraglicher Knackpunkt: die Sublimits für Benachrichtigungen bei einer noch unbestimmten Zahl von Personen.
Vanderbilt University. Deckungen: Wiederherstellung, Betriebsunterbrechung, Erpressung, Benachrichtigung. Kumulpotenzial: mittel, da dieselbe Gruppe gegen mehrere Universitäten vorgeht. Vertraglicher Knackpunkt: die vom Versicherten zur Eindämmung beschlossene Abschaltung.

Der Datendienstleister ist ein Kumulpunkt. Expedia, TSMC und Baker Tilly sehen ihre Daten bei Dritten getroffen. Der Fragebogen muss fragen, wo die Daten liegen, nicht nur, wem sie gehören.

Übernahmen bringen verborgene Risiken. Maersk entdeckt den Einbruch in ein geerbtes System. In der Risikozeichnung zählen die Systeme übernommener Gesellschaften und die geplante Zeit, sie zu integrieren oder abzuschalten.

Eine Störung ist kein Angriff, wiegt aber genauso. Der Ausfall von Microsoft 365 geht nicht auf einen Angriff zurück und löst bei vielen Policen womöglich keine Deckung aus. Die Bedingungen zu Systemausfällen und zu Dienstleistern zeigen, wer tatsächlich zahlt.

Was in die Vertragsverlängerung gehört

Welche Anbieter von Datenplattformen und Analysen halten Kopien der Kundendaten des Versicherten, und mit welchen Zugangsschlüsseln?
Werden Schlüssel und Zugangsdaten von Dienstleistern gewechselt und widerrufen, wenn sich die Beziehung ändert oder endet?
Welche Systeme übernommener Gesellschaften sind noch aktiv und mit Netz oder Daten des Konzerns verbunden?
Sind Server für den Dateiaustausch mit Dritten erfasst, geschützt und überwacht?
Deckt die Police eine Unterbrechung durch eine nicht bösartige Störung eines Cloud-Anbieters, und mit welcher Wartezeit?
Hat der Versicherte ein Verfahren, um Geräte geordnet abzuschalten und wieder hochzufahren, und wurde es getestet?
Wie werden Erpressungen wegen entwendeter Daten ohne Verschlüsselung der Systeme behandelt?

Auf Portfolioebene lohnt es sich, Versicherte zu erfassen, die dieselben Cloud-Datenplattformen und denselben Anbieter für E-Mail und Zusammenarbeit nutzen, und ein Szenario zu simulieren, in dem ein einziger Dienstleister viele Versicherte mit einem Datendiebstahl oder einem Ausfall trifft.