ANALYSEN
Ingram Micro: sechs Tage Ausfall für einen Distributor und seine Kunden
Am 3. Juli 2025 stoppte Ransomware für rund sechs Tage Bestellungen und Lizenzaktivierung bei Ingram Micro, einem der größten Technologiedistributoren. Die Analyse: Rückwirkungsunterbrechung für Wiederverkäufer und Managed-Service-Provider, Wartezeiten, Kumul im IT-Vertriebskanal und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Juli 2025 · von cybercoverinsurance
Am 3. Juli 2025, zu Beginn des Feiertagswochenendes zum US-Unabhängigkeitstag, traf Ransomware Ingram Micro, einen der weltweit größten Technologiedistributoren für Unternehmen. Website sowie Bestell- und Lizenzbereitstellungsplattformen standen mehrere Tage still. Am 9. Juli erklärte das Unternehmen, wieder in allen Ländern betriebsbereit zu sein. Monate später benachrichtigte es mehr als 42.000 Menschen über den Diebstahl personenbezogener Daten.
Der Fall ist für Cyber-Risikoträger nützlich wegen dessen, was in Ingrams Zahlen nicht sichtbar wird: Tausende Wiederverkäufer, Integratoren und Managed-Service-Provider, die einige Tage weder Hardware bestellen noch Lizenzen aktivieren konnten. Er ist ein Beispiel für eine kurze, breit gestreute Rückwirkungsunterbrechung, und dafür, wie die Bedingungen entscheiden, ob daraus ein Schaden wird.
Was bekannt ist
Der Angriff. Laut BleepingComputer begann der Angriff am Donnerstag, 3. Juli. Website und Online-Bestellsysteme gingen vom Netz, ebenso die Distributionsplattform Xvantage und die Lizenzplattform Impulse. Auf Geräten des Unternehmens wurde eine Lösegeldnotiz der Gruppe SafePay gefunden. Quellen vermuten, dass die Angreifer über das GlobalProtect-VPN eindrangen, wahrscheinlich mit kompromittierten Zugangsdaten. Palo Alto Networks erklärte, keines seiner Produkte sei die Quelle der Schwachstelle gewesen (BleepingComputer).
Bestätigung und Wiederherstellung. Ingram sprach zunächst von einer «IT-Störung» und bestätigte die Ransomware erst zwei Tage später, auf Druck von Partnern und Journalisten (Channel Insider). Am 8. Juli nahm das Unternehmen in mehreren Ländern Bestellungen per Telefon und E-Mail an. Am 9. Juli erklärte es, in allen Ländern und Regionen betriebsbereit zu sein. Am 29. Juli setzte SafePay Ingram auf seine Veröffentlichungsseite und drohte, 3,5 TB Daten zu verbreiten (The Register).
Die Zahlen. In den Ergebnissen zum zweiten Quartal sagte CEO Paul Bay, der Angriff habe das im Juni beendete Quartal nicht beeinflusst. Der Finanzvorstand sprach von einem noch zu beziffernden Effekt der Tage ohne Transaktionen, gemildert durch den Feiertag. Die Prognose für das dritte Quartal berücksichtigte einen möglichen Geschäftsverlust. Bay bestätigte, dass einige Daten abgeflossen waren (IT Channel Oxygen).
Die Benachrichtigungen. Im Januar 2026 wurden die Meldungen an den Generalstaatsanwalt von Maine bekannt: 42.521 Personen, mit Namen, Geburtsdaten, Sozialversicherungsnummern, Pässen, Führerscheinen und beschäftigungsbezogenen Angaben. Die Angreifer hatten am 2. und 3. Juli auf einige interne Dateiablagen zugegriffen (TechInformed).
Was nicht bekannt ist. Ingram hat weder die Kosten des Vorfalls noch etwaige Lösegeldforderungen oder -zahlungen noch die Zahl der Kunden ohne Service veröffentlicht. Öffentliche Daten zu den Verlusten der Wiederverkäufer gibt es nicht.
Der Ausfall des Distributors ist der Ausfall der Kunden
Sechs Tage für Ingram, sechs Tage für alle. Ein Distributor steht zwischen Herstellern und Tausenden Wiederverkäufern. Stehen seine Plattformen still, erhalten Händler von Hardware und Software für Unternehmen keine Ware und aktivieren keine Lizenzen. Für Ingrams Kunden ist der Schaden eine Rückwirkungsunterbrechung, ohne jede Verletzung ihrer eigenen Systeme.
Lizenzen zählen so viel wie Ware. Die Plattform Impulse dient der Aktivierung von Software-Abonnements. Kann ein Managed-Service-Provider für seine Kunden keine Lizenzen aktivieren oder verlängern, werden Serviceverträge nicht erfüllt. Der Schaden kann zur Haftung gegenüber Endkunden werden.
Die zeitliche Selbstbeteiligung entscheidet. Deckungen für Rückwirkungsunterbrechungen greifen in der Regel nach einer Wartezeit in Stunden und nur für IT-Dienstleister oder benannte Lieferanten. Ein Technologiedistributor fällt nicht immer unter die Definition eines IT-Dienstleisters. Ein Ausfall von wenigen Tagen kann für viele Kunden unter der Schwelle bleiben und für andere darüber liegen.
Ein kurzer, breiter Ausfall
Viele kleine Schäden, wenige Schadenfälle. Die meisten Wiederverkäufer haben vermutlich Umsätze verloren oder nur verschoben. Das ist ein Ereignisprofil mit vielen kleinen Schäden, vielen Fragen an Makler und wenigen bezahlten Schadenfällen. Für Risikoträger ist es dennoch ein Test der Bedingungsdefinitionen: Klare Definitionen vermeiden Streit über Tausende Vorgänge.
Der Kalender half. Der Finanzvorstand führte die begrenzte Auswirkung auch darauf zurück, dass der Angriff auf einen Feiertag und auf den Monats- und Quartalsbeginn fiel (IT Channel Oxygen). Derselbe Ausfall am Quartalsende, wenn Wiederverkäufer Bestellungen abschließen, hätte schwerer gewogen.
Der Kumul liegt in der Vertriebskette. Wenige große Distributoren bedienen einen Großteil des IT-Marktes. Ein Portfolio kleiner Technologieunternehmen, Wiederverkäufer und Managed-Service-Provider hängt oft von denselben zwei oder drei Distributoren ab. Diese Angabe wird selten erhoben.
Das VPN und die Personaldaten
Das VPN bleibt ein Einfallstor. Laut Quellen lief der Zugang über ein VPN mit kompromittierten Zugangsdaten. SafePay ist laut BleepingComputer dafür bekannt, über VPNs mit gestohlenen Zugangsdaten oder Passwort-Spraying einzudringen. Multi-Faktor-Authentifizierung für den Fernzugriff ist die meistgefragte Kontrolle in Fragebögen, und der Fall bestätigt, warum.
Die gestohlenen Daten betreffen vor allem das Personal. Die gemeldeten Angaben umfassen beschäftigungsbezogene Daten und Ausweisdokumente (TechInformed). Für ein Unternehmen, das an Unternehmen verkauft, ist die Verletzung von Daten der Mitarbeiter und Bewerber der Teil, der Benachrichtigungen auslöst, auch wenn der Hauptschaden die Unterbrechung ist.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererMittel
Ransomware bei einem großen Technologiedistributor stoppte für rund sechs Tage Bestellungen und Lizenzaktivierung für Tausende Kunden, mit breit gestreuten, aber kurzen Rückwirkungsschäden.
Auf Portfolioebene lautet die nützliche Frage, wie viele Versicherte aus dem IT-Vertriebskanal von demselben Distributor abhängen. Ein einwöchiger Ausfall zum ungünstigsten Zeitpunkt im Quartal bei einem der wenigen großen Distributoren ist ein einfach zu bauendes Kumulszenario und eignet sich zur Prüfung der Definitionen für Rückwirkungsunterbrechungen.