Marks & Spencer: 300 Millionen Auswirkung, 100 Millionen Deckung

Im April 2025 stoppte ein Angriff, der mit einem bei einem externen Helpdesk zurückgesetzten Passwort begann, die Online-Bestellungen von Marks & Spencer für 46 Tage, mit einer geschätzten Auswirkung von 300 Millionen Pfund und einer Cyberdeckung bis 100 Millionen. Die Analyse: Limit und Schaden, der Helpdesk, Kumul nach Akteur und Fragen für die Vertragsverlängerung.

Archiv: Rekonstruktion, geschrieben im November 2026

Thema des Monats April 2025 · von cybercoverinsurance

Im April 2025 erlitt Marks & Spencer, eine der größten britischen Handelsketten, einen Angriff, der die Online-Bestellungen für 46 Tage stoppte, einen Teil der Regale leerte und zum Diebstahl von Kundendaten führte. Im Mai schätzte das Unternehmen die Auswirkung auf das operative Ergebnis des Jahres auf rund 300 Millionen Pfund. Laut Financial Times lag die Forderung an die Cyberpolice bei höchstens 100 Millionen.

Der Fall ist für Cyber-Risikoträger nützlich, weil die Zahlen öffentlich sind: die geschätzte Auswirkung, die direkten Kosten und der maximale Versicherungsbetrag. Er zeigt den Abstand zwischen dem wirtschaftlichen Schaden eines großen Händlers und der Deckung, die der Markt bietet, und das Gewicht eines ausgelagerten Helpdesks als Einfallstor.

Was bekannt ist

Der Zugang. Chairman Archie Norman sagte vor dem britischen Parlament, der Zugang sei am 17. April durch eine «raffinierte Identitätstäuschung» erfolgt: Die Angreifer brachten mit den Daten eines Mitarbeiters einen externen Dienstleister dazu, dessen Passwort zurückzusetzen. Laut Quellen von BleepingComputer verschlüsselten mit Scattered Spider verbundene Akteure danach zahlreiche VMware-ESXi-Server mit der Ransomware DragonForce und entwendeten rund 150 GB Daten. Norman wollte nicht sagen, ob ein Lösegeld gezahlt wurde (BleepingComputer).

Der Ausfall. Der Angriff kam um das Osterwochenende. M&S trennte Lager- und Online-Bestellsysteme. Am 13. Mai bestätigte das Unternehmen den Diebstahl personenbezogener Kundendaten. Am 10. Juni, nach 46 Tagen, nahm es Online-Bestellungen für einige Modelinien wieder auf, nur mit Standardversand. Am Tiefpunkt hatte die Aktie rund 16% verloren, mehr als 1 Milliarde Pfund an Börsenwert (The Register). Click and Collect kehrte im August zurück (The Record).

Die Schätzung im Mai. Am 21. Mai nannte M&S einen Rückgang des operativen Ergebnisses um rund 300 Millionen Pfund für das Jahr, der durch Kostensteuerung, Versicherung und weitere Maßnahmen verringert werden sollte. Zu den entwendeten Daten gehörten Namen, E-Mail-Adressen, Postanschriften und Geburtsdaten. Verluste durch verdorbene Ware und Logistikkosten stiegen wegen der Umstellung auf manuelle Prozesse (PA über Hargreaves Lansdown).

Die Deckung. Laut Financial Times, zitiert von IADS, konnte die Versicherungsleistung bis zu 100 Millionen Pfund erreichen. Allianz war Erstversicherer für die ersten 10 Millionen, Beazley gehörte zu den Exponierten (IADS).

Die Rechnung im November. In den Halbjahreszahlen vom 5. November 2025 verbuchte M&S 101,6 Millionen Pfund an Aufwendungen für den Vorfall, davon 83 Millionen für Reaktion und Wiederherstellung der Systeme, und erwartete weitere 34 Millionen im zweiten Halbjahr, insgesamt rund 136 Millionen. Das bereinigte Halbjahresergebnis fiel um 55,4% auf 184,1 Millionen (The Register). Das ausgewiesene Ergebnis vor Steuern sank von 391,1 auf 3,4 Millionen, abgefedert durch die Versicherungsleistung von 100 Millionen (The Record).

Die weitere Entwicklung. Im Juli 2025 wurden vier Personen wegen der Angriffe auf M&S, Co-op und Harrods festgenommen (The Record). Im Oktober 2025 beendete M&S den IT-Helpdesk-Vertrag mit Tata Consultancy Services. TCS erklärte, in ihrem eigenen Netz keine Anzeichen einer Kompromittierung gefunden zu haben, und beide Unternehmen sagten, die Entscheidung sei vor dem Angriff gefallen (Retail Systems).

Was nicht bekannt ist. Welcher Dienstleister getäuscht wurde, ob ein Lösegeld gezahlt wurde und die Einzelheiten der Police (Limits, Selbstbehalte, Haftungszeit) sind nicht öffentlich.

Schaden und Deckung

Höchstens ein Drittel der Auswirkung. Einer Schätzung von 300 Millionen Pfund an entgangenem operativem Ergebnis stand eine maximale Forderung an die Police von 100 Millionen gegenüber. Selbst im besten Fall blieben zwei Drittel der geschätzten Auswirkung beim Unternehmen. Es ist einer der am besten dokumentierten Fälle einer Unterversicherung eines großen Konzerns gegenüber seinem eigenen schlimmsten Cyberszenario.

Die direkten Kosten liegen nahe am Limit. Die ausgewiesenen direkten Kosten von rund 136 Millionen übersteigen bereits allein den Höchstbetrag der Versicherung. Der Anteil der Betriebsunterbrechung, also entgangene Online-Umsätze und geringere Margen, bleibt fast ganz ungedeckt. Für Risikoträger lautet die Frage nicht nur, wie hoch das Limit ist, sondern welcher Teil des Schadens es zuerst aufbraucht.

Das Limit spiegelt den Markt, nicht das Szenario. Eine Kette mit 13,8 Milliarden Pfund Jahresumsatz findet kaum Cyberkapazität in Höhe ihres schlimmsten Szenarios. Der Fall M&S zeigt, dass große Konzerne ausdrücklich entscheiden müssen, wie viel Cyberrisiko sie selbst tragen, statt es nach dem Schaden festzustellen.

Der Helpdesk ist der Perimeter

Das zurückgesetzte Passwort ist die Tür. Der Angriff nutzte keine technische Schwachstelle, sondern das Verfahren zum Zurücksetzen von Zugangsdaten. Wer den Helpdesk betreibt, intern oder extern, entscheidet, wer neuen Zugang erhält. Es ist dasselbe Muster wie bei Transport for London 2024, ebenfalls Mitgliedern von Scattered Spider zugeschrieben.

Der externe Dienstleister holt das Risiko herein. Der Helpdesk lag bei einem Dritten, mit der Befugnis, Passwörter zurückzusetzen. Fragebogenpunkte zu Multi-Faktor-Authentifizierung und Schulung reichen nicht, wenn die Identitätsprüfung am Telefon schwach ist. Risikoträger müssen wissen, wie der Dienstleister Anrufer prüft, vor allem bei privilegierten Konten.

Der Regress gegen den Dienstleister ist unsicher. TCS bestritt, dass die Kompromittierung von ihrem Netz ausging. Für den Versicherer von M&S hängt der Regress gegen den Helpdesk-Dienstleister von Beweisen und Verträgen ab, die nicht öffentlich sind, und ist ohnehin durch vertragliche Haftungsobergrenzen begrenzt.

Kumul nach Akteur und Branche

Drei Händler in wenigen Wochen. Die Festnahmen im Juli betreffen die Angriffe auf M&S, Co-op und Harrods (The Record). Zusammenhängende Angriffe mit derselben Technik trafen eine Branche nacheinander. Für ein Portfolio läuft der Kumul nicht nur über einen gemeinsamen Dienstleister, sondern auch über einen Akteur, der sich eine Branche aussucht.

Der Wettbewerber gewinnt, der Versicherer nicht. Next meldete ein Umsatzplus von 7,6%, teils wegen der Schwierigkeiten der Konkurrenz (The Record). Der Schaden eines Händlers verschwindet nicht aus dem Markt, doch für einen Versicherer vieler Händler derselben Region zählt die Abfolge der Angriffe mehr als das einzelne Ereignis.

Was in die Vertragsverlängerung gehört

Auswirkung für VersichererHoch

Ein Angriff, der mit dem Zurücksetzen eines Passworts bei einem ausgelagerten Helpdesk begann, stoppte die Online-Verkäufe eines großen Händlers für 46 Tage, mit einer geschätzten Auswirkung vom Dreifachen des Versicherungshöchstbetrags.

Auf Portfolioebene legt der Fall nahe, Händler derselben Region als Gruppe zu behandeln, die demselben Akteur ausgesetzt ist, und zu fragen, wer den Helpdesk stellt: Derselbe Dienstleister für mehrere Versicherte ist ein Kumulpunkt, den man kennen sollte.