ANALYSEN
Stryker, Tausende Geräte gelöscht: der zerstörerische Angriff und die Kriegsausschlüsse
Am 11. März 2026 löschte ein Angriff, zu dem sich die mit dem Iran verbundene Gruppe Handala bekannte, aus der Ferne Tausende Geräte von Stryker und störte fast einen Monat lang Bestellungen, Versand und Produktion. Die Analyse: Zerstörung ohne Lösegeld, der Staat und die Kriegsausschlüsse, Unterbrechung im Gesundheitswesen und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats März 2026 · von cybercoverinsurance
Am 11. März 2026 stellte Stryker, einer der weltweit größten Hersteller von Medizinprodukten und chirurgischer Ausrüstung, fest, dass Tausende Firmenrechner und -telefone über Nacht aus der Ferne gelöscht worden waren. Die Angreifer nutzten keine Ransomware, sondern das Werkzeug, mit dem das Unternehmen seine eigenen Geräte verwaltete. Die Gruppe Handala, die Forscher mit dem iranischen Geheimdienstministerium in Verbindung bringen, bekannte sich zu dem Angriff als Vergeltung für einen US-Angriff im Iran. Bestellungen, Versand und Produktion waren fast einen Monat lang gestört.
Für Cyber-Risikoträger vereint der Fall drei Themen: den zerstörerischen Angriff ohne Lösegeld, die Zuschreibung an einen Staat im Kontext eines bewaffneten Konflikts und die Unterbrechung eines großen Herstellers, von dem Krankenhäuser abhängen.
Was bekannt ist
Der Angriff. In der Nacht zum 11. März wurden die im Mobilgeräteverwaltungssystem von Stryker registrierten Geräte, darunter Windows-Rechner und privat genutzte Diensttelefone, aus der Ferne gelöscht. Die Anmeldeseite des Unternehmens wurde mit dem Handala-Logo verunstaltet. Im am selben Tag eingereichten Formular 8-K sprach Stryker von einer globalen Störung seiner Microsoft-Umgebung, erklärte, es gebe keine Hinweise auf Ransomware oder Schadsoftware, und nannte keinen Zeitplan für die vollständige Wiederherstellung. Einige Standorte arbeiteten wieder mit Papier und Stift (BleepingComputer).
Das Bekenntnis. Handala erklärte, mehr als 200.000 Systeme, Server und Mobilgeräte gelöscht und Büros in 79 Ländern zur Schließung gezwungen zu haben, und stellte den Angriff als Vergeltung für die Bombardierung einer iranischen Schule am 28. Februar dar. Stryker schickte in Irland mehr als 5.000 Beschäftigte nach Hause. Ein Arzt eines US-Universitätsklinikums berichtete, er könne chirurgisches Material nicht normal bestellen, während die American Hospital Association keine Lieferstörungen bei Krankenhäusern kannte. Das Unternehmen hat rund 56.000 Beschäftigte und 25 Milliarden Dollar Jahresumsatz (KrebsOnSecurity).
Die Auswirkungen. Am 9. April teilte Stryker der SEC mit, der Angriff habe die Ergebnisse des ersten Quartals wesentlich beeinträchtigt, nicht aber das Gesamtjahr. Bestellungen und Versand waren unterbrochen, die Produktion zeitweise gestoppt; in Großbritannien hatte der nationale Gesundheitsdienst ein vorläufiges Bestellsystem eingerichtet (Cybersecurity Dive). Im ersten Quartal stieg der Umsatz um 2,6% auf 6,02 Milliarden Dollar, gegenüber 6,33 Milliarden, die Analysten erwartet hatten, und der Vorstandschef sagte, das Wachstum sei durch den Vorfall "deutlich beeinträchtigt" worden (MassDevice).
Der Nachlauf. Ende Juli arbeitete Stryker noch Auftragsrückstände ab, vor allem bei Krankenhausbetten, und erwartete, sie bis Ende des dritten Quartals auf ein handhabbares Niveau zu bringen. Der Vorstandschef erinnerte daran, dass die Produktion "lange Zeit" stillgestanden habe (MedTech Dive). Mindestens sechs Klagen wurden von Beschäftigten wegen mangelnden Schutzes ihrer persönlichen Daten eingereicht (Paubox).
Was nicht bekannt ist. Die Gesamtkosten des Angriffs, ein etwaiger Versicherungsschutz, wie die Angreifer Rechte im Verwaltungswerkzeug erlangten, und die tatsächliche Zahl gelöschter Geräte wurden nicht veröffentlicht. Stryker hat den Angriff niemandem zugeschrieben.
Zerstören, ohne etwas zu verlangen
Kein Lösegeld, keine Verhandlung. Ein zerstörerischer Angriff lässt keine Möglichkeit, für die Rückgabe der Daten zu zahlen. Der Schaden liegt ganz in Wiederherstellung und Unterbrechung. Für Risikoträger muss das Szenario ohne Entschlüsselungsschlüssel und ohne eine Verhandlung geschätzt werden, die die Fristen verkürzt.
Das Verwaltungswerkzeug als Waffe. Die Geräte wurden mit dem Werkzeug gelöscht, mit dem das Unternehmen sie verwaltete (BleepingComputer). Wer Administratorrechte auf diesem System erlangt, kann mit einem Befehl Zehntausende Geräte treffen. Diese Kontrolle wird im Fragebogen selten geprüft.
Private Geräte werden Teil des Schadens. Auch private Telefone, die für den E-Mail-Zugang registriert waren, wurden gelöscht (KrebsOnSecurity). Schäden am Eigentum der Beschäftigten und die entsprechenden Klagen erweitern den Schaden über die Firmensysteme hinaus.
Der Staat, der Krieg und die Ausschlüsse
Ein Angriff mitten in einem Konflikt. Handala stellte den Angriff als Vergeltung für eine US-Militäraktion dar (KrebsOnSecurity). Die Verbindung zum iranischen Geheimdienstministerium stammt von Forschern, nicht von einer Regierung. Stryker hat den Angriff niemandem zugeschrieben.
Kriegsausschlüsse auf dem Prüfstand. Die in den letzten Jahren eingeführten Ausschlüsse für Krieg und staatliche Angriffe stellen oft auf die Zuschreibung durch eine Regierung und die Wirkung auf die Sicherheit eines Staates ab. Ein Angriff auf ein privates Unternehmen, von einer Tarngruppe beansprucht und nur von Forschern zugeschrieben, liegt in einer Grauzone. Die Bedingungen müssen festlegen, wie ein Bekenntnis behandelt wird, das ausdrücklich von militärischer Vergeltung spricht.
Das Ziel wählt den Konflikt nicht. Stryker wurde als großes US-Unternehmen getroffen, nicht wegen seiner Tätigkeit. In einem Konflikt mit Cyberkomponente verlagert sich das Risiko auf sichtbare Unternehmen eines beteiligten Landes, unabhängig von der Branche.
Unterbrechung in einer kritischen Branche
Ein Monat gestörte Produktion. Bestellungen, Versand und Produktion waren fast einen Monat lang gestört (MedTech Dive). Das Wachstum im ersten Quartal litt, und die Rückstände zogen sich bis Juli. Die Haftzeit muss das Abarbeiten der Aufträge abdecken, nicht nur die Rückkehr der Systeme.
Krankenhäuser als abhängige Kunden. Der britische Gesundheitsdienst musste ein vorläufiges Bestellsystem einrichten (Cybersecurity Dive). Für Gesundheitseinrichtungen ist die Abhängigkeit von einem großen Gerätelieferanten eine Kunden-Lieferanten-Abhängigkeit, die die Cyberpolice des Krankenhauses in der Regel nicht deckt, wenn der Lieferant kein IT-Dienstleister ist.
Die Haftung gegenüber Kunden. Ein Medizinproduktehersteller, der nicht liefert, kann Ansprüchen von Kunden ausgesetzt sein. Verträge begrenzen diese Haftung meist, doch im Gesundheitswesen ist der Druck höher.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Ein zerstörerischer Angriff, zu dem sich eine mit dem Iran verbundene Gruppe bekannte, löschte aus der Ferne Tausende Geräte eines großen Medizinprodukteherstellers und störte fast einen Monat lang Bestellungen, Versand und Produktion.
Auf Portfolioebene legt der Fall Stryker nahe, das geopolitische Risiko als Kumulfaktor zu betrachten: In einem Konflikt mit Cyberkomponente können große, sichtbare Unternehmen eines beteiligten Landes gleichzeitig getroffen werden, von zerstörerischen Angriffen, die keinen Verhandlungsspielraum lassen. Dieses Szenario sollte zusammen mit den Ausschlussbedingungen getestet werden.