Eine Ransomware-Gruppe legte die US-Lebensmittelsysteme von Ahold Delhaize für Tage lahm

Am 8. November 2024 meldete Ahold Delhaize USA – Muttergesellschaft von Stop & Shop, Hannaford, Food Lion, Giant Food und The Giant Company mit mehr als 2.000 Filialen – einen Cyberangriff und nahm Systeme offline, um ihn einzudämmen. Abhol- und Lieferbestellungen wurden storniert, weil Mitarbeiter nicht sehen konnten, was bestellt worden war; einige Apotheken konnten keine Anrufe entgegennehmen; die Website und App von Hannaford blieben bis in die zweite Woche hinein nicht erreichbar. Die Filialen blieben geöffnet und akzeptierten weiterhin Karten, doch die Störung traf unmittelbar vor dem US-Feiertagsgeschäft.

Wochen später bestätigte das Unternehmen, dass Dateien gestohlen worden waren, nachdem eine als Inc Ransom verfolgte Gruppe auf ihrer Leak-Site behauptet hatte, bis zu 6 TB Daten der US-Division zu besitzen, so Forscher von Arctic Wolf. Laut späteren staatlichen Meldungen waren die Eindringlinge bereits am 5.–6. November in eine ihrer Datenbanken gelangt, Tage vor der öffentlichen Bekanntgabe. Die Umwälzungen rund um den Vorfall waren unangenehm: Das US-Geschäft hatte gerade erst nach zwei Jahren wechselnder IT-Führung einen neuen CIO, Ann Dozier, eingeführt.

Im Jahr 2025 wurde die vollständige Rechnung sichtbar. Eine Meldung an die Generalstaatsanwaltschaft von Maine bezifferte die Betroffenenzahl auf etwa 2,2 Millionen Menschen – aktuelle und ehemalige Beschäftigte, Angehörige und Begünstigte, darunter rund 100.000 Einwohner von Maine – mit Geburtsdaten, Sozialversicherungsnummern, Bankdaten, Gesundheitsunterlagen und Daten zur Arbeitnehmerentschädigung. Das Unternehmen erklärte, es gehe nicht davon aus, dass Kundenzahlungs- oder Apothekensysteme betroffen seien: Die Eindämmung schützte die Karten der Kunden, während die gestohlenen Daten überwiegend die Belegschaft betrafen.

Tage mit stornierten Abhol-/Lieferbestellungen und ausgefallenen Apothekensystemen in über 2.000 Filialen; bis zu 6 TB als gestohlen beansprucht; Daten von 2,2 Mio. Menschen offengelegt.

Der Eindringling war tagelang vor der Entdeckung aktiv – Angreifer gelangten am 5.–6. November in eine Personaldatenbank, vor der Bekanntgabe am 8. November.

Die Eindämmung bedeutete, E-Commerce und Teile der Apotheke abzuschalten und Umsatz sowie Kundenvertrauen gegen Sicherheit zu tauschen, ohne einen vorab aufgebauten Notbetrieb.

Die Wiederherstellung stützte sich auf manuelle Behelfslösungen, sodass Stornierungen und Kundenkommunikation verzögert waren und ausstehende Belastungen auf Bankkonten bestehen blieben.

Der jüngste Wechsel in der IT-Führung ließ die Zuständigkeit für Alt-Zugriffskontrollen im denkbar ungünstigsten Moment ungeklärt.

Eine vorbeugende Abschaltung eindämmt einen Angriff, verwandelt ihn aber in einen sichtbaren Dienstausfall: Resilienzplanung muss berücksichtigen, wie Kunden die Eindämmung erleben, nicht nur die Verletzung selbst.

Alle US-Filialen blieben während der Störung geöffnet, und die Website und App von Hannaford waren noch zu Beginn der folgenden Woche nicht erreichbar. Im Dezember 2024 bestätigte Ahold Delhaize, dass Daten gestohlen worden waren, nachdem Inc Ransom mit der Veröffentlichung gedroht hatte; die Strafverfolgungsbehörden wurden informiert und externe Forensik beauftragt. Im Laufe des Jahres 2025 benachrichtigte das Unternehmen etwa 2,2 Millionen aktuelle und ehemalige Beschäftigte und deren Familien und erklärte, es habe keine Hinweise darauf gefunden, dass Kunden-Zahlungs- oder Apothekensysteme kompromittiert worden seien – die Eindämmung hielt dort stand, wo es darauf ankam, um den Preis eines sehr öffentlichen Dienstausfalls.