Im April 2025 wurde Marks & Spencer, die 140 Jahre alte britische Einzelhandelsinstitution, von einem Ransomware-Angriff der Bande Scattered Spider getroffen. Die Angreifer verschafften sich über das Osterwochenende Zugang und verschlüsselten Teile der Infrastruktur von M&S. Kunden meldeten Zahlungsprobleme und Verzögerungen bei Online-Bestellungen, und das Unternehmen war gezwungen, seinen Online-Bekleidungsshop 46 Tage lang einzufrieren, während die Kernsysteme von Grund auf neu aufgebaut wurden.
Die finanziellen Auswirkungen waren gravierend. M&S warnte Anleger vor einem möglichen Gewinneinbruch von 300 Millionen £, wobei die direkten Kosten auf 136 Millionen £ geschätzt wurden. Der bereinigte Vorsteuergewinn sank in den sechs Monaten nach dem Angriff um 55,4 % auf 184,1 Millionen £. Das britische Cyber Monitoring Centre bezifferte den Gesamtschaden aus den Angriffen auf M&S und Co-op auf zwischen 270 Millionen £ und 440 Millionen £. Lagersysteme fielen aus, in einigen Filialen leerten sich die Regale, und die digitale Transformation des Unternehmens – eine tragende Säule seiner Sanierungsstrategie – wurde faktisch auf null zurückgesetzt.
Der Angriff nutzte eine Lücke in der Cybersicherheitslage von M&S aus. Das Unternehmen hatte stark in die Renovierung von Filialen und Produktinnovationen investiert, Cybersicherheit jedoch als Backoffice-Kostenfaktor statt als operationelles Risiko behandelt. Die 46-tägige Schließung des Online-Shops war nicht nur ein Umsatzverlust – es war ein Ereignis, das das Kundenvertrauen erschütterte, da Käufer, die während der Störung auf Online-Bestellungen umgestiegen waren, Alternativen finden mussten.
Der Angriff kostete 300 Mio. £ Gewinn und verursachte einen Rückgang um 55,4 %, da M&S Cybersicherheit als Kostenstelle statt als Risiko behandelt hatte, ohne tragfähigen Notfallwiederherstellungsplan.
M&S behandelte Cybersicherheit als Kostenstelle, nicht als Risiko – die Investitionen in Firewalls und Incident Response hielten mit der Komplexität der zu schützenden Infrastruktur nie Schritt
Die 46-tägige Offline-Phase zeigte, dass M&S keinen tragfähigen Notfallwiederherstellungsplan für seine E-Commerce-Plattform hatte – ein Single Point of Failure für einen modernen Einzelhändler
Der Angriff nutzte eine „gerade ausreichende“ Sicherheitslage aus – konform mit Mindeststandards, aber nicht darauf ausgelegt, einer entschlossenen Ransomware-Bande standzuhalten
Die digitale Infrastruktur eines Einzelhändlers ist sein Schaufenster – und ein Ransomware-Angriff, der es 46 Tage lang schließt, zeigt, dass „gerade ausreichende“ Sicherheit keineswegs ausreichend ist
DEN BELEGEN FOLGEN