Was das Unternehmen meldete

Ahold Delhaize, die Muttergesellschaft von Albert Heijn, Etos, Gall & Gall und dem Onlinehändler Bol, hat am Montag, 19. Oktober, Anzeige bei der niederländischen Polizei erstattet. Das Unternehmen bezeichnet die Störung inzwischen als Cyberangriff und erklärt, seine interne Untersuchung habe ergeben, dass die verdächtigen Aktivitäten auf böswillige Handlungen Dritter zurückgingen. Die Angreifer sind bislang nicht identifiziert. Ahold Delhaize gibt an, die Aktivitäten selbst entdeckt, externe Cybersicherheitsexperten hinzugezogen und das Nationale Cybersicherheitszentrum (NCSC) innerhalb von 24 Stunden informiert zu haben. Unternehmen, die von einem erheblichen Vorfall betroffen sind, sind gesetzlich verpflichtet, diesen dem NCSC zu melden. Die Anzeige folgt einem Aufruf von Polizei und Openbaar Ministerie (der niederländischen Staatsanwaltschaft) vom Mittwoch, 14. Oktober, in dem Opfer aufgefordert wurden, den Vorfall so schnell wie möglich zu melden; ein früherer Kontakt zwischen Ahold und den Behörden hatte zu diesem Zeitpunkt noch nicht zu einer Anzeige geführt.

Systeme vom Netz genommen

Um den Schaden zu begrenzen, nahm das Unternehmen in Europa und den Vereinigten Staaten vorsorglich mehrere Websites und Apps vom Netz. Das französischsprachige Medium RTBF datiert den Vorfall auf Sonntag, 11. Oktober, und berichtet, er habe Delhaize und Albert Heijn beeinträchtigt. Das Unternehmen erklärt, es gebe bislang keine Hinweise darauf, dass sensible Daten von Kundinnen, Beschäftigten oder Partnern gestohlen wurden, die Untersuchung dauere jedoch an. Zu den ergriffenen Sicherheitsmaßnahmen macht Ahold Delhaize aus Sicherheitsgründen keine weiteren Angaben. Mehrere US-Websites, darunter Food Lion, Stop & Shop und The Giant Company, waren am Montagmorgen noch offline.

Regale, Bestellungen und Lieferungen

Die Filialen von Albert Heijn blieben während der IT-Störung geöffnet, doch an verschiedenen Standorten waren die Regale mehrere Tage lang leer. Die Websites von Albert Heijn, Etos und Gall & Gall sind seit Sonntag, 18. Oktober, wieder online, und die Filialen werden nach dem regulären Zeitplan mehrmals täglich aufgefüllt. Bei Delhaize in Belgien waren Bestellungen in den Filialen laut RTBF ab Freitag, 16. Oktober, über ein älteres System wieder möglich, Online-Bestellungen liefen ab Samstag, 17. Oktober wieder an. Albert Heijn will die Lieferungen nach Hause ab Freitag, 23. Oktober, schrittweise wieder aufnehmen. Bestellungen, die bis einschließlich Donnerstag geplant waren, wurden storniert, und neue Online-Bestellungen waren zum Zeitpunkt der Berichterstattung vorübergehend weiterhin nicht möglich.

Die Reaktion von Muller

Ahold-Delhaize-Chef Frans Muller schrieb in der Unternehmenserklärung, das Abschalten von Systemen sei eine Vorsichtsmaßnahme gewesen, die die meisten Marken des Konzerns betroffen habe. Er bezeichnete sie als Vorsichtsmaßnahme, die die meisten Marken des Konzerns in Europa und den Vereinigten Staaten betroffen habe.

„Das Abschalten von Systemen war eine Vorsichtsmaßnahme, die die meisten unserer Marken in Europa und den Vereinigten Staaten betroffen hat.“

Muller zeigte sich trotz der Unannehmlichkeiten zufrieden mit dieser Entscheidung und erklärte, die bisherige Untersuchung zeige, dass sie richtig gewesen sei. In derselben Erklärung entschuldigte er sich für die entstandenen Unannehmlichkeiten.

„Obwohl dieser Vorfall durch böswillige Handlungen anderer verursacht wurde, entschuldigen wir uns für die Unannehmlichkeiten, die er verursacht hat, insbesondere für unsere Kundinnen und Kunden.“

Das Unternehmen dankte zudem den Beschäftigten in der gesamten Organisation für ihren unermüdlichen Einsatz bei der Wiederherstellung des Betriebs und der Betreuung der Kundschaft in den Filialen.

Was offen bleibt

Die Untersuchung läuft weiter, die Angreifer sind nicht identifiziert. Polizei und Openbaar Ministerie liegen nun die Anzeige des Unternehmens vor; keine der Quellen nennt Festnahmen oder Tatverdächtige. Ahold Delhaize hat erklärt, keine weiteren Details zu seinen Sicherheitsmaßnahmen zu nennen. Die Erklärung enthielt auch keinen Zeitplan dafür, wann die US-Websites, die am Montagmorgen noch offline waren, wiederhergestellt werden.