Die niederländische Kaufhauskette De Bijenkorf hat bestätigt, dass unbefugte Dritte Anfang August bei einem Sicherheitsvorfall bei ihrem Logistikpartner CEVA Logistics auf die personenbezogenen Daten ihrer Kunden zugegriffen haben. Das am 11. September veröffentlichte Eingeständnis beendet wochenlange Spekulationen und offenbart, dass derselbe Angriff auch Daten von Kunden vier weiterer großer Organisationen kompromittierte: des Online-Händlers Bol, der Brillenmarke Ace & Tate, der Modeplattform Zalando und der Bankengruppe ING.

Ergebnisse der Untersuchung

Laut De Bijenkorf ergab die interne Untersuchung von CEVA, dass unbekannte Akteure auf Systeme mit Kundeninformationen zugegriffen haben. Der Logistikdienstleister betreibt Lagerhaltung, Fulfillment und Retouren für mehrere Einzelhändler, was bedeutet, dass ein einziger Vorfall auf mehrere Marken übergreifen kann. De Bijenkorf erklärte, man sei erst kürzlich über den bestätigten Zugriff informiert worden, nachdem zuvor mitgeteilt wurde, der Vorfall werde noch untersucht und sei noch nicht verifiziert.

Der Händler gab nicht an, wie viele Kunden betroffen sind, noch welche Datenkategorien, wie Namen, Adressen, Zahlungsdetails und Bestellhistorien, offengelegt wurden. Bol, Ace & Tate, Zalando und ING haben den Vorfall in separaten Erklärungen eingeräumt, wobei das Ausmaß variiert. ING erklärte, die kompromittierten Daten bezögen sich auf einen spezifischen Logistikprozess und enthielten keine zentralen Bankzugangsdaten oder Transaktionsaufzeichnungen.

Lieferkettenrisiko wird Realität

Der Vorfall veranschaulicht eine strukturelle Schwäche im europäischen Einzelhandel und Finanzwesen: die Konzentration von Kundendaten bei Logistikdienstleistern, die außerhalb der direkten regulatorischen Aufsicht liegen. CEVA, eine Tochter der CMA CGM Group, ist auf dem gesamten Kontinent tätig. Ein Vorfall in einer seiner niederländischen Einrichtungen hat daher Meldungen in mehreren Rechtsordnungen nach der Datenschutz-Grundverordnung (DSGVO) ausgelöst.

Nach Artikel 33 DSGVO müssen Verantwortliche die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnisnahme eines Vorfalls informieren. De Bijenkorf, Bol, Ace & Tate, Zalando und ING sind jeweils Verantwortliche für ihre eigenen Kundendaten, während CEVA als Auftragsverarbeiter agiert. Die niederländische Behörde Autoriteit Persoonsgegevens (AP) bestätigte, dass sie Meldungen erhalten habe und prüfe, ob die Sicherheitsmaßnahmen angemessen waren.

Regulatorische Aufsicht verschärft sich

Die AP hat in der Vergangenheit bereits Organisationen wegen Versäumnissen in der Lieferkette bestraft. 2023 verhängte sie eine Strafe von 3,7 Millionen Euro gegen einen Telekommunikationsanbieter, nachdem ein Vorfall bei einem Marketing-Unterauftragnehmer Abonnentendaten offengelegt hatte. Die Regulierungsbehörde signalisierte, dass sie prüfen werde, ob die betroffenen Unternehmen eine ordnungsgemäße Due-Diligence-Prüfung der Sicherheitsmaßnahmen von CEVA durchgeführt hätten und ob vertragliche Schutzmaßnahmen, die nach Artikel 28 DSGVO zwingend sind, durchgesetzt wurden.

Ein Sprecher der AP erklärte, die Behörde untersuche "die Umstände und die von den Verantwortlichen und dem Auftragsverarbeiter ergriffenen Maßnahmen". Die Untersuchung könnte zu Bußgeldern von bis zu 4 Prozent des weltweiten Jahresumsatzes für jeden fahrlässigen Verantwortlichen führen, obwohl niederländische Bußgelder in der Praxis zwischen Zehntausenden und niedrigen einstelligen Millionenbeträgen liegen.

Position und Reaktion von CEVA

CEVA Logistics gab eine kurze Erklärung heraus, in der der Vorfall eingeräumt und erklärt wurde, man habe "den Vorfall eingedämmt, externe Forensik-Experten hinzugezogen und alle betroffenen Kunden informiert". Das Unternehmen legte den Angriffsvektor nicht offen, ob Ransomware, Diebstahl von Zugangsdaten, Ausnutzung von Schwachstellen oder Insider-Aktionen, noch ob Daten exfiltriert oder nur abgerufen wurden. Es erklärte, es setze "zusätzliche Sicherheitskontrollen" in seinem europäischen Netzwerk um.

Logistikdienstleister sind zu attraktiven Zielen geworden. 2024 störte ein Ransomware-Angriff auf einen großen europäischen Spediteur die Zollabfertigung wochenlang. 2025 legte ein Vorfall in einem britischen Fulfillment-Center Bestelldaten von Dutzenden Modemarken offen. Die Mischung aus veralteter Betriebstechnik, fragmentierter IT-Infrastruktur und hochwertigen personenbezogenen Daten macht den Sektor zu einer anhaltenden Schwachstelle.

Unterschiedliche Betroffenheit bei den fünf Marken

Die fünf betroffenen Organisationen sehen sich unterschiedlichen Risikoprofilen gegenüber. Bol, der größte Online-Händler der Niederlande, speichert Adressen, Zahlungs- und Kaufhistorien von Millionen niederländischer und belgischer Verbraucher. Zalando, das in 25 europäischen Märkten tätig ist, verarbeitet Retouren und Fulfillment über mehrere Logistikpartner. Der CEVA-Vorfall scheint auf die Benelux-Operationen begrenzt zu sein. Ace & Tate, eine kleinere Brillenmarke im Direktvertrieb, ist für die europäische Vertriebung stark auf CEVA angewiesen.

Die Betroffenheit von ING ist geringer. Die Bank erklärte, die kompromittierten Daten bezögen sich auf einen spezifischen Logistikdienst, der als Bearbeitung physischer Dokumente für Hypotheken- und Kreditunterlagen verstanden wird, und dass keine Authentifizierungsdaten, Kontonummern oder Transaktionsdaten betroffen seien. Dennoch lösen selbst begrenzte personenbezogene Daten nach der DSGVO Meldepflichten aus.

Kundenkommunikation und nächste Schritte

De Bijenkorf erklärte, man kontaktiere betroffene Kunden direkt und biete Hinweise zur Wachsamkeit gegen Phishing, zur Passworthygiene und zur Kreditüberwachung. Bol und Zalando haben Artikel in ihren Hilfecentern veröffentlicht. Ace & Tate erklärte, man werde Kunden per E-Mail informieren, deren Daten in den betroffenen CEVA-Systemen lagen. ING hat an die entsprechenden Hypotheken- und Kreditkunden geschrieben.

Keine der fünf Organisationen hat kostenlose Kreditüberwachungs-Abonnements angeboten, eine Praxis, die bei Vorfällen in den USA verbreitet, in Europa aber selten ist. Die AP schreibt dies nicht vor, kann es aber bei hohem Risiko für Identitätsdiebstahl empfehlen. Die Verbraucherorganisation Consumentenbond hat eine koordinierte Reaktion und klarere Zeitpläne gefordert.

Weiterreichende Implikationen für den europäischen Einzelhandel

Der Vorfall ereignet sich, während die Europäische Kommission die Verabschiedung des Cyber Resilience Act vorbereitet, der verbindliche Sicherheitsanforderungen für Produkte mit digitalen Elementen, einschließlich Logistik-Tracking-Hardware und Lagerverwaltungssoftware, auferlegen wird. Er fällt auch mit der Umsetzungsfrist für die NIS2-Richtlinie zusammen, die die verbindliche Meldung von Vorfällen auf große Logistikdienstleister ausdehnt, die als wesentliche Einrichtungen eingestuft sind.

Branchenanalysten sagen, der Fall werde vertragliche Neuverhandlungen zwischen Händlern und Logistikpartnern beschleunigen. "Verantwortliche erkennen, dass sie die Rechenschaftspflicht nicht auslagern können", erklärte ein Anwalt für Datenschutz bei einer großen Amsterdamer Kanzlei, der zur DSGVO-Compliance berät. "Erwarten Sie mehr Audits, mehr Klauseln zu Penetrationstests und mehr Haftungsobergrenzen in Auftragsverarbeitungsverträgen."

Organisationen

De Bijenkorf · CEVA Logistics · Bol · Ace & Tate · Zalando · ING