Vorfall-Lagebild: Cyber-Incident bei Ahold Delhaize: leere Regale

Von Max Gilg · 13.10.2026 · 10 Min. Lesezeit

Vorfall-Lagebild · Erstmeldung · Stand 13.10.2026 15:38 – Prozent = Einschätzung: 100 % bestätigt, 0 % sicher falsch.

Wissensstand: Wissen 46 % · wahrscheinlich 23 % · nicht bekannt 31 %

Ahold Delhaize hat seit Sonntagnachmittag, 11.10.2026, wegen eines „security issue within its network“ vorsorglich Systeme abgeschaltet. Ausgefallen sind Websites, Apps, Online-Lieferungen, Kundenservice und Kundenbindungsprogramme in den Niederlanden, in Belgien und in den USA. Mehrere Distributionszentren von Albert Heijn stehen ganz oder teilweise still. Deshalb fehlt in Filialen vor allem Frischware. Seit dem 13.10. fährt der Konzern einzelne Systeme kontrolliert wieder hoch, einen Zeitplan nennt er nicht. Ein Hack ist nicht bestätigt, Experten halten ihn aber für sehr wahrscheinlich. Täter, Angriffsvektor und die Frage, ob Ransomware im Spiel ist, sind offen. Laut Reuters sieht der Konzern keinen Grund für einen Zusammenhang mit dem Kühlanlagen-Angriff auf Danfoss-Regler in Frankreich.

1. Was ist passiert, und warum?

• Wissen: Ahold Delhaize bestätigt ein Sicherheitsproblem („security issue“) im eigenen Netzwerk. Zum Schutz („to help protect them“) wurden einige Systeme offline genommen. (100 %) – Quelle
• Wissen: Die Systeme sind seit Sonntagnachmittag, 11.10.2026, offline. Albert Heijn sprach zuerst von einem „IT-Incident“ und später von einem „Cybersecurity-Incident“. Einen Hack hat das Unternehmen nicht bestätigt. (100 %) – Quelle
• Wissen: CEO Margaret Versteden-van Duijn kann noch nicht sagen, ob Angreifer in die IT eingedrungen sind, weil die Untersuchung noch läuft. (100 %) – Quelle
• Wissen: Laut niederländischer Polizei ist bisher keine Straftat festgestellt. Ein Hack ist damit aber nicht ausgeschlossen. (100 %) – Quelle
• Wissen: Der Konzern hat externe Cybersecurity-Experten hinzugezogen und arbeitet nach eigener Aussage mit den zuständigen Behörden zusammen. Welche Behörden das sind, sagt er nicht. (100 %) – Quelle
• Wissen: Bisher hat sich keine Ransomware-Gruppe zu dem Angriff bekannt. Der Konzern lässt offen, ob Systeme verschlüsselt wurden. (100 %) – Quelle
• Wissen: Ein Sprecher von Ahold Delhaize sagte Reuters, es gebe keinen Grund, einen Zusammenhang mit dem Angriff auf französische Supermärkte zu sehen. (100 %) – Quelle
• Nicht bekannt: Ob tatsächlich ein Angreifer im Netz war oder ob eine selbst entdeckte Schwachstelle die Abschaltung ausgelöst hat
• Nicht bekannt: Art des Incidents (Ransomware, Datendiebstahl, anderes)
• Nicht bekannt: Täter und Motiv
• Nicht bekannt: Angriffsvektor (Initial Access)
• Nicht bekannt: Ob und welche Systeme verschlüsselt wurden oder ob Daten abgeflossen sind
• Nicht bekannt: Welche Behörden konkret eingebunden sind
• Einschätzung: Ein externer Angreifer hatte Zugriff auf Konzernsysteme. Eine reine technische Störung ist es nicht. (75 %) – Dafür sprechen die konzernweite Abschaltung in drei Ländern, die lange Dauer und der Wechsel der Wortwahl zu „Cybersecurity-Incident“. Außerdem halten die Experten Takkenberg und Fennis bei NOS/Nieuwsuur übereinstimmend einen Angriff für sehr wahrscheinlich. A schätzt 80 %, B 75 %. Dagegen spricht die Alternativhypothese von Driehuis.
• Einschätzung: Dahinter stecken finanziell motivierte Kriminelle, etwa mit Ransomware oder Datenerpressung. (55 %) – Das Muster passt zu Angriffen auf den Handel: Abschaltung und kontrollierter Wiederanlauf, 2024 INC Ransom bei Ahold Delhaize, 2025 M&S und Co-op. Takkenberg hält diese Tätergruppe für am wahrscheinlichsten. Es gibt aber weder ein Bekenntnis noch eine Bestätigung, dass verschlüsselt wurde. A schätzt 55 %, B 60 %.
• Einschätzung: Der Konzern hat eine Schwachstelle selbst entdeckt und nur vorsorglich abgeschaltet, ohne dass Angreifer tief im Netz waren. (15 %) – Eward Driehuis nennt das als Möglichkeit. Gegen diese Erklärung sprechen der Umfang und die Dauer der Abschaltung.
• Einschätzung: Der Fall hängt direkt mit dem Danfoss-Kühlanlagen-Angriff in Frankreich zusammen. (10 %) – Der Konzern verneint das gegenüber Reuters. Die Muster sind verschieden: hier ein Ausfall von IT und Logistik, dort manipulierte Kühlregler. Help Net Security sieht keinen Hinweis. Belegt ist nur die zeitliche Nähe.

2. Was ist die Auswirkung?

• Wissen: Websites, Apps, Kundenservice und Online-Lieferungen von Albert Heijn, Etos und Gall & Gall fallen aus. Online-Bestellungen werden bis auf Weiteres nicht ausgeliefert. Die Kassen funktionieren. (100 %) – Quelle
• Wissen: Laut CEO stehen einige Distributionszentren von Albert Heijn komplett still, weil Systeme vorsorglich abgeschaltet wurden. Wie viele große Zentren es in den Niederlanden insgesamt gibt, ist widersprüchlich: A und B zitieren NOS mit sieben, B zitiert außerdem DutchNews mit sechs. (100 %) – Quelle
• Wissen: Laut einer E-Mail an einen Lieferanten, über die RTL Z berichtet, lief nur noch das Zentrum in Zaandam. Albert Heijn hat das nicht bestätigt. (100 %) – Quelle
• Wissen: Knapp werden vor allem Frischwaren wie Obst und Gemüse. Haltbare Produkte, Brot und Tiefkühlware sollen besser verfügbar bleiben. (100 %) – Quelle
• Wissen: Die elektronischen Preisschilder zeigten veraltete Aktionspreise. Persönliche Rabatte über Bonuskarte und App funktionieren nicht. (100 %) – Quelle
• Wissen: Belgien: Das DC Tilburg ist betroffen, deshalb werden die belgischen AH-Filialen aus anderen Zentren beliefert. Delhaize-Filialleiter können keine Bestellungen aufgeben. Die Zentrale beliefert sie auf Basis früherer Bestellungen, und externe Lieferanten sind ausnahmsweise erlaubt. (100 %) – Quelle
• Wissen: USA: Die Websites bzw. das Online-Geschäft von Food Lion, Giant Food, Stop & Shop, Hannaford und The Giant Company sind offline, die Filialen haben geöffnet. Die Ketten betreiben über 2.000 Filialen in 23 Bundesstaaten. (100 %) – Quelle
• Wissen: Bei Stop & Shop hatten Mitarbeitende Probleme mit Dienstplänen und Gehaltsabrechnung. (100 %) – Quelle
• Wissen: Die Aktie schloss am 12.10. bei 31,38 € und damit 3,15 % unter dem Eröffnungskurs. (100 %) – Quelle
• Wissen: In der grenznahen AH-Filiale in Vaals bei Aachen waren die Regale bei einem Besuch der Aachener Zeitung zunächst gut gefüllt, in anderen niederländischen Filialen teils leer. (100 %) – Quelle
• Wissen: Laut Konzern gibt es derzeit keinen Hinweis darauf, dass Kunden- oder Mitarbeiterdaten gestohlen wurden. Die Untersuchung läuft. (100 %) – Quelle
• Nicht bekannt: Wie viele Distributionszentren genau stillstehen: Die CEO nennt keine Zahl, Medien berichten von „mehreren“ bis „fast allen“, und die Gesamtzahl ist widersprüchlich (A: 7 laut NOS / B: 7 laut NOS, 6 laut DutchNews)
• Nicht bekannt: Wie viele Filialen leere Regale haben
• Nicht bekannt: Finanzieller Schaden
• Nicht bekannt: Ob doch Daten abgeflossen sind
• Nicht bekannt: Kühlgeräte in den Filialen (widersprüchlich: B: t-online schreibt, Unbekannte hätten Kühlschränke in den Supermärkten aus der Ferne manipuliert / NOS, NL Times, VRT, The Record, SecurityWeek, BleepingComputer und Help Net Security erwähnen das für Albert Heijn nicht; A erwähnt es nicht als Tatsache). Die Meldung ist unbestätigt.
• Einschätzung: Die Engpässe betreffen vor allem Frischware und halten an, bis die Distributionszentren wieder voll laufen. Das dürfte noch einige Tage dauern. (70 %) – Albert Heijn und RetailDetail nennen ausdrücklich Obst, Gemüse und Frischware. Der Wiederanlauf hat erst am 13.10. begonnen, Lager- und Bestellsysteme müssen wieder synchron laufen, und die Lieferketten für Frischware sind kurz getaktet. A schätzt 65 %, B 80 %.
• Einschätzung: Die Versorgung der Bevölkerung mit Lebensmitteln ist nicht ernsthaft gefährdet. (85 %) – Die Filialen sind geöffnet, die Kassen laufen und haltbare Ware ist verfügbar. Laut AD (über Security.NL) weichen Kunden auf Jumbo und Picnic aus, und Wettbewerber verzeichnen mehr Bestellungen. Es gibt Lücken im Sortiment, aber keine Versorgungskrise. A und B stimmen hier überein.
• Einschätzung: Die Kühlgeräte in Albert-Heijn-Filialen wurden aus der Ferne manipuliert. (10 %) – Das berichtet nur t-online, und zwar laut B auf Grundlage eines t3n-Artikels über europäische Supermärkte. Alle niederländischen Primärberichte schweigen dazu, und die leeren Regale lassen sich bereits durch den Logistik-Ausfall erklären. Wahrscheinlich ist das eine Verwechslung mit Frankreich.

3. Wie lange dauert es digital (Wiederherstellung IT)?

• Wissen: Ahold Delhaize hat mit einem kontrollierten Neustart einzelner Systeme begonnen und nennt keinen Zeitplan. (100 %) – Quelle
• Wissen: Am 13.10. stimmten die Preisschilder wieder, die Bonus-Angebote fehlten aber noch. Der Kundenservice von Delhaize ist wieder erreichbar. Online-Bestellungen bei Delhaize laufen über ein Ausweichsystem mit begrenzter Kapazität und wenigen Lieferslots. (100 %) – Quelle
• Wissen: Experte Joey Fennis rechnet im besten Fall mit „einigen Tagen“. (100 %) – Quelle
• Wissen: Beim Angriff auf Ahold Delhaize USA im November 2024 dauerten die Lieferprobleme bei Stop & Shop mehrere Tage, und die Regale waren nur begrenzt gefüllt. (100 %) – Quelle
• Nicht bekannt: Zeitplan für die volle Wiederherstellung
• Nicht bekannt: Wann der Webshop von Albert Heijn und alle Distributionszentren wieder laufen
• Nicht bekannt: Ob Daten verschlüsselt sind und ob die Backups unbeschädigt sind
• Nicht bekannt: Ob Systeme komplett neu aufgebaut werden müssen
• Nicht bekannt: Ob der Angreifer vollständig aus dem Netz entfernt ist
• Einschätzung: Die Kernlogistik in den Distributionszentren läuft innerhalb von etwa ein bis zwei Wochen wieder weitgehend normal. (55 %) – Der Wiederanlauf hat nach zwei Tagen begonnen (Preisschilder, Kundendienst von Delhaize), und die Logistik hat Vorrang. Vergleichbare Fälle wie Ahold USA 2024, UNFI 2025 und Co-op 2025 brauchten aber eher ein bis drei Wochen bis zum Normalbetrieb. A und B schätzen beide 55 %.
• Einschätzung: Online-Shop, Apps und Bonusprogramme sind erst nach mehr als zwei Wochen vollständig zurück. (45 %) – Kundennahe Systeme kommen nach der Kernlogistik dran und brauchen zusätzliche Prüfungen. Bei M&S 2025 war der Online-Handel wochen- bis monatelang eingeschränkt. Wie groß der Schaden hier ist, ist offen.
• Einschätzung: Die vollständige Normalisierung samt Forensik und Härtung dauert mehrere Wochen. (70 %) – Vergleichsfälle aus dem Handel (M&S und Co-op 2025, Ahold Delhaize USA 2024) zeigen Nacharbeiten über Wochen.

4. Ist in der Anlage etwas kaputt, das lange dauert?

• Wissen: Der Konzern beschreibt die Abschaltung als vorsorglich und begründet sie mit dem Schutz der Systeme („to help protect them“). Laut CEO stehen die Distributionszentren still, weil die Systeme vorsorglich abgeschaltet werden mussten. (100 %) – Quelle
• Wissen: Keine offizielle Quelle berichtet von physischen Schäden an Anlagen von Ahold Delhaize. Eine Fernmanipulation von Kühlgeräten nennt nur t-online, NOS, VRT, SecurityWeek und Help Net Security berichten nichts davon. (100 %) – Quelle
• Wissen: Im parallelen Fall in Frankreich gab es physische Schäden: Kühlregler von Danfoss wurden manipuliert, es kam zu Bränden und verdorbener Ware. Die Pariser Staatsanwaltschaft ermittelt. (100 %) – Quelle
• Nicht bekannt: Ob OT-Systeme in den DCs (Fördertechnik, Lagersteuerung, Kühlung) selbst betroffen sind oder nur ausfallen, weil die IT abgeschaltet ist
• Nicht bekannt: Ob Ware wegen unterbrochener Kühlketten vernichtet werden musste
• Einschätzung: An Maschinen und Anlagen der DCs ist nichts physisch beschädigt. Sie stehen still, weil die Warenwirtschafts- und Steuerungs-IT abgeschaltet ist (Lagerverwaltung, Bestell- und Auftragssteuerung). (75 %) – Alle offiziellen Aussagen sprechen von vorsorglicher Abschaltung, und es gibt keine Berichte über Schäden an Anlagen. Moderne DCs hängen von Warehouse-Management-Systemen ab und stehen ohne sie still. A schätzt 80 %, B 70 %.
• Einschätzung: Die t-online-Meldung über manipulierte Kühlgeräte bei Albert Heijn verwechselt den Fall mit Frankreich. (75 %) – Keine andere Quelle bestätigt die Meldung, der Konzern verneint einen Zusammenhang, und beide Fälle liefen am selben Wochenende. Laut B stützt sich t-online auf einen t3n-Artikel über europäische Supermärkte.
• Einschätzung: Wegen der Logistikstörung muss Frischware in größeren Mengen abgeschrieben werden, ohne dass Kühltechnik manipuliert wurde. (50 %) – Frischware hält nur kurz, die Lager stehen seit Tagen, und Lieferanten wurden umgeleitet. Belegt ist das nicht, und konkrete Zahlen fehlen. A schätzt 55 %, B 45 %.

5. Wie viele solcher Ziele gibt es?

• Wissen: Allein Ahold Delhaize hat über 9.400 Filialen in Europa, den USA und Indonesien, fast 400.000 Beschäftigte und rund 60 Mio. Kunden pro Woche. (100 %) – Quelle
• Wissen: Die US-Ketten von Ahold Delhaize betreiben über 2.000 Filialen in 23 Bundesstaaten. Bei mindestens acht weiteren Ketten des Konzerns waren die Websites ebenfalls offline. (100 %) – Quelle
• Wissen: Beim Angriff in Frankreich am selben Wochenende wurden Danfoss-Kühlregler in über 500 Supermärkten manipuliert, davon mindestens 300 von Intermarché/Netto. Die Pariser Staatsanwaltschaft ermittelt. (100 %) – Quelle
• Wissen: Im August 2026 hat Claroty Team82 Schwachstellen in Kühlstellenreglern von Danfoss und Copeland veröffentlicht. Fixes sind verfügbar. (100 %) – Quelle
• Wissen: Der Lebensmittelhandel wurde zuletzt mehrfach getroffen: UNFI (Juni 2025), Co-op und M&S (Frühjahr 2025), Ahold Delhaize USA (November 2024). (100 %) – Quelle
• Wissen: Shodan (aggregiert): OT-Protokolle öffentlich erreichbar in Deutschland: 141547 gesamt (DNP3 33250, OMRON FINS 21865, ProConOS 16366, EtherNet/IP 15741, Siemens S7 8251, OPC UA 5654) (100 %)
• Nicht bekannt: Wie viele Lebensmittelhändler und Logistiker in DACH eine vergleichbar zentralisierte Logistik-IT ohne ausreichende Segmentierung betreiben (keine belastbare Zahl)
• Nicht bekannt: Wie viele Kühl- und Logistiksteuerungen in DACH direkt aus dem Internet erreichbar sind
• Einschätzung: Praktisch jede große Handelskette in DACH hängt bei der Logistik genauso von zentraler IT ab. (85 %) – Das Branchenmodell beruht auf wenigen zentralen Distributionszentren mit gemeinsamer IT und Just-in-Time-Belieferung. Die Vergleichsfälle zeigen dasselbe Muster über mehrere Länder. A und B schätzen beide 85 %.

Quellen

• https://www.securityweek.com/cyberattack-prompts-ahold-delhaize-to-disconnect-systems/ ; https://www.bleepingcomputer.com/news/security/retail-giant-ahold-delhaize-takes-systems-offline-after-cyberattack/
• https://nltimes.nl/2026/10/13/albert-heijn-outage-likely-cyber-attack-experts-say ; https://www.vrt.be/vrtnws/nl/2026/10/13/de-it-problemen-bij-delhaize-en-albert-heijn-blijven/
• https://nos.nl/artikel/2634698-meerdere-distributiecentra-albert-heijn-liggen-stil-door-digitaal-veiligheidsincident-kans-op-lege-schappen
• https://www.nporadio1.nl/nieuws/binnenland/7e2576bb-ea4c-48b0-9fc8-601221628657/wat-is-er-aan-de-hand-bij-ahold-delhaize
• https://pressherald.com/2026/10/13/hannaford-app-website-offline-as-parent-company-addresses-security-issue
• https://www.security.nl/posting/957217/Distributiecentra+Albert+Heijn+liggen+stil+door+cybersecurity-incident ; https://therecord.media/cyberattack-groceru-ahold-delhaize
• https://nos.nl/artikel/2634698-distributiecentra-albert-heijn-stil-na-digitaal-veiligheidsincident-kans-op-lege-schappen
• https://nltimes.nl/2026/10/12/empty-shelves-likely-albert-heijn-cyber-incident-extends-parents-us-business
• https://aachen.t-online.de/region/aachen/id_101479088/cyberangriff-auf-albert-heijn-leere-regale-in-den-niederlanden.html ; https://therecord.media/cyberattack-groceru-ahold-delhaize
• https://www.vrt.be/vrtnws/nl/2026/10/13/de-it-problemen-bij-delhaize-en-albert-heijn-blijven/ ; https://www.retaildetail.eu/news/food/ahold-delhaize-it-outage-empty-shelves-at-albert-heijn-limited-e-commerce-at-delhaize/
• https://cybersecuritynews.com/ahold-delhaize-cyberattack/ ; https://nltimes.nl/2026/10/12/empty-shelves-likely-albert-heijn-cyber-incident-extends-parents-us-business
• https://www.bleepingcomputer.com/news/security/retail-giant-ahold-delhaize-takes-systems-offline-after-cyberattack/
• https://aachen.t-online.de/region/aachen/id_101479088/cyberangriff-auf-albert-heijn-leere-regale-in-den-niederlanden.html
• https://www.vrt.be/vrtnws/nl/2026/10/13/de-it-problemen-bij-delhaize-en-albert-heijn-blijven/
• https://www.securityweek.com/cyberattack-prompts-ahold-delhaize-to-disconnect-systems/
• https://www.retaildetail.eu/news/food/ahold-delhaize-it-outage-empty-shelves-at-albert-heijn-limited-e-commerce-at-delhaize/ ; https://www.vrt.be/vrtnws/nl/2026/10/13/de-it-problemen-bij-delhaize-en-albert-heijn-blijven/
• https://nos.nl/artikel/2634740-groot-cyberincident-bij-albert-heijn-je-neemt-niet-zomaar-zulke-maatregelen
• https://www.grocerydive.com/news/stop-shop-bare-shelves-cybersecurity-issue/733019/
• https://www.bleepingcomputer.com/news/security/retail-giant-ahold-delhaize-takes-systems-offline-after-cyberattack/ ; https://nos.nl/artikel/2634698-meerdere-distributiecentra-albert-heijn-liggen-stil-door-digitaal-veiligheidsincident-kans-op-lege-schappen
• https://cbsnews.com/news/cyberattack-supermarkets-refrigerators-france-fires-food-losses ; https://www.dutchnews.nl/2026/10/albert-heijn-and-sister-chains-abroad-hit-by-likely-cyberattack/
• https://www.aljazeera.com/economy/2026/10/13/french-fridge-fright-why-supermarkets-have-become-target-for-hackers ; https://www.dutchnews.nl/2026/10/albert-heijn-and-sister-chains-abroad-hit-by-likely-cyberattack/
• https://www.helpnetsecurity.com/2026/10/12/france-cyberattack-supermarket-freezers/
• https://www.esecurityplanet.com/news/whole-foods-cyberattack/

Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder.

Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene.

← Alle Artikel