Marks & Spencer: Ransomware kostet 101,6 Millionen Pfund

Am 17. April 2025 erhielten Angreifer durch Identitätstäuschung Zugang zu den Systemen von Marks & Spencer. Als Reaktion auf den Ransomware-Angriff trennte der Händler seine Lagerverwaltungssysteme und musste den Onlinehandel aussetzen. Für die 26 Wochen bis zum 27. September 2025 verbuchte er 101,6 Millionen Pfund direkte Kosten.

Verwandt: Luna Moth ruft als IT-Support an und erpresst Kanzleien

Ausgangslage bei Marks & Spencer

Marks & Spencer ist ein britischer Händler mit den Bereichen Food, Fashion, Home & Beauty sowie International. Im Geschäftsjahr 2024/25, das die 52 Wochen bis zum 29. März 2025 umfasste, erzielte der Konzern einen Umsatz von 13.816,8 Millionen Pfund. Neben dem Verkauf in den Filialen bestellten Kunden über Websites und Apps, nutzten Click & Collect oder gaben Bestellungen direkt in der Filiale auf. Click & Collect bezeichnet die Onlinebestellung mit anschließender Abholung im Geschäft. Kurz nach dem Ende dieses Geschäftsjahres standen genau diese Kanäle still.

Zeitachse des Angriffs

Den ersten Zugang zu den Systemen erhielten Angreifer nach Darstellung von Chairman Archie Norman am 17. April 2025 durch eine ausgefeilte Identitätstäuschung, an der ein Dritter beteiligt war. Bei einer Identitätstäuschung geben sich Angreifer als berechtigte Person aus, um an Zugänge oder Rechte zu gelangen. Am 8. Juli 2025 stand Norman dem zuständigen Unterausschuss des britischen Unterhauses Rede und Antwort. Nach seinen Angaben handelte es sich um einen Ransomware-Angriff, der zumindest teilweise auf Lösegeld oder Erpressung zielte.

Dazwischen lagen die Wochen der akuten Krise. Am 25. April 2025 setzte Marks & Spencer die Annahme von Bestellungen über seine Websites und Apps aus. Am 13. Mai 2025 machte das Unternehmen öffentlich, dass persönliche Kundendaten entwendet worden waren.

Entscheidung zur Trennung der Lagerverwaltung

Die Aussetzung der Bestellungen diente der Bewältigung des Cybervorfalls. Der weitreichendere Eingriff betraf die Logistik. Als Reaktion auf den Angriff trennte Marks & Spencer seine Lagerverwaltungssysteme, also die Software, die Bestände und Warenbewegungen zwischen Lagern, Filialen und Kunden steuert. Durch die Trennung der Lagerverwaltungssysteme musste das Unternehmen Onlinebestellungen, Click & Collect sowie Bestellungen in Filialen aussetzen.

Damit griff die Abwehr unmittelbar in das operative Geschäft ein. Die Maßnahme betraf drei Vertriebswege zugleich, die alle an derselben Lagerverwaltung hingen.

Wiederanlauf und Kosten

Der Wiederanlauf verlief in Stufen. Im Juni 2025 nahm Marks & Spencer die Hauslieferungen wieder auf, im August 2025 folgte Click & Collect. Die Bereiche erholten sich unterschiedlich schnell. Das Lebensmittelgeschäft hatte sich bis zum Halbjahresbericht vom 5. November 2025 weitgehend erholt. Im Bereich Fashion, Home & Beauty verlief die Erholung langsamer, weil die Systemkomplexität den Warenfluss erschwerte.

Für die 26 Wochen bis zum 27. September 2025 verbuchte der Konzern direkte Kosten des Cybervorfalls von 101,6 Millionen Pfund. Sie entfielen auf Systemwiederherstellung, Risikomanagement und spezialisierte Beratung.

Folgerungen für CISOs im DACH-Raum

Aus dem Fall lassen sich für Sicherheitsverantwortliche vier Folgerungen ableiten.

1. Identitätsprüfung am Helpdesk. Das britische National Cyber Security Centre (NCSC) empfahl Unternehmen am 4. Mai 2025 angesichts der Angriffe auf Einzelhändler, die Prozesse zum Zurücksetzen von Passwörtern durch Helpdesks zu überprüfen. Besonders gilt das für privilegierte Konten mit erweiterten Rechten, etwa für Administratoren. Die Identitätsprüfung vor einer Passwortzurücksetzung gehört damit in die Reihe der Sicherheitskontrollen.
2. Mehrfaktorauthentifizierung. Das NCSC empfahl zudem eine umfassende Mehrfaktorauthentifizierung, bei der neben dem Passwort ein zweiter Nachweis wie ein Einmalcode nötig ist.
3. Abhängigkeiten kennen. Bei Marks & Spencer zwang die Trennung der Lagerverwaltung gleich mehrere Vertriebswege in den Stillstand. Für Wiederanlaufübungen folgt daraus, die Geschäftsprozesse zu erfassen, die an einem im Ernstfall getrennten System hängen.
4. Beides gemeinsam üben. Die Prüfung von Identitäten an Supportschnittstellen und die betrieblichen Folgen einer Systemtrennung gehören in dieselbe Wiederanlaufübung. Bei Marks & Spencer lagen beide in einem einzigen Vorfall zusammen, vom Einstieg durch Identitätstäuschung bis zur Trennung der Lagerverwaltung.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Welche Kundendaten waren bei Marks & Spencer betroffen?

Nach Unternehmensangaben vom 13. Mai 2025 wurden persönliche Kundendaten entwendet. Sie enthielten weder nutzbare Zahlungs- oder Kartendaten noch Kontopasswörter. Für eine Weitergabe der Daten lag zu diesem Zeitpunkt kein Nachweis vor.

Mussten Kunden nach dem Angriff selbst etwas unternehmen?

Nach Unternehmensangaben vom 13. Mai 2025 mussten Kunden zunächst nichts unternehmen. Beim nächsten Besuch oder Login sollten sie jedoch zur Änderung ihres Passworts aufgefordert werden.

Welche Überwachung empfahl das NCSC zusätzlich?

Neben der Prüfung von Helpdesk-Prozessen und umfassender Mehrfaktorauthentifizierung empfahl das NCSC eine verstärkte Überwachung unbefugter Kontonutzung. Ausdrücklich eingeschlossen waren auffällige Anmeldungen. Die Empfehlung vom 4. Mai 2025 bezog sich auf die Angriffe auf Einzelhändler.

Lesetipps der Redaktion

LesetippLinux-Kernel-Lücke: Ubuntu liefert noch keinen PatchLesetippCisco-VPN wird angegriffen: Wer jetzt patchen mussLesetippKI-Agenten brauchen begrenzte Vollmachten

Bildquelle: KI-generiert (November 2026)

Mehr aus dem MBF Media Netzwerk

cloudmagazinCloud-Souveränität könnte 115 Milliarden Euro kosten MyBusinessFutureKI-Assistenten bringen seltener Zielkunden als die Suche Digital ChiefsSchwarz setzt auf Cohere: Was Aleph-Alpha-Kunden tun