CEVA-Cyberangriff legt Lieferdaten offen und stört Pokémon-Center-Bestellungen

Ein Cyberangriff auf CEVA Logistics, den Fulfillment- und Versanddienstleister von Pokémon Center in Großbritannien und Deutschland, hat Teile des europäischen Lagerbetriebs gestört und möglicherweise Liefer- und Bestelldaten offengelegt. Der Angriff ging nach bisherigen Informationen nicht von der Pokémon-Center-Website oder den Kundenkonten aus. Auch Zahlungskartendaten sollen im Zusammenhang mit der Beeinträchtigung von Pokémon Center nicht zugänglich gewesen sein.

Für Kundinnen und Kunden hat der Vorfall zwei unmittelbare Folgen: Einige Bestellungen wurden storniert, andere verzögerten sich. Gleichzeitig steigt das Risiko für Betrugsnachrichten, die echte Produkte, Lieferadressen oder konkrete Bestellprobleme aufgreifen.

Was ist bei CEVA Logistics passiert?

CEVA Logistics ist die in Frankreich ansässige Kontraktlogistik-Sparte der CMA CGM Group. Das Unternehmen betreibt weltweit mehr als 1.000 Lager und übernimmt für zahlreiche Händler und Technologieunternehmen die Lagerung, Kommissionierung und den Versand.

Angreifer hatten nach bisherigem Stand etwa vom 29. Juli bis zum 1. August 2026 Zugriff auf CEVA-Systeme. Dadurch wurden Teile des europäischen Kontraktlogistik-Geschäfts beeinträchtigt. Berichten zufolge waren acht Lager betroffen; an diesen Standorten konnten Sendungen teilweise nicht abgefertigt oder verschickt werden. CEVA informierte betroffene Geschäftskunden am 1. August darüber, dass Waren aus den gestörten Anlagen zunächst nicht versendet werden konnten.

Zum Zeitpunkt der jüngsten Berichte lief die Untersuchung noch. Wie der Angriff genau erfolgte, wie viele Menschen betroffen sind, auf welche Daten konkret zugegriffen wurde und ob Informationen kopiert oder entfernt wurden, ist öffentlich nicht abschließend geklärt. Eine Ransomware-Gruppe oder ein anderer Angreifer hat bislang keine Verantwortung übernommen.

Wie wurden Pokémon-Center-Kunden betroffen?

Pokémon Center informierte Kunden in Großbritannien und Deutschland über einen Cyberangriff auf CEVA. Der Logistikdienstleister erhielt die Daten, die für die Abwicklung und Zustellung von Bestellungen auf PokémonCenter.com erforderlich waren. Pokémon Center betonte, dass der Vorfall nicht die eigenen Kundenkonten oder die Zahlungsabwicklung kompromittiert habe.

Kunden berichteten vor allem von zwei Auswirkungen:

• Stornierte Bestellungen: Pokémon Center stornierte mehrere noch offene Bestellungen. Dazu gehörten Berichten zufolge auch Vorbestellungen für Kartenprodukte zum 30. Jubiläum von Pokémon.
• Verzögerte Lieferungen: Andere Bestellungen verspäteten sich, weil die betroffenen Logistikabläufe unterbrochen waren.

Der Schlüsselanhänger Ghost Chateau Cyndaquil wird in Kundenberichten im Zusammenhang mit der Störung genannt. Die vorliegenden Informationen belegen jedoch nicht, dass Pokémon Center dieses konkrete Produkt öffentlich als kompromittiert oder offiziell als storniert bezeichnet hat. Es sollte daher nicht als bestätigtes Beispiel dargestellt werden.

Warum wurden manche Bestellungen storniert statt nur verzögert?

Pokémon Center hat bislang nicht öffentlich erklärt, warum einzelne Bestellungen storniert und nicht lediglich zurückgehalten wurden. Denkbare betriebliche Gründe wären unzuverlässige Abwicklungsdaten, Schwierigkeiten beim Auffinden oder Zuordnen von Lagerbeständen oder die Entscheidung, betroffene Bestellungen sicher neu anzulegen. Das sind jedoch mögliche Erklärungen und keine bestätigten Untersuchungsergebnisse.

Eine Stornierung beweist deshalb weder, dass die zugehörigen Kundendaten gestohlen wurden, noch, dass sie sicher waren. Der Bestellstatus kann eine operative Entscheidung nach dem Angriff widerspiegeln – nicht das endgültige Ergebnis der forensischen Untersuchung.

Welche Daten könnten offengelegt worden sein?

Bei betroffenen Pokémon-Center-Kunden könnten laut den bisherigen Benachrichtigungen und Berichten folgende Informationen betroffen sein:

• vollständiger Name,
• Liefer- oder Rechnungsadresse,
• E-Mail-Adresse,
• Telefonnummer,
• Bestellinformationen, darunter bestellte Produkte und Angaben zur Versandabwicklung.

Das ist nicht dasselbe wie ein Passwort- oder Zahlungskartenleck. Nach den Mitteilungen von Pokémon Center und der bisherigen Berichterstattung wurden weder die eigenen Kundenkonten oder die Website von Pokémon Center kompromittiert noch Zahlungskartendaten über diesen Vorfall abgerufen.

Damit ist das unmittelbare Risiko eines Kartenmissbrauchs oder einer direkten Kontoübernahme durch die CEVA-Exposition geringer. Ausgeschlossen ist ein Risiko aber nicht: Wer Name, Adresse, E-Mail-Adresse und konkrete Produktinformationen kennt, kann eine gefälschte Liefer-, Erstattungs- oder Stornierungsnachricht sehr echt wirken lassen.

Welche anderen Unternehmen waren betroffen?

Weil CEVA als gemeinsamer Logistikpartner für mehrere Unternehmen arbeitet, blieb der Vorfall nicht auf Pokémon Center beschränkt. Als betroffene oder ihre Kunden informierende Organisationen wurden unter anderem genannt:

• Valve, insbesondere Käufer von Steam-Hardware in Europa,
• die niederländischen Händler bol und De Bijenkorf,
• ING,
• Ace & Tate,
• Ajax.

In der Berichterstattung ist von ungefähr einem Dutzend betroffener Organisationen die Rede. Die veröffentlichte Liste muss jedoch nicht vollständig sein, solange die Untersuchung andauert.

Valve warnte separat europäische Kunden, die physische Steam-Hardware gekauft hatten – darunter Steam Deck, Steam Machine oder Steam Controller. Möglicherweise offengelegt wurden lieferbezogene Daten. Steam-Passwörter, Zahlungskartennummern und Steam-Guard-Codes sollen laut Valve nicht betroffen gewesen sein.

Es handelt sich somit um einen Angriff auf einen Logistikdienstleister der Lieferkette, nicht um einen direkten Einbruch in Steam oder Pokémon Center.

Warum die Phishing-Gefahr besonders hoch ist

Lieferdaten sind für Social Engineering besonders wertvoll: Sie ermöglichen Nachrichten, die scheinbar genau das bestätigen, worauf eine betroffene Person ohnehin wartet. Auch wenn eine E-Mail oder SMS ein echtes Produkt, eine korrekte Adresse oder eine tatsächlich stornierte Bestellung erwähnt, sollte sie als verdächtig behandelt werden.

Mögliche Betrugsmaschen sind etwa:

• die Aufforderung, eine „Nachlieferungsgebühr“ oder Zollgebühr zu bezahlen,
• die Behauptung, ein storniertes Produkt zum 30. Jubiläum sei wieder verfügbar,
• ein gefälschtes Erstattungs- oder Ersatzangebot,
• die Bitte, Adresse, Kartendaten, Passwort oder einen Einmalcode zu bestätigen,
• Nachrichten im Namen von Pokémon Center, CEVA, Valve, einem Paketdienst, einer Bank oder einer Zollbehörde.

CEVA warnt außerdem unabhängig davon vor Betrugsversuchen, bei denen der Name, das Logo, Briefpapier, die Identität von Mitarbeitern oder gefälschte Websites des Unternehmens verwendet werden.

Was betroffene Kunden jetzt tun sollten

1. Bestellungen nur über offizielle Websites oder Apps prüfen. Öffnen Sie das Pokémon-Center- oder Steam-Konto direkt über ein gespeichertes Lesezeichen oder eine selbst eingegebene Adresse. Verwenden Sie keine Links aus unerwarteten E-Mails, SMS oder Antworten in sozialen Netzwerken.
2. Niemals für die „Freigabe“ eines Pakets bezahlen. Wenden Sie sich an Händler, Paketdienst oder Bank über Kontaktdaten, die Sie unabhängig recherchiert haben – nicht über die Nachricht, die Sie erhalten haben.
3. Keine Passwörter oder Einmalcodes weitergeben. Für eine Lieferung, Erstattung oder Ersatzsendung sollte niemand ein Konto-Passwort, einen MFA-Code oder einen Steam-Guard-Code verlangen.
4. Das für die Bestellung verwendete E-Mail-Konto absichern. Nutzen Sie ein einzigartiges Passwort und aktivieren Sie die Mehrfaktor-Authentifizierung. Ändern Sie außerdem jedes andere Passwort, das Sie mit derselben Kombination aus E-Mail-Adresse und Passwort verwendet haben.
5. Zahlungsaktivitäten beobachten. Der Vorfall deutet nicht darauf hin, dass Zahlungskartendaten von Pokémon Center offengelegt wurden. Bei unbekannten Umsätzen sollten Sie dennoch über die offizielle Telefonnummer Kontakt mit dem Kartenanbieter aufnehmen.
6. Unterlagen aufbewahren. Sichern Sie Bestellbestätigungen, Stornierungs- und Erstattungsnachrichten sowie Sendungsinformationen. Fragen zu einer stornierten Bestellung oder möglichen Erstattungs- und Neubestelloptionen sollten Sie ausschließlich über den offiziellen Support klären.
7. Auch bei Kontaktversuchen außerhalb des Internets vorsichtig sein. Unerwartete Anrufe, Besuche oder Nachrichten, in denen die eigene Wohnadresse oder ein angeblich wieder aufgetauchtes Paket erwähnt werden, verdienen besondere Skepsis.

Die wichtigste Erkenntnis: Ein Angriff auf einen Logistikpartner kann Kunden treffen, obwohl die zentrale Website eines Händlers sicher geblieben ist. Im aktuellen Fall konzentriert sich die bekannte Gefährdung auf Liefer- und Bestellinformationen. Warum Pokémon Center einzelne Bestellungen stornierte und wie umfassend der Angriff auf CEVA tatsächlich war, ist weiterhin offen.