Ceva Logistics gehackt: Wie ein Cyberangriff auf einen Logistik-Riesen Bol, ING, Ajax und tausende Steam-Kunden traf

Ein einziger Cyberangriff auf einen globalen Logistikriesen löste eine Datenpanne aus, die Einzelhandelsriesen, eine Großbank, einen Fußballclub und Tausende von Steam-Spielern in Europa traf. Hier ist eine klare, quellenbasierte Aufschlüsselung des Vorfalls bei Ceva Logistics im Juli 2026.

Der Angriff: 29. Juli – 1. August 2026

Am 29. Juli 2026 verschaffte sich ein unbekannter Angreifer unbefugten Zugang zu den Auftragsabwicklungssystemen von Ceva Logistics, einem in Frankreich ansässigen Fracht- und Kontraktlogistikunternehmen, das zur CMA CGM Group gehört . Der Eindringling blieb bis zum 1. August aktiv und beeinträchtigte die europäischen Kontraktlogistikaktivitäten von Ceva – konkret acht Lagerhäuser auf dem gesamten Kontinent .

Ceva informierte seine betroffenen Kunden am 1. August über einen "Cyber-Einbruch", der den Betrieb an diesen Standorten gestört hatte, und stellte ausgehende Lieferungen ein .

Welche Unternehmen und Kunden waren betroffen?

Keine der beteiligten Marken wurde direkt gehackt. Stattdessen teilten sie alle Ceva als Partner für die Auftragsabwicklung (Fulfillment), was diesen Vorfall zu einem klassischen Supply-Chain- (oder Fourth-Party-) Datenvorfall macht. Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) erhielt GDPR-Artikel-33-Meldungen von mindestens zehn verschiedenen Organisationen . Die bestätigte Liste umfasst:

• Bol (der größte niederländische Online-Händler) – warnte Kunden am 5./6. August, dass Namen, Adressen und Telefonnummern möglicherweise offengelegt wurden . Bol setzte die Datenweitergabe an Ceva nach dem Vorfall aus .
• De Bijenkorf (niederländisches Luxuskaufhaus) – verschickte ähnliche Warnungen am 5. August .
• Ajax (Amsterdamer Fußballverein) – bestätigte am 6. August, dass sein von Ceva betriebener Online-Shop möglicherweise Kundendaten offengelegt hat .
• ING (niederländische Großbank) – meldete einen "Cyber-Vorfall bei einem Logistikpartner", der Kunden betraf, die Treuepunkte für physische Waren eingelöst hatten, die von Ceva versandt wurden .
• Ace & Tate (Brilleneinzelhändler) – informierte Kunden, dass paketbezogene personenbezogene Daten möglicherweise abgerufen wurden .
• Valve / Steam-Hardware-Kunden – Valve verschickte ab dem 7. August Benachrichtigungen an europäische Kunden, die ein Steam Deck, einen Steam Controller oder eine Steam Machine bestellt hatten und deren Daten noch bei Ceva gespeichert waren (normalerweise Bestellungen innerhalb der letzten 90 Tage) .

Welche Arten von personenbezogenen Daten wurden gestohlen?

Die Angreifer erbeuteten Liefer- und Bestelldaten, die Ceva zur Abwicklung der Sendungen gespeichert hatte. Die von mehreren Nachrichtenquellen durchgängig berichteten offengelegten Felder umfassen :

• Vollständige Namen
• Physische Adressen (Wohn- und Lieferadresse)
• Telefonnummern
• E-Mail-Adressen
• Bestelldetails (Produkttyp, Bestellnummer, Preis)

Mehrere Quellen (TechCrunch, Bleeping Computer, The Register) bestätigen, dass Finanzdaten – einschließlich Kreditkartennummern, Bankkontodaten und Anmeldedaten – nicht kompromittiert wurden, da Ceva sie nie gespeichert hat . Die Offenlegung von Kontakt- und Bestelldaten birgt jedoch ein erhöhtes Risiko gezielter Phishing- und Social-Engineering-Angriffe, worauf Valve seine Kunden ausdrücklich hinwies .

Betriebliche Auswirkungen: Acht Lagerhäuser gestört

Der Cyberangriff hatte spürbare physische Auswirkungen. Ceva bestätigte, dass die Lieferungen an den acht betroffenen europäischen Standorten eingestellt oder erheblich verzögert wurden . Ceva gab an, dass keine anderen Systeme weltweit betroffen seien und alle anderen Abläufe ungehindert fortgesetzt werden . Mitte August 2026 arbeitete das Unternehmen immer noch an der vollständigen Wiederherstellung des Betriebs an den betroffenen Standorten . Einige Sendungen wurden storniert, die Liefertermine blieben unsicher .

Offizielle Stellungnahme von Ceva

Ceva Logistics gab eine begrenzte öffentliche Erklärung ab, die sie mehreren Nachrichtenagenturen zur Verfügung stellte. Das Unternehmen sagte :

"Die betrieblichen Auswirkungen beschränken sich auf acht Lagerhäuser. Keine anderen CEVA-Systeme weltweit waren betroffen, und alle anderen Abläufe werden ohne Unterbrechung fortgesetzt."

Ceva erklärte außerdem, dass nicht ausgeschlossen werden könne, dass personenbezogene Daten offengelegt worden seien, und dass die Untersuchung noch andauere . Das Unternehmen machte keine technischen Details zum Einbruch; zum Zeitpunkt der Veröffentlichung hatte sich keine Ransomware-Gruppe zu der Tat bekannt .

Ermittelnde Behörden

• Niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) – erhielt Artikel-33-Meldungen von mindestens zehn Organisationen, darunter alle oben aufgeführten betroffenen Unternehmen .
• Nationale Strafverfolgungsbehörden – der Vorfall wird von der niederländischen Polizei und anderen Cybercrime-Einheiten untersucht, die jedoch keine öffentlichen Stellungnahmen abgegeben haben .
• Interne Forensik – Ceva und jedes betroffene Unternehmen führen ihre eigenen forensischen Untersuchungen durch .

Wichtige Erkenntnisse für betroffene Kunden

• Ihre Finanzkonten und Passwörter sind sicher – es wurden keine Zahlungsdaten oder Anmeldedaten gestohlen.
• Seien Sie wachsam bei Phishing-Versuchen: Betrüger könnten Ihren echten Namen, Ihre Adresse und Ihre Bestellhistorie verwenden, um legitim zu wirken. Valve warnte seine Kunden ausdrücklich davor, dass Angreifer "Ihre Adresse nennen könnten, um zu beweisen, dass sie echt sind", und Sie um eine Zahlung oder Anmeldung bitten könnten – behandeln Sie alle derartigen Aufforderungen als Fälschungen .
• Wenn Sie zwischen etwa Mai und August 2026 bei Bol, De Bijenkorf, im ING-Prämien-Shop, im Ajax-Onlineshop, bei Ace & Tate oder Steam-Hardware in Europa bestellt haben, könnten Ihre Lieferkontaktdaten offengelegt worden sein.

Der Ceva-Vorfall ist eine deutliche Erinnerung daran, dass die Kompromittierung eines einzelnen Dienstleisters weitreichende Folgen für ein ganzes Ökosystem vertrauenswürdiger Marken haben und aus einem Logistikausfall ein weit verbreitetes Datenleck werden lassen kann.