Ein Datenabfluss bei Maersk betrifft ein Altsystem aus einer früheren Übernahme – und eine Erpressergruppe verlangt 5 Millionen US-Dollar. Die dänische Reederei A.P. Møller-Maersk hat den IT-Sicherheitsvorfall am 11. November in einer eigenen Mitteilung bestätigt. Unbefugte haben demnach auf das lokale System zugegriffen und Daten abgezogen. Parallel führt die Gruppe WhiteArmor Maersk auf ihrer Leak-Seite und behauptet, rund 100 GB Daten aus der Plattform der früheren LF Logistics zu besitzen. Für Onlinehändler, die Lager, Fulfilment oder Transporte über Maersk abwickeln, ist vor allem eine Warnung des Konzerns relevant.
Management Summary
- Maersk hat am 11. November 2026 einen unbefugten Zugriff und einen Datenabfluss aus einem lokalen Altsystem bestätigt, das aus einer früheren Übernahme stammt.
- Nach bisherigem Stand sieht Maersk keine sensiblen Daten offengelegt und keine Auswirkungen auf andere Systeme, auf Kundenschnittstellen (API, EDI) oder auf den Betrieb.
- Die Erpressergruppe WhiteArmor fordert 5 Millionen US-Dollar in Bitcoin und behauptet, rund 100 GB Daten der früheren LF Logistics zu besitzen. Die Angaben sind nicht unabhängig bestätigt.
- Maersk hat LF Logistics 2022 übernommen, nennt aber weder die Gruppe noch einen Zusammenhang mit LF Logistics.
- Maersk rät Kunden und Partnern, unerwartete Nachrichten zum Vorfall über den gewohnten Maersk-Ansprechpartner zu prüfen.
Inhaltsverzeichnis
Fasse den Artikel im Bullet-Stil zusammen.
Unbefugter Zugriff, Daten abgezogen: Was Maersk bestätigt
Maersk spricht von einem unbefugten Zugriff und einer Datenextraktion aus einem seiner lokalen Altsysteme aus einer früheren Übernahme. Welches System betroffen ist, nennt der Konzern nicht. Auch den Zeitpunkt des Angriffs lässt Maersk offen. Das eigene Cyber-Security-Team hat nach Konzernangaben sofort eine Untersuchung gestartet und das System gesichert. Die Untersuchung läuft noch.
Nach bisherigem Stand sieht Maersk keine Hinweise darauf, dass sensible Daten offengelegt wurden. Der Vorfall sei auf ein lokales System begrenzt. Andere Maersk-Systeme und die Systeme von Kunden und Partnern, die über Schnittstellen wie APIs oder EDI (elektronischer Datenaustausch) angebunden sind, seien nicht betroffen. Buchungen und Sendungen lassen sich laut Maersk wie gewohnt über die Plattformen verwalten. Störungen im Betrieb erwartet der Konzern derzeit nicht.
100 GB, 5 Millionen Dollar, 30 Tage Frist: Was WhiteArmor behauptet
Die Erpressergruppe WhiteArmor führt Maersk auf ihrer Leak-Seite im Tor-Netzwerk als Opfer. Sie fordert 5 Millionen US-Dollar in Bitcoin und setzt nach Angaben von Security Affairs eine Zahlungsfrist von 30 Tagen. Die Daten sollen von der Plattform „OCF/LF“ stammen. Die Gruppe bezeichnet das Opfer als Kontraktlogistik-Sparte von Maersk, die frühere LF Logistics.
Laut den Angreifern umfasst das Material knapp 30.000 Fahrerdatensätze mit Passwörtern im Klartext, unterschriebene Lieferquittungen, Bestellungen, Lieferavise (Advance Shipping Notices) und Bestandsdaten. Dazu kommen nach ihrer Darstellung 27.842 Protokolle mobiler Geräte mit Telefonnummern, E-Mail-Adressen und IMEI-Nummern (Gerätekennungen) sowie 33 Super-Admin-Konten. Cybernews berichtet von mehr als 16.000 Fahrer-Passwörtern im Klartext. Keine dieser Angaben ist unabhängig bestätigt.
Die Summe begründet WhiteArmor mit dem Ergebnis der Sparte: 5 Millionen Dollar entsprächen etwa vier Stunden ihres EBITDA (Ergebnis vor Zinsen, Steuern und Abschreibungen). Die Gruppe ist erst seit Kurzem aktiv und setzt bislang auf Datendiebstahl mit Erpressung, ohne Systeme zu verschlüsseln. Laut Infosecurity Magazine hat sie zuletzt auch J.B. Hunt, Ryder und Echo Global Logistics als Opfer genannt.
Die Spur führt zu LF Logistics – Maersk bestätigt sie nicht
Maersk hat LF Logistics 2022 von der Li & Fung Group übernommen. Der Hongkonger Kontraktlogistiker brachte Lagerhäuser, Omnichannel-Fulfilment und E-Commerce-Logistik in der Asien-Pazifik-Region mit, wie Maersk bei der Ankündigung der Übernahme mitteilte. Seit 2023 tritt LF Logistics unter der Marke Maersk auf.
Ob WhiteArmor tatsächlich hinter dem bestätigten Vorfall steht, ist offen. Maersk nennt weder die Gruppe noch LF Logistics. Ob die angeblich erbeuteten Daten zu den tatsächlich abgeflossenen passen, hat der Konzern ebenfalls nicht bestätigt.
Unerwartete Maersk-Nachrichten: Was du jetzt prüfen solltest
Maersk rät Kunden und Partnern, unerwartete Nachrichten zum Vorfall mit Vorsicht zu behandeln. Prüfe solche Mails, Anrufe oder Chatnachrichten über deinen gewohnten Ansprechpartner bei Maersk. Nach Datenabflüssen nutzen Angreifer häufig echte Namen, Sendungs- oder Bestellnummern, um Phishing glaubwürdig zu machen. Typisch sind angebliche Zahlungsaufforderungen oder geänderte Bankverbindungen.
Wer Zugänge zu früheren LF-Logistics-Plattformen hatte, sollte dort genutzte Passwörter ändern, falls sie noch bei anderen Diensten im Einsatz sind. Verarbeitet Maersk personenbezogene Daten deiner Kunden in deinem Auftrag, muss der Konzern dich als Auftragsverarbeiter über eine Datenpanne informieren (Art. 33 Abs. 2 DSGVO ). Ab dann läuft für dich als Verantwortlichen die 72-Stunden-Frist zur Meldung an die Datenschutzbehörde, sofern die Panne ein Risiko für die Betroffenen mit sich bringt. Maersk kündigt an, betroffene Parteien bei Bedarf zu informieren.
NotPetya 2017: Maersk kennt den Ernstfall
Maersk war 2017 eines der bekanntesten Opfer der Schadsoftware NotPetya. Der Angriff legte die IT des Konzerns weltweit lahm. Die Kosten bezifferte Maersk damals auf rund 300 Millionen US-Dollar, wie The Register zusammenfasst. Der Wiederaufbau umfasste nach Angaben des damaligen Maersk-Chairman Jim Hagemann Snabe 4.000 neue Server, 45.000 neue PCs und 2.500 Anwendungen.
Einen vergleichbar schweren Vorfall hat Maersk seitdem nach eigenen Angaben nicht erlebt. Der aktuelle Fall betrifft ein geerbtes Altsystem aus einer Übernahme. Ob die 100 GB echt sind, zeigt sich spätestens, wenn die Frist auf der Leak-Seite abläuft.
