Angesichts der nun vorliegenden Finanzergebnisse, der parlamentarischen Stellungnahmen und der absehbaren Erholung stellt sich die Frage, was uns der Vorfall wirklich über Abhängigkeiten, vernetzte Regierungsführung und die Widerstandsfähigkeit von Unternehmen lehrt.

Als der Vorsitzende von Marks & Spencer, Archie Norman, im Juli 2025 vor dem Unterausschuss für Wirtschaft und Handel des Parlaments erschien, war das Einzelhandelsunternehmen noch immer mit den Folgen eines der schwerwiegendsten Cyberangriffe seiner Geschichte beschäftigt. 

Die Beweisaufnahme bot einen ungewöhnlich detaillierten Einblick in die Folgen eines erfolgreichen Cyberangriffs, der tief in den täglichen Betrieb einer großen Organisation eingreift . Systeme wurden offline genommen, der Online-Handel gestört, und die Wiederherstellung sollte sich voraussichtlich über Monate hinziehen.

Wir haben nun ein klareres Bild der letztendlichen Auswirkungen . In ihren Ergebnissen für 2025/26 wies M&S 131.3 Millionen Pfund an ereignisbedingten Kosten und 100 Millionen Pfund an Versicherungsleistungen aus. Der bereinigte Gewinn vor Steuern sank um 23.8 % auf 671.4 Millionen Pfund, obwohl das Unternehmen im zweiten Halbjahr wieder ein Gewinnwachstum im Vergleich zum Vorjahr verzeichnete.

Der Wert der M&S-Erfahrung als Fallstudie geht weit über die Höhe des finanziellen Schadens hinaus. Ein einziger Sicherheitsvorfall hatte weitreichende Folgen für Technologie, Betrieb, Lieferanten, Kundendaten und die finanzielle Performance. Die Wiederherstellung erforderte ein tiefes Verständnis und ein effektives Management all dieser Beziehungen unter enormem Druck. 

Für Verantwortliche in den Bereichen Informationssicherheit, Risikomanagement und Compliance gibt es aus dem Geschehenen viel zu lernen. 

Ein Cybervorfall entwickelte sich schnell zu einer Betriebsstörung. 

M&S teilte dem Parlament mit, dass der erste Zugriff auf ihr System am 17. April 2025 durch ausgeklügelte Identitätsfälschung erfolgte, wobei auch ein Dritter am Zugriff beteiligt war. 

Nachdem der Angriff entdeckt worden war, schaltete M&S die Systeme vorsorglich ab, um das gesamte Unternehmen zu schützen. Norman erklärte, dies habe zwar zu den betrieblichen Auswirkungen beigetragen, sei aber die richtige Schutzmaßnahme gewesen. Die sichere Wiederherstellung der Systeme gestaltete sich anschließend als langwieriger Wiederaufbauprozess. 

M&S-General Counsel Nick Folland fasste während der parlamentarischen Anhörung eine der wichtigsten praktischen Lehren aus dieser Erfahrung zusammen: Unternehmen sollten in der Lage sein, ihre Geschäfte für eine gewisse Zeit mit Stift und Papier weiterzuführen, solange Systeme nicht verfügbar sind.  

Es handelt sich um einen wichtigen Test, da digitale Dienste heute alles von Logistik und Zahlungsverkehr bis hin zur Kundenkommunikation und dem Personalmanagement untermauern. Wenn diese Dienste wegfallen, geht die Herausforderung für das Unternehmen sehr schnell über das Sicherheitsteam hinaus. 

Resilienz beginnt mit dem Verständnis der eigenen Abhängigkeiten. 

Die Auswirkungen auf den operativen Betrieb bei M&S zeigen, warum Abhängigkeiten eine Rolle spielen. 

Die Reaktion auf den Angriff erforderte die Abschaltung der Lagerverwaltungssysteme. Dies führte zur vorübergehenden Unterbrechung von Online-Bestellungen, Click & Collect und Bestellungen im Geschäft, während manuelle Prozesse eingeführt wurden, um Prognosen, Bestellungen und Warenauffüllung aufrechtzuerhalten.  

Diese Notlösungen ermöglichten zwar den Weiterbetrieb der Geschäfte, doch die Folgen waren weitreichender . M&S gab an, dass die manuelle Bestandsverwaltung zu zusätzlichen Preisnachlässen und Verschwendung beigetragen habe, während die Online-Umsätze im Bereich Mode, Wohnen & Beauty im ersten Halbjahr um 42.9 % zurückgingen, da der Online-Betrieb schrittweise wiederhergestellt wurde.

Diese Kettenreaktion macht Abhängigkeiten zu einem so wichtigen Bestandteil der Resilienz. 

Führungskräfte müssen verstehen, auf welche Dienstleistungen das Unternehmen nicht verzichten kann und welche Technologien, Informationen, Mitarbeiter und Lieferanten deren Betrieb gewährleisten . Sie müssen auch wissen, was anderswo passiert, wenn eine dieser Abhängigkeiten ausfällt.

Ein Technologierisiko erscheint völlig anders, wenn es mit Kundenzufriedenheit, Warenverfügbarkeit oder Umsatz zusammenhängt. Ein relativ kleiner Lieferant kann durch die Systeme, auf die er Zugriff hat, oder die Prozesse, die er unterstützt, geschäftskritisch werden. 

Der M&S-Vorfall legte diese Zusammenhänge in Echtzeit offen. Ein vorheriges Verständnis dieser Zusammenhänge bietet Organisationen eine deutlich solidere Grundlage für die Entscheidung, wo Resilienz aufgebaut werden muss. 

Vorbereitung muss in der realen Welt funktionieren. 

M&S hatte bereits vor dem Angriff in Cybersicherheit investiert. Cyberrisiken wurden vom Vorstand, dem Prüfungsausschuss und dem Risikoausschuss beachtet, und das Unternehmen hatte Simulationen und Red-Team-Übungen durchgeführt. 

Normans spätere Reflexion war aufschlussreich: Die Realität des Vorfalls war weitaus intensiver als die Übungen. M&S rechnete außerdem damit, dass der Wiederaufbau der Systeme noch Monate nach dem ersten Angriff andauern würde. 

Die Vorbereitung muss daher prüfen, wie die Organisation funktionieren wird, wenn die Annahmen, die in die normale Arbeitspraxis eingebaut sind, wegfallen. 

Organisationen sollten: 

  • Die kritischen Dienste und Abhängigkeiten verstehen. Wissen, auf welche Systeme, Informationen, Lieferanten und Personen die Organisation angewiesen ist, um ihren Betrieb aufrechtzuerhalten. 
  • Bewerten Sie das Risiko aus betriebswirtschaftlicher Sicht. Verknüpfen Sie Sicherheits- und Technologierisiken mit ihren betrieblichen, finanziellen, regulatorischen und kundenbezogenen Konsequenzen. 
  • Sorgen Sie für klare Besitz- und Kontrollverhältnisse. Machen Sie Verantwortlichkeiten und Eskalationswege im gesamten Unternehmen transparent. 
  • Überwachen Sie, ob die Kontrollmaßnahmen weiterhin wirksam sind. Nutzen Sie Beweise, Vorfälle und Veränderungen im Geschäftsbetrieb, um neu auftretende Schwächen zu identifizieren. 
  • Testen Sie realistische Störungsszenarien. Übung zur Reaktion auf und Wiederherstellung bei längeren Ausfällen, Lieferantenausfällen und dem Verlust normaler Systeme und Kommunikationswege. 
  • Die gewonnenen Erkenntnisse fließen wieder in die Regierungsführung ein. Nutzen Sie Vorfälle, Übungen, Audits und Geschäftsveränderungen, um Risiken, Kontrollen und Prioritäten zu aktualisieren. 

Der Verhaltenskodex für Cyber-Governance des NCSC folgt demselben umfassenden Ansatz und fasst Risikomanagement, Strategie, Personal, Vorfallplanung und -bewältigung sowie Qualitätssicherung und Aufsicht als Governance-Verantwortlichkeiten auf Vorstandsebene zusammen.

In den jüngsten Leitlinien für Angriffe mit schwerwiegenden Folgen wird auch anerkannt, dass sich die Wiederherstellung von der sofortigen Eindämmung über Tage oder Wochen des Wiederaufbaus erstrecken kann, bevor die Organisation wieder zum Normalbetrieb zurückkehrt.

Governance verbindet das umfassendere Resilienzbild 

Normans Erkenntnisse weisen auch auf einen weiteren wichtigen Aspekt der Herausforderung der Resilienz hin: das Wissen, wie all diese Abhängigkeiten zusammenhängen. 

Er beschrieb eine Organisation mit rund 50,000 Mitarbeitern, die an ihren Systemen arbeiten – darunter Angestellte, Auftragnehmer und externe Teams – und die sowohl ältere als auch neuere Technologien einsetzen. Ein Dritter war am Angriffspunkt beteiligt, und die Vernetzung der IT-Infrastruktur erschwerte eine vollständige Abgrenzung. 

Seine Empfehlungen konzentrierten sich stark auf diese Grundlagen. Norman beschrieb die Architektur als wichtig für die Resilienz und riet Organisationen, eine detaillierte Übersicht über die Schnittstellen der Systeme, deren Inhalte und die Zugriffsrechte zu führen. Er betonte außerdem, dass eine Stärkung des Cybersicherheitsteams allein nicht alle zu verteidigenden Aufgaben abdecken könne. 

Die breitere Reaktion von M&S zeigt, warum das wichtig ist. 

Bei dem Angriff wurden auch personenbezogene Kundendaten entwendet , darunter möglicherweise Kontaktdaten, Geburtsdaten und Online-Bestellhistorien. M&S musste daher neben der Eindämmung der Sicherheitsvorfälle, der Wiederherstellung, der Beantwortung von Lieferantenfragen und der Sicherstellung der Geschäftskontinuität auch datenschutzrechtliche und regulatorische Aufgaben wahrnehmen.

Und das technologische Umfeld, das Unternehmen steuern müssen, wächst stetig. Vor dem Angriff hatte M&S bereits ein KI-gestütztes Kundenempfehlungstool eingeführt, das in Zusammenarbeit mit dem externen Technologieanbieter Preferabli entwickelt und mit dem digitalen Produktkatalog verknüpft wurde.

Bis März 2026, so hieß es, werde KI die Lagerbestandsplanung und -bestellung, das Marketing und die Mitarbeiterbetreuung unterstützen, parallel zur Einführung von Microsoft Copilot für 11,000 Mitarbeiter.

Es gibt keine Beweise dafür, dass KI bei dem Cyberangriff eine Rolle gespielt hat. Ihre Relevanz liegt in der zusätzlichen Vernetzung, die sie aufzeigt. KI kann auf dieselben Informationen, Identitäten, Systeme und Drittanbieter zurückgreifen, die bereits im Rahmen von Sicherheits- und Datenschutzrichtlinien berücksichtigt werden. 

Eine einzelne Lieferantenbeziehung kann daher Informationssicherheit, personenbezogene Daten und KI berühren. Eine Systemänderung kann Auswirkungen auf alle drei Bereiche haben. Ein von einem Team identifizierter Vorfall kann Risiken aufdecken oder Maßnahmen an anderer Stelle erforderlich machen. 

Wenn Informationssicherheit, Datenschutz und KI-Governance sich gegenseitig ergänzen, werden diese Zusammenhänge leichter erkennbar . Risiken, Kontrollen, Nachweise und Korrekturmaßnahmen können zwischen den betroffenen Bereichen ausgetauscht werden, anstatt auf einzelne Programme beschränkt zu bleiben.

Im Laufe der Zeit entsteht so ein Resilienzkreislauf : Was eine Organisation in einem Teil ihres Governance-Umfelds lernt, stärkt die anderen Bereiche und ergibt ein umfassenderes Bild, während sich ihre Technologie, ihre Lieferanten und ihre Risiken verändern.

Das ist wichtig, denn je stärker ein Unternehmen vernetzt ist, desto größer ist das Risiko, dass wichtige Informationen zwischen verschiedenen Verantwortungsbereichen hinfallen. Vernetzte Unternehmensführung hilft Organisationen, diese Zusammenhänge zu erkennen und zu steuern, bevor ein Vorfall sie offenlegt. 

Regulierung stärkt die Resilienzagenda 

Der gleiche Fokus auf Resilienz, Abhängigkeiten und fortlaufende Steuerung wird in der gesamten Regulierung immer deutlicher sichtbar. 

Im Rahmen von NIS 2 umfassen die Maßnahmen zum Management von Cybersicherheitsrisiken die Bearbeitung von Vorfällen, die Aufrechterhaltung des Geschäftsbetriebs, das Krisenmanagement, die Sicherheit der Lieferkette, das Anlagenmanagement und Prozesse zur Beurteilung, ob die Sicherheitsmaßnahmen weiterhin wirksam sind.

Für Finanzorganisationen, die unter die DORA- Verordnung fallen, werden IKT-Risikomanagement, Resilienztests und Abhängigkeiten von Drittanbietern gleichermaßen als zusammenhängende Bestandteile der digitalen operativen Resilienz behandelt. Die Verordnung verpflichtet Organisationen ausdrücklich, die Kritikalität von IKT-Abhängigkeiten zu berücksichtigen und das Drittanbieterrisiko als Teil ihres umfassenderen IKT-Risikomanagements zu managen.

Auch Großbritannien verfolgt diesen Ansatz. Der Gesetzentwurf zur Cybersicherheit und Resilienz (Netzwerk- und Informationssysteme) , der derzeit im House of Lords beraten wird, soll das bestehende britische NIS-Regime im Hinblick auf die Sicherheit und Resilienz kritischer Netzwerk- und Informationssysteme aktualisieren. Stand September 2026 hat der Entwurf die Ausschussphase im House of Lords abgeschlossen; die Vorlage des Berichts ist für den 26. Oktober geplant.

Verschiedene Organisationen werden mit unterschiedlichen Kombinationen dieser Anforderungen konfrontiert sein, zusätzlich zu Datenschutzverpflichtungen und den neu entstehenden Verantwortlichkeiten im Bereich der KI-Governance. Die Überschneidungen unterstreichen, wie wichtig es ist, die zugrunde liegenden Risiken, Kontrollen und Abhängigkeiten zu verstehen, anstatt jede Anforderung als isoliertes Compliance-Projekt anzugehen. 

Resilienz ist eine Angelegenheit für die Führungsetage. 

Der letzte Teil der M&S-Geschichte handelt davon, was nach der unmittelbaren Krise geschah. 

Die Ergebnisse für 2025/26 zeigen die finanziellen Folgen deutlich: 131.3 Millionen Pfund an ereignisbedingten Kosten, darunter 109.3 Millionen Pfund für Systemreaktion und -wiederherstellung, neben 100 Millionen Pfund an Versicherungsleistungen. 

M&S verzeichnete im zweiten Halbjahr dennoch wieder ein Gewinnwachstum im Vergleich zum Vorjahr. Das Unternehmen hob insbesondere seine robuste Bilanz hervor, die es ihm ermöglichte, die Störungen aufzufangen und gleichzeitig die Investitionen in seine umfassendere Transformation fortzusetzen. 

Damit wird die Diskussion über Resilienz über die technologische Erholung hinaus erweitert. 

Eine Organisation kann ihre Systeme wiederherstellen und muss dennoch Umsatzeinbußen, Wiederherstellungskosten, Kundenbeeinträchtigungen, Lieferantenprobleme, regulatorische Auflagen und monatelangen Managementaufwand verkraften. Finanzielle Leistungsfähigkeit, Kommunikation, Führung und die Fähigkeit, unter Druck Entscheidungen zu treffen, beeinflussen das Ergebnis maßgeblich. 

Die Vorstände benötigen daher einen Überblick über die Zusammenhänge, die ein Technologieproblem zu einem unternehmensweiten Ereignis machen können.

Der Cyber ​​Governance Code des NCSC macht diese Verantwortung explizit, indem er die Zuständigkeit für kritische Cyber-Governance-Maßnahmen den Vorständen und Aufsichtsräten überträgt und die Cyber-Resilienz als Teil des Schutzes der Finanzstabilität, der Kontinuität und des Kundenvertrauens betrachtet. 

Was sollten andere Organisationen von M&S lernen? 

Die Erfahrungen bei M&S bieten Führungsteams eine nützliche Möglichkeit, ihre eigenen Annahmen zu hinterfragen. 

Wissen wir, auf welche Dienste das Unternehmen am wenigsten verzichten könnte und wovon diese abhängen? Wissen wir, wo Lieferanten Zugriff auf kritische Systeme und Informationen haben? Könnten die Teams weiterarbeiten, wenn die Kerntechnologie morgen ausfiele? Haben wir das unter Bedingungen getestet, die einer echten Krise ähneln? 

Und da Sicherheit, Datenschutz und KI immer stärker miteinander verknüpft werden, können die Verantwortlichen in diesen Bereichen erkennen, wo sich ihre Risiken überschneiden? Erreicht ein in einem Programm identifiziertes Problem zuverlässig auch die anderen betroffenen Programme? Erhalten die Führungsteams ein einheitliches Bild der Geschäftsrisiken oder mehrere Teilbilder? 

M&S erlebte die Zusammenhänge zwischen Technologie, Betriebsabläufen, Lieferanten, Kundeninformationen und finanzieller Leistungsfähigkeit unter dem Druck eines Großereignisses. 

Andere Organisationen haben die Möglichkeit, diese Zusammenhänge zu verstehen und zu steuern, bevor sie auf die gleiche Weise getestet werden. 

Hier beginnt die Resilienz eines Unternehmens: mit einem klaren Blick darauf, wovon die Organisation abhängt, mit einer Governance, die die Risiken im Zusammenhang mit diesen Abhängigkeiten miteinander verknüpft, und mit der Fähigkeit, den Betrieb aufrechtzuerhalten, sich anzupassen und sich zu erholen, wenn etwas schiefgeht. 

Erweitern Sie Ihr Wissen

Blog: Jenseits des Bruchs: Warum die Reaktion jetzt die Geschichte ist

Blog: Vom Motto „Haltet sie draußen“ zum Motto „Haltet den Geschäftsbetrieb aufrecht“

Podcast: Phishing für Ärger S2 E5: Sie sind konform. Sind Sie resilient?