IT-Sicherheit · Analyse
Webshop offen, Auslieferung eng: Der Cyberangriff auf die TAKKT AG
Am Mittwoch, dem 21. Oktober 2026, um 16:26 Uhr veröffentlicht die TAKKT AG eine Insiderinformation nach Artikel 17 der EU-Marktmissbrauchsverordnung. Der Stuttgarter B2B-Händler ist Ziel eines Cyberangriffs auf Teile seiner IT-Systeme geworden. Betroffen sind die Systeme der Geschäftssparte Industrial & Packaging in Europa und der Sparte Foodservices in Nordamerika. Um mögliche Auswirkungen einzugrenzen, fährt das Unternehmen Teile der Systeme vorsorglich herunter. Die Folge benennt TAKKT klar: Auftragsabwicklung, Kundenservice und Auslieferungen sind „erheblich eingeschränkt“. Bestellungen können über den Webshop und weitere Kanäle weiter aufgegeben werden – ihre Weiterverarbeitung und Lieferung jedoch nicht ungehindert.
Sieben Tage später, zum Termin der Neunmonatszahlen, klingt die technische Lage ruhiger, die wirtschaftliche nicht. Der Angriff sei „nach aktueller Einschätzung eingedämmt“, die sichere Wiederherstellung der betroffenen Systeme laufe. Die Webshops der meisten Marken sowie die internen und externen Kommunikationskanäle seien nicht beeinträchtigt. Auftragsbearbeitung, Auslieferung und Rechnungsstellung bleiben aber eingeschränkt. Der Cyberangriff werde Umsatz, Ergebnis und Cashflow im vierten Quartal „spürbar belasten“. TAKKT sieht ein erhöhtes Risiko, am unteren Rand der bisherigen Jahresprognose zu landen – oder darunter.
Der Fall ist ein Lehrstück für jedes Unternehmen, dessen Geschäft auf der Kette Bestellung, Kommissionierung, Versand und Rechnung beruht. Ein Angriff muss die Schaufenster nicht zerstören, um das Geschäft zu treffen. Genau das solltest du dir merken, wenn dein Webshop noch antwortet, während im Hintergrund die Prozesse stehen.
Der Distanzhändler und die zwei betroffenen Divisionen
Die TAKKT AG mit Sitz in der Stuttgarter Presselstraße beschreibt sich selbst als führenden Omnichannel-Händler für Geschäftsausstattung in Europa und Nordamerika. Die Gruppe ist mit den Divisionen Industrial & Packaging, Office Furniture & Displays und Foodservices in mehr als 20 Ländern vertreten. Das Sortiment der Tochtergesellschaften umfasst nach Unternehmensangaben über 400.000 Produkte, von Betriebs- und Lagereinrichtung über Transportverpackungen bis zur Ausstattung für Gastronomie, Hotel und Einzelhandel. Die Aktie ist im Prime Standard der Deutschen Börse notiert, zusätzlich in Stuttgart und im Freiverkehr.
Genau zwei dieser drei Divisionen nennt TAKKT als betroffen: Industrial & Packaging in Europa und Foodservices in Nordamerika. Die dritte Division, Office Furniture & Displays, kommt in keiner der beiden Mitteilungen als Ziel des Angriffs vor. Das ist keine Entwarnung für den Rest des Konzerns, sondern lediglich der öffentlich mitgeteilte Zuschnitt.
Wie groß dieser Zuschnitt im laufenden Geschäft ist, lässt sich aus den veröffentlichten Neunmonatszahlen ablesen, ohne daraus einen ausgefallenen Umsatz abzuleiten. I&P erzielte in den ersten neun Monaten 2026 einen Umsatz von 401,8 Millionen Euro, Foodservices 137,1 Millionen Euro. Zusammen sind das 538,9 Millionen Euro – der überwiegende Teil des Konzernumsatzes von 685,6 Millionen Euro. Der Angriff selbst liegt nach dem Bilanzstichtag 30. September und ist in diesen Zahlen noch nicht enthalten. Die Tabelle zeigt deshalb die wirtschaftliche Bedeutung der betroffenen Einheiten, nicht den eingetretenen Schaden.
Für einen Distanzhändler wiegt gerade dieser Zuschnitt schwer. Das Geschäftsmodell hängt an der Kette aus Bestellung, Weiterverarbeitung, Versand und Rechnung. Genau diese Glieder beschreibt TAKKT als eingeschränkt – zuerst am 21. Oktober als Auftragsabwicklung, Kundenservice und Auslieferung, eine Woche später zusätzlich mit der Rechnungsstellung. Der Webshop, der weiter Bestellungen annimmt, ersetzt diese Kette nicht.
Sieben Tage später: eingedämmt, aber nicht wieder im Regelbetrieb
Zwischen der Ad-hoc-Meldung und den Neunmonatszahlen liegen genau sieben Tage. In dieser Woche verschiebt sich die öffentliche Lage in zwei Richtungen zugleich.
Technisch klingt der 28. Oktober entspannter als der 21. Oktober. Aus „Teile der Systeme wurden vorsorglich heruntergefahren“ und „das Ausmaß wird analysiert“ wird die Einschätzung, der Angriff sei eingedämmt. Die Wiederherstellung läuft, wichtige Prozesse werden „schrittweise“ wieder aufgenommen. Die Webshops der meisten Marken und die Kommunikationskanäle dienen weiter der Annahme von Bestellungen und der „proaktiven Kommunikation mit Kunden und Lieferanten“. Ein vollständiger Regelbetrieb ist das nicht. Auftragsbearbeitung, Auslieferung und Rechnungsstellung bleiben ausdrücklich eingeschränkt.
Wirtschaftlich wird der Blick schärfer. Die Geschäftsentwicklung der ersten neun Monate lag nach Darstellung des Unternehmens im Rahmen der bisherigen Erwartungen und der für 2026 kommunizierten Prognose. Der Angriff kommt danach. Wenige Tage nach dem Vorfall, schreibt TAKKT, lasse sich noch nicht verlässlich abschätzen, wie stark sich die Beeinträchtigungen auf das Gesamtjahr auswirken. Trotzdem zieht das Unternehmen eine konkrete Konsequenz: Es sieht ein erhöhtes Risiko für das untere Ende der Prognose und schließt eine Unterschreitung nicht aus. CFO Timo Krutoff ergänzt, der Angriff erschwere die Verbesserung der Cash-Generierung im vierten Quartal und habe „das Risiko eines negativen Free Cashflows für das Gesamtjahr erhöht“. Nach neun Monaten lag der Free Cashflow bei minus 12,7 Millionen Euro, nach minus 1,7 Millionen Euro im Vorjahreszeitraum.
Diese Unterscheidung ist der Kern des Falls. Eindämmung heißt, dass sich der Angriff nach Einschätzung des Unternehmens nicht weiter ausbreitet. Sie heißt nicht, dass Bestellungen wieder kommissioniert, Ware wieder ausgeliefert und Rechnungen wieder gestellt werden wie zuvor. Für einen Händler, der über Distanz verkauft, ist die zweite Aussage die geschäftskritische.
„Unsere Teams reagieren mit außerordentlichem Einsatz auf diese herausfordernde Situation. Gemeinsam mit externen Spezialisten arbeiten wir mit Hochdruck daran, die Auswirkungen für unsere Kunden, Lieferanten und Mitarbeitenden zu begrenzen und die betroffenen Geschäftsprozesse sicher wiederherzustellen. Dafür möchte ich allen Beteiligten ausdrücklich danken.“
Was das Unternehmen nicht sagt
Genauso aufschlussreich ist, was in beiden Pflichtmitteilungen fehlt.
TAKKT bezeichnet den Vorfall als „Cyberangriff“ und als „Ziel eines Cyberangriffs auf Teile ihrer IT-Systeme“. Eine nähere Einordnung – Ransomware, Erpressung, Datendiebstahl, Ausnutzung einer Softwarelücke – veröffentlicht das Unternehmen nicht. Es nennt keine Tätergruppe, keinen Einfallsweg und keinen Zeitpunkt, zu dem der Angriff entdeckt wurde. Die belastbare öffentliche Zeitangabe ist die Ad-hoc-Mitteilung selbst: 21. Oktober 2026, 16:26 Uhr. Der Tracker auf wasacon.com führt den Fall unter dem 22. Oktober, dem Folgetag; die Pflichtmitteilung ist einen Tag älter.
Offen bleibt auch die Frage nach einem Datenabfluss. Weder die Ad-hoc-Meldung noch die Mitteilung vom 28. Oktober gehen darauf ein, ob personenbezogene oder geschäftliche Daten kopiert wurden, ob eine Datenschutzaufsicht informiert wurde und ob Kunden oder Lieferanten als Betroffene zu benachrichtigen sind. Das ist keine Entwarnung. Es ist eine Lücke im öffentlich bekannten Bild. Solange TAKKT dazu schweigt, lässt sich öffentlich weder ein Diebstahl feststellen noch ausschließen.
Ebenso fehlt eine Bezifferung des Schadens. Das Unternehmen sagt, eine Beurteilung sei am 21. Oktober nicht möglich gewesen, und bleibt am 28. Oktober bei qualitativen Aussagen zu Umsatz, Ergebnis, Cashflow und Prognoserisiko. Die nächste feste Zahlungszeit ist der 25. Februar 2027, wenn TAKKT die vorläufigen Zahlen für das Geschäftsjahr 2026 vorlegen will. Ob bis dahin eine genauere Einordnung des Vorfalls folgt, ist offen. Eine spätere öffentliche Lagebewertung nach dem 28. Oktober lag zum Stand dieser Recherche nicht vor.
Zeitstrahl des Ablaufs
21. Oktober 2026, 16:26 Uhr:
Die TAKKT AG veröffentlicht eine Ad-hoc-Mitteilung nach Artikel 17 der Marktmissbrauchsverordnung. Ein Cyberangriff auf Teile der IT-Systeme habe die Divisionen Industrial & Packaging in Europa und Foodservices in Nordamerika getroffen. Teile der Systeme seien vorsorglich heruntergefahren, Auftragsabwicklung, Kundenservice und Auslieferungen erheblich eingeschränkt. Eine Task-Force arbeitet mit externen Experten und IT-Forensikern. Quelle: Ad-hoc-Mitteilung.28. Oktober 2026, 08:00 Uhr:
In der Mitteilung zu den ersten neun Monaten erklärt TAKKT, der Angriff sei nach aktueller Einschätzung eingedämmt. Die Wiederherstellung laufe, Webshops der meisten Marken und Kommunikationskanäle seien nicht beeinträchtigt. Auftragsbearbeitung, Auslieferung und Rechnungsstellung bleiben eingeschränkt. Der Angriff werde das vierte Quartal spürbar belasten; das Risiko, am unteren Rand der Prognose oder darunter zu landen, sei erhöht. Quelle: Mitteilung zu den Neunmonatszahlen.28. Oktober 2026, 14:00 Uhr:
TAKKT lädt zu einem Earnings Call. Ein öffentlich vorliegendes Wortprotokoll dieser Telefonkonferenz hat diese Recherche nicht ausgewertet; die belastbaren Aussagen bleiben die schriftliche Mitteilung vom Morgen.25. Februar 2027:
Geplanter Termin für die vorläufigen Zahlen des Geschäftsjahres 2026. Eine öffentliche Zwischenbilanz des Angriffs nach dem 28. Oktober 2026 liegt zum Stand dieser Recherche nicht vor.
Was heißt das für dein Unternehmen?
Der Fall TAKKT ist kein klassischer Datenskandal, weil das Unternehmen dazu öffentlich nichts sagt. Er ist ein Fall über Betriebsfähigkeit. Genau darin liegt der Nutzen für dich, auch wenn du nicht börsennotiert bist und nicht auf zwei Kontinenten lieferst.
- 1.
Den Webshop nicht mit dem Geschäft verwechseln.
Bei TAKKT bleiben Bestellungen möglich, während Weiterverarbeitung, Auslieferung und später auch die Rechnungsstellung eingeschränkt sind. In deinem Unternehmen solltest du vorab festlegen, welche Schritte nach dem Klick „Bestellen“ geschäftskritisch sind – und welche davon unabhängig vom Shop weiterlaufen müssen, wenn die interne IT teilweise herunterfährt. - 2.
Einen Notfallplan haben, der mehr kennt als das Herunterfahren.
TAKKT verweist auf einen vorgesehenen Notfallplan, eine Task-Force und externe Forensik. Das ist der richtige Rahmen. Entscheidend ist, ob dieser Plan auch Übergangslösungen für Auftrag, Versand und Rechnung enthält – nicht nur die Isolation betroffener Systeme. Ein Plan, der nur die Ausbreitung stoppt, rettet dir die Eindämmung, nicht den Umsatz. - 3.
Eindämmung und Wiederherstellung getrennt berichten – intern wie extern.
Am 28. Oktober steht beides nebeneinander: der Angriff sei eingedämmt, zentrale Prozesse blieben eingeschränkt. Diese Trennung solltest du in deiner eigenen Krisenkommunikation übernehmen. „Wir haben den Angriff unter Kontrolle“ ist für Kunden und Lieferanten eine andere Aussage als „wir können wieder liefern“. Vermische sie nicht. - 4.
Abhängigkeiten über Standorte und Divisionen kennen.
Derselbe Vorfall trifft eine europäische und eine nordamerikanische Sparte. Ob die Systeme gekoppelt waren oder unabhängig denselben Angriffsweg boten, sagt TAKKT nicht. Für dich zählt die Frage: Welche deiner Einheiten teilen sich Identitäten, Warenwirtschaft oder zentrale Dienste – und welche könnten sich gegenseitig anstecken, wenn du Teile der IT vorsorglich abschaltest? - 5.
Die finanzielle Spur parallel zur technischen legen.
TAKKT kann den Jahresschaden wenige Tage nach dem Angriff noch nicht beziffern, spricht aber schon klar über Prognose, Cashflow und das vierte Quartal. In deinem Unternehmen brauchst du dieselbe Doppelspur: Forensik und Wiederherstellung auf der einen Seite, eine ehrliche Einschätzung von Umsatz, Liquidität und Lieferversprechen auf der anderen. Warte nicht auf die abgeschlossene IT-Analyse, bevor du Cash und Kundenkommunikation denkst. - 6.
Die offene Datenfrage nicht aussitzen, nur weil sie unbequem ist.
Dass TAKKT zu einem möglichen Datenabfluss öffentlich schweigt, heißt nicht, dass diese Spur entfällt. In deinem Vorfall musst du parallel klären, ob Daten kopiert wurden, ob die Aufsicht zu informieren ist und wie du Betroffene unterrichtest. Eine Lage, in der das Lager steht, aber niemand die Logs prüft, ist nur halb aufgearbeitet.
Wenn du prüfen willst, wie gut in deinem Unternehmen Notfallplan, Auftrag-bis-Rechnung-Kette und die Kommunikation nach einem IT-Ausfall aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall TAKKT zeigt vor allem eines: Ein Angriff kann das Schaufenster offen lassen und trotzdem Prognose, Cashflow und Lieferfähigkeit treffen.
Häufige Fragen
Quellen
- TAKKT AG: Cyberangriff bei TAKKT AG, Ad-hoc-Mitteilung nach Artikel 17 der Marktmissbrauchsverordnung, 21.10.2026, 16:26 Uhr (EQS News ID 2419786). Betroffene Divisionen, vorsorgliches Herunterfahren, Einschränkung von Auftragsabwicklung, Kundenservice und Auslieferung, Task-Force mit externen Experten.
- TAKKT AG: TAKKT bestätigt Stabilisierung im dritten Quartal, Mitteilung zu den Neunmonatszahlen, 28.10.2026, 08:00 Uhr (EQS News ID 2423264). Eindämmung, eingeschränkte Prozesse, Prognoserisiko, Free Cashflow, Zitate von CEO Andreas Weishaar und CFO Timo Krutoff, IFRS-Kennzahlen der ersten neun Monate, Unternehmenskurzprofil.
- retail-news.de: TAKKT: Cyberangriff – IT-Ausfälle beeinträchtigen Bestellungen und Lieferungen. Zeitnahe Branchenberichterstattung zur Ad-hoc-Meldung.
- derimeter: TAKKT: Cyberangriff belastet Ausblick und Cashflow. Einordnung der beiden Pflichtmitteilungen, unter anderem zur Bedeutung der betroffenen Divisionen und zur offenen Datenfrage.
- security-incidents.de: Cyber Security Briefing, 27. Oktober 2026. Kurze Darstellung des Angriffs und der betrieblichen Einschränkungen, veröffentlicht vor den Neunmonatszahlen.
- TAKKT AG: englische Fassung der Ad-hoc-Mitteilung, Cyber attack at TAKKT AG, 21.10.2026. Inhaltlich parallel zur deutschen Pflichtmitteilung.
