CTOS rechnet mit Gewinneinbußen von 12 Millionen RM, während Cyberangriff Kreditdienste lahmlegt

Bei Wiederherstellung im Oktober drohen Umsatzeinbußen von 16 Millionen RM

CTOS Digital Bhd erwartet, dass der am 23. September 2026 bekannt gegebene Cybersicherheitsvorfall den Jahresgewinn nach Steuern und Minderheitsanteilen um 12 Millionen RM und den Umsatz um 16 Millionen RM verringern wird. Die Schätzungen, die das Unternehmen am 13. Oktober in einer Mitteilung an die Börse veröffentlichte, gehen davon aus, dass die betroffenen Kreditauskunftsdienste bis zur dritten Oktoberwoche nicht verfügbar bleiben.

Das malaysische Kreditauskunftsunternehmen erklärte, CTOS Score und Berichte im Zusammenhang mit dem Central Credit Reference Information System (CCRIS) seien weiterhin vorübergehend nicht verfügbar. Jede weitere Woche der Unterbrechung über den angenommenen Zeitraum hinaus könnte den Gewinn um weitere 1,3 Millionen RM und den Umsatz um 2,5 Millionen RM verringern.

Die Aktualisierung verändert das Bild der finanziellen Folgen, das CTOS bei der ersten Bekanntgabe des Vorfalls gezeichnet hatte. Auf Grundlage der damals verfügbaren Informationen hatte die ursprüngliche Einschätzung keine wesentlichen finanziellen Auswirkungen erwarten lassen. Nun rechnet das Unternehmen damit, dass sich die Unterbrechung und die Kosten für die Wiederherstellung sowohl im dritten als auch im vierten Quartal des Geschäftsjahres mit Ende am 31. Dezember 2026 niederschlagen werden.

Andere CTOS-Dienste sind weiterhin in Betrieb. Die Wiederaufnahme der betroffenen Dienste hängt davon ab, dass die Behebungsmaßnahmen zufriedenstellend abgeschlossen und unabhängig überprüft werden, nicht allein vom Kalender. Der Abschluss der unabhängigen Prüfungen ist für Oktober vorgesehen; dies ist jedoch keine bedingungslose Zusage, dass die Dienste an einem bestimmten Datum wieder verfügbar sein werden.

Aufteilung der finanziellen Auswirkungen

CTOS schätzt, dass der Gewinn nach Steuern und Minderheitsanteilen im dritten Quartal zum 30. September um 5 Millionen RM und der Umsatz um 3 Millionen RM sinken werden. Für das vierte Quartal werden Rückgänge beim Gewinn um 7 Millionen RM und beim Umsatz um 13 Millionen RM erwartet.

Der Gewinn nach Steuern und Minderheitsanteilen, häufig als PATAMI abgekürzt, misst den den Aktionären des Unternehmens zurechenbaren Gewinn nach Steuern und nach Abzug des Anteils anderer Eigentümer an Tochtergesellschaften. Er ist vom Umsatz zu unterscheiden, der die Einnahmen vor Abzug der Aufwendungen misst.

Auf das vierte Quartal entfallen 81,25 % der erwarteten Umsatzeinbußen, berechnet aus 13 Millionen RM von insgesamt 16 Millionen RM, sowie rund 58,3 % der Gewinneinbußen, basierend auf 7 Millionen RM von insgesamt 12 Millionen RM. Im dritten Quartal übersteigt der erwartete Gewinneinbruch den Umsatzrückgang. Die Schätzungen lassen sich daher nicht einfach als entgangene Verkäufe interpretieren.

CTOS erklärte, die Berechnungen berücksichtigten die erwartete Dauer der Dienstunterbrechung sowie die Kosten für Behebung und Wiederherstellung. Eine separate Aufschlüsselung dieser Kosten hat das Unternehmen nicht veröffentlicht. Bei der Schätzung von 12 Millionen RM handelt es sich um einen Rückgang des erwarteten Gewinns, nicht um eine Prognose, dass das Unternehmen einen Jahresverlust ausweisen wird.

Was eine weitere Woche der Unterbrechung bedeuten würde

Die wöchentlichen Schätzungen geben Anlegern einen Anhaltspunkt dafür, wie stark das Finanzergebnis vom Zeitpunkt der Wiederherstellung abhängt. Eine weitere Woche der Unterbrechung würde die geschätzten jährlichen Umsatzeinbußen von 16 Millionen RM auf 18,5 Millionen RM und die Gewinneinbußen von 12 Millionen RM auf 13,3 Millionen RM erhöhen, sofern alle anderen Faktoren unverändert bleiben.

Bei zwei weiteren Wochen würden die Werte auf 21 Millionen RM beim Umsatz und 14,6 Millionen RM beim Gewinn steigen. Dabei handelt es sich um Berechnungen anhand der von CTOS genannten wöchentlichen Beträge, nicht um zusätzliche Unternehmensprognosen. Die zugrunde liegenden Schätzungen können sich im Zuge der Ermittlungen und Wiederherstellungsarbeiten ändern.

CTOS, das für die betroffenen Dienste verantwortliche Kreditauskunftsunternehmen, erläuterte in seiner Mitteilung an die Börse die Grundlage und Unsicherheit seiner Schätzungen:

Diese vorläufigen Schätzungen berücksichtigen die erwartete Dauer der Dienstunterbrechung sowie die mit den Behebungs- und Wiederherstellungsmaßnahmen verbundenen Kosten. Sie werden überprüft, sobald weitere Informationen vorliegen,

Die Mitteilung lässt zwei unterschiedliche Unsicherheiten offen: wie lange die betroffenen Dienste nicht verfügbar sein werden und ob weitere Informationen die geschätzten Kosten verändern. Der Abschluss der Prüfungen im Oktober wäre ein wichtiger Schritt bei der Wiederherstellung, würde für sich genommen aber noch nicht die endgültigen finanziellen Auswirkungen bestimmen.

Was CTOS zum Datenzugriff mitteilte

Nach Angaben von CTOS erkannten die Cybersicherheits-Überwachungssysteme einen unbefugten Zugriff auf eine bestimmte Umgebung, die das Privatkundengeschäft unterstützt. Dabei wurden bestimmte Dateien mit einem begrenzten Teilbestand an Verbraucherinformationen aufgerufen. Das Unternehmen aktivierte seine Reaktionsprotokolle und erklärte, die betroffene Umgebung abgeschottet zu haben.

Ein unabhängiges Team für die Reaktion auf Sicherheitsvorfälle wurde mit einer forensischen Untersuchung beauftragt. CTOS teilte außerdem mit, die zuständigen Behörden benachrichtigt zu haben. Nach der Einschätzung des Unternehmens vom September war der Vorfall auf die identifizierte Umgebung beschränkt; andere Umgebungen seien nicht betroffen gewesen.

Das Unternehmen hat weder angegeben, um welche personenbezogenen Informationen es ging, noch wie viele Verbraucher betroffen waren. Dadurch lassen sich die Folgen für Einzelpersonen nur eingeschränkt beurteilen. Der Zugriff auf Datendateien wurde bekannt gegeben; aus den hier beschriebenen Mitteilungen geht jedoch nicht hervor, ob die Informationen kopiert, veröffentlicht oder missbraucht wurden.

Die Unterscheidung zwischen Eindämmung und Wiederherstellung ist wichtig. Die Eindämmung des unbefugten Zugriffs begegnet dem unmittelbaren Sicherheitsvorfall; für die Wiederaufnahme des Betriebs müssen die Abhilfemaßnahmen abgeschlossen und auf ihre Wirksamkeit geprüft werden. Die spätere Finanzmitteilung von CTOS zeigt, dass ein als eingedämmt beschriebener Vorfall dennoch zu einer längeren Unterbrechung von Diensten führen kann.

Unabhängige Prüfungen sind Voraussetzung für die Wiederaufnahme

CTOS erklärte, Abhilfemaßnahmen und Sicherheitsvorkehrungen umgesetzt zu haben. Unabhängige Prüfungen zur Überprüfung ihrer Wirksamkeit seien im Gange. Sie sollen im Oktober 2026 abgeschlossen werden. Das Unternehmen arbeite weiterhin mit den zuständigen Behörden und unabhängigen Spezialisten zusammen.

In seiner Mitteilung erläuterte CTOS die Bedingungen für die Wiederaufnahme der Dienste:

Das Unternehmen arbeitet darauf hin, die betroffenen Dienste so bald wie möglich wieder aufzunehmen, vorbehaltlich des zufriedenstellenden Abschlusses der Behebungsmaßnahmen und einer unabhängigen Validierung,

Das Unternehmen hat kein genaues Datum für die Wiederaufnahme genannt. Die dritte Oktoberwoche ist der für die Finanzschätzungen angenommene Zeitpunkt, bis zu dem die Dienste nicht verfügbar bleiben; die zufriedenstellende Behebung des Vorfalls und die unabhängige Validierung sind hingegen die Voraussetzungen für die Wiederaufnahme der betroffenen Dienste. Diese beiden Punkte sind nicht gleichzusetzen.

Als nicht verfügbar wurden ausdrücklich CTOS Score und Berichte mit CCRIS-Bezug genannt. CCRIS steht für Central Credit Reference Information System. Die Mitteilung betrifft CTOS-Berichte im Zusammenhang mit diesem System; sie belegt nicht, dass CCRIS selbst von einem Sicherheitsvorfall betroffen war oder den Betrieb eingestellt hat.

Von der Mitteilung im September zur Kostenschätzung im Oktober

Die Mitteilungen erstrecken sich über das Ende eines Berichtsquartals und den Beginn des nächsten. Die Mitteilung vom 23. September erfolgte eine Woche vor Ende des dritten Quartals. Am 13. Oktober bezifferte CTOS dann die erwarteten Auswirkungen, die bis ins vierte Quartal reichen.

• 23. September 2026: CTOS meldet einen unbefugten Zugriff auf eine Umgebung, die das Privatkundengeschäft unterstützt, teilt mit, dass auf einen begrenzten Teilbestand an Verbraucherinformationen zugegriffen wurde, und kündigt eine unabhängige forensische Untersuchung an.
• 30. September 2026: Das dritte Quartal endet. CTOS schätzt später die Umsatzeinbußen für dieses Quartal auf 3 Millionen RM und die Gewinneinbußen auf 5 Millionen RM.
• 13. Oktober 2026: CTOS gibt geschätzte jährliche Rückgänge beim Umsatz von 16 Millionen RM und beim Gewinn von 12 Millionen RM bekannt.
• Dritte Oktoberwoche 2026: Angenommener Zeitpunkt, bis zu dem die Dienste laut den Finanzschätzungen nicht verfügbar bleiben.
• Oktober 2026: Geplanter Abschluss der unabhängigen Prüfungen zur Validierung der Behebungsmaßnahmen und Sicherheitsvorkehrungen.
• 31. Dezember 2026: Ende des Geschäftsjahres, auf das sich die Schätzungen beziehen.

Die überarbeitete Einschätzung belegt nicht, dass die ursprüngliche Mitteilung wissentlich falsch war. Sie zeigt jedoch, dass sich das Verständnis des Unternehmens von den finanziellen Folgen veränderte, als die Unterbrechung andauerte und die Anforderungen an die Wiederherstellung klarer wurden.

Frühere Gewinne als Größenvergleich, allerdings mit Abweichungen

Der geschätzte Gewinnrückgang entspricht rund 11,5 % des in Berichten zur Oktober-Mitteilung genannten Nettogewinns von 104,4 Millionen RM für das Geschäftsjahr 2025. Die Umsatzeinbußen von 16 Millionen RM entsprechen rund 4,9 % des Umsatzes von 326,06 Millionen RM im Geschäftsjahr 2025.

Die Berichte zum Gewinn des Vorjahres weichen voneinander ab. In einem Bericht vom 29. Januar 2026 zu den Jahresergebnissen von CTOS wurde der Nettogewinn für das Geschäftsjahr 2025 mit 104,85 Millionen RM angegeben, nicht mit 104,4 Millionen RM. Bezogen auf 104,85 Millionen RM entspräche die geschätzte Auswirkung von 12 Millionen RM rund 11,4 %. Eine Erklärung für die Abweichung liegt nicht vor; die Zahlen sollten daher nicht stillschweigend als identisch behandelt werden.

Weitere Ergebnisberichte nennen einen Nettogewinn von 104,86 Millionen RM für das Geschäftsjahr 2025, während ein anderer Bericht vom 29. Januar 104,6 Millionen RM angibt. Keiner erklärt die Abweichung zwischen 104,4 Millionen RM und 104,85 Millionen RM. Das Dokument zu den Ergebnissen des Geschäftsjahres 2025 vom 29. Januar liegt nicht vor; die veröffentlichten Zahlen lösen die Unstimmigkeit daher nicht auf.

Dem Bericht zu den Januarergebnissen zufolge sank der Jahresgewinn von 106,27 Millionen RM, da die Betriebskosten gestiegen waren. Der Umsatz erhöhte sich dagegen von 304,85 Millionen RM auf 326,06 Millionen RM. Der Gewinn im vierten Quartal stieg von 32,39 Millionen RM auf 44,56 Millionen RM, der Umsatz von 76,81 Millionen RM auf 87,98 Millionen RM.

Weitere Berichte führen den jährlichen Gewinnrückgang auf ein Minus von 7,3 % beim operativen Gewinn in Malaysia auf 96,99 Millionen RM zurück, hauptsächlich infolge höherer Betriebskosten. Auch höhere Steueraufwendungen belasteten den Konzerngewinn. Der Gewinn im internationalen Segment stieg um 48,1 % auf 6,87 Millionen RM. Das Segment umfasst Unternehmen für alternative datenbasierte Bonitätsbewertungen in Indonesien und auf den Philippinen. Der jährliche Gewinn je Aktie blieb mit 4,6 Sen unverändert.

Weitere Berichte beziffern den Nettogewinn im vierten Quartal auf 44,57 Millionen RM und den Umsatz auf 87,98 Millionen RM. Das Quartal enthielt einen Gewinn von 17,9 Millionen RM aus dem Verkauf einer Beteiligung an einem assoziierten Unternehmen: CTOS veräußerte seinen gesamten Anteil von 26 % an Experian Information Services (Malaysia) für 80 Millionen RM. Seit dem 18. Dezember 2025 galt das Unternehmen nicht mehr als assoziiertes Unternehmen. Dieser einmalige Veräußerungsgewinn liefert zusätzlichen Kontext zum Gewinnanstieg im Schlussquartal, doch aus den verfügbaren Berichten geht nicht hervor, warum die Angaben zum jährlichen Nettogewinn voneinander abweichen.

Vor dem Vorfall im September hatte CTOS für das erste Halbjahr des Geschäftsjahres 2026 ein Gewinnwachstum von 15,63 % auf 41,16 Millionen RM gegenüber 35,6 Millionen RM gemeldet. Der Umsatz stieg, gestützt durch das In- und Auslandsgeschäft, um 8,63 % auf 168,46 Millionen RM gegenüber 155,07 Millionen RM. Die geschätzten jährlichen Gewinneinbußen von 12 Millionen RM sind mehr als doppelt so hoch wie der Gewinnanstieg von 5,56 Millionen RM im ersten Halbjahr; dieser Vergleich ist jedoch keine Prognose für den Jahresgewinn.

Aktie fällt trotz positiver Analysteneinschätzungen auf Rekordtief

Die CTOS-Aktie fiel am 13. Oktober im Tagesverlauf auf 45,5 Sen und schloss mit 47,5 Sen auf einem Rekordtief. Der Schlusskurs lag einen halben Sen beziehungsweise 1,04 % niedriger. Damit wurde das Unternehmen mit rund 1,05 Milliarden RM bewertet.

In den vorangegangenen drei Wochen waren mehr als 300 Millionen RM an Börsenwert verloren gegangen. Seit Jahresbeginn lag die Aktie 40,08 % im Minus. Dieser Rückgang des Börsenwerts ist von den geschätzten Auswirkungen auf den Gewinn zu unterscheiden: Er spiegelt die veränderte Einschätzung der Anleger zum Unternehmenswert wider und ist keine entsprechende Barausgabe für CTOS.

Die Analystenempfehlungen blieben weitgehend positiv: Sieben lauteten auf „Kaufen“, zwei auf „Halten“. Das durchschnittliche Kursziel für die kommenden zwölf Monate lag bei 89 Sen und damit rund 87,4 % über dem Schlusskurs von 47,5 Sen. Ein Kursziel ist eine Schätzung, kein garantiertes Ergebnis. Wann diese Empfehlungen zuletzt angepasst wurden, ist nicht angegeben.

Creador war über Jade Vine Sdn Bhd mit einem Anteil von 20,87 % der größte Aktionär, knapp gefolgt vom Employees Provident Fund mit 20,68 %. Aberdeen Group plc hielt 14,89 % und Kumpulan Wang Persaraan (Diperbadankan), bekannt als KWAP, 9,04 %. Zusammen machten die offengelegten Beteiligungen 65,48 % aus.

Wachstumspläne müssen sich nun bei der Wiederherstellung bewähren

Bei der Bekanntgabe der Januarergebnisse äußerte sich CTOS vorsichtig optimistisch zu den Wachstumsaussichten für 2026. Das Unternehmen stellte Partnerschaften und gezielte Übernahmen in Malaysia und den ASEAN-Staaten, Investitionen in künstliche Intelligenz und fortgeschrittene Datenanalysen sowie Verbesserungen der Technologieinfrastruktur und Sicherheit in Aussicht.

Der Vorfall schafft eine unmittelbarere betriebliche Priorität: die nicht verfügbaren Verbraucherdienste nach unabhängigen Prüfungen wiederherzustellen. Die finanziellen Schätzungen beziffern die Kosten von Verzögerungen. Da jedoch weder die betroffenen Datenkategorien noch die Zahl der betroffenen Verbraucherdatensätze offengelegt wurden, bleiben die Folgen für die Daten ungeklärt.

Der nächste genannte Meilenstein ist der Abschluss der unabhängigen Prüfungen im Oktober. CTOS hat angekündigt, über wesentliche Entwicklungen zu informieren, aber weder ein endgültiges Datum für die Wiederaufnahme noch eine vollständige Aufschlüsselung der Wiederherstellungskosten oder eine abschließende Bewertung der finanziellen Auswirkungen vorgelegt.

Wichtige Punkte

• CTOS schätzt, dass der Umsatz im Geschäftsjahr 2026 um 16 Millionen RM und der Gewinn um 12 Millionen RM sinken werden.
• Die Schätzungen gehen davon aus, dass die betroffenen Dienste bis zur dritten Oktoberwoche nicht verfügbar bleiben.
• Jede weitere Woche könnte den Umsatz um 2,5 Millionen RM und den Gewinn um 1,3 Millionen RM verringern.
• CTOS Score und Berichte mit CCRIS-Bezug sind weiterhin nicht verfügbar; andere Dienste sind in Betrieb.
• Die Wiederaufnahme hängt vom zufriedenstellenden Abschluss der Behebungsmaßnahmen und einer unabhängigen Validierung ab. Die Prüfungen sollen im Oktober abgeschlossen werden.
• Das Unternehmen hat weder angegeben, um welche personenbezogenen Daten es ging, noch wie viele Verbraucher betroffen waren.
• Die Aktie schloss am 13. Oktober mit 47,5 Sen auf einem Rekordtief, während die Analysteneinschätzungen weitgehend positiv blieben.