Cyberangriff auf Asahi führt zu Bierengpässen in ganz Japan

Eine Störung, die die Zapfhähne trockenlegte

Japans bekannteste Brauerei kämpft darum, die Regale gefüllt zu halten, nachdem ein Cyberangriff wichtige Geschäftssysteme lahmgelegt und Produktion sowie Auslieferungen zum Stillstand gebracht hat. Die Asahi Group teilte mit, dass Bestellungen und Versand in Japan zu Wochenbeginn ausgefallen seien und die meisten heimischen Werke stillstünden. Die Unterbrechung macht sich rasch in den japanischen Convenience-Stores, Supermärkten, Restaurants und Bars bemerkbar. Beliebte Produkte wie das Bier Asahi Super Dry sowie abgefüllte Tees und Erfrischungsgetränke, die im Auftrag anderer Unternehmen hergestellt werden, sind in Teilen des Landes inzwischen knapp.

Asahi betonte, der Vorfall beschränke sich auf Japan, wo rund die Hälfte des Konzernumsatzes erzielt wird. Der Betrieb im Ausland und globale Marken wie Peroni, Pilsner Urquell und Grolsch liefen normal weiter. Die Herausforderung für das Unternehmen besteht nicht nur darin, Bier zu brauen, sondern auch darin, Bestellungen, Lagerbestände und den landesweiten Vertrieb zu verwalten. Fallen diese Systeme aus, lassen sich Produktionsläufe nicht zuverlässig planen, Lieferungen nicht buchen oder abrechnen und der Kundenservice nicht im nötigen Umfang aufrechterhalten.

In den Tagen nach dem Eindringen in die Systeme begann Asahi, Bestellungen und Lieferungen teilweise manuell abzuwickeln. Um die Versorgung mit den wichtigsten Produkten zu sichern, griff das Unternehmen auf Telefonate, persönliche Besuche und Papierunterlagen zurück. Asahi erklärte, die Callcenter sollten schrittweise wieder öffnen, warnte aber, dass sich noch kein verlässlicher Zeitplan für die vollständige Wiederherstellung nennen lasse. Einzelhändler wie 7-Eleven, FamilyMart und Lawson haben ihre Kunden darauf hingewiesen, dass es zu vereinzelten Engpässen kommen könnte, sobald die vorhandenen Bestände aufgebraucht sind.

Wie sich der Angriff entwickelte und welche Systeme ausfielen

Asahi bestätigte einen Ransomware-Angriff, der interne Systeme für Bestellungen, Versand und Kundendienst beeinträchtigte. Das Unternehmen meldete außerdem Schwierigkeiten beim Empfang externer E-Mails. Die Produktionsanlagen selbst seien nach Unternehmensangaben nicht beschädigt worden. Dennoch wurden Brauereien und Abfüllanlagen angehalten, weil Bestellungen nicht bearbeitet und Lieferungen nicht koordiniert werden konnten. In der komplexen Fertigung ist das eine übliche Entscheidung: Bestellungen, Etikettierung, Steuerunterlagen und Logistik sind eng mit Vorschriften und Sicherheitsanforderungen verknüpft.

Ransomware und warum sie Brauereien stilllegt

Ransomware ist Schadsoftware, die Computersysteme und Daten sperrt, bis eine Zahlung gefordert wird. Viele Gruppen nutzen ein Modell der doppelten Erpressung: Sie verschlüsseln die Systeme des Opfers und stehlen zugleich vertrauliche Dateien, um den Druck zur Zahlung zu erhöhen. Moderne Brauereien stützen sich auf zwei Technologieebenen. Die eine steuert die Produktionsanlagen und wird bisweilen als Betriebstechnologie bezeichnet. Die andere umfasst die Unternehmenssoftware für Bestellungen, Lagerbestände, Vertrieb und Finanzen und wird häufig Informationstechnologie genannt. Fallen die Geschäftssysteme aus, kann eine Brauerei zwar möglicherweise weiterhin Bier herstellen, aber die Produktion nicht zuverlässig planen, Rohstoffe nicht zuteilen, Lastwagen nicht disponieren und Kunden nicht abrechnen. In der Praxis kann deshalb ein kontrollierter Produktionsstopp nötig sein, um Verschwendung und Unklarheiten zu vermeiden.

Hersteller können Ausfallzeiten verringern, indem sie ihre Netzwerke segmentieren, Offline-Sicherungen aufbewahren und die Reaktion auf Sicherheitsvorfälle einüben. Trotzdem kann es Tage oder Wochen dauern, komplexe Systeme für Auftragsverwaltung und Logistik wiederherzustellen, insbesondere wenn ein Unternehmen vor dem Neustart die Integrität der Daten prüfen muss. Asahi erklärte, die Wiederherstellung der Kundenversorgung habe oberste Priorität, während die forensischen Untersuchungen weiterliefen.

Einzelhandel und Gastronomie spüren die Engpässe

Convenience-Store-Ketten in ganz Japan haben vor knappen Beständen gewarnt. Seven & I Holdings, Betreiber von 7-Eleven, hat den Versand bestimmter Asahi-Produkte gestoppt und die Filialen auf Engpässe vorbereitet. FamilyMart teilte mit, dass einige abgefüllte Tees seiner Eigenmarke, die von Asahi hergestellt werden, ausverkauft sein könnten. Lawson will alternative Produkte anbieten, um die Auswirkungen zu begrenzen. Auch ein großer Supermarktbetreiber warnte Kunden, dass manche Asahi-Produkte bald nicht mehr erhältlich sein könnten.

In einer öffentlichen Mitteilung entschuldigte sich FamilyMart, einer der größten Betreiber von Convenience-Stores des Landes, bei den Kunden und erklärte, man arbeite eng mit der Brauerei zusammen, um die normale Versorgung wieder aufzunehmen.

Wir entschuldigen uns aufrichtig bei unseren Kunden für die entstandenen Unannehmlichkeiten.

Auch Bars und Restaurants geraten unter Druck. Einige Lokale, die ausschließlich Asahi vom Fass ausschenken, sind auf Biere von Wettbewerbern umgestiegen, damit keine Lücken auf der Getränkekarte entstehen. Restaurants, die ihre Spezialitäten mit Super Dry kombinieren, bedauern den Wechsel, halten ihn aber für notwendig, bis wieder Fässer und Flaschen geliefert werden.

In Tokio schilderte Tomiko Yano, Köchin im Yakitori-Restaurant Kushiyaki Tosaka, wie schnell sich der Mangel in einem kleinen Lokal bemerkbar machte, das nur eine Biermarke anbietet.

Der Engpass ist ein Problem, denn unser Yakitori passt gut zu Super Dry und viele Kunden bevorzugen dieses Bier.

Wer dahintersteckt und welche Daten gefährdet sein könnten

Eine Gruppe namens Qilin hat die Verantwortung für den Angriff übernommen und erklärt, sie habe rund 27 Gigabyte interne Daten erbeutet. Die Gruppe veröffentlichte Bilder, die angeblich Budgets, Verträge und andere Dokumente zeigen. Damit versucht sie, das Unternehmen mit der Androhung weiterer Veröffentlichungen unter Druck zu setzen. Qilin betreibt ein Ransomware-as-a-Service-Modell. Dabei mieten verbundene Tätergruppen die Schadsoftware und Infrastruktur und teilen anschließend die Lösegeldzahlungen mit den Betreibern. Das Kollektiv hat weltweit Hunderte Opfer ins Visier genommen, vor allem in der Fertigungsindustrie und im Gesundheitswesen.

Asahi erklärte, das Unternehmen untersuche Hinweise auf eine unbefugte Übertragung von Daten und habe die Strafverfolgungsbehörden informiert. Zum Zeitpunkt der ersten Mitteilung gebe es keine Anzeichen dafür, dass Kundendaten kompromittiert worden seien. Der mögliche Umfang eines Datenabflusses werde noch geprüft. Die Art der von den Angreifern beanspruchten Dokumente könnte Mitarbeiter und Geschäftspartner jedoch Phishing-Angriffen oder Betrugsversuchen aussetzen. Das Unternehmen arbeitet weiterhin mit externen Spezialisten daran, den Angriff einzudämmen und die Systeme wiederherzustellen.

Sicherheitsexperten warnen, dass Datendiebstahl häufig Versuchen des Social Engineering vorausgeht. Mitarbeiter, Zulieferer und Vertriebspartner sollten bei unerwarteten E-Mails oder Anrufen vorsichtig sein, in denen nach Passwörtern, Änderungen von Zahlungsdaten oder vertraulichen Informationen gefragt wird. Bis Asahi abschließende Informationen zu möglicherweise offengelegten Daten gibt, sollten solche Angaben über bekannte Ansprechpartner und offizielle Kanäle überprüft werden.

Asahis Plan zur Wiederherstellung

Nachdem zunächst die meisten heimischen Standorte stillgelegt worden waren, teilte Asahi mit, dass der Braubetrieb in allen sechs japanischen Bierwerken wieder aufgenommen worden sei, wenn auch noch nicht mit voller Kapazität. Die Brauereien konzentrieren sich auf das meistverkaufte Produkt des Unternehmens, Asahi Super Dry. Zwei Erfrischungsgetränkewerke haben den Betrieb teilweise wieder aufgenommen; fünf weitere sollen die Produktion schrittweise entsprechend den Lieferungen wieder aufnehmen. Alle sieben Lebensmittelwerke des Konzerns in Japan sind ebenfalls wieder in Betrieb, allerdings weiterhin unterhalb der normalen Kapazität, während sich die Lieferkette stabilisiert.

Das Unternehmen erklärte, während der Wiederherstellung der Systeme ein begrenztes Produktsortiment zu priorisieren. Ab Mitte Oktober sollen die Lieferungen von 16 Produkten wieder aufgenommen werden, darunter alkoholfreie Biere wie Asahi Dry Zero und Asahi Zero, das Bier Clear Asahi und der Whisky Black Nikka Clear. Die für Oktober geplanten Markteinführungen neuer Produkte, darunter Erfrischungsgetränke und Proteinriegel, wurden verschoben.

Damit die Waren weiter ausgeliefert werden können, nehmen Mitarbeiter Bestellungen telefonisch entgegen, schreiben sie von Hand auf, besuchen wichtige Kunden und versenden Lieferanweisungen sogar per Fax. Das Unternehmen erwartet, dass die Callcenter im Laufe der Woche teilweise wieder öffnen. Diese manuelle Übergangslösung ist zeitaufwendig, überbrückt aber die Zeit, bis die digitalen Plattformen wiederhergestellt und getestet sind.

Atsushi Katsuki, Präsident und Vorstandschef der Asahi Group, entschuldigte sich für die Störung und betonte, dass die Versorgung der Kunden während der Reparaturarbeiten Vorrang habe.

Wir setzen alles daran, das System so schnell wie möglich wiederherzustellen und gleichzeitig alternative Maßnahmen zu ergreifen, damit unsere Kunden weiterhin mit Produkten versorgt werden können.

Folgen für das Geschäft und Lehren für die Lieferkette

Die Störung hat das Vertrauen der Anleger erschüttert. Nach dem Angriff fielen die Asahi-Aktien deutlich und gaben zeitweise mehr als 7 Prozent nach, bevor sie sich leicht erholten. Analysten warnten, ein längerer Ausfall könne den Gewinn im vierten Quartal in Japan schmälern und das Konzernergebnis belasten. Bleiben die Regale leer, drohen der Brauerei Strafzahlungen großer Einzelhändler wegen fehlender Ware sowie Umsatzeinbußen in Kneipen und Restaurants. Die auf unbestimmte Zeit verschobene Einführung von einem Dutzend neuer Produkte beeinträchtigt geplante Wachstums- und Marketingkampagnen.

Die Entscheidung, die Produktion auch bei unbeschädigten Anlagen auszusetzen, ist eine Vorsichtsmaßnahme. So wird vermieden, Bier ohne bestätigte Bestellungen, verfügbare Transportkapazitäten, Steuerunterlagen und Angaben zur Kennzeichnung des Bestimmungsorts herzustellen. Für den Vertrieb von Alkohol gelten strenge Auflagen. Bier zu brauen und abzufüllen, ohne es ausliefern zu können, kann Qualitätsrisiken und schwer zu korrigierende Abweichungen bei den Lagerbeständen verursachen. Der Vorfall zeigt außerdem, wie eng Informationstechnologie und Fabriksysteme inzwischen zusammenarbeiten müssen und warum Netzwerksegmentierung, strenge Identitätskontrollen und getestete Sicherungskopien für die Betriebskontinuität in der Fertigung zentral sind.

Japans größere Herausforderung bei der Cybersicherheit

Ransomware-Angriffe auf große Unternehmen haben in Japan stark zugenommen. Berichten zufolge wurden im ersten Halbjahr 116 Ransomware-Vorfälle gezählt; Fachleute gehen davon aus, dass viele Fälle nicht gemeldet werden. Der Mangel an Cybersicherheitsexperten und die unterschiedlich ausgeprägten digitalen Kenntnisse in Teilen der alternden Belegschaft verschärfen die Herausforderung. Angreifer setzen auf ein Geschäftsmodell, bei dem auch Tätergruppen mit begrenzten Kenntnissen mithilfe gemieteter Werkzeuge und Anleitungen störende Kampagnen starten können. Die Fertigungsindustrie ist zu einem bevorzugten Ziel geworden, weil Produktionsausfälle sofortigen Druck auf die Opfer ausüben, Lösegeld zu zahlen.

Die japanische Regierung hat stärkere Abwehrmaßnahmen im Cyberraum versprochen. Neue Regelungen ermöglichen ein proaktiveres Vorgehen gegen Angriffe. Wie wirksam diese Änderungen sind, wird davon abhängen, wie Unternehmen in Prävention investieren und die Wiederherstellung nach einem Angriff einüben. Von Vorständen und Führungskräften wird zunehmend erwartet, Cyberrisiken wie andere Unternehmensrisiken zu behandeln. Dazu gehören die Abschottung kritischer Systeme, die Segmentierung von Netzwerken, das zeitnahe Einspielen von Sicherheitsupdates, strengere Identitäts- und Zugriffskontrollen, Schulungen für Mitarbeiter mit Kundenkontakt zur Erkennung von Phishing sowie regelmäßige Tests zur Wiederherstellung aus sauberen Sicherungskopien. Vorfälle lassen sich nicht vollständig verhindern, doch gut vorbereitete Unternehmen erholen sich in der Regel schneller und mit geringeren Folgeschäden.

Qilins Behauptung passt zu einem breiteren Muster, bei dem Datendiebstahl mit Betriebsstörungen einhergeht. Die Gruppe und mit ihr verbundene Täter haben Hersteller und Krankenhäuser in verschiedenen Regionen angegriffen. Lebensmittel- und Getränkeunternehmen mit oft geringen Margen und komplexer Logistik können attraktive Ziele sein, wenn Angreifer davon ausgehen, dass ein Produktionsausfall zu schnellen Lösegeldzahlungen führt. Der Angriff auf Asahi zeigt, dass selbst flexible Übergangslösungen wie Bestellungen auf Papier und per Telefon nur begrenzt helfen, wenn Japans größte Brauerei Millionen Kunden beliefern muss.

Womit Kunden jetzt rechnen sollten

Die Engpässe dürften je nach Region und Geschäft unterschiedlich ausfallen. Super Dry wird in Japan weiterhin gebraut, doch die verfügbaren Mengen werden priorisiert verteilt und könnten nicht alle Gebinde- und Packungsgrößen abdecken, bis der Versand wieder hochgefahren ist. Convenience-Stores greifen bei Bedarf auf Ersatzprodukte zurück, und Kneipen könnten vorerst mehr Bier von Wettbewerbern ausschenken. Importierte Asahi-Produkte und die Märkte außerhalb Japans sind von dem Vorfall nicht betroffen.

Wer bestimmte Produkte sucht, kann verschiedene Gebinde in Betracht ziehen. In manchen Regionen könnte Bier in Dosen erhältlich sein, während Fassbier knapp ist, oder größere Flaschen könnten verfügbar sein, wenn es keine Sechserpacks gibt. Bei Tees und Erfrischungsgetränken der von Asahi hergestellten Eigenmarken hängt die Verfügbarkeit davon ab, wann die Lagerbestände der einzelnen Handelsketten zur Neige gehen. Einzelhändler raten von Hamsterkäufen ab, da diese lokale Engpässe verschärfen und die Verteilung erschweren können.

Kunden, Zulieferer und Mitarbeiter sollten außerdem bei unerwarteten Nachrichten vorsichtig sein. Sollten die Angreifer interne Dokumente gestohlen haben, könnten Phishing-Versuche folgen. Für aktuelle Informationen sollten offizielle Unternehmenskanäle genutzt werden. Änderungen von Zahlungsdaten sollten telefonisch über bekannte Ansprechpartner überprüft und verdächtige E-Mails den Sicherheitsteams gemeldet werden.

Das Wichtigste auf einen Blick

• Ein Ransomware-Angriff legte Asahis Bestell-, Versand- und Kundensysteme in Japan lahm und zwang die meisten heimischen Werke zu einer Produktionspause.
• In allen sechs Bierwerken wurde der Braubetrieb wieder aufgenommen. Die Produktion liegt jedoch unter dem normalen Niveau und konzentriert sich während der Wiederherstellung der Systeme auf Super Dry.
• Convenience-Store-Ketten und Restaurants melden knappe Bestände. Einige abgefüllte Tees und Biergebinde sind mancherorts bereits ausverkauft.
• Die Gruppe Qilin behauptet, rund 27 Gigabyte interne Daten gestohlen zu haben. Asahi untersucht Hinweise auf Datendiebstahl und arbeitet mit den Behörden zusammen.
• Ab Mitte Oktober will Asahi die Lieferungen von 16 Produkten wieder aufnehmen, darunter Dry Zero, Asahi Zero, Clear Asahi und Black Nikka Clear.
• Der Betrieb im Ausland und globale Marken außerhalb Japans sind von dem Vorfall nicht betroffen.
• Nach dem Angriff fielen die Aktien. Analysten warnen, ein längerer Ausfall könne den Gewinn im vierten Quartal belasten und Strafzahlungen an Einzelhändler nach sich ziehen.
• Manuelle Übergangslösungen, darunter Bestellungen per Telefon und Fax, sind eingerichtet. Wann die digitalen Systeme vollständig wiederhergestellt sein werden, ist noch unklar.