Bij Ahold is geen bewijs van datadiefstal nog geen eindpunt
In het kort
Ahold Delhaize meldde op 19 oktober dat het op dat moment geen bewijs had dat gevoelige gegevens van klanten, medewerkers of partners waren buitgemaakt bij het cyberincident. Het bedrijf had wel vastgesteld dat kwaadwillenden acties in de IT-omgeving hadden uitgevoerd. De politie en het Nationaal Cyber Security Centrum waren betrokken en het forensische onderzoek liep door.
Die formulering is geruststellend, maar bewust tijdelijk. Geen bewijs op 19 oktober betekent niet hetzelfde als bewezen afwezigheid. Logbestanden moeten worden onderzocht, systemen moeten worden herbouwd en meldplichten hangen af van wat later wordt gevonden. Voor aandeelhouders kan de tweede rekening daarom na het operationele herstel komen.
Het gewone aandeel Ahold Delhaize, ISIN NL0011794037, sloot op 19 oktober op Euronext Amsterdam op €32,61. De winkels waren open en de digitale diensten kwamen gefaseerd terug. Het gaat hier niet om de gemiste bestelling tijdens de storing, maar om de mogelijke kosten van dataonderzoek, toezicht, claims en vertrouwen nadat de kassa's alweer draaien.
Waarom forensisch onderzoek tijd kost
Bij een cyberincident is het eerste doel de aanval stoppen en kritieke diensten veilig herstellen. Daarna moet worden vastgesteld hoe de aanvaller binnenkwam, welke systemen zijn geraakt, hoe lang toegang bestond en of gegevens zijn bekeken of gekopieerd. Dat laatste is niet altijd direct zichtbaar. Een aanvaller kan sporen wissen of via legitieme accounts bewegen.
Daarom is de woordkeuze van Ahold belangrijk. Het bedrijf zei niet dat datadiefstal onmogelijk was. Het zei dat er op dat moment geen bewijs voor was. Een redelijke analyse neemt die mededeling serieus zonder haar als definitief eindrapport te behandelen.
De financiële gevolgen vallen grofweg uiteen in directe herstelkosten, juridische en toezichtskosten en indirect verlies van vertrouwen. Herstel omvat externe beveiligingsexperts, extra personeel, nieuwe apparatuur en het gecontroleerd opnieuw aansluiten van systemen. Claims en boetes zijn alleen aan de orde wanneer feiten en wettelijke voorwaarden dat dragen. Vertrouwensverlies kan subtieler zijn: minder appgebruik, minder gedeelde klantgegevens of lagere deelname aan loyaliteitsprogramma's.
De module toont geen voorspelde kostenverdeling. Zij laat zien waarom één bedrag voor IT-herstel de hele rekening niet vangt. Wanneer later blijkt dat geen gevoelige gegevens zijn buitgemaakt, kan het aandeel claims en toezicht klein blijven. Wanneer persoonsgegevens wel zijn geraakt, verschuift de verdeling.
Klantvertrouwen heeft een omzet- en margemechanisme
Een supermarkt verdient niet alleen aan de marge op boodschappen. Digitale kanalen leveren gegevens over zoekgedrag, aanbiedingen en aankopen. Die informatie helpt de klant persoonlijker te benaderen en maakt retailmedia mogelijk, waarbij merken betalen voor zichtbaarheid in apps en winkels.
Een klant hoeft zijn boodschappen niet volledig elders te doen om dat model te raken. Minder gebruik van de app, uitschakelen van persoonlijke aanbiedingen of terughoudendheid bij het opslaan van betaalgegevens kan al voldoende zijn. Het effect verschijnt dan niet als één grote omzetval, maar als lagere conversie, minder advertentiewaarde of hogere kosten om dezelfde klant te bereiken.
Een rekenvoorbeeld maakt de gevoeligheid zichtbaar. Bij €92,8 miljard geannualiseerde kwartaalomzet, 4% operationele marge, €100 miljoen directe kosten en 0,15% tijdelijke omzetdruk waarvan 7% doorwerkt naar winst, ontstaat ongeveer €110 miljoen totale winstdruk. Dat is circa 3% van de gekozen operationele winstbasis. De getallen zijn aannames; het verband is het belangrijke deel.
De sterkste tegenwerping is dat voedingsretail een dagelijkse behoefte vervult. Klanten kiezen vaak op prijs, locatie en assortiment. Een cyberincident kan daarom sneller worden vergeten dan bij een bank of zorgverlener. Ahold bezit bovendien veel lokale merken. Een probleem bij één digitaal kanaal hoeft het vertrouwen in iedere formule niet gelijk te raken.
Dat maakt dit ook een lastige afweging. De sterke winkelpositie beperkt het risico, maar digitale loyaliteit wordt steeds belangrijker voor promoties, online bestellingen en advertentie-inkomsten. Een kleine gedragsverandering bij miljoenen klanten kan financieel groter zijn dan een zichtbare eenmalige adviesrekening.
Wat het bestaande verdienmodel kan opvangen
Bij de cijfers van 5 augustus rapporteerde Ahold €23,2 miljard kwartaalomzet en een onderliggende operationele marge van 3,9%. Het management herhaalde toen de verwachting van ongeveer 4% marge, midden tot hoge enkelcijferige groei van de onderliggende winst per aandeel bij constante valuta en minstens €2,3 miljard vrije kasstroom in 2026.
Die vrije kas geeft ruimte voor herstelkosten. Het tweede kwartaal zelf leverde €632 miljoen vrije kas op, terwijl het eerste halfjaar door werkkapitaal en timing op €302 miljoen uitkwam. De jaarambitie is dus geen bedrag dat gelijkmatig per kwartaal binnenkomt. Een cyberrekening kan de timing verder verstoren zonder het verdienmodel structureel te beschadigen.
In onze eerdere analyse stond waarom Aholds aandeleninkoop alleen waarde creëert wanneer de operationele kas sterk blijft. Het artikel over online groei en Amerikaanse marge liet zien hoe dun de winstmarge per omzet-euro is. Cyberkosten komen boven op die bestaande afwegingen. De onderneming kan ze dragen, maar iedere extra euro kan niet tegelijk naar prijsinvesteringen, winkels, dividend of inkoop.
Wat moet €32,61 waarmaken?
Bij 8% gewenst totaalrendement, 3,8% dividendrendement en een eindwaardering van 13,5 keer winst moet de genormaliseerde winst per aandeel in 2029 ongeveer €2,74 bedragen. Vanaf een gekozen basis van €2,55 vraagt dat circa 2,4% jaarlijkse groei.
Een eenmalige cyberrekening verandert de genormaliseerde winst niet automatisch. De kas verlaat het bedrijf wel degelijk en de markt kan een lagere multiple eisen wanneer processen of toezicht structureel duurder worden. Daarom is het onderscheid tussen eenmalig herstel en blijvende kosten belangrijk.
Stel dat Ahold na het incident jaarlijks extra beveiliging en controle moet toevoegen. Die uitgave kan verstandig zijn, maar verlaagt bij gelijkblijvende omzet de marge. Daar staat tegenover dat betere systemen uitval en fraude kunnen voorkomen. De waarde van beveiliging zit dus deels in schade die niet optreedt. Het management zal de belegger moeten helpen begrijpen welke kosten tijdelijk zijn en welke deel worden van de normale bedrijfsvoering.
Drie mogelijke koerspaden
In het bearscenario blijkt later dat gegevens zijn buitgemaakt, volgen claims of aanvullende toezichtskosten en blijft een deel van de digitale klanten terughoudend. De mogelijke koersen zijn €27 in 2027, €26 in 2028 en €29 in 2029. Dividend komt boven op deze paden.
In het middenpad blijven de kosten beheersbaar, keert klantgedrag grotendeels terug en blijft de operationele marge rond de jaarambitie. Dat leidt tot €34, €37 en €41. Het gunstige scenario veronderstelt dat het onderzoek beperkte schade bevestigt en Ahold tegelijk de Amerikaanse marge verbetert: €38, €43 en €49.
De conclusie is dat de mededeling van 19 oktober positief is, maar nog geen eindpunt. Het sterkste bewijs zou een afgerond onderzoek zijn met een heldere reikwijdte, beperkte kosten en geen materiële aantasting van klantgedrag. Een latere melding van datadiefstal, hogere structurele beveiligingskosten of zwakkere digitale betrokkenheid zou de waardering opnieuw veranderen.
Ahold hoeft niet te bewijzen dat een groot bedrijf nooit wordt aangevallen. Het moet laten zien dat systemen zijn gescheiden, herstel beheerst verloopt en de financiële gevolgen binnen de kasstroom blijven. De bedrijfsupdate van 19 oktober beschrijft de toen bekende feiten. De financiële draagkracht en jaarverwachting staan in de Q2-resultaten van 5 augustus.
Opmerkingen