8.2 Group e.V. gehackt? Prüfnetzwerk der Energiewende im Darknet bei „Deadlock" aufgetaucht

Was ist passiert?

Auf der Darknet-Leak-Seite der Ransomware-Gruppe Deadlock wurde am 10. Juli 2026 (Sichtung 14:58 Uhr deutscher Zeit, ransomware.live-Zeitstempel 12:58 UTC) ein Eintrag zur 8.2 Group e.V. veröffentlicht. Der Eintrag ist der Kategorie „Business Services" zugeordnet, als Land wird Deutschland genannt.

Die Täter veröffentlichen einen englischsprachigen Beschreibungstext, der die Organisation als internationales Netzwerk von über 40 unabhängigen Ingenieurbüros mit Spezialisierung auf technische Prüfung, Beratung und Engineering für Erneuerbare-Energien-Projekte mit Hauptsitz in Deutschland charakterisiert – eine Beschreibung, die erkennbar der Selbstdarstellung des Netzwerks entlehnt ist. Datenproben, Mengenangaben zur angeblichen Beute oder Screenshots interner Systeme sind zum Zeitpunkt der Sichtung nicht ersichtlich.

Welche Daten tatsächlich betroffen sind – und ob überhaupt welche entwendet wurden –, lässt sich derzeit nicht unabhängig verifizieren.

Wer ist die 8.2 Group?

Die 8.2 Group ist strukturell ein Sonderfall unter den Leak-Opfern: kein klassisches Unternehmen, sondern ein eingetragener Verein mit Sitz in Hamburg (Flotowstrasse 9), der als Dachorganisation eines internationalen Netzwerks eigenständiger Ingenieur- und Sachverständigenbüros fungiert. Die Geschichte beginnt 1995, als Manfred Lührs im schleswig-holsteinischen Süderdeich das erste 8.2-Ingenieurbüro gründete. Statt an einem Ort zu wachsen, wuchs die Organisation durch „Zellteilung": Immer neue selbstständige Büros gründeten sich unter der Marke 8.2 – bereits in den ersten zehn Jahren entstanden 14 Ingenieur- und Sachverständigenbüros.

2006 stärkten 14 Gutachter das Netzwerk durch Gründung der 8.2 Consulting AG in Hamburg als kapitalstarke Dachgesellschaft für Grossprojekte, Technical Due Diligence und Offshore-Aufträge; 2014 wurde der Zusammenschluss als 8.2 Group e.V. neu organisiert. Heute umfasst das Netzwerk nach eigenen Angaben über 40 Büros mit mehr als 180 Sachverständigen – mit Standorten in Deutschland, Österreich, Frankreich, Portugal, Spanien, Schweden, Finnland, Kroatien sowie in Brasilien, China, Pakistan und auf den Philippinen. Allein im Mai und Juni 2026 traten mit der 8.2 Mart Services GmbH und dem 8.2 Ing. Büro Hartmann zwei neue Mitglieder bei.

Die Experten arbeiten überwiegend für Betreiber, Investoren, Versicherungen und Banken. Das Leistungsportfolio umfasst über 100 unterschiedliche technische Dienstleistungen entlang des gesamten Lebenszyklus regenerativer Energieanlagen – von der Standortbewertung über Inbetriebnahme- und wiederkehrende Prüfungen bis zu Due Diligence und Lebensdaueranalysen. Kern-Bereiche: Windenergie Onshore und Offshore, Condition Monitoring, Photovoltaik, Zertifizierung & Netzintegration, Health/Safety/Environment, Speichertechnologien (BESS) und Green Hydrogen. Zur Kundenliste zählen laut öffentlichen Referenzen unter anderem die EnBW (u. a. Fertigungsüberwachung und Monitoring beim Offshore-Windpark He Dreiht), Encavis, Blue Elephant Energy, Qair, SMA Altenso, Sunovis und die Hamburger CEE Group.

Wichtig: Weil die 8.2 Group als Verein und Netzwerk eigenständiger Büros organisiert ist, existiert kein öffentlich ausgewiesener Konzernumsatz. Jedes Mitgliedsbüro erwirtschaftet seine Umsätze selbst; die 8.2 Consulting AG als grösster Einzelgesellschaft lag zuletzt bei einer Bilanzsumme von rund 1,8 Mio. € (2023, laut Firmenauskunfteien). Die wirtschaftliche Substanz des Gesamtnetzwerks dürfte deutlich höher liegen, ist aber öffentlich nicht belastbar bezifferbar – ein wesentlicher Unterschied zu klassischen GmbHs oder AGs.

Was hätte Prävention gekostet? Eine Einordnung

Bei einem Netzwerk ohne konsolidierten Umsatz lässt sich kein exaktes IT-Budget beziffern. Orientiert man sich an gängigen Benchmarks – IT-Ausgaben von 2 bis 4 Prozent des Umsatzes bei Dienstleistern, davon nach BSI-Empfehlung bis zu 20 Prozent für Informationssicherheit –, müsste allerdings jedes einzelne Mitgliedsbüro entsprechende Vorkehrungen treffen: Multi-Faktor-Authentifizierung auf allen VPN-, Mail- und Fernzugängen, konsequentes Patch-Management, gehärtete oder abgeschaltete RDP-Zugänge, offline gesicherte Backups mit Restore-Tests, Endpoint Detection und Awareness-Schulungen.

Zum Vergleich: Der durchschnittliche Schaden eines erfolgreichen Ransomware-Angriffs liegt für deutsche Unternehmen regelmässig im sechsstelligen Bereich; die 2026 vom BKA erfassten durchschnittlichen Lösegeldzahlungen bewegen sich um 456.000 US-Dollar. Für eine verteilte Organisation kommen zwingend hinzu: klare Segmentierung zwischen den Büros und den geteilten zentralen Systemen, ein Zero-Trust-Ansatz für den Zugriff auf die gemeinsame Datenbank und ein netzwerkweiter Incident-Response-Plan – denn die Kette ist nur so stark wie das schwächste der über 40 Glieder.

Warum veröffentlichen Ransomware-Gruppen Unternehmen?

Moderne Erpressungsgruppen setzen häufig auf sogenannte Double Extortion. Dabei werden zunächst Daten kopiert und anschliessend die Verschlüsselung der Systeme angedroht oder durchgeführt. Zahlt ein Unternehmen nicht, veröffentlichen die Täter häufig einen Eintrag auf ihrer Leak-Seite und drohen mit der Freigabe der angeblich gestohlenen Daten.

Ein Eintrag ohne Datenbeweise – wie im aktuellen Fall – kann verschiedene Bedeutungen haben: ein frühes Druckmittel in laufenden Verhandlungen, eine Ankündigung späterer Veröffentlichungen oder auch eine unbelegte Behauptung. Nicht jede Listung mündet am Ende in einem tatsächlichen Datenleck. Bei Deadlock kommt hinzu: Sicherheitsforscher (ZeroFox) werten viele der jetzt gelisteten Einträge als Nachveröffentlichungen älterer Kampagnen derselben Gruppe.

Welche Risiken bestehen bei solchen Vorfällen? Ein Blick um die Ecke

Sollte es tatsächlich zu einem Datendiebstahl gekommen sein, wäre der Fall in mehrfacher Hinsicht heikler als bei einem gewöhnlichen Mittelständler – denn ein Prüf- und Gutachternetzwerk speichert naturgemäss nicht primär eigene Daten, sondern die seiner Kunden. Typischerweise lägen bei einer Organisation dieses Zuschnitts unter anderem:

Ob solche Daten tatsächlich entwendet wurden, ist ausdrücklich nicht bestätigt – das Szenario illustriert aber, warum Dienstleister der Energiewende zunehmend ins Visier geraten.

Der Fall zeigt einen deutlichen Trend

Der Vorfall passt in zwei Muster, die sich 2026 verdichten. Erstens die technische Innovation kleiner, geschlossener Operationen: Deadlock demonstriert mit Polygon-Smart-Contract-C2, Custom-Cipher und Session-Messenger, dass Ransomware auch ohne breites Affiliate-Programm nachhaltig betrieben werden kann – und dabei bewusst infrastrukturell schwer zerstörbar wird.

Zweitens der Fokus auf die Energiewende-Lieferkette: Nicht die schwer gesicherten Energiekonzerne selbst, sondern ihre Dienstleister – Planer, Prüfer, Gutachter, Zulieferer – werden zum bevorzugten Ziel, weil dort dieselben sensiblen Projektdaten liegen, oft aber nicht dasselbe Sicherheitsniveau. Sollte sich der Vorfall bestätigen, wäre die 8.2 Group ein Paradebeispiel dafür, dass der Datenschatz eines Unternehmens nicht an seiner eigenen Bilanzsumme, sondern an der seiner Kunden zu bemessen ist.

12 Präventions-Do's für verteilte Netzwerke und Ingenieurbüros

1. MFA flächendeckend – VPN, Mail, Admin – in JEDEM Mitgliedsbüro.
2. 3-2-1-Backups mit Offline-/Immutable-Kopie und regelmäßigen Restore-Tests.
3. Kein offenes RDP ins Internet; Fernzugänge nur über gehärtetes VPN mit MFA.
4. Patch-Management mit Fristen – öffentlich erreichbare Apps, Firewalls, VPN-Appliances zuerst (bekannter Deadlock-Einstieg via CVE-2024-51324).
5. EDR/MDR mit Verhaltenserkennung statt reinem Virenscanner.
6. Netzwerksegmentierung: jedes Büro ≠ gemeinsame 8.2-Datenbank ≠ Projektplattformen ≠ Buchhaltung.
7. Zero-Trust-Zugriff auf die gemeinsame Wissensdatenbank – Least Privilege je Büro und Rolle.
8. Datenminimierung bei Due-Diligence- und Finanzierungsunterlagen (nur verschlüsselt und nur so lange wie nötig).
9. AnyDesk / Remote-Tools netzwerkweit sichtbar machen oder auf gemanagtes RMM konsolidieren.
10. Awareness-Schulungen für alle 180+ Sachverständigen, netzwerkweiter Notfallplan mit Übungen.
11. Mindestens 20 % des IT-Budgets für Security (BSI/Bitkom) – dauerhaft, nicht einmalig.
12. Altsysteme und stillgelegte Zugänge konsequent abschalten – auch bei ausgeschiedenen Büros und ehemaligen Mitarbeitenden.

Wasacon in deiner Region

Ob in Erkelenz, Wegberg, Wassenberg, Hückelhoven, Aachen, Mönchengladbach, Geilenkirchen, Jülich, Düren oder Krefeld – Ransomware-Angriffe wie der mutmassliche Deadlock-Vorfall treffen Ingenieurbüros und Mittelstand deutschlandweit. Wasacon unterstützt Unternehmen im Kreis Heinsberg und im Rheinland mit Schwachstellenanalyse, EDR/XDR, Backup-Strategie und Incident-Response.