Scroll to top
    Zurück zum Blog
    >INCIDENT_ID: ANUBIS-CH-2026-07-03//STATUS: UNVERIFIED//SOURCE: DARKNET_LEAK
    IT-Sicherheit · Schweiz
    Live-Dossier
    >> Ferrum AG gehackt?

    Anubis listet Ferrum AG im Darknet

    Rupperswil/Schafisheim, Juli 2026: Ein weiteres Schweizer Traditionsunternehmen taucht auf einer Darknet-Leak-Seite auf – zumindest, wenn man den Angreifern glaubt. Wasacon ordnet den Fall sachlich ein, ohne Panik.

    06.07.2026 12 min Lesezeit↓ Opfer-Globus↓ Kosten-Rechnung
    Ferrum AG gehackt? Anubis listet Ferrum AG im Darknet
    Teilen
    WhatsApp
    Telegram
    Facebook

    Rupperswil/Schafisheim, Juli 2026. Es hat wieder ein Schweizer Traditionsunternehmen getroffen – zumindest, wenn man den Angreifern glaubt. Am 3. Juli 2026 tauchte die Ferrum AG auf der Darknet-Leak-Seite der Ransomware-Gruppe Anubis auf. Die Gruppe behauptet, in die Systeme des Maschinenbauers eingedrungen zu sein und sensible Unternehmensdaten erbeutet zu haben. Als vermeintlichen Beweis hat sie Screenshots der angeblichen Datenleaks veröffentlicht.

    Wichtig vorweg: Ob die Screenshots echt sind und ob tatsächlich Daten in relevantem Umfang abgeflossen sind, ist zum jetzigen Zeitpunkt nicht verifiziert. Weder liegt eine Bestätigung des Unternehmens vor, noch wurden die Daten unabhängig geprüft. Ransomware-Gruppen übertreiben regelmäßig – gefälschte oder aufgebauschte Listings gehören zum Druckmittel-Repertoire. Genau deshalb ordnen wir den Fall hier sachlich ein, statt Panik zu verbreiten.

    Wer ist die Ferrum AG?

    Die Ferrum Gruppe mit Hauptsitz in Rupperswil (Kanton Aargau) ist eines der bekanntesten familiengeführten Industrieunternehmen der Schweiz – gegründet 1917, heute mit rund 800 Mitarbeitenden weltweit und Standorten in der Schweiz, den USA, China und Indien. Kerngeschäft: Dosenverschließmaschinen für die Verpackungsindustrie und Zentrifugen für Chemie und Pharma. Der Umsatz liegt seit Jahren im dreistelligen Millionenbereich (über 100 Mio. CHF).

    Ein klassischer „Hidden Champion" also – und damit genau das Beuteschema moderner Ransomware-Gruppen: international vernetzt, hohe Abhängigkeit von laufender Produktion, wertvolles Engineering-Know-how, aber (typisch für den industriellen Mittelstand) selten ein Security-Budget auf Konzernniveau.

    Wer ist Anubis?

    Anubis ist eine vergleichsweise junge, aber aggressive Ransomware-as-a-Service-Gruppe, aktiv seit Ende 2024, die auf Double Extortion setzt: Erst werden Daten exfiltriert, dann Systeme verschlüsselt – als Besonderheit bietet Anubis ihren Affiliates sogar einen destruktiven „Wipe Mode", der Daten unwiederbringlich zerstört. Wer nicht zahlt, landet mit Namen, Beschreibung und „Beweis-Screenshots" auf der Leak-Seite im Darknet.

    Die Bilanz laut Tracking-Portal Ransomware.live: rund 80 gelistete Opfer in 17 Ländern seit Februar 2025. Bevorzugte Ziele: Gesundheitswesen, Fertigungsindustrie und Business Services – die meisten Opfer aus USA, Großbritannien und Australien. Mit Ferrum trifft es nun erstmals prominent die Schweiz.

    Wasacon Threat Map · Live-Dossier

    Ransomware-Gruppe Anubis – gelistete Opfer 2026

    Jeder Punkt auf dem Globus markiert ein Unternehmen, das Anubis 2026 auf ihrer Darknet-Leak-Seite gelistet hat – vom Weltkonzern bis zur Zahnarztpraxis. Globus drehen (ziehen) oder unten ein Opfer anklicken: Die Erde rotiert zum Standort und zeigt die Details.

    49
    Opfer 2026
    13
    Länder
    12/2024
    Aktiv seit
    Double Extortion
    + Wipe Mode
    Lade Weltkarte …
    Ziehen zum Drehen · Punkt oder Listeneintrag anklicken

    Die Opfer 2026 im Überblick

    Chronologisch, neuestes Listing zuerst. Quelle: Leak-Seite der Gruppe, dokumentiert via Ransomware.live.

    Die jüngsten Opfer von Anubis

    Ein Blick auf die Leak-Seite der Gruppe (dokumentiert über Ransomware.live) zeigt, wie breit Anubis zuschlägt – vom Weltkonzern bis zur Zahnarztpraxis:

    GelistetUnternehmenLandBranche
    03.07.2026Ferrum AGSchweizMaschinenbau
    02.07.2026Quest Healthcare SolutionsUSAGesundheitswesen
    02.07.2026Northeast Pediatrics & Adolescent MedicineUSAGesundheitswesen
    29.06.2026ESMS Global LimitedGroßbritannienMedizin-Info-Dienste
    29.06.2026Boston Orthotics, Inc.USAMedizintechnik
    25.06.2026Nachlass NordDeutschlandKanzlei / Erbrecht
    24.06.2026Quest Health SolutionsUSAGesundheitswesen
    19.06.2026KTR Real Estate AdvisorsUSAImmobilien
    15.06.2026KoMiCoSüdkoreaHalbleiter-Services
    11.06.2026FÉTIS Group & SECOM EngineeringFrankreichEngineering
    05.06.2026Jeffrey BurrUSAKanzlei
    05.06.2026D&M ContractorsGroßbritannienBau / Handwerk
    03.06.2026Singing River Health SystemUSAGesundheitswesen
    01.06.2026Power & TelUSATelekom-Distribution
    27.05.2026EXCEED EnergyGroßbritannienEnergie / Well Management
    13.05.2026A.R.Ge.CoFrankreichWirtschaftsprüfung
    01.05.2026Colorado Dental Wellness CenterUSAGesundheitswesen
    04.02. & 30.04.2026Nicht genanntes Unternehmen (Ticket #1989)GroßbritannienUnbekannt
    23.04.2026TractialGroßbritannienFintech
    23.04.2026Marnell Financial ServicesUSAFinanzdienstleistungen
    21.04.2026Samuel I. White, PCUSAKanzlei
    21.04.2026ViaQuestUSAPflege / Gesundheitswesen
    09.04.2026Signature HealthcareUSAGesundheitswesen
    07.04.2026Star FuelsGroßbritannienEnergie / Kraftstoffe
    06.04.2026Tesla SystemsUSAIT-Dienstleister
    04.04.2026Shine AviationAustralienLuftfahrt
    01.04.2026Publishers Clearing HouseUSAConsumer Services
    27.03.2026Schlam Stone & Dolan LLPUSAKanzlei
    27.03.2026ScalianFrankreichIT- & Engineering-Beratung
    13.03.2026KLA LaboratoriesUSAIT-Infrastruktur
    10.03.2026L. S. King and AssociatesUSAWirtschaftsprüfung
    10.03.2026A J Taylor ElectricalGroßbritannienElektroinstallation
    07.03.2026Ladue Family DentalUSAGesundheitswesen
    03.03.2026Andal Law GroupUSAKanzlei
    02.03.2026AkzoNobelNiederlandeChemie / Farben & Lacke
    26.02.2026Physicians Clinic of IowaUSAGesundheitswesen
    26.02.2026Envirogen TechnologiesUSAUmwelt-Engineering
    21.02.2026Micaforce TechnologyChinaCloud-Provider
    18.02.2026IFL GroupUSALuftfracht
    13.02.2026SamkwangSüdkoreaElektronik-Zulieferer
    25.01. & 09.02.2026Langley Twigg LawNeuseelandKanzlei
    09.02.2026Rutherford Investment CompanyUSAImmobilien-Investment
    08.02.2026Abel SchillingerDeutschlandPatentanwälte
    06.02.2026Advent Aircraft Systems, Inc.USALuftfahrt / Aerospace
    03.02.2026Law Offices of Thomas J Skinner, IVUSAKanzlei
    25.01.2026Vitosha Park HotelBulgarienHotellerie
    14.01.2026Copec S.A.ChileEnergie / Konzern
    14.01.2026Adriatic Port AuthorityItalienHafenbehörde / Logistik
    08.01.2026About Women Ob-GynUSAGesundheitswesen
    Wichtig auch hier: Diese Einträge dokumentieren, wen die Gruppe auf ihrer Leak-Seite behauptet angegriffen zu haben. Die Behauptungen sind nicht in jedem Fall unabhängig bestätigt – einzelne Opfer haben Angriffe in der Vergangenheit auch dementiert.
    So könnte der Ransomware-Angriff auf die Ferrum AG abgelaufen sein – Ablauf in 6 Phasen

    Die Risiken – auch wenn (noch) nichts verifiziert ist

    Selbst wenn sich herausstellen sollte, dass die Angreifer weniger erbeutet haben als behauptet, entstehen ab dem Moment des Listings reale Risiken:

    Produktionsausfall & Lieferkette
    Jeder Tag Stillstand bei einem Maschinenbauer mit weltweitem Servicegeschäft bedeutet sechsstellige Verluste – und verunsicherte Kunden in Getränke-, Chemie- und Pharmaindustrie.
    Engineering-Know-how
    Konstruktionszeichnungen, Fertigungsdaten und Patente sind das Kapital eines Hidden Champions. Im Darknet lesen Wettbewerber weltweit mit.
    Personendaten & Meldepflichten
    Revidiertes Schweizer DSG (Meldung an EDÖB), DSGVO 72-h-Frist für EU-Kunden. Nichteinhaltung wird teuer.
    Folgeangriffe
    Geleakte Zugangsdaten, E-Mail-Verläufe und Organigramme sind das perfekte Rohmaterial für Spear-Phishing gegen Kunden, Lieferanten und Partner.
    Reputations- & Vertrauensschaden
    Unabhängig vom Wahrheitsgehalt: Das Listing ist öffentlich, die Google-Treffer bleiben. Kommunikation entscheidet über Kundenbindung.
    Rechts- & Versicherungsfolgen
    Cyber-Versicherer prüfen, ob MFA, Backups und Patch-Management vertragskonform umgesetzt waren. Nachlässigkeit = kein Schutz.

    Die Rechnung: Was hätte angemessene Cyber Security gekostet?

    Transparent und als Modellrechnung auf Basis öffentlich verfügbarer Zahlen. Die Ferrum Gruppe erwirtschaftet einen Umsatz von über 100 Mio. CHF; wir rechnen konservativ mit 120 Mio. CHF.

    Branchenübliche Benchmarks (Fertigungsindustrie)

    PositionBenchmarkErgebnis (120 Mio. CHF)
    IT-Gesamtbudgetca. 2–2,5 % vom Umsatz2,4–3,0 Mio. CHF / Jahr
    Davon IT-Security10–15 % des IT-Budgetsca. 240.000–450.000 CHF / Jahr
    Alternativ direkt vom Umsatz0,3–0,5 %ca. 360.000–600.000 CHF / Jahr
    Realistisches Security-Budget für ein Unternehmen dieser Größe: rund 300.000 bis 500.000 CHF pro Jahr.

    Was bekommt man dafür?

    MaßnahmeKosten p.a. (ca.)
    Managed Detection & Response (MDR/SOC) für ~800 Endpoints120.000–180.000 CHF
    Unveränderliche (immutable) Backups + getestete Recovery40.000–60.000 CHF
    MFA, Privileged Access, Netzwerksegmentierung (inkl. OT)50.000–80.000 CHF
    Penetrationstests & Schwachstellen-Management30.000–50.000 CHF
    Security-Awareness-Trainings & Phishing-Simulationen15.000–25.000 CHF
    Incident-Response-Retainer & Notfallplan20.000–40.000 CHF
    Summeca. 275.000–435.000 CHF / Jahr

    Und die Gegenrechnung? Die durchschnittlichen Gesamtkosten eines Ransomware-Vorfalls – Betriebsunterbruch, Forensik, Wiederaufbau, Rechtsberatung, Reputationsschaden – liegen laut aktuellen Studien im mittleren einstelligen Millionenbereich. Allein eine Woche Stillstand kann mehr kosten als zehn Jahre eines soliden Security-Budgets. Die Lösegeldforderung kommt on top – und deren Zahlung garantiert bekanntlich gar nichts.

    Anders gesagt: 0,3 % vom Umsatz für Prävention vs. 3–5 % vom Umsatz für einen einzigen Vorfall. Diese Rechnung geht immer zugunsten der Prävention aus.

    Hinweis: Wir kennen die internen Security-Investitionen der Ferrum AG nicht. Die Rechnung zeigt, was branchenüblich angemessen wäre – kein Urteil über das konkrete Unternehmen.

    Do's – jetzt tun

    • MFA überall
      VPN, Mail, Admin, Cloud – ohne Ausnahme. Der Großteil aller Ransomware-Angriffe startet mit gestohlenen Zugangsdaten.
    • Backups 3-2-1 + immutable
      Mindestens eine Kopie offline oder unveränderlich – und Recovery regelmäßig testen. Ein ungetestetes Backup ist ein Gerücht.
    • IT & OT segmentieren
      Ein kompromittierter Office-PC darf niemals die Fertigung erreichen.
    • Patchen mit System
      Die meisten Angriffe nutzen längst bekannte Schwachstellen – nicht Zero-Days.
    • 24/7-Monitoring
      Angreifer arbeiten nachts und am Wochenende – Ihre Erkennung muss das auch.
    • Incident-Response-Plan
      Wer im Ernstfall zum ersten Mal überlegt, wen er anruft, hat schon verloren. Notfallkontakte ausgedruckt in den Schrank – nicht auf den verschlüsselten Server.
    • Darknet-Monitoring
      Geleakte Firmen-Credentials früh erkennen und rotieren.
    • Vorfall melden & transparent kommunizieren
      In der Schweiz Meldepflicht ans BACS (KRITIS: 24 h). EDÖB bzw. DSGVO-Aufsicht. Kunden erfahren es ohnehin – besser von Ihnen.

    Don'ts – vermeiden

    • Nicht vorschnell zahlen
      Finanziert die nächste Angriffswelle, garantiert weder Löschung noch funktionierende Entschlüsselung. Behörden raten ausdrücklich davon ab.
    • Nicht selbst verhandeln
      Gehört in die Hände erfahrener Incident-Response-Profis.
    • Systeme nicht sofort neu aufsetzen
      Erst Forensik – sonst vernichten Sie Beweise und übersehen Hintertüren (Persistenz).
    • Nicht totschweigen
      Vertuschung verletzt Meldepflichten und zerstört Vertrauen nachhaltiger als der Angriff selbst.
    • Leaks nicht ungeprüft glauben
      Weder als Betroffener noch als Beobachter. Erst prüfen, dann bewerten.
    • Nicht im Darknet stöbern
      Wer Leak-Seiten unbedarft besucht oder Daten herunterlädt, schafft neue rechtliche und technische Risiken.
    • Security nicht als Projekt
      Eine Firewall aus 2021 und ein Pentest von vor drei Jahren sind kein Schutzkonzept.
    • Nicht 'zu klein für Anubis'
      Anubis, Akira & Co. arbeiten mit Massen-Scans. Allein Akira hat in der Schweiz rund 200 Unternehmen angegriffen.

    Fazit

    Der Fall Ferrum AG zeigt – unabhängig davon, was die Verifizierung am Ende ergibt – ein Muster, das wir seit Jahren beobachten: Ransomware-Gruppen zielen gezielt auf den industriellen Mittelstand, weil dort wertvolle Daten auf oft überschaubare Verteidigung treffen. Die gute Nachricht: Angemessener Schutz ist kein Hexenwerk und kostet einen Bruchteil dessen, was ein einziger erfolgreicher Angriff verschlingt.

    Die Frage ist nicht mehr, ob Ihr Unternehmen ins Visier gerät – sondern ob Sie vorbereitet sind, wenn es so weit ist.

    Wissen, wo Ihr Unternehmen steht?

    Wasacon unterstützt KMU bei Security-Assessments, Managed Services, Backup-Strategien und Notfallplanung – pragmatisch, verständlich und ohne Konzern-Preisschild. Sprechen Sie uns an, bevor es jemand anderes tut.

    Kontakt aufnehmenIT-Sicherheit ansehen

    Häufige Fragen

    Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.

    Transparenzhinweis: Dieser Beitrag basiert auf öffentlich zugänglichen Informationen, u. a. dem Tracking-Portal Ransomware.live (Stand: Juli 2026). Die Behauptungen der Gruppe Anubis, einschließlich der veröffentlichten Screenshots und der Opferliste, sind nicht in jedem Fall unabhängig verifiziert. Es gilt der Grundsatz: Das betroffene Unternehmen ist Opfer einer Straftat. Wir verlinken grundsätzlich nicht auf Leak-Seiten und verbreiten keine geleakten Inhalte.

    Diskussion

    0 Beiträge

    Lade Kommentare …
    Neuer Kommentar
    0/2000

    E-Mail wird nur zur Verifizierung verwendet, nicht veröffentlicht. Beiträge werden manuell geprüft.

    IT-Budget Quick-Check

    Wie viel sollte Ihr Unternehmen jährlich in IT investieren?

    Risiko-Level: Mittel · Multiplikator: 1.2×

    Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.

    Das könnte Sie auch interessieren

    pm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
    IT-Sicherheit

    pm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet

    Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.

    11.08.202615 min
    Clausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
    IT-Sicherheit

    Clausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet

    Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.

    11.08.202616 min
    The Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
    IT-Sicherheit

    The Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht

    Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.

    11.08.202617 min

    Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?

    Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.

    Jetzt kostenlosen Check anfordern

    Bekannt aus

    Wasa Consult, Data Recovery Service, Heinsberg, Nordrhein-Westfalen