Clausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Hinter dem Namen steht kein kleiner Handwerksbetrieb, sondern ein über 100 Jahre altes Infrastrukturunternehmen mit rund 120 Beschäftigten, Millionenprojekten, hoher Eigenkapitalquote – und weit fortgeschrittener Digitalisierung von Kalkulation, Abrechnung und Baustellenprozessen.
Belegt ist die Listung – nicht der Vorfall
Am 8. August 2026 tauchte nach dem vorliegenden Screenshot die Clausing GmbH Tiefbauunternehmen auf einer Qilin zugerechneten Leak-Seite auf. Ein unabhängiger Breach-Tracker führt clausing-tiefbau.com ebenfalls als Qilin-Opfer und verzeichnete den Fall am 10. August 2026.
Wichtig ist die journalistische Trennung zwischen Behauptung und bestätigtem Vorfall: Eine Aufnahme auf einer Ransomware-Leak-Seite bedeutet zunächst, dass die Täter behaupten, das Unternehmen kompromittiert zu haben. Sie beweist weder, welchen Zugang die Angreifer tatsächlich hatten, noch welche Daten kopiert oder verschlüsselt wurden. In den von uns geprüften öffentlich zugänglichen Quellen war zum Recherchezeitpunkt keine detaillierte Stellungnahme von Clausing ersichtlich.
Faktencheck: belegt, behauptet, offen
Mehr als 100 Jahre Tiefbaugeschichte – und heute rund 120 Beschäftigte
Zahlen, Daten, Fakten aus öffentlich zugänglichen Unternehmensunterlagen.
in Osnabrück, durch Georg Clausing
Emsweg 1, 49090 Osnabrück (Niedersachsen)
HRB 15751, Amtsgericht Osnabrück
Christian Staub und Stephan Lemke
Die Geschichte von Clausing reicht bis 1922 zurück. Damals gründete Georg Clausing das Unternehmen; zu den frühen Arbeiten gehörten Wasserleitungen, Straßenbau, Kabelverlegung und Kulturbauprojekte. 1973 übernahm Günter Staub das Unternehmen, 1986 trat Christian Staub die Nachfolge an. Die heutige Clausing GmbH Tiefbauunternehmen sitzt am Emsweg 1 in 49090 Osnabrück und ist unter HRB 15751 beim Amtsgericht Osnabrück eingetragen. Im März 2026 wurde der Unternehmenszweck im Handelsregister ausdrücklich auf Tiefbau, Kanalbau, Straßenbau, Versorgungsleitungsbau und Elektromontage konkretisiert.
Chronologie: von 1922 bis zur Darknet-Kachel
Die entscheidenden Stationen – historisch, digital und sicherheitsrelevant.
Georg Clausing gründet das Unternehmen; frühe Arbeiten: Wasserleitungen, Straßenbau, Kabelverlegung, Kulturbau.
1973 übernimmt Günter Staub das Unternehmen, 1986 tritt Christian Staub die Nachfolge an.
Einführung von AddOne, ProBau und mobiler Personalzeiterfassung für Kalkulation, Abrechnung, Dokumentenmanagement und Rechnungseingang.
Im Handelsregister ausdrücklich auf Tiefbau, Kanalbau, Straßenbau, Versorgungsleitungsbau und Elektromontage erweitert.
Nach dem vorliegenden Screenshot erscheint CLAUSING mit Firmenlogo auf einer Qilin zugerechneten Leak-Seite – ohne Datenmenge oder Lösegeldangabe.
Ein unabhängiger Tracker führt clausing-tiefbau.com als Qilin-Opfer mit Entdeckungsdatum 10. August 2026.
Keine öffentlich auffindbare Stellungnahme von Clausing zu Umfang, Ursache oder Datenabfluss.
Finanzstarker Mittelständler – genau das macht den Fall interessant
Der veröffentlichte Jahresabschluss zeichnet das Bild eines wirtschaftlich stabilen Unternehmens. Die Bilanzsumme stieg 2023 von rund 13,45 auf 14,99 Millionen Euro, gleichzeitig erhöhte sich das Eigenkapital auf 11,38 Millionen Euro. Eine Eigenkapitalquote von knapp 76 Prozent ist für einen kapitalintensiven Baubetrieb bemerkenswert. Hinzu kamen zum Jahresende 7,44 Millionen Euro liquide Mittel – Clausing erklärte im Lagebericht sogar, aufgrund der Liquidität keine Bankkreditlinien zu benötigen.
Besonders relevant für die Einordnung eines möglichen Erpressungsfalls: Clausing beschreibt selbst Aufträge, die von Kleinstprojekten bis zu Bauvorhaben mit mehreren Millionen Euro Auftragsvolumen reichen. Zu den Kunden gehören öffentliche Auftraggeber ebenso wie Gewerbe- und Privatkunden. Damit entspricht das Unternehmen ziemlich genau einem Typ, der für professionelle Ransomware-Akteure attraktiv sein kann: wirtschaftlich gesund, regional infrastrukturell relevant und groß genug für umfangreiche digitale Geschäftsprozesse.
Von Stadtwerken bis Glasfaser: Warum die Daten eines Tiefbauers sensibel sind
Breit aufgestellt, systemrelevant – die Leistungsbereiche und Kennzahlen 2023 im Überblick.
Clausing baut und bearbeitet unter anderem Gasleitungen, Wasserleitungen, Strom- und Kabelanlagen, Glasfaserstrecken, Regen- und Schmutzwasserkanäle sowie Straßen- und Erschließungsanlagen. Das öffentlich einsehbare Projektarchiv umfasst Wassertransportleitungen, Kanalisationen, Hausanschlüsse für Gas, Wasser und Strom, Glasfaserverlegung, Fernwärmeleitungen, Regenrückhaltebecken und Arbeiten auf kommunalen Infrastrukturen.
Das bedeutet ausdrücklich nicht, dass entsprechende technische Unterlagen gestohlen wurden. Sollten Angreifer allerdings Zugriff auf zentrale Projektserver oder ein Dokumentenmanagementsystem erhalten haben, wären bei einem Unternehmen dieses Profils theoretisch Baupläne, Aufmaße, Ausschreibungen, Leistungsverzeichnisse, Kalkulationen, Baustellenberichte, Kunden- und Auftraggeberdaten, Rechnungsunterlagen, Lieferantendaten oder technische Projektdokumentationen denkbar. Gerade bei Versorgungsprojekten besitzt ein Datensatz manchmal einen Wert, der weit über seine ursprüngliche kaufmännische Bedeutung hinausgeht.
Der wichtigste Punkt: Clausing hat zentrale Geschäftsprozesse digitalisiert
Der Jahresabschluss liefert einen ungewöhnlich interessanten Einblick: Clausing beschreibt dort ausdrücklich seine Digitalisierungsstrategie. Bereits 2020 wurde Software von Husemann & Fritz eingeführt – genannt werden AddOne und ProBau sowie eine Personalzeiterfassung (PZE). Die Systeme werden nach Angaben des Unternehmens für Kalkulation, Abrechnung, Dokumentenmanagement sowie Eingangsrechnungserfassung und -prüfung verwendet. Arbeitszeiten werden direkt von Baustellen über Smartphones oder Tablets erfasst.
Angebots- und Kostenermittlung in AddOne / ProBau (seit 2020, Husemann & Fritz).
Erfassung und Prüfung von Rechnungen digital im System.
Projektakten, Korrespondenz, Verträge und Leistungsverzeichnisse.
Arbeitszeiten direkt von der Baustelle über Smartphone oder Tablet.
Das Unternehmen schreibt selbst, dass der vorhandene Datenbestand stetig wachse und die Optimierung dieser digitalen Baustellenprozesse erhebliche Effizienzsteigerungen ermögliche. Aus Cybersecurity-Sicht ist genau das der entscheidende Punkt: Digitalisierung steigert Effizienz – sie erhöht aber gleichzeitig den Schaden, den eine Kompromittierung zentraler Identitäten, Server oder Verwaltungsplattformen verursachen kann. Wo früher eine Bauakte im Aktenschrank lag, sind heute Kalkulation, Projektakte, Stundenaufzeichnungen, Rechnungen, Dokumentation und Korrespondenz miteinander verbunden.
Ein erfolgreicher Angriff auf eine solche Umgebung könnte theoretisch mehrere Bereiche gleichzeitig treffen: Baustellenabrechnung, Rechnungseingang, Finanzbuchhaltung, Zeiterfassung, Dokumentenmanagement und Projektsteuerung. Noch einmal: Dass genau diese Systeme bei Clausing kompromittiert wurden, ist bislang nicht belegt. Die veröffentlichten Informationen zeigen lediglich, welche digitalen Prozesse grundsätzlich vorhanden sind.
Welche Daten könnten theoretisch betroffen sein?
Besonders sensibel wären Kalkulationen und Angebotsdaten: Sie zeigen Einkaufspreise, Margen, geplante Kosten, Nachunternehmer und möglicherweise Wettbewerbskonditionen. Ebenso kritisch wären Eingangsrechnungen und Finanzunterlagen – Rechnungsdokumente enthalten häufig Bankverbindungen, Ansprechpartner, Lieferanteninformationen, Kundennummern und Vertragsbezüge. Hinzu kommt die Personalzeiterfassung mit Smartphones und Tablets, in der je nach Implementierung Mitarbeiterinformationen, Arbeitszeiten und Baustellenzuordnungen gespeichert sein können. Ob auch nur eine dieser Datenarten tatsächlich abgeflossen ist, bleibt derzeit offen.
Was Qilin besonders gefährlich macht
Qilin gehört zu den professionell organisierten Ransomware-as-a-Service-Strukturen: Eine Kernorganisation stellt Infrastruktur und Schadsoftware bereit, sogenannte Affiliates führen die Angriffe durch. Microsoft beschreibt Qilin als seit 2022 aktive RaaS-Operation; verschiedene Qilin-Komponenten können Windows-, Linux- und VMware-ESXi-Umgebungen angreifen. Zum bekannten Vorgehen gehören sowohl Datenverschlüsselung als auch Datenexfiltration mit anschließender Erpressung.
Besonders problematisch ist die Kombination: Die Täter müssen ein Unternehmen nicht mehr ausschließlich durch verschlüsselte Server unter Druck setzen. Wenn vorher relevante Daten kopiert wurden, funktioniert die Erpressung auch dann weiter, wenn das Opfer funktionierende Backups besitzt. Microsoft hat bei Qilin-Varianten zudem Aktivitäten dokumentiert, bei denen VMware-Dienste und Backup-Prozesse angegriffen, Snapshots entfernt und Recovery-Möglichkeiten beeinträchtigt werden.
Diese technischen Fähigkeiten sind allgemeine Erkenntnisse über Qilin und kein Beweis dafür, dass sie im Fall Clausing eingesetzt wurden. Ohne forensische Daten lässt sich derzeit weder der Initial Access noch das Ausmaß eines möglichen Eindringens seriös bestimmen.
Was sagt die Leak-Seite tatsächlich?
Der vorliegende Screenshot ist bemerkenswert spärlich: Dort erscheint CLAUSING zusammen mit Firmenlogo beziehungsweise der Bezeichnung des Tiefbauunternehmens, die Listung trägt das Datum 8. August 2026. Ein öffentlich arbeitender Breach-Tracker erfasste Clausing anschließend ebenfalls als Qilin-Fall und nennt den 10. August als Entdeckungsdatum. Eine Datenmenge oder konkrete Lösegeldforderung ist nicht erkennbar, ebenso wenig veröffentlichte Beispieldateien oder Fotos.
Die Leak-Seite ordnet Clausing offenbar der Branche „Food & Beverage“ zu – obwohl das Unternehmen eindeutig im Bau- und Infrastrukturbereich tätig ist. Die öffentlich eingetragene Unternehmenstätigkeit umfasst Tief-, Kanal-, Straßen- und Versorgungsleitungsbau sowie Elektromontage. Solche Fehler in Täterportalen sind nicht ungewöhnlich – und ein weiterer Grund, Angaben von Leak-Seiten nicht ungeprüft als Tatsachen zu übernehmen.
Ein Angriff könnte verbundene Prozesse treffen – ohne dass verbundene Firmen gehackt sein müssen
Rund um Clausing existiert eine interessante Unternehmensstruktur. Am gleichen Standort finden sich unter anderem die Clausing Bauhof GmbH, die BMFO Boden Management Flüssigboden GmbH und die Chr. Staub Baugesellschaft mbH. Öffentliche Unternehmensdaten weisen zudem eine Beteiligung von Clausing an BMFO aus.
2023 rund 1,3 Mio. € Maschinenmieten – überwiegend von hier
Enge Zusammenarbeit bei Bodenaufbereitung und Flüssigboden
Gesellschaft am gleichen Standort
Das bedeutet nicht, dass diese Gesellschaften von dem mutmaßlichen Vorfall betroffen sind. In einem Incident-Response-Verfahren müsste bei einem solchen Unternehmensverbund aber zwingend untersucht werden, ob gemeinsame Benutzerkonten, E-Mail-Systeme, Netzwerke, Dateiablagen, VPN-Verbindungen oder administrative Dienstleister existieren. Genau solche Vertrauensbeziehungen können bei Ransomware-Vorfällen entscheidend sein.
Der wirtschaftliche Hebel eines möglichen Ausfalls ist erheblich
Schon einige Tage eingeschränkter IT können sich auf Aufmaß, Abrechnung, Baustellenkoordination, Einkauf, Rechnungseingang, Mitarbeiterzeiterfassung und Projektkommunikation auswirken.
23,4 Mio. € geplante Jahresleistung verteilt auf rund 250 Arbeitstage. Keine Schadensprognose, sondern eine Größenordnung.
Hinzu kommen mögliche Forensikkosten, Wiederherstellung von Systemen, externe Incident-Response-Spezialisten, Rechtsberatung, Datenschutzprüfung, Projektverzögerungen und gegebenenfalls Benachrichtigungspflichten. Der eigentliche Schaden eines Ransomware-Vorfalls kann damit erheblich über dem Wert verschlüsselter Computer liegen.
Was ein Betrieb dieser Größe in IT & Cybersecurity investieren sollte
Redaktionelle Modellrechnung für einen Mittelständler mit 100–150 Beschäftigten – keine Angaben zu tatsächlichen Ausgaben von Clausing.
Nicht jede Position müsste zwangsläufig zusätzlich eingekauft werden – Teile davon können bereits Bestandteil bestehender IT-Infrastruktur, Rahmenverträge oder interner Personalstrukturen sein. Aus einer behaupteten Cyberattacke lässt sich außerdem nicht ableiten, dass ein Unternehmen „zu wenig“ für IT-Sicherheit ausgegeben hat: Auch hervorragend geschützte Organisationen können kompromittiert werden.
Warum sich Investition lohnt: Angriffskosten gegen Präventionskosten
Modellrechnung für einen Bau- und Infrastrukturbetrieb dieser Größenordnung.
Mit einer Investition von rund 280.000 bis 300.000 Euro über drei Jahre lässt sich ein Risiko in Millionenhöhe reduzieren – und der Geschäftsbetrieb absichern.
Was jetzt entscheidend wäre
Aus Sicht einer professionellen Incident Response müsste zunächst geklärt werden, ob die Qilin-Behauptung tatsächlich auf einen erfolgreichen Netzwerkzugriff zurückgeht und – falls ja – wann der erste Zugriff erfolgte. Danach wären insbesondere Identitätsdienste, Administratorzugänge, VPN- und Remotezugänge, Server, Virtualisierungsumgebungen, Backup-Infrastruktur, E-Mail-Konten sowie ungewöhnliche Datenübertragungen zu untersuchen. Bei Clausing käme eine zweite Ebene hinzu: die Trennung von kaufmännischer IT und Baustellenprozessen.
Microsoft empfiehlt gegenüber Qilin konsequente Multifaktor-Authentifizierung – phishing-resistent, ohne Ausnahmen für Admins.
Büro-IT, Server, Backup und Baustellen-/Mobilsysteme in getrennte Zonen, Zugriff nur über kontrollierte Übergänge.
Unveränderbarer beziehungsweise manipulationsgeschützter Speicher plus regelmäßig getestete Wiederherstellung.
Kurze Fristen für Internet-exponierte Systeme, VPN-Appliances und Hypervisoren.
Logging, Monitoring und SIEM erkennen Lateral Movement und Exfiltration, bevor verschlüsselt wird.
Trainierte Belegschaft und ein geübter Incident-Response-Plan verkürzen die Reaktionszeit auf Minuten.
Offene Fragen
Wasacon-Perspektive: Was Bau- und Infrastrukturbetriebe jetzt priorisieren sollten
Je stärker Kalkulation, Abrechnung, Dokumentation und Zeiterfassung digital zusammenwachsen, desto größer wird der Radius eines einzigen kompromittierten Kontos. Gerade die dokumentierte Nutzung mobiler Zeiterfassung und digitaler Projektsoftware macht es notwendig, nicht lediglich klassische Büro-PCs zu betrachten, sondern sämtliche Systeme, über die Projekt- und Unternehmensdaten erreichbar sind.
Konkret heißt das: phishing-resistente MFA, Admin-Trennung und gehärtete Identitäten, unveränderbare Backups mit echten Rücksicherungstests sowie ein segmentierter, überwachter Netzbetrieb mit Patch- und Änderungsmanagement.
Mehr aus dieser Themenwelt
FAQ zur Darknet-Listung von Clausing Tiefbau
Fazit: Eine kleine Darknet-Kachel – aber potenziell ein großer Fall
Die Listung von Clausing wirkt auf den ersten Blick unspektakulär: Firmenname, Logo, Domain, Datum. Hinter diesem Eintrag steht jedoch ein über 100 Jahre altes Tiefbauunternehmen mit rund 120 Beschäftigten, mehr als 20 Millionen Euro jährlicher Größenordnung, Millionenprojekten und unmittelbarer Tätigkeit an Gas-, Wasser-, Kanal-, Strom-, Glasfaser- und Straßeninfrastruktur.
Noch entscheidender ist die Digitalisierung: Kalkulation, Abrechnung, Dokumentenmanagement, Rechnungseingang und Baustellenzeiterfassung wurden in den vergangenen Jahren gezielt digitalisiert. Genau diese Vernetzung schafft Effizienz – sie bedeutet im Fall einer weitreichenden Kompromittierung aber auch, dass ein Cyberangriff sehr schnell von einem IT-Problem zu einem operativen Unternehmensproblem werden kann.
Was Qilin tatsächlich erbeutet haben will, bleibt derzeit offen. Die reine Veröffentlichung darf nicht mit einer bestätigten vollständigen Kompromittierung gleichgesetzt werden. Die Listung selbst ist jedoch real genug, um den Vorgang ernst zu nehmen – wie er einzuordnen ist, wird sich erst beurteilen lassen, wenn das Unternehmen, Ermittlungsbehörden oder belastbare forensische Quellen weitere Informationen veröffentlichen.
Redaktioneller Hinweis: Dieser Beitrag basiert auf öffentlich zugänglichen Unternehmensinformationen, Handelsregister- und Jahresabschlussdaten sowie Einträgen von Ransomware- und Threat-Intelligence-Plattformen. Behauptungen von Cybercrime-Gruppen werden ausdrücklich als solche gekennzeichnet. Die dargestellten Investitions- und Schadensrahmen sind redaktionelle Modellrechnungen und keine Angaben zu tatsächlichen Ausgaben oder Schäden von Clausing.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
IT-SicherheitRuhrpumpen gehackt? „VoidCrypt“ behauptet Diebstahl von rund 1 TB Unternehmensdaten
Seit dem 5. August 2026 führt die Cybercrime-Gruppe „VoidCrypt“ den Pumpenhersteller Ruhrpumpen auf ihrer Darknet-Leak-Seite und behauptet rund 1 TB gestohlene Daten. Bereits Ende 2025 listete Akira das Unternehmen. Was belegt ist – und was Täterbehauptung bleibt.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
