ComTRI GmbH im Darknet aufgetaucht – LockBit5 listet Stuttgarter IT-Systemhaus

Auf der Darknet-Leak-Seite von LockBit5 wurde ein neuer Eintrag veröffentlicht, der sich auf die Domain comtri.de bezieht. Die Beobachtungs­plattform ransomware.live indexierte den Eintrag am 11.07.2026; als geschätztes Angriffsdatum wird dort der 01.07.2026 genannt. Zwischen mutmaßlicher Kompromittierung und Veröffentlichung vergehen bei LockBit5 im Schnitt rund 38 Tage – ein etwaiger Angriff könnte also bereits Wochen zurückliegen.

In der Erfassung wird ComTRI als „führendes IT-Systemhaus im Raum Stuttgart" beschrieben. Konkrete Datenproben, ein Beweis-Set oder ein sichtbarer Countdown lassen sich derzeit nicht unabhängig verifizieren – ebenso wenig, ob überhaupt Daten entwendet wurden oder lediglich mit einer Veröffentlichung gedroht wird.

Wichtig zur Einordnung: Alle Angaben rund um solche Leak-Einträge stammen aus der Sphäre der Täter oder aus automatisierten Systemen und sind entsprechend vorsichtig zu bewerten. Fest steht bislang nur, dass der Eintrag existiert.

Die ComTRI GmbH ist ein mittelständisches IT-Systemhaus mit Standorten in Leinfelden-Echterdingen bei Stuttgart und Villingen-Schwenningen. Nach öffentlich einsehbaren Registerdaten ist die Gesellschaft in ihrer heutigen Form seit 2006 eingetragen (Amtsgericht Stuttgart, HRB 223718); die Wurzeln reichen unter dem früheren Namen „TRICOM GmbH Computer und Organisation für den Mittelstand" weiter zurück. Registerdaten deuten zudem auf eine Unternehmensgruppe mit mehreren Gesellschaften hin, u. a. AG Freiburg HRB 724348.

Das Unternehmen positioniert sich als IT-Komplettanbieter für den Mittelstand: Managed IT Services und Support, Server- und Netzwerkadministration, Microsoft-Infrastrukturen, IT-Sicherheits- und Datenschutz­lösungen, Backup und Storage, Cloud und Virtualisierung, Firewall-Management und Fernwartung, Druck- und Dokumentenmanagement als Kyocera-Partner sowie das eigene ERP unipps® für mittelständische Fertigungsunternehmen und Variantenfertiger.

Konkrete Umsatz- und Mitarbeiterzahlen veröffentlicht ComTRI nicht; die Angaben stammen aus öffentlichen Firmen- und Registerauskünften. Entscheidend für die Risikobewertung ist bei einem IT-Dienstleister ohnehin weniger die eigene Größe als die Zahl und Sensibilität der betreuten Kunden­umgebungen.

Für Cyberkriminelle gilt eine einfache Rechnung: Ein erfolgreicher Angriff auf einen IT-Dienstleister kann den Zugang zu dutzenden oder sogar hunderten Unternehmen ermöglichen. Anstatt jedes Unternehmen einzeln anzugreifen, genügt ein einziger Einbruch – die neuralgischen Zugänge sitzen alle beim Dienstleister:

Wie groß der Hebel solcher Supply-Chain-Angriffe sein kann, hat der Kaseya-Vorfall vom Juli 2021 gezeigt: Über eine einzige kompromittierte Fernwartungssoftware wurden nach Schätzungen bis zu 1.500 Unternehmen weltweit in Mitleidenschaft gezogen – die meisten davon Kunden von Kunden, die mit dem eigentlichen Angriffsziel nie direkt zu tun hatten.

LockBit zählt zu den langlebigsten und erfolgreichsten Ransomware-Operationen überhaupt. 2019 unter dem Namen „ABCD" gestartet, etablierte die Gruppe ab 2020 ein Ransomware-as-a-Service-Modell mit Leak-Seite und Double Extortion und dominierte über Jahre die weltweiten Opferstatistiken. Nach Angaben des US-Justizministeriums: > 2.500 Opfer in mindestens 120 Ländern, mindestens 500 Mio $ Lösegeld. Im Februar 2024 gelang mit der „Operation Cronos" ein spektakulärer Schlag gegen die Infrastruktur; im Mai 2024 wurde der mutmaßliche Kopf Dmitry Khoroshev („LockBitSupp") in den USA angeklagt (Kopfgeld bis zu 10 Mio $).

Doch die Zerschlagung war nicht das Ende: Im September 2025 tauchte LockBit 5.0 (intern „ChuongDong") auf, seit dem 5. November 2025 läuft eine neue Leak-Seite. Die Variante zielt auf Windows, Linux, VMware ESXi und Proxmox, verbreitet sich domänenweit über Gruppenrichtlinien und PsExec und bringt Anti-Recovery-Mechanismen mit.

Moderne Erpressungsgruppen setzen auf Double Extortion: erst Daten kopieren, dann verschlüsseln – zahlt ein Unternehmen nicht, wandert der Name auf die Leak-Seite. Gruppen wie LockBit verfolgen typischerweise ein mehrstufiges Vorgehen: Eindringen, Rechte­ausweitung, Sammeln und Exfiltrieren von Daten, Erpressung, Veröffentlichung – und zunehmend zusätzliche Druckmittel gegen Kunden und Partner der Opfer.

Ein Eintrag ohne Datenbeweise kann dabei verschiedenes bedeuten: ein frühes Druckmittel in laufenden Verhandlungen, eine Ankündigung späterer Veröffentlichungen oder eine unbelegte Behauptung. Nicht jede Listung mündet in einem tatsächlichen Datenleck.

Unabhängig davon, ob Kunden unmittelbar betroffen sind, empfiehlt sich aus Vorsicht folgende Reihenfolge:

Zahlungs­aufforderungen und angeblich geänderte Bankverbindungen sollten – wie nach jedem mutmaßlichen Datenabfluss – grundsätzlich telefonisch über bekannte Nummern verifiziert werden.