COP-SHOP im Darknet aufgetaucht? Qilin listet deutschen Behörden- und Polizeiausstatter – warum dieser Fall besonders heikel ist

Qilin ist keine Gruppe, die primär mit leeren Behauptungen arbeitet. In der Vergangenheit hat die Gruppe wiederholt nachweislich erbeutete Datensätze tatsächlich veröffentlicht (prominent: NHS-Dienstleister Synnovis, ca. 400 GB). Wir gehen daher in unserer Arbeitshypothese davon aus, dass die Täter tatsächlich Daten erbeutet haben und das Unternehmen damit öffentlich erpressen. Das bleibt ausdrücklich eine Annahme – ein Beweis liegt nicht vor, und bis zu einer Bestätigung gilt für das Unternehmen die Unschuldsvermutung.

Was ist passiert?

Auf der Leak-Seite der Ransomware-Gruppe Qilin ist ein Eintrag zur COP Vertriebs-GmbH bzw. zum Online-Shop cop-shop.deerschienen. Solche Veröffentlichungen sind Teil der typischen Erpressungsstrategie moderner Ransomware-Gruppen: Das Unternehmen wird öffentlich als Opfer benannt, um den Druck in möglichen Verhandlungen zu erhöhen – häufig verbunden mit der Drohung, angeblich erbeutete Daten zu veröffentlichen.

Welche Systeme betroffen sein könnten, welche Daten die Täter konkret in ihren Händen halten wollen und in welchem Umfang – all das lässt sich derzeit nicht unabhängig verifizieren. Eine Listung auf einer Leak-Seite ist zunächst eine Behauptung der Täter.

Wer ist COP-SHOP / die COP Vertriebs-GmbH?

Die COP Vertriebs-GmbH mit Sitz in Oberweilenbach (Gemeinde Aresing, Landkreis Neuburg-Schrobenhausen, Bayern; Amtsgericht Ingolstadt, HRB 101608) ist seit 1990 als Ausrüster für Spezialeinheiten, Polizei, Militär, Feuerwehr, Security, Sportschützen sowie Freizeit- und Outdoor-Anwender aktiv. Gegründet wurde das Unternehmen von Chris(tian) Hermann, der zuvor selbst Beamter in einer Polizeisondereinheit war – die Praxisnähe ist bis heute Teil des Markenkerns. Geschäftsführer ist laut Impressum Christian Hermann; das Unternehmen ist ein Familienbetrieb der Familie Hermann.

Hinter dem Online-Shop COP-SHOP.de steht eine kleine Firmengruppe: Neben der COP Vertriebs-GmbH als Zentrale existieren unter anderem die COP GmbH & Co. Shop Berlin KG und die COP GmbH & Co. Shop München KG als Betreiber der Ladengeschäfte sowie die COP Austria GmbH für den österreichischen Markt. Filialen gibt es in Berlin (Rathauspassagen), München und Wien.

Zum Sortiment gehören über 150 Kategorien mit rund 3.500 Artikeln von mehr als 100 internationalen Marken (u. a. Under Armour, Safariland, Hatch, BIANCHI, Original S.W.A.T.). Ein wichtiges Detail: Nicht alle Artikel sind frei verkäuflich. Bestimmte Produkte dürfen ausschließlich an Angehörige von Polizei, Bundespolizei, Justiz, Zoll und anderen Ordnungsbehörden abgegeben werden – wer solche Artikel bestellt, muss seine Behördenzugehörigkeit gegenüber dem Shop nachweisen. Genau hier liegt die besondere Sensibilität dieses Falls.

Warum veröffentlichen Ransomware-Gruppen Unternehmen?

Moderne Erpressergruppen setzen auf Double Extortion: Zuerst werden Daten kopiert, dann die Systeme verschlüsselt (oder mit Verschlüsselung gedroht). Zahlt das Unternehmen nicht, folgt der öffentliche Eintrag auf der Leak-Seite – häufig mit Countdown und Datenproben – und schließlich die Veröffentlichung oder der Verkauf der Beute. Qilin ergänzt dieses Modell teils um DDoS-Drohungen und eine „Call Lawyer"-Funktion.

Welche Daten könnten betroffen sein?

Sollte es tatsächlich zu einem Datendiebstahl gekommen sein, kämen bei einem Handelsunternehmen dieser Art – rein hypothetisch – unter anderem in Frage:

Zahlungsabwicklung läuft laut AGB teils über externe Dienstleister (Kreditkarte über Nexi, Lastschrift über Computop) – das reduziert das Risiko vollständiger Kartendaten im Shop-System, ist aber keine Entwarnung.

12 Präventions-Do's für Unternehmen mit sensibler Kundschaft

1. MFA flächendeckend – auf VPN, RDP, Mail, Admin-Konten und Shop-Backend.
2. 3-2-1-Backups mit Offline-Kopie und regelmäßigen Restore-Tests.
3. Kein offenes RDP ins Internet; Fernzugänge nur über gehärtetes VPN.
4. Patch-Management mit Fristen – Shop-Software, Firewalls und VPN-Appliances zuerst.
5. EDR/MDR statt reinem Virenscanner, inklusive 24/7-Alarmierung.
6. Netzwerksegmentierung: Shop ≠ Warenwirtschaft ≠ Verwaltung ≠ Kasse/Filialen.
7. Datenminimierung: Behördennachweise und Ausweiskopien nur so lange speichern wie nötig.
8. Least Privilege und separate, gehärtete Admin-Konten.
9. Awareness-Schulungen für alle Beschäftigten inklusive Filialpersonal.
10. Notfallplan mit Übungen – auch für gleichzeitigen Ausfall von Shop, Mail und Telefonie.
11. Mindestens 20 % des IT-Budgets für Security (BSI/Bitkom-Empfehlung) – dauerhaft, nicht einmalig.
12. Altsysteme und stillgelegte Zugänge konsequent abschalten – etwa bei Filialschließungen oder Gesellschafts-Liquidationen.

Meldepflichten und Zuständigkeiten

Käme es zu einer Verletzung des Schutzes personenbezogener Daten, bestünde nach Art. 33 DSGVO eine Meldepflicht binnen 72 Stunden an die zuständige Aufsichtsbehörde – für ein Unternehmen mit Sitz in Bayern das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Bei hohem Risiko für Betroffene wären nach Art. 34 DSGVO zusätzlich die Betroffenen selbst zu benachrichtigen. Angesichts der Konzernstruktur mit mehreren Vertragsgesellschaften (Vertriebs-GmbH, Shop-KGs, COP Austria GmbH) könnten dabei mehrere Verantwortliche – in Österreich zusätzlich die dortige Datenschutzbehörde – betroffen sein. Für eine Strafanzeige wäre die Zentrale Ansprechstelle Cybercrime (ZAC) des Bayerischen LKA der richtige Weg.

Wasacon in deiner Region

Ob in Erkelenz, Wegberg, Wassenberg, Hückelhoven, Aachen, Mönchengladbach, Geilenkirchen, Jülich, Düren oder Krefeld – Ransomware-Angriffe wie der Qilin-Vorfall treffen Händler, Behörden und Mittelstand deutschlandweit. Wasacon unterstützt Unternehmen mit sensibler Kundschaft im Kreis Heinsberg und im Rheinland mit Schwachstellenanalyse, EDR/XDR, Backup-Strategie und Incident-Response nach NIS-2-Standard.