Evosys Laser im Darknet gelistet: Aurora behauptet massiven Datendiebstahl beim Erlanger Laserspezialisten

Was ist passiert?

Die Ransomware- beziehungsweise Erpressergruppe Aurora veröffentlichte am 30. Juli 2026 einen Eintrag zur Evosys Laser GmbH. Der Eintrag wird inzwischen von mehreren Ransomware-Beobachtungsplattformen erfasst.

Laut RansomLook verfügt Aurora derzeit über 25 veröffentlichte Einträge. Vier davon wurden innerhalb der vergangenen sieben Tage veröffentlicht. Die Gruppe ist damit deutlich kleiner und weniger umfassend analysiert als bekannte Ransomware-Netzwerke wie Qilin, Akira oder LockBit. Zudem wird der Name „Aurora“ sowohl für die gegenwärtige Leak-Site-Gruppe als auch für ältere Schadsoftwarefamilien verwendet. Eine technische Verbindung zwischen diesen Akteuren ist bislang nicht zweifelsfrei belegt.

Aurora bezeichnet Evosys als Hersteller industrieller Laserschweißsysteme und behauptet, Zugang zum „vollständigen Unternehmensdatenbestand“ erhalten zu haben. Die Gruppe macht dabei ungewöhnlich detaillierte Angaben. Diese stammen jedoch ausschließlich aus dem Umfeld der Täter und konnten bislang nicht unabhängig überprüft werden.

Diese Daten will Aurora erbeutet haben

Nach Darstellung der Cyberkriminellen soll der mutmaßlich entwendete Bestand nahezu alle Unternehmensbereiche umfassen. Alle folgenden Punkte sind ausdrücklich Täterbehauptungen:

Sollten sich auch nur Teile dieser Angaben bestätigen, wäre dies kein gewöhnlicher Verlust einzelner Bürodokumente. Besonders kritisch wäre die behauptete Kombination aus personenbezogenen Daten, geistigem Eigentum, Kundenprojekten, administrativen Zugangsdaten und industriellen Steuerungsinformationen.

Was belegt ist – und was nicht

Wer ist die Evosys Laser GmbH?

Die Evosys Laser GmbH wurde 2015 gegründet und entwickelt am Standort Erlangen kundenspezifische Maschinen und Systeme für das Laserschweißen von Kunststoffen. Das Unternehmen verbindet dabei Kunststofftechnik, Lasertechnik, Optik, Automatisierung, Software und klassischen Maschinenbau.

Zum Angebot gehören Lasermodule, Prozessmodule, vollständige Produktionssysteme, kundenspezifische Sonderanlagen, Inspektionssysteme und Steuerungssoftware. Hinzu kommen Machbarkeitsprüfungen, Prozessentwicklung, Prototypenbau, Industrialisierung und After-Sales-Services. Das Unternehmen bedient unter anderem die Automobilindustrie, Medizintechnik, Elektronik-, Konsumgüter- und Verpackungsindustrie.

Das Unternehmen ist beim Amtsgericht Fürth unter HRB 15316 eingetragen. Als Geschäftsführer werden Frank Brunnecker und Holger Aldebert geführt.

Mitarbeiterzahl und Umsatz

Öffentlich verfügbare Angaben unterscheiden sich: Das Branchenprofil der K-Zeitung nennt 111 Mitarbeiter und einen Umsatz von 19 Millionen Euro. Ein konkretes Bezugsjahr wird im sichtbaren Profil allerdings nicht angegeben. Der Eintrag der Cyberkriminellen spricht dagegen von rund 130 Beschäftigten.

Evosys erklärte bereits 2024, innerhalb von fünf Jahren sowohl den Umsatz als auch die Mitarbeiterzahl verdoppelt und mehr als 100 Arbeitsplätze geschaffen zu haben. Im Jahr 2025 erhielt die Gruppe erneut die Auszeichnung „BAYERNS BEST 50“, weil Mitarbeiterzahl und Umsatz über mehrere Jahre überdurchschnittlich gewachsen seien. Konkrete aktuelle Konzernumsätze veröffentlichte das Unternehmen in diesen Mitteilungen nicht.

Für eine wirtschaftliche Einordnung sind daher 19 Millionen Euro Umsatz und etwa 111 bis 130 Beschäftigte die derzeit belastbarsten öffentlich sichtbaren Orientierungswerte – nicht jedoch zwingend die aktuellen geprüften Konzernzahlen.

Standorte und Gesellschaften der Evosys-Gruppe

Nach Unternehmensangaben besteht die Gruppe aus der deutschen Muttergesellschaft, einer Servicegesellschaft sowie Gesellschaften in China und den USA. Zusätzlich befindet sich eine Präsenz in Indien im Aufbau. Daneben arbeitet Evosys weltweit mit Vertriebs- und Servicepartnern zusammen – diese sind jedoch nicht mit eigenen Standorten oder Tochtergesellschaften gleichzusetzen.

Warum der behauptete Datenbestand besonders brisant wäre

1. Gefahr für Beschäftigte

Arbeitsverträge, Bankverbindungen, Steuerinformationen und Gesundheitsunterlagen zählen zu den sensibelsten Daten, die ein Unternehmen speichert. Gelangen solche Informationen in kriminelle Hände, drohen Identitätsmissbrauch, gezielte Phishing-Angriffe, betrügerische Kontoänderungen und langfristige Erpressungsversuche. Beschäftigte könnten mit glaubwürdig wirkenden Nachrichten angesprochen werden, die Namen von Vorgesetzten, Gehaltsdaten, Abteilungen oder tatsächliche interne Vorgänge enthalten.

2. Gefahr für Kunden und Geschäftspartner

Bei einem Maschinenbauer sind CAD-Dateien, Prozessparameter und Software nicht lediglich normale Dokumente. Sie können technische Betriebsgeheimnisse des Herstellers und seiner Kunden enthalten. Besonders kritisch wäre der behauptete Zugriff auf VPN-Konfigurationen, private Schlüssel oder Fernwartungsinformationen. Sollten solche Daten authentisch und noch gültig sein, müssten nicht nur Evosys-Systeme, sondern möglicherweise auch Remotezugänge zu Kundenumgebungen überprüft und vollständig neu ausgestellt werden.

3. Verlust von Forschungs- und Entwicklungsvorsprung

Evosys bezeichnet sich als Technologieführer und investiert nach eigenen Angaben erheblich in Forschung und Entwicklung. Das Unternehmen verfügt über patentierte Verfahren und eigenes Prozesswissen im Laser-Kunststoffschweißen. Ein Verlust von Konstruktionsdaten, Quellcode oder Prozessparametern könnte Wettbewerbern oder ausländischen Akteuren ermöglichen, Entwicklungsarbeit nachzuvollziehen. Ob genau dies geschehen ist, bleibt bislang unbestätigt.

4. Risiko für industrielle Systeme

Die Fertigungsindustrie war im ersten Quartal 2026 erneut der am stärksten von industrieller Ransomware betroffene Bereich. Nach Auswertung von Dragos entfielen 62 Prozent der beobachteten industriellen Opfer auf das produzierende Gewerbe. Besonders problematisch ist die zunehmende Verbindung von klassischer Büro-IT mit Produktions-, Engineering- und Fernwartungssystemen.

Selbst wenn eine Schadsoftware nicht unmittelbar für die Manipulation von Maschinen entwickelt wurde, können der Ausfall von ERP-, Datei-, Virtualisierungs- oder Identitätssystemen und die Sperrung von Engineering-Daten eine Produktion vollständig zum Stillstand bringen.

Wie viel hätte ein Unternehmen dieser Größe in IT-Sicherheit investieren sollen?

Über das tatsächliche IT- oder Sicherheitsbudget von Evosys liegen keine öffentlichen Informationen vor. Es wäre daher unseriös zu behaupten, das Unternehmen habe grundsätzlich zu wenig investiert. Ebenso lässt sich derzeit nicht feststellen, über welchen Weg ein möglicher Angreifer eingedrungen sein könnte.

Für einen international tätigen Hightech-Maschinenbauer mit rund 111 bis 130 Beschäftigten, mehreren Gesellschaften, CAD- und Entwicklungsdaten, Produktionssystemen und möglichen Fernzugängen zu Kundenanlagen lässt sich jedoch ein risikogerechtes Modell berechnen: aus redaktioneller Sicht wären etwa 300.000 bis 550.000 Euro pro Jahr ausschließlich für Informations- und Cybersicherheit realistisch. Bei einem öffentlich genannten Umsatz von 19 Millionen Euro entspräche das ungefähr 1,6 bis 2,9 Prozent des Umsatzes.

Enthalten wären beispielsweise eigene IT- und Security-Fachkräfte beziehungsweise eine verantwortliche CISO-Funktion, EDR/XDR-Schutz für Server und Endgeräte, rund um die Uhr arbeitendes Managed Detection and Response oder SOC, phishingresistente Mehrfaktor-Authentifizierung, privilegiertes Zugriffsmanagement, zentrale Protokollierung und Angriffserkennung, E-Mail-, Cloud- und Identitätsschutz, unveränderbare und getrennte Datensicherungen, regelmäßige Wiederherstellungstests, Netzwerksegmentierung zwischen Büro-IT, Entwicklung, Produktion und Servicezugängen, abgesicherte Fernwartung mit zeitlich begrenzten Zugängen, Schwachstellenmanagement und externe Penetrationstests, ein Incident-Response-Vertrag mit einem Forensikunternehmen sowie Awareness-Schulungen und realistische Phishing-Simulationen.

Unter Einbeziehung von IT-Personal, Servern, Cloudsystemen, ERP, CAD-Infrastruktur, Lizenzen, Netzwerken, Support, Backup, Telefonie und Cybersecurity wäre ein gesamtes jährliches IT-Budget von ungefähr 750.000 bis 1,2 Millionen Euro plausibel. Hinzu käme für eine erstmalige grundlegende Modernisierung und Segmentierung ein Investitionsblock von etwa 150.000 bis 350.000 Euro – etwa für neue Firewalls, getrennte Verwaltungsnetze, sichere Fernwartungsgateways, Backup-Infrastruktur, privilegierte Administratorarbeitsplätze und eine vollständige Erneuerung von Zertifikaten und Zugängen.

Diese Werte sind keine Feststellung über Evosys, sondern eine modellhafte Risikokalkulation für ein Unternehmen dieser Größe und technischen Abhängigkeit. Das BSI nennt unter anderem Netzsegmentierung, zuverlässige Datensicherung, Angriffserkennung, konsequentes Patchmanagement und regelmäßige Mitarbeiterschulungen als zentrale Schutzmaßnahmen gegen Ransomware.

Hätte mehr Geld den Angriff verhindert?

Nicht zwingend. Auch Unternehmen mit hohen Sicherheitsbudgets können kompromittiert werden. Entscheidend ist nicht allein die Höhe der Ausgaben, sondern ob die Schutzmaßnahmen technisch korrekt umgesetzt, regelmäßig kontrolliert und aufeinander abgestimmt werden.

Sollten die Angaben zu administrativen Zugangsdaten, Infrastrukturübersichten und Fernwartungskonfigurationen stimmen, müssten insbesondere folgende Punkte untersucht werden:

Mehr Budget hätte den Angriff möglicherweise nicht verhindert, aber eine konsequente Identitäts-, Segmentierungs- und Backupstrategie hätte die Ausbreitung und den möglichen Datenabfluss erheblich begrenzen können.

Welche Pflichten könnten jetzt entstehen?

Sollte sich bestätigen, dass personenbezogene Daten entwendet wurden, müsste das Unternehmen den Vorfall datenschutzrechtlich bewerten. Nach Artikel 33 DSGVO muss eine meldepflichtige Datenschutzverletzung möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Besteht ein hohes Risiko für die betroffenen Personen, kann zusätzlich eine direkte Benachrichtigung nach Artikel 34 DSGVO erforderlich werden.

Bei den behaupteten Datenkategorien wäre insbesondere zu prüfen, ob Gesundheitsinformationen, Bankdaten, Steuerinformationen und Identitätsmerkmale betroffen sind. Darüber hinaus müssten Kunden und Partner informiert werden, falls deren technische Daten, Zugangsinformationen oder Fernwartungsverbindungen Teil des Vorfalls sind.

Diese Fragen muss Evosys jetzt beantworten

FAQ zur Aurora-Listung von Evosys Laser

Fazit

Die Listung der Evosys Laser GmbH gehört aufgrund der behaupteten Datenarten zu den potenziell schwerwiegenderen industriellen Cybervorfällen. Sollte der Eintrag authentisch sein, beträfe der Angriff nicht nur personenbezogene Daten, sondern möglicherweise auch Kundenprojekte, geistiges Eigentum, Produktionssoftware und Fernwartungszugänge.

Bis zu einer offiziellen Stellungnahme muss jedoch klar zwischen gesicherten Unternehmensdaten und Behauptungen einer kriminellen Erpressergruppe unterschieden werden. Fest steht derzeit lediglich: Aurora hat Evosys öffentlich auf einer Leak-Seite genannt. Ob die angegebenen Daten tatsächlich entwendet wurden und wie groß der Schaden ist, ist bislang nicht bestätigt.

Stand der Recherche: 1. August 2026. Der Beitrag wird aktualisiert, sobald eine belastbare Stellungnahme des Unternehmens oder einer zuständigen Behörde vorliegt. Standort: Erlangen (Bayern).