GIES Dienstleistungen im Darknet aufgetaucht – LockBit5 listet bundesweiten Gebäudedienstleister

Auf der Darknet-Leak-Seite von LockBit5 wurde ein Eintrag veröffentlicht, der sich auf die Domain giesdl.de bezieht. Der Eintrag wurde am 11. Juli 2026 um 09:29 Uhr erfasst und ordnet das Unternehmen Deutschland zu.

In der automatisiert erzeugten Beschreibung heißt es, die Gies Dienstleistungen GmbH sei ein deutsches Gebäudedienstleistungsunternehmen mit 19 Niederlassungen, das „über tausend Mitarbeiter und Mitarbeiterinnen" beschäftige. Schon dieses Detail zeigt, wie vorsichtig solche Einträge zu lesen sind: Nach den eigenen Geschäftszahlen des Unternehmens für 2024 sind es nicht „über tausend", sondern rund 5.775 Beschäftigte – die Beschreibung untertreibt die tatsächliche Größe also deutlich.

Konkrete Angaben zum Umfang der angeblich erbeuteten Daten, Datenproben oder ein Countdown lassen sich derzeit nicht unabhängig verifizieren. Zwischen mutmaßlicher Kompromittierung und Veröffentlichung vergehen bei LockBit5 im Schnitt rund 38 Tage – ein etwaiger Angriff könnte also bereits Wochen zurückliegen.

Wichtig zur Einordnung: Alle Angaben rund um solche Leak-Einträge stammen aus der Sphäre der Täter oder aus automatisierten Systemen und sind entsprechend vorsichtig zu bewerten. Fest steht bislang nur, dass der Eintrag existiert.

Die GIES Dienstleistungen GmbH ist ein Familienunternehmen aus dem hessischen Stadtallendorf und einer der größeren Anbieter für Gebäudedienstleistungen und Facility Management in Deutschland. Gegründet wurde der Betrieb 1970 von Katharina und Oskar Gies, die zunächst mit der Reinigung in Industrieunternehmen begannen; ein bedeutender Auftrag bei Ferrero Deutschland gilt als früher Wachstumstreiber. Heute wird das Unternehmen nach eigenen Angaben in dritter Generation familiengeführt – als geschäftsführende Gesellschafter treten u. a. Adrian, Helmut, Götz, David und Marco Gies auf. Die Gesellschaft ist beim Amtsgericht Marburg unter HRB 3412 eingetragen (Sitz: Oderstr. 21–23, 35260 Stadtallendorf).

Aus dem einstigen Reinigungsbetrieb ist eine bundesweit tätige Unternehmensgruppe geworden. Nach dem Geschäftsbericht 2024 umfasst sie 19 Niederlassungen und 26 Stützpunkte, dazu Tochter- und Servicegesellschaften; einen Teil des Klinikgeschäfts betreibt GIES über gemeinsame Servicegesellschaften mit Krankenhäusern (häufig im 51/49-Modell). Das Leistungsspektrum reicht weit über die klassische Gebäudereinigung hinaus: Unterhalts-, Glas- und Industriereinigung, Klinik- und Praxisreinigung sowie Reinraum- und Hochsicherheits­labor-Management, Verpflegung und Catering, Personaldienste, Logistik und Patiententransporte, Sicherheits­dienste, Grünpflege sowie Facility Management für Industrie, Verwaltung, Bildung und Forschung.

Organisiert ist das Geschäft in spezialisierten Marken: proCare für Kliniken, proVita für Senioreneinrichtungen, proEconomy für Industrie und Verwaltung sowie proScience für Bildungs- und Forschungseinrichtungen. Beim Qualitäts- und Umweltmanagement verweist GIES auf Zertifizierungen nach ISO 9001, ISO 14001 und ISO 45001, für den Bereich Senioreneinrichtungen zusätzlich auf eine MDK-Zertifizierung.

Hinweis: Die Angaben stammen aus dem veröffentlichten Geschäftsbericht 2024 sowie aus öffentlichen Firmen- und Registerauskünften. Größter Umsatzanteil (2024) entfällt mit gut 60 Mio € auf Kliniken/Pflege/Senioren, gefolgt von Industrie und Verwaltung (~38 Mio €) sowie Universitäten und Forschung (~25 Mio €).

Auf den ersten Blick wirkt ein Reinigungs- und Servicebetrieb wie ein untypisches Ransomware-Ziel. Tatsächlich ist ein bundesweit tätiger Facility-Dienstleister aus mehreren Gründen aber ein lohnendes Angriffsziel:

Ein Angriff auf einen Dienstleister bedeutet nicht automatisch, dass dessen Kunden kompromittiert wurden. Bei einem Anbieter, der schwerpunktmäßig im Gesundheits- und Forschungsumfeld arbeitet, verdient ein Leak-Eintrag aber besondere Aufmerksamkeit – gerade weil hier Personal-, Patienten- und Objektdaten zusammenkommen können.

LockBit zählt zu den langlebigsten und erfolgreichsten Ransomware-Operationen überhaupt. 2019 unter dem Namen „ABCD" gestartet, etablierte die Gruppe ab 2020 ein Ransomware-as-a-Service-Modell mit Leak-Seite und Double Extortion und dominierte über Jahre die weltweiten Opferstatistiken. Nach Angaben des US-Justizministeriums: > 2.500 Opfer in mindestens 120 Ländern, mindestens 500 Mio $ Lösegeld. Im Februar 2024 gelang mit der „Operation Cronos" ein spektakulärer Schlag gegen die Infrastruktur; im Mai 2024 wurde der mutmaßliche Kopf Dmitry Khoroshev („LockBitSupp") in den USA angeklagt (Kopfgeld bis zu 10 Mio $).

Doch die Zerschlagung war nicht das Ende: Im September 2025 tauchte LockBit 5.0 (intern „ChuongDong") auf, seit dem 5. November 2025 läuft eine neue Leak-Seite. Die Variante zielt auf Windows, Linux, VMware ESXi und Proxmox, verbreitet sich domänenweit über Gruppen­richtlinien und PsExec und bringt Anti-Recovery-Mechanismen mit. Stand Juli 2026 laut ransomware.live rund 320 gelistete Opfer in 68 Ländern seit dem Neustart; am stärksten betroffene Länder: USA, Brasilien, Italien.

Moderne Erpressungsgruppen setzen auf Double Extortion: erst Daten kopieren, dann verschlüsseln – zahlt ein Unternehmen nicht, wandert der Name auf die Leak-Seite. Ein Eintrag ohne Datenbeweise kann verschiedenes bedeuten: ein frühes Druckmittel in laufenden Verhandlungen, eine Ankündigung späterer Veröffentlichungen oder eine unbelegte Behauptung. Nicht jede Listung mündet in einem tatsächlichen Datenleck.

Unabhängig davon, ob ein Datenabfluss bestätigt ist, empfiehlt sich aus Vorsicht:

Bei einem Unternehmen dieser Größenordnung – rund 149 Mio € Umsatz und etwa 5.775 Beschäftigte – liegt der branchenübliche IT-Budget-Rahmen bei personalintensiven Dienstleistern typischerweise bei 1–3 % des Umsatzes, also grob 1,5–4,5 Mio € p. a. Das BSI empfiehlt davon rund 20 % gezielt für Sicherheit – rechnerisch 300.000 – 900.000 € p. a. allein für Informationssicherheit.

Womit dieses Geld sinnvoll eingesetzt wäre, beschreibt der gemeinsame „#StopRansomware"-Leitfaden von CISA, FBI, NSA und MS-ISAC – und deckt sich weitgehend mit den Empfehlungen des BSI: phishing-resistente MFA, offline gespeicherte verschlüsselte Backups (3-2-1) mit Restore-Tests, konsequentes Patch-Management, gehärtete RDP-/Fernwartungs­zugänge (≥ 15 Zeichen, MFA), Netzsegmentierung, Awareness-Schulungen und ein getesteter Incident-Response-Plan.

Wichtig: Ob und in welchem Umfang bei GIES tatsächlich in IT-Sicherheit investiert wurde, ist öffentlich nicht bekannt – die Zahlen sind eine branchenübliche Einordnung und keine Aussage über das konkrete Unternehmen.

Ransomware-Gruppen wählen ihre Opfer längst nicht mehr nur nach Größe oder Bekanntheit. Entscheidend ist, ob ein Unternehmen erfolgreich kompromittiert werden kann – und da Angriffe bei RaaS-Modellen von vielen unabhängigen Akteuren massenhaft und teils opportunistisch durchgeführt werden, geraten Dienstleister aus vermeintlich unauffälligen Branchen wie Reinigung, Catering und Facility Management genauso ins Visier wie klassische Industrie- oder IT-Unternehmen. Personalintensive Dienstleister sind dabei doppelt interessant: Sie verwalten die Daten tausender Beschäftigter und sind zugleich eng mit vielen Kundenorganisationen verflochten.