GILDE Handwerk gehackt? Bocholter Traditionsunternehmen im Darknet aufgetaucht

Countdown zur angeblichen Datenveröffentlichung

Besonders auffällig ist ein Screenshot der Aurora-Leak-Seite, der zu dem Fall vorliegt. Unter dem Bereich „Data Publishing“ zeigte die Täterseite zum Zeitpunkt der Aufnahme einen laufenden Countdown von 4 Tagen, 12 Stunden, 32 Minuten und 48 Sekunden.

Solche Countdowns sind typisch für Double-Extortion-Angriffe: Die Angreifer versuchen nicht nur zu verschlüsseln, sondern behaupten zusätzlich, Daten kopiert zu haben. Wird nicht gezahlt, wird mit deren Veröffentlichung gedroht. Ob Aurora tatsächlich über die angekündigten Dateien verfügt, lässt sich durch einen Countdown allein nicht beweisen.

Der Countdown ist vor allem eines: ein psychologisches Druckmittel. Für ein betroffenes Unternehmen entsteht zusätzlich zum technischen Problem eine enorme zeitliche Belastung – IT-Forensik, Geschäftsführung, Datenschutzbeauftragte, Rechtsanwälte, Cyber-Versicherung, Behörden und Kommunikation müssen innerhalb weniger Tage zusammenarbeiten.

Täter veröffentlichen auch Kontaktdaten und Social-Media-Profile

Auf dem vorliegenden Screenshot zeigt Aurora zusätzlich Telefonnummer, E-Mail-Adresse, Website und Anschrift des Unternehmens sowie Verweise auf dessen Auftritte bei Instagram, Facebook und LinkedIn.

Interessant ist: Diese Daten sind keineswegs geheim. Telefonnummer, Anschrift und die genannte Export-Adresse werden auf der offiziellen Website des Unternehmens selbst öffentlich als Kontaktmöglichkeiten angegeben.

Das Unternehmen in Zahlen

Öffentlich verfügbare Größenordnungen – keine Angaben aus dem Vorfall.

Behauptung, Beleg oder offen?

Sollte sich das bestätigen, wäre es weit mehr als ein verschlüsselter Server

Bei klassischen Ransomware-Vorfällen denken viele zunächst an verschlüsselte Computer und einen Erpresserbrief. Die von Aurora behauptete Datenmenge würde jedoch auf eine andere Dimension hindeuten: Personalunterlagen über fast zwei Jahrzehnte, Steuerinformationen, Finanzunterlagen, Kunden- und Lieferantendaten sowie Warenwirtschaftsdaten wären nicht nur ein Verfügbarkeits-, sondern ein erhebliches Vertraulichkeits- und Datenschutzproblem.

Solche Informationen können auch Jahre später für Identitätsmissbrauch, Social Engineering, Spear-Phishing oder sehr glaubwürdige Betrugsversuche verwendet werden.

Wer ist GILDE HANDWERK eigentlich?

Das Unternehmen bezeichnet sich selbst als größtes Unternehmen der GILDE Gruppe. Ein frei zugänglicher, aktuell verifizierbarer exakter Jahresumsatz liegt nicht vor – deshalb bleibt es hier bei der Umsatzklasse. Rechnerisch entspricht diese Größenordnung rund 137.000–274.000 € Umsatz pro Kalendertag.

IT steckt bei einem solchen Betrieb in Warenwirtschaft, Einkauf, Lager und Logistik, Finanzbuchhaltung, Personalwesen, B2B-Vertrieb, Webshop, Lieferantenkommunikation und internationalen Geschäftsprozessen. Fallen zentrale Systeme mehrere Tage aus, entsteht schnell ein unternehmensweites Problem.

Aurora ist technisch auf maximale Störung ausgelegt

Das bedeutet nicht, dass Aurora keine Daten stehlen kann. Es bedeutet: Sollten größere Datenmengen abgeflossen sein, müssten dafür vermutlich zusätzliche Werkzeuge oder vorgelagerte Angriffsschritte eingesetzt worden sein. Verschlüsselung und Datendiebstahl sollten deshalb getrennt betrachtet werden.

Deutschland hat ein massives Ransomware-Problem

Bitkom beziffert den Schaden durch Datendiebstahl, Industriespionage und Sabotage für deutsche Unternehmen 2025 auf insgesamt 289,2 Milliarden Euro, davon rund 70 Prozent direkt Cyberattacken zugerechnet. Der Anteil der von Ransomware betroffenen Unternehmen stieg von 12 Prozent (2022) auf 34 Prozent.

Von den Unternehmen, die zahlten, entrichteten laut Bitkom 34 Prozent zwischen 100.000 und 500.000 Euro, weitere 12 Prozent zwischen 500.000 Euro und einer Million Euro, vier Prozent sogar mehr als eine Million Euro. Das Lösegeld ist dabei häufig nicht einmal der größte Schaden.

Was hätte ein Unternehmen dieser Größe investieren müssen?

Redaktionelle Modellrechnung für rund 180 Beschäftigte – keine bekannten Ausgaben von GILDE. Werte in Tausend Euro pro Jahr.

Hinzu kommen einmalige Investitionen, wenn Infrastruktur grundlegend modernisiert werden muss – Netzwerksegmentierung, neue Firewalls, Backup-Hardware, Identity-Projekte, zentrale Protokollierung oder eine neue Disaster-Recovery-Umgebung. Bitkom zufolge verwenden Unternehmen inzwischen durchschnittlich 18 Prozent ihres IT-Budgets für IT-Sicherheit und verweist gleichzeitig auf eine Empfehlung von 20 Prozent.

So können Sie sich vor Ransomware schützen

Die wichtigsten offenen Fragen

FAQ zur Aurora-Listung von GILDE Handwerk

Fazit: Die entscheidenden Fragen sind noch offen

Fest steht: GILDE HANDWERK Macrander GmbH & Co. KG wurde Anfang August 2026 von der Ransomware-Gruppe Aurora auf deren Leak-Infrastruktur genannt. RansomLook archiviert den Eintrag mit Datum 4. August 2026 und dokumentiert außergewöhnlich umfangreiche Täterbehauptungen. Ein Screenshot zeigt zudem einen Countdown bis zur angeblichen Veröffentlichung.

Nicht bestätigt ist damit, dass sämtliche genannten Daten tatsächlich aus den Systemen des Unternehmens stammen, dass die angegebenen Mengen korrekt sind oder auf welchem Weg ein möglicher Angriff erfolgt wäre. Behauptung und unabhängiger Nachweis sind zwei unterschiedliche Dinge.

Unabhängig vom weiteren Verlauf zeigt der Fall, welche wirtschaftlichen Dimensionen Cybersicherheit im deutschen Mittelstand erreicht hat. Ein Mittelständler kann jahrelang bei Cybersecurity sparen – bis zu dem Tag, an dem auf einer dunklen Website plötzlich der eigene Firmenname erscheint und darunter ein Countdown herunterläuft.

Redaktioneller Hinweis: Die Angaben zu angeblich entwendeten Daten beruhen auf Veröffentlichungen der Ransomware-Gruppe Aurora beziehungsweise deren Dokumentation durch Cyber-Threat-Intelligence-Dienste. Eine Nennung auf einer Ransomware-Leak-Seite beweist nicht automatisch, dass alle dort veröffentlichten Angaben korrekt sind. Die Modellrechnung zu möglichen IT-Sicherheitsinvestitionen stellt keine Aussage über die tatsächlich bei GILDE vorhandene Infrastruktur oder getätigte Investitionen dar. Öffentliche Kontaktdaten auf der Täterseite sind auch auf offiziellen Unternehmensseiten verfügbar und für sich genommen kein Beleg für eine Kompromittierung. Stand: 4. August 2026.