GURR Abdichtungstechnik GmbH im Darknet gelistet: Qilin behauptet Datendiebstahl beim Bau-Spezialisten
Am 25. Juli 2026 tauchte GURR Abdichtungstechnik GmbH auf der Leak-Seite der Ransomware-Gruppe Qilin auf. Belegt ist zunächst nur die Veröffentlichung durch die Tätergruppe – nicht, welche Systeme betroffen sind oder ob ein bestätigter Datenabfluss vorliegt. Bekannte Eckdaten: 44 Beschäftigte, 11,70 Mio. € Bilanzsumme und 1,04 Mio. € Jahresüberschuss (2024).
Belegt ist die Listung – nicht der Angriff
Am 25. Juli 2026 tauchte GURR Abdichtungstechnik GmbH auf der Darknet-Leak-Seite der Ransomware-Gruppe Qilin auf. Die Täter behaupten Datendiebstahl; Datenmenge, konkrete Lösegeldforderung und Angriffsweg sind nicht öffentlich. Eine offizielle Stellungnahme des Unternehmens lag bis Redaktionsschluss nicht vor.
GURR Abdichtungstechnik GmbH ist ein Bau-Spezialist mit 44 Beschäftigten, 11,70 Mio. € Bilanzsumme und 1,04 Mio. € Jahresüberschuss (2024). Bereits diese Größenordnung macht deutlich: Ein IT-Sicherheitsbudget von 50.000–80.000 € pro Jahr ist branchenüblich – und wäre gegenüber einem Ransomware-Schaden im sechs- bis siebenstelligen Bereich eine hoch rentable Investition.
Quelle Zahlen: veröffentlichte Bilanzkennzahlen 2024 (Bilanzsumme, Jahresüberschuss). Qilin-Listung: Leak-Seite der Gruppe, öffentliche Beobachtung 25.07.2026.
Übersicht: Qilin-Listung GURR Abdichtungstechnik GmbH am 25.07.2026 – 44 Beschäftigte, 11,70 Mio. € Bilanzsumme, 1,04 Mio. € Jahresüberschuss 2024, empfohlenes IT-Sicherheitsbudget 50–80 Tsd. € / Jahr.
Was belegt ist – und was nicht
| Aussage | Status |
|---|---|
| GURR Abdichtungstechnik GmbH auf Qilin-Leak-Seite gelistet | belegt (25.07.2026) |
| Qilin behauptet Datendiebstahl | Täterbehauptung |
| Konkrete Datenmenge / Lösegeld | nicht öffentlich |
| Verschlüsselung von Systemen | nicht bestätigt |
| Betriebsbeeinträchtigungen | nicht bekannt |
| Öffentliche Stellungnahme GURR Abdichtungstechnik GmbH | lag bis Redaktionsschluss nicht vor |
| Angriffsweg (Phishing, VPN, RDP, MFA-Lücke) | nicht bekannt |
Eine Erwähnung auf einer Leak-Seite ist zunächst nur eine Behauptung der Täter, kein Beleg für einen erfolgreichen Angriff oder Datenabfluss. Vor einer Veröffentlichung sollte GURR Abdichtungstechnik GmbH Gelegenheit zur Stellungnahme erhalten.
Kennzahlen zum Unternehmen auf einen Blick
Bilanzsumme ≠ Jahresumsatz. Bei einem Bau-Spezialisten dieser Größenordnung liegen Umsatzerlöse und Bauleistung projektabhängig oft deutlich über der Bilanzsumme, weil ein Großteil der Wertschöpfung durchgeleitete Nachunternehmer- und Materialleistungen sind.
Welche Datenkategorien bei einem Bau-Spezialisten besonders sensibel sind
Ob im konkreten Fall Daten abgeflossen sind, ist offen. Grundsätzlich verarbeitet ein Bauunternehmen dieser Größenordnung folgende Datenarten:
Gerade Kalkulationsdaten und Nachunternehmerverträge sind für Wettbewerber und Erpresser besonders wertvoll – ein Leak könnte laufende Ausschreibungen und Vertragsverhandlungen konkret beschädigen.
Wer oder was ist Qilin?
Qilin, früher als Agenda bekannt, ist ein seit 2022 beobachtetes Ransomware-as-a-Service-Modell. Eine Kerngruppe entwickelt Schadsoftware und Infrastruktur; angeschlossene Affiliates führen die Angriffe durch. Nach der Zerschlagung von LockBit und ALPHV ist Qilin 2026 die aktivste Ransomware-Operation weltweit. Die Baubranche gehört mit über 120 gelisteten Opfern zu den Top-5-Zielen der Gruppe.
Ausführliches Profil im Wasacon-Steckbrief: Qilin Ransomware – Darkweb-Profil & Opfer-Wall.
So läuft ein typischer Qilin-Angriff ab
Für den konkreten Vorfall ist der Angriffsweg unbekannt. Forensische Untersuchungen anderer Qilin-Vorfälle zeigen aber ein wiederkehrendes Muster:
Qilin nutzt Spear-Phishing, gestohlene VPN-/RDP-/Citrix-Credentials und ungepatchte Fernzugänge. In dokumentierten Fällen wurde VPN ohne MFA missbraucht – ein Muster, das gerade im Mittelstand der Baubranche verbreitet ist.
Bei dokumentierten Qilin-Fällen hielten sich die Angreifer teils über zwei Wochen im Netzwerk auf, bevor die Ransomware gezündet wurde. Ziel: Admin-Konten, Passwort-Tresore, Domänenrechte.
Legitime Fernwartungssoftware, PsExec, SMB, RDP – Ausbreitung über Windows- und Linux-Systeme, gezielt auch auf VMware-ESXi-Infrastrukturen von Bauunternehmen.
Archivierung mit WinRAR/7-Zip, Transfer via Rclone/MegaSync zu externen Speichern. Projektunterlagen, Kalkulationen und Verträge sind kompakt und erpresserisch besonders wertvoll.
AV/EDR deaktivieren, Ereignisprotokolle leeren, Volume-Shadow-Copies löschen, Backup-Systeme angreifen.
Locker in Rust/Go, doppelte Erpressung: Verschlüsselung + Leak-Seiten-Countdown. Zusätzliche Druckmittel: „Call-Lawyer“-Funktion und DDoS.
Vier realistische Szenarien
Qilin hat Ordner kopiert, aber nicht verschlüsselt. Betrieb läuft, Datenumfang wird intern geprüft.
Einzelne Fileserver, Projekt- oder Mail-Systeme betroffen. Baustellenbetrieb bleibt teilweise erhalten.
Zentrale Systeme (ERP, Kalkulation, Buchhaltung, Mail) betroffen. Projekte, Abrechnungen und Zahlungsläufe unter Druck.
Qilin übertreibt Umfang oder Erfolg des Zugriffs – auch das kommt im Ransomware-Umfeld regelmäßig vor.
Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.
Warum die Baubranche für Ransomware besonders attraktiv ist
- ▸Projektgeschäft mit festen Terminen: Ein IT-Ausfall bedeutet sofort Baustopp, Verzugsstrafen und Ärger mit Auftraggebern – der Zahlungsdruck ist enorm.
- ▸Viele externe Beteiligte (Architekten, Statiker, Nachunternehmer, Behörden) mit Zugriff auf E-Mail und Portale – große Angriffsfläche für Phishing.
- ▸Historisch gewachsene IT mit teils veralteten Fachanwendungen (Kalkulation, AVA, ERP), oft ohne moderne Endpoint-Absicherung.
- ▸Baustellen-Netzwerke, Fernwartungen und WLANs sind selten segmentiert – ein kompromittiertes Notebook wird schnell zum Sprungbrett ins Kernnetz.
- ▸Hohe Ertragslage in vielen mittelständischen Bauunternehmen (im Fall GURR Abdichtungstechnik GmbH: 1,04 Mio. € Jahresüberschuss) macht sechs- bis siebenstellige Lösegeldforderungen aus Tätersicht plausibel.
Modellrechnung: Was ein Ransomware-Fall bei 44 Beschäftigten kosten kann
Die folgenden Werte sind branchenübliche Modellwerte für einen mittelständischen Bau-Spezialisten – keine belegten Aufwendungen von GURR Abdichtungstechnik GmbH. Sie basieren auf Erfahrungswerten aus dokumentierten Ransomware-Vorfällen im deutschen Mittelstand.
| Kostenblock | Modellbetrag |
|---|---|
| Produktivitätsausfall (10–21 Tage, 44 MA) | 150.000–350.000 € |
| Vertragsstrafen, Verzug, Nachunternehmer | 80.000–300.000 € |
| Externe Forensik & Incident Response | 60.000–180.000 € |
| IT-Wiederaufbau (Server, AD, Backups, Clients) | 80.000–200.000 € |
| Rechtsberatung, Datenschutzmeldungen | 20.000–60.000 € |
| Krisenkommunikation, Kunden-/Behördeninformation | 10.000–40.000 € |
| Möglicher Reputationsschaden (verlorene Ausschreibungen) | 50.000–500.000 € |
| Summe realistisches Schadenband | ≈ 450.000–1.600.000 € |
Zum Vergleich: Ein laufendes Sicherheitsbudget von 50.000–80.000 € pro Jahr entspricht weniger als 8 % des unteren Schadenbands. Selbst ein einziger verhinderter Vorfall amortisiert diese Investition mehrfach.
Risikoorientiertes IT-Sicherheitsbudget für einen Bau-Spezialisten dieser Größe
Plus ggf. 30.000–120.000 € einmalige Modernisierung (Firewall, Identitäten, Backup-Infrastruktur). Ein nachhaltiges Cybersecurity-Budget von 50.000–80.000 € / Jahr ist für einen mittelständischen Bau-Spezialisten mit 44 Beschäftigten realistisch und branchenüblich.
Sofortmaßnahmen mit hoher Wirkung
VPN, Microsoft 365, Admins, Cloud, Fernwartung, externe Dienstleister – phishingresistente Schlüssel für Privilegierte.
Externer MDR-Dienstleister für Endpunkte, Identitäten, Firewalls, Cloud-Protokolle. Ziel: Anomalien vor der Verschlüsselung erkennen.
Getrennt von AD und Produktion, geschützt gegen Löschung, regelmäßig vollständig zurückgesichert.
Buchhaltung, Kalkulation, Baustellen-VPN, Fernwartung, Backup-Infrastruktur strikt getrennt.
Für Windows-Clients, Server, Firewalls, VPN- und ESXi-Systeme – dokumentiert und mit Testfenstern.
Incident-Response-Plan mit externen Forensikern, Datenschutz, Rechtsberatung und geübten Wiederanlaufplänen.
Was GURR Abdichtungstechnik GmbH jetzt transparent beantworten sollte
Bei personenbezogenen Daten mit Risiko: Art. 33 DSGVO – Meldung an die Aufsichtsbehörde binnen 72 Stunden. Bei hohem Risiko zusätzlich Art. 34 DSGVO (Benachrichtigung Betroffener).
Wasacon-Perspektive: Warum die Baubranche jetzt handeln muss
Ein Bau-Spezialist mit 44 Beschäftigten steht im Fadenkreuz von Gruppen wie Qilin nicht wegen einer angeblichen „strategischen Bedeutung“, sondern wegen des projektgetriebenen Zahlungsdrucks und der historisch gewachsenen IT-Landschaft. Die Kombination aus knappen Bauterminen und veralteten Fernzugängen ist aus Angreifersicht ideal – und aus Verteidigersicht das Erste, das gehärtet werden muss.
Konkret heißt das für Bauunternehmen: strukturierte Zugriffs- und Rechtekonzepte mit MFA, unveränderbare Offsite-Backups mit echten Rücksicherungstests und ein externer IT-Betrieb mit MDR-Überwachung, Patch- und Änderungsmanagement.
FAQ zur Qilin-Listung GURR Abdichtungstechnik GmbH
Fazit
Die Darknet-Listung von GURR Abdichtungstechnik GmbH bei Qilin ist ernst zu nehmen, aber noch kein Beweis für einen erfolgreichen Angriff oder einen tatsächlichen Datenabfluss. Belegt ist zum jetzigen Zeitpunkt nur, dass die Tätergruppe das Unternehmen öffentlich als Opfer beansprucht.
Entscheidend sind jetzt die Fragen nach einer bestätigten Kompromittierung, betroffenen Daten, Betriebsbeeinträchtigungen, Behördenmeldungen und möglichen Hinweisen an Kunden und Beschäftigte. Für die Baubranche insgesamt ist der Fall ein weiterer Weckruf: Ein IT-Sicherheitsbudget von 50–80 Tsd. € pro Jahr ist keine Luxusausgabe – es ist die günstigste Position im Vergleich zu einem realen Ransomware-Fall.
Stand: 25. Juli 2026. Sämtliche Angaben der Täterseite sind unbestätigt. Quellen: Qilin-Leak-Seite (öffentliche Beobachtung), veröffentlichte Bilanzkennzahlen 2024, BSI-Lageberichte, HHS.gov (Qilin-Warnungen 2024).
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
