HRC-Gruppe gehackt? Akira droht mit Veröffentlichung
HRC Sicherheitsdienste GmbH auf Darknet-Leak-Seite – Cyberkriminelle behaupten Zugriff auf sensible Unternehmensdaten
Wichtig (rechtlich sauber): Bei den hier dargestellten Informationen handelt es sich derzeit ausschließlich um Angaben der Erpressergruppe auf einer Darknet-Leak-Seite. Eine offizielle, unabhängig bestätigte Stellungnahme des Unternehmens HRC liegt zum Zeitpunkt der Veröffentlichung dieses Beitrags nicht vor.
Auf einen Blick
Der nächste deutsche Unternehmensname taucht auf einer Leak-Seite im Darknet auf: HRC Sicherheitsdienste GmbH. Verantwortlich für die Listung zeichnet die berüchtigte Akira-Ransomware-Gruppe – eine Crew mit mehr als 1.500 bekannten Opfern in über 70 Ländern. Brisant: Es geht nicht um einen Einzelbetrieb, sondern um eine Unternehmensgruppe mit verbundenen Gesellschaften und potenziell hochsensiblen Daten – von Schichtplänen über Objektzugänge bis hin zu Alarmkonzepten.
Unternehmensprofil: HRC Sicherheitsdienste GmbH
// Eckdaten · Hamburg · Mittelstand
Die HRC Sicherheitsdienste GmbH mit Sitz in Hamburg ist Teil der HRC-Gruppe. Als mittelständisches Familienunternehmen beschäftigt die Gesellschaft schätzungsweise zwischen 50 und 145 Mitarbeitende – abhängig von Auftragslagen und eingesetzten Subunternehmern – und erwirtschaftet einen Jahresumsatz im unteren einstelligen Millionenbereich (geschätzt bei rund 2 Millionen Euro).
Sollte – wie aus der Listung nicht ableitbar, aber technisch denkbar – die gesamte HRC-Gruppe (inkl. HRC Gebäudedienste GmbH und AST) betroffen sein, läge der konsolidierte Umsatz und die Mitarbeiterzahl deutlich höher. Genau diese Größenordnung – groß genug für sechs- bis siebenstellige Lösegeldforderungen, aber meist ohne eigenes 24/7-SOC – entspricht dem klassischen Beuteschema von Akira.
Die HRC-Unternehmensgruppe
Auf der Leak-Seite wird konkret „HRC Sicherheitsdienste GmbH" genannt. In der Unternehmensgruppe finden sich jedoch weitere Gesellschaften, die organisatorisch und potenziell auch IT-seitig eng verzahnt sind:
HRC Sicherheitsdienste GmbH
Klassische Sicherheitsdienstleistungen: Objekt-, Werk-, Veranstaltungsschutz, Empfangs- und Streifendienste.
HRC Gebäudedienste GmbH
Gebäudedienstleistungen mit Sitz in Hamburg. Mittelständisches Familienunternehmen – Eckdaten siehe Profil oben.
AST
Weitere Gesellschaft im Unternehmensumfeld – ergänzt das Leistungsspektrum der Gruppe.
Mögliche IT-Verzahnung
Geteilte Domains, M365-Tenants, Personal- oder ERP-Systeme können Vorfälle gruppenweit verstärken.
💡 Wichtig: Aus der reinen Listung lässt sich nicht ableiten, ob nur die HRC Sicherheitsdienste GmbH oder die gesamte Gruppe betroffen ist. In der Praxis greifen gemeinsame AD-, Mail- und Backup-Systeme aber häufig auf alle Tochtergesellschaften durch.
Status des Vorfalls
Unternehmen (genannt)
HRC Sicherheitsdienste GmbH
Angreifer
Akira-Ransomware
Status
Listung aktiv – unbestätigt
Veröffentlichung
Leak-Seite im Tor-Netzwerk
Bedrohungsprofil: Akira-Ransomware
Akira ist seit 2023 aktiv und gehört zu den derzeit produktivsten Ransomware-Operationen. Sicherheitsforscher zählen mittlerweile mehr als 1.500 Opfer in über 70 Ländern. Deutschland gehört regelmäßig zu den am stärksten betroffenen Ländern weltweit – häufig auf Platz 3 der Opferstatistiken.
Technisches Profil
Zwei Code-Basen
Klassische C++-Variante mit Endung .akira – ergänzt durch eine neuere Rust-Variante intern oft als 'megazord.exe' bezeichnet.
Initialer Zugriff
Brute-Force gegen Cisco-VPN ohne MFA, Ausnutzen bekannter Lücken (u. a. CVE-2019-6693, CVE-2022-40684) und gekaufte Zugänge.
Lateral Movement
Living-off-the-Land mit Standard-Admin-Tools, AnyDesk/RustDesk, Ausnutzen von Domain-Trusts, Kerberoasting.
Double Extortion
Massive Exfiltration vor der Verschlüsselung – Druck über Leak-Seite und individuelle Chats im Tor-Netz.
Ransom-Note (Auszug, anonymisiert)
Die Akira-Crew adressiert ihre Opfer in einem standardisierten, fast nüchtern wirkenden Ton. Aus Sicherheitsgründen veröffentlichen wir keine Onion-URLs und keine Chat-Codes. Auszug:
Hi friends, Whatever who you are and what your title is — if you're reading this it means the internal infrastructure of your company is fully or partially dead, all your backups — virtual, physical — everything that we managed to reach — are completely removed. Moreover, we have taken a great amount of your corporate data prior to encryption. [...] If you're indeed interested in our assistance and the services we provide you can reach out to us following simple instructions: 1. Install TOR Browser to get access to our chat room. 2. Paste this link — [redacted .onion address] 3. Use this code — [redacted] — to log into our chat. Keep in mind that the faster you will get in touch, the less damage we cause.
🧠 Psychologie der Erpressung: Die Note simuliert Hilfsbereitschaft („our assistance and the services we provide") und erzeugt Zeitdruck. Das ist Teil des Playbooks – nicht Ausdruck echter Kooperationsbereitschaft.
Warum Angriffe auf Sicherheitsunternehmen besonders kritisch sind
Sicherheitsdienstleister verwalten in vielen Fällen Datenbestände, die für Dritte hochsensibel sind. Im Worst Case sprechen wir hier nicht über klassische Office-Dokumente, sondern über:
Personal- & Schichtdaten
Mitarbeiterlisten, Dienstpläne, Qualifikationen, Sachkundenachweise, Ausweisnummern.
Kundenobjekte & Adressen
Liegenschaften, Bewachungsobjekte, Werkschutzaufträge, Veranstaltungen, Empfangsdienste.
Alarm- & Zutrittskonzepte
Streifenrouten, Alarmpläne, Eskalationsketten, Schließpläne, Schlüssel- und Zylinderübersichten.
Video- & Telemetriedaten
Aufzeichnungen aus Leitstellen, Bewegungsmuster, Wachpfade, ggf. Kennzeichendaten.
Verträge & Korrespondenz
Rahmenverträge, SLA-Dokumente, Sonderkonditionen, interne Mails, Angebote.
Finanz- & Steuerdaten
Buchhaltung, Lohndaten, Sozialversicherungsnummern, Bankverbindungen.
🚨 Brisanz: Werden Schließpläne, Streifenrouten oder Alarmkonzepte öffentlich, entsteht ein physisches Folgerisiko – nicht nur ein digitales.
Moderne Erpressung funktioniert heute anders
Akira folgt dem inzwischen klassischen Muster moderner Ransomware-Operationen. Das eigentliche Verschlüsseln ist nur der letzte Schritt einer langen Kette:
Initialer Zugriff
Phishing, gekaufte Credentials, Brute-Force gegen VPN ohne MFA oder bekannte Lücken in Edge-Devices.
Persistenz & Privilegien
Erstellen versteckter Admin-Accounts, Abuse von AD-Rechten, RMM-Tools wie AnyDesk/RustDesk.
Lateral Movement & Recon
Mapping der IT-Landschaft, Identifikation von Backups, Dateiservern, ERP, HR-Systemen.
Datenexfiltration
Wochenlange, unauffällige Übertragung sensibler Datenbestände in Cloud-Buckets.
Verschlüsselung + Erpressung
Erst jetzt fällt es auf: Systeme stehen still, Backups sind gelöscht, eine Leak-Seite listet das Unternehmen.
💣 Konsequenz: Wer erst beim sichtbaren Schaden reagiert, ist im Median bereits mehrere Wochen kompromittiert.
Social Engineering bleibt das Haupteinfallstor
In der Mehrzahl moderner Vorfälle ist nicht der Zero-Day das Problem – sondern der menschliche Faktor in Verbindung mit fehlenden technischen Leitplanken. Typische Angriffsvektoren 2026:
- Phishing-Mails mit perfektem Deutsch, generiert über LLMs
- Voice-Cloning und Deepfake-Calls von angeblichen Vorgesetzten
- Falsche IT-Techniker, die per Teams oder vor Ort Hilfe „anbieten“
- MFA-Fatigue-Angriffe gegen Mitarbeiter mit schwacher MFA-Konfiguration
- Missbrauch von RMM- und Remote-Tools (AnyDesk, RustDesk, ScreenConnect)
⚠️ Gerade in Sicherheitsunternehmen mit dezentralen Teams, Schicht- und Bereitschaftsdiensten ist die Angriffsfläche besonders breit.
Was Unternehmen jetzt konkret tun sollten
Der Fall HRC zeigt einmal mehr: Cyberangriffe folgen 2026 industriellen Mustern. Mittelständische Unternehmen – insbesondere mit sensiblen Datenbeständen – müssen die Basics beherrschen und aktive Erkennung etablieren.
- Phishing-resistente MFA (FIDO2/Passkeys) auf allen externen Zugängen, kein SMS-Fallback.
- Netzwerksegmentierung zwischen Office, Leitstelle, ERP/HR und Backup-Systemen – keine flache Domäne.
- Aktive Angriffserkennung über EDR/XDR mit 24/7-Monitoring statt klassischem Antivirus.
- Externe Zugänge härten: VPN nur mit MFA + Conditional Access, RDP niemals direkt im Internet, RMM-Tools per AppLocker/WDAC kontrollieren.
- Awareness-Programme gegen Phishing, Deepfakes und falsche IT-Techniker – inklusive Tabletop-Übungen.
- Immutable Offline-Backups mit regelmäßigen Restore-Tests, getrennt vom produktiven AD.
- Regelmäßige Penetrationstests und Compromise-Assessments.
- Klare Incident-Response-Playbooks – inkl. Kommunikation an Kunden und DSGVO-Meldung.
Bislang keine offizielle Stellungnahme
Zum Zeitpunkt der Veröffentlichung dieses Beitrags ist offiziell unklar:
- ob es sich um einen tatsächlich erfolgreichen Angriff handelt
- ob alle Gesellschaften der HRC-Gruppe betroffen sind
- welche Datenarten tatsächlich abgeflossen sind
- ob Kunden, Partner oder Mitarbeitende bereits informiert wurden
Sollten neue technische Details oder eine offizielle Stellungnahme bekannt werden, aktualisieren wir diesen Beitrag entsprechend.
Bereit für den nächsten Akira-ähnlichen Angriff?
Wir prüfen pragmatisch, ob Ihre externen Zugänge, Backups und Endpoints gegen moderne Ransomware-Operationen wie Akira gehärtet sind – und wo Sie aktuell verwundbar wären.
Häufige Fragen
Mehr aus der Ransomware- & Darknet-Themenwelt
Aktuelle Darknet-Listings, Ransomware-Analysen und Notfall-Anleitungen aus dem Wasacon-Blog.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
