Nächste mutmaßliche Cyberattacke trifft deutsche Industrie
Die Ransomware-Gruppe „Lamashtu" hat die H-W-G GmbH aus Renningen und das Unternehmen ACROS SPORT auf ihrer Leak-Seite im Darknet veröffentlicht – mit der Behauptung, große Mengen interner Unternehmensdaten entwendet zu haben.
Besonders brisant: Der angebliche Datensatz soll nicht nur klassische Office-Dokumente enthalten, sondern tief in Produktion, Konstruktion und interne Unternehmensprozesse reichen. Die Täter sprechen von zehntausenden Dateien aus mehreren Jahren Unternehmensbetrieb.
Wer ist H-W-G?
Die H-W-G GmbH mit Sitz in Renningen bei Stuttgart wurde 1982 von Horst Weidner in Leonberg gegründet. Zunächst als Handelshaus aktiv, brachten gestiegene Bedarfe an Sonderteilen schnell eine eigene Fertigung. 1997 erfolgte der Umzug ins neu errichtete Firmengebäude in Renningen – Entwicklung, Verwaltung, Produktion und Montage unter einem Dach. Bereits sechs Jahre später musste das Gebäude erweitert werden.
Seit Anfang 2012 führt Frank Weidner das Familienunternehmen in zweiter Generation. Heute fertigt H-W-G Wälzlager, Sonderlagerungen und komplette Lösungssysteme für Kunden weltweit – mit CNC-Maschinen der neuesten Generation und hochwertigen Prüf- und Messeinrichtungen.
Das Portfolio reicht von Sonder- und Keramikwälzlagern über Hybrid-, Miniatur- und Dünnringkugellager bis hin zu Rillen-, Schräg- und Pendelkugellagern, Laufrollen, Kurvenrollen, Axiallagern und Nadellagern. Leistungen wie Beratung & Konstruktion, Qualitätssicherung, Umweltmanagement, Systemlösungen, Sonderbefettung, Produktion und Montage kommen aus einer Hand.
Anspruchsvolle Zielbranchen
- DIN EN ISO 9001:2015 – Qualitätsmanagement
- DIN EN ISO 14001:2015 – Umweltmanagement
- DIN 625 – Wälzlagerproduktion
- Individuelle Prüfparameter (Losbrechmomente, Geräuschwerte, Rundlaufgenauigkeiten)
Genau diese Qualität macht das Unternehmen für Kunden wertvoll – und für Angreifer interessant: Daten aus Konstruktion und Qualitätssicherung sind im Cybercrime-Markt extrem gefragt.
ACROS SPORT – mehr als nur Sportartikel
Der zweite Name auf der Leak-Seite ist die ACROS SPORT GmbH. Das Unternehmen agiert laut den veröffentlichten Informationen als technischer Distributor und Zulieferer für elektronische Komponenten sowie logistische und technische Dienstleistungen.
Firmen, die mehrere technische Prozesse und Lieferketten koordinieren, besitzen häufig umfangreiche Datenbestände:
- Kundenlisten
- Rechnungsdaten
- Lieferantenstrukturen
- interne Kommunikationsdaten
- Vertragsunterlagen
- ERP- und Buchhaltungsdaten
Damit entstehen bei erfolgreichen Angriffen nicht nur Risiken für das Unternehmen selbst, sondern auch für Geschäftspartner und verbundene Systeme.
Wer ist Lamashtu? — Threat-Intel-Profil
Stand: 27. Mai 2026
Lamashtu ist eine Erpressungs-Gruppe, die erstmals im April 2026 in Erscheinung getreten ist. Die Gruppe reklamiert Angriffe gegen Organisationen in Frankreich, Rumänien und Thailand — vor allem in den Sektoren Energie, Pharma und Filmindustrie. Bisher ist nicht bestätigt, ob Lamashtu tatsächlich dateiverschlüsselnde Ransomware einsetzt oder ausschließlich auf Daten-Exfiltration und Erpressung setzt.
Quelle: aggregierte Threat-Intel-Daten aus Darknet-Leak-Seiten. Die Werte spiegeln öffentlich gelistete Opfer wider — die tatsächliche Opferzahl liegt erfahrungsgemäß höher.
Was Lamashtu veröffentlicht haben will
Die Gruppe beschreibt den angeblichen Leak als „substantial dataset from a German manufacturing operation". Die Beschreibung liest sich nicht wie ein kleiner Office-Datenabfluss, sondern wie ein tiefer Zugriff auf interne Unternehmensbereiche.
- Mitarbeiterakten
- Bewerbungsunterlagen
- interne Korrespondenz
- personenbezogene Dokumente
- Payroll- / DATEV-Daten
- Rechnungen
- Zahlungsläufe
- Leasingunterlagen
- Finanzberichte
- Jahresabschlüsse
- DATEV-Dokumente
- SolidWorks-CAD-Dateien
- Fertigungszeichnungen
- technische Spezifikationen
- Werkzeugdaten
- Produktionsmodelle
- Qualitäts- und Messprotokolle
Während klassische Ransomware früher hauptsächlich verschlüsselte, geht es heute oft um Datenabfluss und wirtschaftlichen Druck.
Warum gerade Fertigungsunternehmen angegriffen werden
Industrieunternehmen besitzen heute häufig eine gefährliche Mischung aus alten Produktionssystemen, modernen Cloud-Diensten, externen Wartungszugängen, VPN-Infrastrukturen, Office-IT und Maschinensteuerungen. Viele Produktionsnetzwerke wurden nie dafür gebaut, dauerhaft mit dem Internet verbunden zu sein.
Produktionsausfälle erzeugen enormen Zeitdruck – und damit höheren Erpressungsdruck.
Der Wandel der Ransomware-Szene
Früher wurden Systeme verschlüsselt. Heute gehen viele Gruppen strategischer vor – Angriffe laufen oft über Wochen:
Selbst wenn ein Unternehmen Backups besitzt, bleibt der Datenabfluss oft bestehen.
Die eigentliche Gefahr beginnt oft erst nach dem Leak
Viele Firmen unterschätzen, was nach einer Veröffentlichung im Darknet passiert. Geleakte Daten werden häufig weiterverkauft und mehrfach genutzt – für:
Gerade technische Dokumente und interne Ansprechpartner können später für weitere Angriffe genutzt werden – nicht nur gegen H-W-G oder ACROS SPORT, sondern gegen deren Kunden und Lieferanten.
Was Industrieunternehmen jetzt prüfen sollten
Der Fall zeigt erneut: Cybersecurity ist längst kein reines IT-Thema mehr. Es geht um Produktionssicherheit, Lieferketten, Betriebsfähigkeit, Datenschutz, wirtschaftliche Stabilität und Unternehmensreputation.
Wasacon-Einschätzung
Ob der Vorfall bei H-W-G und ACROS SPORT tatsächlich bestätigt wird oder nicht – die Listung zeigt, wie attraktiv deutsche Industrieunternehmen 2026 für professionelle Ransomware-Gruppen geworden sind. Wer CAD-Daten, Qualitätsprotokolle und Lieferantenstrukturen verarbeitet, muss davon ausgehen, dass Angreifer nicht nur Systeme verschlüsseln wollen – sondern komplette Unternehmensstrukturen analysieren und ausschlachten.
Sondern: „Wie lange wäre ein Angreifer bereits im Netzwerk, ohne entdeckt zu werden?"
Häufige Fragen zur Lamashtu-Listung
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Bevor CAD-Daten und Personalakten im Darknet landen – jetzt absichern
Wir segmentieren Office, Fertigung und Maschinen-OT, bringen EDR/XDR auf alle Endpunkte – inklusive Konstruktionsarbeitsplätze – und etablieren Darknet-Monitoring sowie immutable Backups. Damit eine Leak-Listung nicht der erste Hinweis auf einen längst laufenden Angriff ist.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
