INTERNET AG gehackt? Frankfurter Hosting-Anbieter im Darknet bei „TheGentlemen“ aufgetaucht
Die INTERNET AG Global Network (inet.de) ist auf der Leak-Seite der Ransomware-Gruppe TheGentlemen erschienen. Wenn ein Hoster getroffen wird, hängen Kundenketten mit dran – was gesichert ist, was Behauptung bleibt und was Betroffene jetzt tun sollten.
Transparenz & Stand der Recherche
Stand: 11.07.2026 – unbestätigter Vorfall. Der Eintrag auf der TheGentlemen-Leak-Seite ist zunächst eine Behauptung der Täter – keine offizielle Bestätigung. Eine Listung belegt weder Umfang noch Echtheit der behaupteten Datenbeute. Opfer der Straftat ist zunächst die INTERNET AG selbst. Es liegt bislang keine Stellungnahme der INTERNET AG Global Network vor. Dieser Artikel wird laufend aktualisiert und eine Stellungnahme umgehend nachgereicht, sobald belastbare Informationen vorliegen.
Update-Historie
- 10.07.2026 — Listung auf der TheGentlemen-Leak-Seite mit Drohung einer bevorstehenden Veröffentlichung, sofern sich kein Unternehmensvertreter melde. Keine Datenproben, kein Countdown.
- 11.07.2026 — Wasacon veröffentlicht diese Einordnung. Der Beitrag wird bei neuen Erkenntnissen, einer Stellungnahme des Unternehmens oder einer etwaigen Datenveröffentlichung aktualisiert.
Das Wichtigste in Kürze
- INTERNET AG Global Network (inet.de) am 10.07.2026 auf der Leak-Seite von TheGentlemen gelistet.
- Täter drohen mit „vollständigem Leak“, falls sich kein Unternehmensvertreter melde – keine Datenproben, kein Countdown, Datenabfluss unbestätigt, keine Stellungnahme.
- Frankfurter Hosting- und Rechenzentrumsbetreiber, AG seit 2002, sehr kleines Haus, betreut Server, Domains und Kunden-IT für Geschäftskunden.
- Als IT-Dienstleister mit privilegierten Kundenzugängen potenzielles Lieferketten-Risiko – für Kundendaten gibt es aber keinerlei Beleg.
- TheGentlemen: seit Mitte 2025 aktive RaaS-Gruppe, Go-Locker inkl. ESXi-Variante, primäres Einfallstor Fortinet-Geräte (CVE-2024-55591), über 530 gelistete Opfer weltweit.
Status bei Sichtung: Eintrag mit Drohung einer bevorstehenden Veröffentlichung, sofern sich kein Unternehmensvertreter meldet; keine verifizierten Datenproben, kein Countdown (Stand 10.07.2026). Quelle: Threat-Intelligence-Meldung zur Leak-Seite. Wir verlinken bewusst nicht auf die Leak-Seite.
Was ist passiert?
Auf der Darknet-Leak-Seite von TheGentlemen wurde am 10. Juli 2026 ein neuer Eintrag zur INTERNET AG (inet.de) veröffentlicht. Die Täter drohen darin sinngemäß, den „vollständigen Leak“ in Kürze zu veröffentlichen, sofern sich kein Unternehmensvertreter über die angegebenen Kanäle melde. Konkrete Angaben zum Umfang der angeblich erbeuteten Daten, Datenproben oder ein Countdown liegen nicht vor.
Wichtig zur Einordnung: Das Datum der Listung markiert nur die Veröffentlichung auf der Leak-Seite, nicht zwingend den Zeitpunkt eines etwaigen Angriffs. Zwischen einer Kompromittierung und der öffentlichen Listung vergehen bei Ransomware-Gruppen häufig mehrere Wochen – oft die Phase, in der im Verborgenen verhandelt wird. Ein etwaiger Angriff könnte also bereits länger zurückliegen. Ob neben einem möglichen Datenabfluss auch Systeme verschlüsselt wurden, lässt sich von außen nicht beurteilen. Die Website des Unternehmens war zum Zeitpunkt der Recherche erreichbar.
Wer ist die INTERNET AG?
Die INTERNET AG Global Network mit Sitz am Wiesenhüttenplatz 26 in Frankfurt am Main ist ein auf Geschäftskunden spezialisierter Hosting- und Infrastrukturanbieter. Die Aktiengesellschaft wurde im März 2002 in das Handelsregister eingetragen (Amtsgericht Frankfurt am Main, HRB 54478), Vorstand ist Stefan Schellenberg. Das Unternehmen verfügt über eine eigene Wertpapierkennnummer (WKN 622989 / ISIN DE0006229891) – ein Relikt aus der Gründerzeit der frühen 2000er.
Das Leistungsportfolio liest sich wie ein Querschnitt kritischer IT-Grundversorgung für den Mittelstand:
- dedizierte Server („iNET Server“) und Serverhousing/Colocation
- klassisches Webhosting mit E-Mail, Datenbanken und Domainverwaltung
- Domainregistrierung im großen Stil – ab rund 500 Domains mit direkter DENIC-Anbindung (RRI)
- Firewall-, VPN-, Loadbalancer-, Monitoring- und Backup-Lösungen
- Standleitungen, SDSL-Anbindungen und Managed Services
Rechenzentrumsstandorte: eigenes Frankfurter Rechenzentrum plus Colocation-Flächen (u. a. InterXion, Ancotel) sowie Standorte in Stuttgart und Amsterdam. Beworben werden 99,9-Prozent-Verfügbarkeit, redundante Anbindung und 24/7-Bereitschaft. Wirtschaftlich ist die INTERNET AG ein kleines Haus: die zuletzt hinterlegte Bilanzsumme (Geschäftsjahr 2021) lag bei rund 750.000 Euro; Umsatz- und Mitarbeiterzahlen sind nicht öffentlich.
| Unternehmen | INTERNET AG Global Network |
|---|---|
| Rechtsform | Aktiengesellschaft |
| Sitz | Wiesenhüttenplatz 26, 60329 Frankfurt am Main |
| Register | Amtsgericht Frankfurt am Main, HRB 54478; WKN 622989 / ISIN DE0006229891 |
| Vorstand | Stefan Schellenberg |
| Branche | Hosting, Serverhousing/Colocation, Managed Services, Domainregistrierung/DENIC-RRI, Firewall/VPN/Loadbalancer |
| Gründung/Eintragung | 2002 |
| Standorte | eigenes RZ Frankfurt; Colocation u. a. InterXion, Ancotel; Stuttgart, Amsterdam |
| Größe | keine öffentlichen Umsatz-/Mitarbeiterzahlen; Bilanzsumme 2021 ca. 750.000 € |
| Leak-Eintrag | TheGentlemen; Listung 10.07.2026 |
| Status | Drohung mit bevorstehender Veröffentlichung; keine Datenproben, kein Countdown |
| Bestätigung | steht aus, keine Stellungnahme |
Zahlen, Daten, Fakten zur INTERNET AG
Grafische Aufbereitung: generische Branchen-Benchmarks. Für die INTERNET AG liegen keine öffentlichen Umsatz- oder Mitarbeiterzahlen vor; jede darüber hinausgehende Größenangabe ist eine Schätzung.
Was hätte Prävention gekostet?
Bilanzsumme (2021, bekannt)
ca. 750.000 €
Umsatzklasse (Schätzung, nicht öffentlich)
ca. 0,7–1,5 Mio. € / Jahr
IT-/Security-Anteil bei IT-Dienstleistern
deutlich > 15 % v. Umsatz üblich
Typische Folgekosten Ransomware KMU
häufig 100.000 – 1 Mio. €+
| Maßnahme | Größenordnung / Jahr |
|---|---|
| Multi-Faktor-Authentifizierung (VPN, Mail, Admin, Kundenportale) | 3.000 – 8.000 € |
| EDR/MDR + 24/7-Monitoring auf Edge & Servern | 12.000 – 30.000 € |
| Immutable / Offline-Backups + Restore-Tests | 5.000 – 12.000 € |
| Fortinet-/Edge-Patch-Management (CVE-2024-55591 & Co.) | 3.000 – 8.000 € |
| Netzsegmentierung: interne IT ↔ Kundenumgebungen ↔ Management | 6.000 – 15.000 € |
| Privileged Access Management für Admins & Kundentenants | 6.000 – 15.000 € |
| ESXi-/Virtualisierungs-Hardening + Management-VLAN | 5.000 – 12.000 € |
| Awareness- und Phishing-Simulationen | 2.500 – 6.000 € |
| Incident-Response-Retainer & Krisenübungen | 6.000 – 15.000 € |
| NIS-2- / DSGVO-Beratung (HBDI Wiesbaden, BSI-Meldewege) | 3.000 – 8.000 € |
Faustregeln (Bitkom/BSI): 3–7 % vom Umsatz in IT, davon mindestens ~20 % in Security. Für einen kleinen Hoster wären selbst fünf- bis sechsstellige jährliche Sicherheitsinvestitionen die günstigere Variante – die Rechnung ist ein Benchmark, keine Schuldzuweisung.
Warum ist ein Angriff auf einen Hosting-Anbieter besonders heikel?
Bei den meisten Ransomware-Opfern endet der Schaden an der Unternehmensgrenze. Bei einem Hosting- und Managed-Service-Anbieter ist das anders – er ist ein Multiplikator. Sollte es tatsächlich zu einem erfolgreichen Angriff mit Datenabfluss gekommen sein, wären mehrere Szenarien denkbar:
Kundendaten & Vertragsunterlagen
Stammdaten, Ansprechpartner, Bankverbindungen und Vertragsdetails von Geschäftskunden – klassisches Material für gezielte Phishing- und Betrugskampagnen im Namen des Hosters.
Zugangsdaten & technische Dokumentation
Bei einem Anbieter, der Firewalls, VPNs und Server im Kundenauftrag verwaltet, wären Konfigurationen, Passwörter oder Netzpläne besonders sensibel – sie könnten Folgeangriffe auf die Kunden selbst ermöglichen.
Domain-Verwaltung / DENIC
Als DENIC-angebundener Registrar-Dienstleister verwaltet die INTERNET AG Domains in größerem Umfang. Kompromittierte Registry-Zugänge wären ein Hebel für DNS-Manipulationen weit über das eigene Haus hinaus.
Verfügbarkeits-/ESXi-Risiko
Würden Virtualisierungs- oder Verwaltungssysteme verschlüsselt, könnten im schlimmsten Fall gehostete Kundensysteme ausfallen – TheGentlemen bringt mit ihrem ESXi-Locker genau das passende Werkzeug für solche Umgebungen mit.
Für keines dieser Szenarien gibt es derzeit Belege. Die Aufzählung beschreibt das strukturelle Risiko der Branche, nicht den bestätigten Schaden dieses Falls.
Wer oder was ist TheGentlemen?
TheGentlemen ist eine der auffälligsten Neuerscheinungen im Ransomware-Ökosystem – Mitte 2025 aufgetaucht, erste Go-Samples im Juli 2025, Leak-Seite ab September 2025. Bis Mitte 2026 sind über 530 Opfer in rund 75 Ländern gelistet – im ersten Halbjahr 2026 zählt TheGentlemen zu den zehn aktivsten Ransomware-Gruppen weltweit.
Das Geschäftsmodell ist klassisches Double Extortion mit einem besonders hohen Affiliate-Anteil von 90 %. Der mutmaßliche Betreiber tritt unter den Pseudonymen „hastalamuerte“ und „Zeta88“ auf – hervorgegangen aus einem Streit mit der Qilin-Gruppe im Juli 2025 um eine nicht gezahlte Affiliate-Provision. Aus dem verprellten Qilin-Partner wurde ein eigenständiger Konkurrent. Im Mai 2026 ermöglichte ein interner Datenbank-Leak ungewöhnlich tiefe Einblicke ins Innenleben der Operation.
Technisch besonders relevant: primäres Einfallstor sind Fortinet-Geräte über die Schwachstelle CVE-2024-55591. Die Gruppe soll eine Datenbank von rund 14.700 kompromittierten FortiGate-Geräten pflegen. Zusätzlich Cisco-Edge, NTLM-Relay, Infostealer-Logs mit OWA-/ M365-Zugangsdaten. Über Active-Directory-Gruppenrichtlinien (GPO) kann die Ransomware zeitgleich auf allen Rechnern einer Domäne gezündet werden – die wohl wirkungsvollste Verteilmethode überhaupt. Für Hosting-Umgebungen gefährlich: der dedizierte ESXi-Locker.
| Erstes Auftreten | Mitte 2025; Go-Samples Juli 2025; Leak-Seite ab September 2025 |
|---|---|
| Modell | RaaS · Double Extortion · 90/10 Affiliate-Split |
| Betreiber | „hastalamuerte“ / „Zeta88“ · russischsprachiger Raum vermutet · CIS-Ausschluss |
| Locker | Go (Win/Linux/NAS) + dedizierter C-basierter ESXi-Locker · password-protected Builds |
| Primärer Zugang | Fortinet CVE-2024-55591 · ~14.700 vorbereitete FortiGates · ~1.000 valide VPN-Zugänge |
| Weitere Zugänge | Cisco-Edge · NTLM-Relay · Infostealer-Logs · RDP/SSL-VPN |
| Tooling | AnyDesk · PsExec · Cobalt Strike · SystemBC · EDR-Killer |
| Besonderheit | GPO-Missbrauch für domänenweite Zündung |
| Opferzahl | über 530 gelistet (Stand 07/2026); real vermutlich deutlich mehr |
| Geografie | USA, Thailand, Frankreich, Deutschland, Brasilien u. a. · rund 75 Länder |
| Branchen | Manufacturing, Technology, Business Services, Healthcare |
| Zahlungsmittel | Kryptowährung |
Schematischer Ablauf eines TheGentlemen-Angriffs
Technische Erkennungsmerkmale von TheGentlemen
| Merkmal | Beobachtung |
|---|---|
| Locker-Sprache / Aufbau | In Go geschrieben, plattformspezifische Varianten (Windows, Linux, NAS) plus dedizierter C-basierter ESXi-Locker |
| Ausführung | Password-protected Build – Ausführung erfordert Startparameter (verhindert Analyse in Sandboxes) |
| Primärer Zugang | Fortinet FortiOS/FortiProxy – CVE-2024-55591 (Authentication Bypass), ~14.700 vorbereitete Zielgeräte gepflegt |
| Weitere Zugänge | Cisco-Edge, NTLM-Relay, Infostealer-Logs (OWA/M365), RDP/SSL-VPN |
| Tooling | AnyDesk, PsExec, Cobalt Strike, SystemBC-Proxy-Botnet, eigene EDR-/AV-Killer |
| Privilege Escalation | Teils bis Kernel-Ebene (u. a. ThrottleStop-Treiber, BYOVD) |
| Verteilung | Missbrauch von Active-Directory-Gruppenrichtlinien (GPO) für domänenweite Zündung |
| Krypto | Hybrid XChaCha20 + Curve25519, partial/full Encryption-Modi |
| Ransom-Note | Gruppenspezifische Note ohne feste Dateiendung (kein .dlock – Deadlock-Verwechslung vermeiden) |
Deutsche Opfer der Ransomware-Gruppe „TheGentlemen“
Auszug DE · 22 Einträge · Stand 11.07.2026
INTERNET AG Global Network
Hosting
inet.de
Thyssenkrupp Marine Systems / Atlas Elektronik
Manufacturing / Marine
Alexander Buch Bilanzbuchhalter
Business Services
buch-bilanzbuchhalter.de
Bäckerei Traublinger
Manufacturing / Food
traublinger.de
Linnecken & Partner
Business Services
linnecken-partner.de
Freiwillige Feuerwehr Allensbach
Public Sector / Fire Brigade
feuerwehr-allensbach.de
TeLoh
Technology
te-loh.de
GeTeCe
Food & Beverage
getece.com
KUPER
Manufacturing
kuper.de
Heinrich Kopp
Utilities
kopp.eu
Verzinkerei Rentrop
verzinkerei-rentrop.de
EMCO Holding
Manufacturing
emcoholding.com
Ciarus
Education
ciarus.de
Das Labor
Healthcare
daslabor.eu
BITS Business Information Technology Solutions
Tech
bits.com.tn
Wachendorff
Manufacturing
wachendorff.de
BITS "Business Information Technology Solutions"
Comdat Datasystems
Tech
comdat.ch
BAM - Brand Art Media
bam.lu
Röben Tonbaustoffe GmbH
roeben.com
KIM Dental
Healthcare
kimdental.vn
SV-Büro Ing. Schulz GmbH
Tech
Quelle: ransomware.live · TheGentlemen-Leak-Seite (Snapshot 11.07.2026). Eine Listung bedeutet nicht automatisch einen bestätigten Cyberangriff.
Volles TheGentlemen-Profil10 Do's für Kunden und Geschäftspartner der INTERNET AG
- Beim Anbieter aktiv nachfragen – über bekannte, offizielle Kontaktwege: Gibt es einen Sicherheitsvorfall, sind Kundensysteme oder -daten betroffen?
- Zugangsdaten, die beim oder über den Hoster genutzt werden (Kundenportale, FTP/SSH, E-Mail-Konten, API-Schlüssel, Admin-Zugänge), vorsorglich erneuern.
- Multi-Faktor-Authentifizierung überall aktivieren, wo verfügbar.
- Erhöhte Wachsamkeit bei E-Mails, Anrufen und Rechnungen mit INTERNET-AG-Bezug – nach solchen Vorfällen folgen häufig täuschend echte Phishing-Wellen.
- Bankverbindungen bei Rechnungen telefonisch über bekannte Nummern verifizieren.
- Eigene, unabhängige Backups der gehosteten Daten prüfen – nicht allein auf die Backups des Anbieters verlassen.
- Fernwartungs- und Fernzugriffe (z. B. AnyDesk) nur nach Ankündigung und Verifizierung über einen zweiten Kanal zulassen.
- Eigene Logs auf ungewöhnliche Zugriffe aus Richtung des Dienstleisters prüfen.
- Verträge und Meldewege sichten: Wer ist Ansprechpartner für Sicherheitsvorfälle, welche Informationspflichten bestehen?
- Nur offizielle Informationen des Unternehmens oder von Behörden als verlässlich behandeln.
10 Don'ts im Ernstfall
- Kein vorschnelles Lösegeld – BSI, BKA, FBI und CISA raten einhellig ab.
- Kein Täterkontakt ohne Profis (Forensik, Anwalt, ZAC Hessen).
- Vorfall nicht verschweigen oder kleinreden – gerade gegenüber betreuten Kunden.
- Systeme nicht neu aufsetzen, bevor der Einfallsweg forensisch geklärt ist.
- Keine Schuldzuweisung an einzelne Mitarbeitende – Opfer ist zunächst das Unternehmen selbst.
- Backups nie am selben Netz belassen – Ransomware sucht gezielt nach ihnen.
- Keine Wiederherstellung ohne Malware-Scan der Backups.
- Keine ungeprüften „Datenrettungs"-Angebote Dritter (oft Mittelsmänner der Täter).
- Leak-Daten nicht selbst herunterladen oder weiterverbreiten – der Besuch von Leak-Seiten kann strafbar sein.
- Nicht auf „uns trifft es nicht" setzen – BSI verortet rund 80 % der gemeldeten Angriffe im Mittelstand.
12 Präventions-Do's für Hosting-Anbieter & IT-Dienstleister
- Fortinet- und andere Edge-Geräte mit höchster Priorität patchen (CVE-2024-55591 & Co.), VPN-/Firewall-Appliances zuerst.
- MFA flächendeckend (VPN, Mail, Admin, Fernwartung, Kundenportale).
- 3-2-1-Backups mit Offline- und idealerweise unveränderlicher (immutable) Kopie.
- Restore-Tests fest im Kalender.
- Kein offenes RDP, Fernzugang nur über gehärtetes VPN.
- Fernwartungswerkzeuge (AnyDesk & Co.) inventarisieren, härten, auf Allowlists beschränken und protokollieren.
- EDR/MDR statt reinem Virenscanner; auf EDR-Killer- und BYOVD-Techniken achten.
- Active Directory härten, GPO-Änderungen überwachen und alarmieren (domänenweite Ransomware-Verteilung verhindern).
- Strikte Trennung von interner IT und Kundenumgebungen – eigene Zugänge, eigene Netze, eigene Credentials je Kunde.
- Zero-Trust und Least Privilege für alle privilegierten Kundenzugänge; Passwort-Tresor mit Protokollierung statt Excel-Liste.
- ESXi-/Virtualisierungshosts besonders härten und segmentieren; Management-Interfaces nie exponieren.
- NIS-2-Betroffenheit prüfen und Meldewege (ZAC Hessen, BSI, HBDI) vorab im Notfallplan hinterlegen; mindestens rund 20 % des IT-Budgets für Security und Awareness-Schulungen einplanen.
Häufige Fragen (FAQ)
Quellen & Methodik
Threat-Intelligence-Meldung zum Eintrag auf der TheGentlemen-Leak-Seite (Sichtung 10.07.2026, indexiert u. a. durch Ransomware.live); Unternehmensangaben auf inet.de; Register-/Firmenauskünfte (Amtsgericht Frankfurt am Main HRB 54478, North Data, Creditreform, Implisense); Threat-Intel-Reports zu TheGentlemen (Group-IB, Halcyon, Check Point, Trend Micro, Huntress); Empfehlungen von BSI, Bitkom, FBI und CISA. Kein Link zur Leak-Seite, keine Onion-Adresse.
Hosting- oder Managed-Service-Anbieter unter Beschuss?
Wasacon analysiert, wie belastbar Ihre Fortinet-/Edge-Konfiguration, Ihr AD und Ihre ESXi-Umgebung gegenüber TheGentlemen & Co. wirklich sind – und wo Kundenzugänge zum Multiplikator werden könnten.
Mehr TheGentlemen-Fälle & Hoster-Analysen
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
