Aufzug-Zulieferer Kronenberg auf Darknet-Leakseite: Ransomware-Gruppe „Payload“ beansprucht Cyberangriff für sich

Wer ist die Hans & Jos. Kronenberg GmbH?

Kronenberg ist kein beliebiger Kleinbetrieb, sondern ein seit Jahrzehnten international tätiger Spezialhersteller für Komponenten der Aufzugindustrie. Das Unternehmen wurde nach eigenen Angaben 1932 von den Brüdern Hans und Josef Kronenberg in Köln-Nippes gegründet. Die heutige Gesellschaft ist beim Amtsgericht Köln unter HRB 45570 registriert und wird von Geschäftsführer Mike Braun geleitet.

Die Produkte werden in annähernd 30 Länder exportiert, der Exportanteil liegt laut Unternehmen bei mehr als 60 Prozent. Kronenberg arbeitet mit über 20 Distributoren beziehungsweise internationalen Vertriebspartnern zusammen. Auf der Unternehmensseite werden unter anderem Partner in folgenden Ländern genannt:

Eine externe Unternehmensdatenbank schätzt Kronenberg auf etwa 80 Beschäftigte und rund 20 Millionen Euro Jahresumsatz. Diese Umsatzangabe ist ausdrücklich als Schätzung zu behandeln. Öffentlich auffindbare Registerquellen weisen zwar Jahresabschlüsse bis einschließlich 2024 aus, liefern jedoch keine frei überprüfbare, bestätigte Umsatzgröße.

Kronenberg in Zahlen

Warum ein Aufzug-Zulieferer für Erpresser interessant ist

Für Cyberkriminelle sind mittelständische Industrieunternehmen besonders attraktiv. Sie verbinden oft wertvolle Entwicklungsdaten mit hohem Zeitdruck in Produktion und Lieferkette. Bei einem spezialisierten Hersteller wie Kronenberg könnten – rein hypothetisch – folgende Datenkategorien interessant sein:

Dass solche Daten bei Kronenberg tatsächlich entwendet wurden, ist derzeit nicht öffentlich belegt. Die Risikoeinschätzung ergibt sich aus dem Geschäftsmodell und der üblichen Datenstruktur eines international tätigen Maschinenbauunternehmens.

Besonders kritisch wäre ein Zugriff auf Konstruktionsunterlagen oder kundenspezifische Entwicklungen. Kronenberg produziert unter anderem sicherheitsrelevante Türverriegelungen und Schalter. Gestohlene technische Informationen könnten für Industriespionage, Produktfälschungen, gezielte Angriffe auf Kunden oder täuschend echte Phishing-Kampagnen verwendet werden. Die internationale Vertriebsstruktur vergrößert dabei den Kreis potenziell betroffener Geschäftspartner.

Mögliche wirtschaftliche Folgen

Bei einem geschätzten Jahresumsatz von rund 20 Millionen Euro entspricht der durchschnittliche Umsatz pro Arbeitstag bei 250 Produktionstagen ungefähr 80.000 Euro. Fünf Tage eingeschränkter Betrieb würden damit rechnerisch etwa 400.000 Euro Umsatz berühren, zehn Tage rund 800.000 Euro. Das wäre nicht automatisch ein Verlust in derselben Höhe, verdeutlicht aber die wirtschaftliche Größenordnung einer längeren Unterbrechung. Grundlage ist die nicht bestätigte externe Umsatzschätzung.

Hinzu kommen Kosten für Forensik, Wiederaufbau von Servern, neue Endgeräte, externe IT-Spezialisten, Rechtsberatung, Datenschutzkommunikation, Überstunden, Produktionsverzögerungen und mögliche Vertragsstrafen. IBM bezifferte die durchschnittlichen Gesamtkosten eines Datenlecks in Deutschland für 2025 auf 3,87 Millionen Euro. Dieser Durchschnitt umfasst allerdings auch deutlich größere Unternehmen und kann nicht unmittelbar auf Kronenberg übertragen werden.

Für den Fertigungssektor ermittelte Sophos 2025 durchschnittliche Wiederherstellungskosten von rund 1,3 Millionen US-Dollar – ohne Lösegeldzahlung. Gleichzeitig zahlte mehr als die Hälfte der befragten Hersteller, deren Daten verschlüsselt worden waren, ein Lösegeld.

Ein Angriff auf ein KMU ist kein Einzelfall

Das Bundesamt für Sicherheit in der Informationstechnik berichtet, dass rund 80 Prozent der angezeigten Cyberangriffe, darunter Ransomware-Fälle, kleine und mittlere Unternehmen treffen. Der deutsche Mittelstand ist damit nicht nur zufälliges Opfer, sondern ein zentrales Ziel professioneller Erpresser.

Die Bitkom-Wirtschaftsschutzstudie 2025 beziffert den durch Datendiebstahl, Sabotage und Industriespionage entstandenen Schaden für deutsche Unternehmen auf rund 289,2 Milliarden Euro. Etwa 70 Prozent davon werden Cyberattacken zugerechnet. 87 Prozent der befragten Unternehmen waren innerhalb eines Jahres von Angriffen betroffen oder hatten entsprechende Vorfälle registriert.

Diese Zahlen zeigen, dass ein Unternehmen mit 60 oder 80 Beschäftigten keineswegs „zu klein“ für einen gezielten Angriff ist. Gerade ein hoher Exportanteil, internationale Kundenbeziehungen, wertvolle Entwicklungsdaten und die Abhängigkeit von termingerechter Produktion erhöhen den Erpressungsdruck.

Was hätte angemessene IT-Sicherheit kosten dürfen?

Aus einer Darknet-Listung lässt sich nicht seriös ableiten, dass Kronenberg zu wenig in IT-Sicherheit investiert hat. Selbst gut geschützte Unternehmen können über gestohlene Zugangsdaten, Sicherheitslücken bei Dienstleistern oder professionelles Social Engineering kompromittiert werden. Für einen international tätigen Produktionsbetrieb dieser Größenordnung wäre jedoch eine jährliche Cybersecurity-Ausstattung von ungefähr 120.000 bis 220.000 Euro realistisch. Je nach Ausgangslage könnten zusätzlich einmalig etwa 80.000 bis 160.000 Euro erforderlich sein.

Bei einem geschätzten Umsatz von 20 Millionen Euro entspräche ein Sicherheitsbudget von 120.000 bis 220.000 Euro etwa 0,6 bis 1,1 Prozent des Jahresumsatzes. Angesichts möglicher Wiederherstellungskosten im siebenstelligen Bereich wäre das keine überzogene Investition, sondern eine betriebliche Absicherung.

Entscheidend ist allerdings nicht nur die Höhe des Budgets. Ein teures Sicherheitssystem hilft wenig, wenn Administratorenkonten ohne Mehrfaktor-Authentifizierung arbeiten, Backups aus dem Produktivnetz erreichbar sind oder ein Angreifer über einen Dienstleister Zugang erhält.

Was jetzt unmittelbar passieren müsste

Sollte der Darknet-Eintrag authentisch sein, müsste das Unternehmen zunächst alle möglicherweise betroffenen Systeme isolieren und sämtliche privilegierten Zugangsdaten erneuern. Besonders wichtig wären die Prüfung von VPN-Zugängen, Microsoft-365-Konten, Domain-Administratoren, ESXi-Hosts, Backup-Servern und Fernwartungsverbindungen.

Parallel müsste durch forensische Auswertung geklärt werden, wann der erste Zugriff erfolgte, welche Konten verwendet wurden, ob Daten übertragen wurden und ob noch versteckte Zugänge bestehen. Ein bloßes Zurückspielen von Backups wäre gefährlich, solange der ursprüngliche Einbruchsweg nicht geschlossen ist.

Datenschutzrechtlich läuft die Uhr ab Kenntnis

Sind personenbezogene Daten betroffen und besteht dadurch ein Risiko für natürliche Personen, sieht Artikel 33 DSGVO grundsätzlich eine Meldung an die zuständige Datenschutzaufsicht unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden vor. Bei hohem Risiko kommt die Benachrichtigung der betroffenen Personen nach Artikel 34 DSGVO hinzu. Entscheidend für den Fristbeginn ist die ausreichende Kenntnis des Unternehmens – nicht das Datum der Täterveröffentlichung.

Redaktionelle Einordnung

FAQ zur Payload-Listung von Kronenberg

Fazit

Die Hans & Jos. Kronenberg GmbH ist seit dem 3. August 2026 nachweislich auf der Darknet-Leakseite der Gruppe Payload gelistet. Mehrere unabhängige Tracker haben den Eintrag erfasst. Ein tatsächlich erfolgter Datenabfluss, eine Verschlüsselung oder ein Produktionsausfall sind bislang jedoch nicht durch das Unternehmen oder eine unabhängige Untersuchung bestätigt.

Aufgrund der internationalen Kundenstruktur, der sicherheitsrelevanten Aufzugkomponenten, des hohen Exportanteils und der umfangreichen technischen Dokumentation wäre ein echter Datenabfluss erheblich. Betroffen wäre dann möglicherweise nicht nur Kronenberg selbst, sondern auch ein weit verzweigtes Netzwerk aus Kunden, Distributoren und Lieferanten.

Der Fall zeigt erneut: Im modernen Maschinenbau entscheidet nicht nur die Qualität des Produkts über die Sicherheit eines Unternehmens, sondern zunehmend auch die Widerstandsfähigkeit seiner IT.

Stand der Recherche: 3. August 2026, 22:58 Uhr. Dieser Beitrag basiert auf öffentlich zugänglichen Unternehmensinformationen, Branchenberichten und dokumentierten Einträgen von Threat-Intelligence-Diensten. Die Behauptung eines erfolgreichen Angriffs und Datenabflusses stammt von der Ransomware-Gruppe „Payload“ und ist bislang nicht unabhängig bestätigt. Der Beitrag wird aktualisiert, sobald das Unternehmen, Ermittlungsbehörden oder andere belastbare Stellen weitere Informationen veröffentlichen. Standort: Bergisch Gladbach, Nordrhein-Westfalen.