Stadt Stuttgart gehackt – Rhysida erpresst 5 BTC
164 kompromittierte Konten, 7 Drittanbieter-Zugänge, 60 Systeme als externe Angriffsfläche – und jetzt versteigert die Ransomware-Gang Rhysida angeblich erbeutete Stuttgart-Daten für 5 BTC im Darknet. Was Behörden und Unternehmen jetzt wissen müssen.
Was wurde gemeldet?
Die Landeshauptstadt Stuttgart ist in einem Cybercrime-Monitoring im Zusammenhang mit sogenannten „Infostealer“-Daten aufgetaucht. Es handelt sich dabei nicht zwangsläufig um einen bestätigten Hackerangriff auf die städtische Infrastruktur, sondern um Hinweise darauf, dass Zugangsdaten oder Sitzungsinformationen von Nutzern mit Bezug zur Organisation in Datensammlungen aus Schadsoftware-Funden entdeckt wurden.
Die Daten stammen offenbar aus Infostealer-Malware-Kampagnen. Diese Schadsoftware wird häufig unbemerkt auf privaten oder geschäftlichen Geräten installiert und liest dort gespeicherte Browser-Passwörter, Cookies, VPN-Zugänge oder Session-Tokens aus.
Rhysida versteigert Stuttgart-Daten im Darknet
Aus dem Listing ist eine offene Erpressung geworden. Die international agierende Ransomware-Gruppe Rhysida hat die Landeshauptstadt Stuttgart auf ihrer Darknet-Leak-Site veröffentlicht und behauptet, sensible Dokumente aus städtischen IT-Systemen kopiert zu haben. Auf der Detailseite läuft ein siebentägiger Countdown, danach sollen die Daten an einen einzigen Käufer verkauft werden.
Als Beleg zeigt Rhysida nur stark herunterskalierte Vorschauen von gescannten Dokumenten, Rechnungen und Faxen. Umfang und Brisanz der angeblich erbeuteten Daten lassen sich aus diesen Bildern allein nicht seriös ableiten – die Verknappungs-Inszenierung „exklusiv, einzigartig, nur an einen Käufer“ ist eine bewusste Druckstrategie.
„Die veröffentlichten Hinweise werden derzeit gemeinsam mit den zuständigen Stellen geprüft. Nach aktuellem Stand liegen der Landeshauptstadt Stuttgart keine Hinweise auf einen Cybervorfall vor. Weitere Angaben können mit Blick auf laufende Prüfungen derzeit nicht gemacht werden."
Tatsächlich ist die Webseite stuttgart.de erreichbar, die Kommunikation funktioniert, von einer Verschlüsselung städtischer Systeme ist nichts bekannt. Der Vorfall folgt damit dem 2026 dominierenden Muster reiner Datenexfiltration ohne Encryption – schneller, leiser und für viele Tätergruppen profitabler als klassische Ransomware.
Wer ist Rhysida?
Rhysida ist keine unbekannte Größe in der Ransomware-Szene. Die Gruppe operiert seit 2023 als Ransomware-as-a-Service und hat in den vergangenen Jahren eine Reihe prominenter Ziele angegriffen – darunter Kulturinstitutionen, Hilfsorganisationen und öffentliche Einrichtungen:
Angriff auf die British Library – wochenlanger Ausfall der Nationalbibliothek nach Verschlüsselung.
Südkoreanische Forscher veröffentlichen einen kostenfreien Decryptor – Folge eines Implementierungsfehlers in der Krypto-Routine.
Angriff auf die deutsche Welthungerhilfe mit Forderung von 20 BTC – viermal höher als die jetzige Stuttgart-Erpressung.
Die niedrigere Forderung von 5 statt 20 BTC ist dabei kein Zeichen von Zurückhaltung, sondern eher von veränderter Marktdynamik: Ransomware-Gruppen kalibrieren ihre Preise zunehmend auf die geschätzte Zahlungsbereitschaft – und versuchen, Verhandlungen durch knappe Countdowns aktiv zu beschleunigen.
Vom Stealer-Log zur Darknet-Auktion
Der Stuttgart-Fall ist exemplarisch für die Angriffs-Ökonomie 2026. Was wie zwei getrennte Vorfälle aussieht – ein Listing in Infostealer-Daten und eine Erpressung durch Rhysida – ist in Wahrheit ein durchgängiger industrieller Prozess:
Infostealer infiziert Endgerät
Privat-PC, Notebook oder Dienstgerät eines Mitarbeitenden bzw. Dienstleisters wird kompromittiert – meist über cracked Software, Phishing oder bösartige Browser-Erweiterungen.
Stealer-Log entsteht
Browser-Passwörter, Cookies, MFA-Sessions, VPN-Profile und Passwortmanager-Tresore werden extrahiert und in Cybercrime-Foren bzw. Telegram-Kanälen gehandelt.
Initial-Access-Broker bündeln
Spezialisierte Akteure aggregieren Logs nach Organisation, Branche und Zugriffstiefe (VPN, RDP, Cloud-Admin) und bieten qualifizierte Zugänge zum Verkauf an.
Ransomware-Affiliates kaufen ein
Gruppen wie Rhysida – oder deren Affiliates – erwerben den Zugang, exfiltrieren Daten und veröffentlichen das Opfer auf ihrer Leak-Site.
Darknet-Erpressung
Countdown, BTC-Forderung, Drohung mit Verkauf an Höchstbietenden. Die Organisation steht öffentlich am Pranger – unabhängig davon, ob sie zahlt.
Das 164-Konten-Listing war damit nicht das Endprodukt, sondern der Rohstoff – die Vorstufe, auf der Rhysida (oder ein Affiliate) aufgebaut haben dürfte. Wer Infostealer-Funde als „Browser-Hygiene-Thema" abtut, übersieht genau diesen Industrialisierungsgrad.
Kompromittierte Nutzerkonten
Drittanbieter-/Partner-Zugänge
Systeme der externen Angriffsfläche
Was bedeutet „gelistet“ überhaupt?
Wird eine Organisation in solchen Datenbanken aufgeführt, bedeutet das nicht automatisch:
- ✕ dass die Organisation direkt gehackt wurde,
- ✕ dass Systeme kompromittiert wurden,
- ✕ oder dass aktuell ein aktiver Angriff läuft.
Oft reicht bereits ein infizierter Privat-PC eines Mitarbeiters oder ein kompromittiertes Dienstgerät aus, damit Zugangsdaten in Cybercrime-Foren oder Leak-Datenbanken auftauchen. Gerade bei großen Behörden, Städten oder Unternehmen sammeln Cyberkriminelle solche Informationen systematisch, um spätere Angriffe vorzubereiten.
Warum Infostealer aktuell so gefährlich sind
Moderne Infostealer gehören 2026 zu den größten Risiken für Unternehmen und Behörden. Anders als klassische Ransomware arbeiten sie oft leise im Hintergrund:
Browser-Passwörter werden ausgelesen
MFA-Session-Cookies gestohlen
VPN-Zugänge kopiert
Passwortmanager-Tresore abgegriffen
Unternehmenszugänge gesammelt
Session-Tokens für MFA-Bypass
Dadurch können Angreifer teilweise sogar Sicherheitsmechanismen wie MFA umgehen, wenn bereits gültige Sessions abgegriffen wurden – ein reines Passwort-Reset reicht dann nicht aus.
Die eigentliche Gefahr beginnt oft erst später
Besonders kritisch wird es, wenn kompromittierte Zugangsdaten über längere Zeit unentdeckt bleiben. Genau daraus entstehen häufig:
Spätere Ransomware-Angriffe
Datendiebstahl
Account-Übernahmen
Lieferkettenangriffe
Interne Rechteausweitungen
Viele Organisationen wissen dabei gar nicht, welche alten Zugänge, Browser-Sessions oder gespeicherten Passwörter sich noch auf Geräten ehemaliger oder aktueller Mitarbeiter befinden.
Welche Maßnahmen jetzt wichtig sind
Sobald Organisationen in solchen Datensätzen auftauchen, sollten mindestens folgende Punkte geprüft werden:
Passwort-Resets
Alle potenziell betroffenen Konten – insbesondere Admins, Service-Accounts und Drittanbieter-Zugänge – zurücksetzen.
MFA neu registrieren
Bestehende MFA-Faktoren entfernen und neu ausrollen. Verhindert, dass alte gestohlene Tokens weiterverwendet werden.
Sessions invalidieren
Alle aktiven Browser- und Cloud-Sessions zentral beenden, damit gestohlene Cookies wertlos werden.
VPN & Admin prüfen
VPN-Zertifikate rotieren, Admin-Konten auf unerwartete Logins, neue Geräte und ungewöhnliche IPs kontrollieren.
Endgeräte prüfen
Forensische Analyse verdächtiger Geräte – Infostealer hinterlassen Spuren in Browser-Profilen und Autostart.
Darknet-Monitoring
Kontinuierliche Beobachtung von Leak-Plattformen, Stealer-Logs und Initial-Access-Marktplätzen.
Behörden bleiben attraktives Ziel
Kommunen und öffentliche Verwaltungen geraten seit Jahren immer stärker unter Druck. Angreifer setzen längst nicht mehr nur auf klassische Verschlüsselungstrojaner, sondern zunehmend auf:
Die Veröffentlichung solcher Hinweise zeigt vor allem eines: Cybersecurity endet nicht an der Firewall – kompromittierte Endgeräte einzelner Nutzer können bereits reichen, um sensible Zugänge in Umlauf zu bringen.
Fazit: Listing ist kein Hack – aber ein Frühwarnsignal
Stuttgart ist kein Einzelfall. Praktisch jede größere Behörde und jedes größere Unternehmen ist in irgendeiner Form in Stealer-Logs vertreten – die Frage ist nur, ob die Organisation davon weiß und reagiert.
Wer gestohlene Zugänge ignoriert, liefert Ransomware-Gruppen die Eintrittskarte.
Ist Ihre Organisation in Stealer-Logs gelistet?
Wir prüfen es – diskret, strukturiert und mit klarer Handlungsempfehlung.
Darknet- & Stealer-Log-Check
Session- & MFA-Audit
EDR/XDR-Monitoring für Endgeräte
Häufige Fragen (FAQ)
Infostealer-Schutz für Unternehmen im Kreis Heinsberg
Ob in Heinsberg (52525), Erkelenz (41812), Wegberg, Hückelhoven (41836), Wassenberg oder Geilenkirchen (52511) – auch mittelständische Betriebe in Aachen, Mönchengladbach (41061), Jülich, Düren, Linnich (52441) und Krefeld sind regelmäßig in Stealer-Logs vertreten, ohne es zu wissen.
Wasacon unterstützt mit Darknet-Monitoring, Session- und MFA-Audit, Endgeräte-Forensik und EDR/XDR auf Server- und Client-Ebene – damit gestohlene Zugangsdaten nicht zum Ransomware-Vorfall werden.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
