Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Wichtiger Hinweis · Update
Ausgangspunkt war ein Eintrag auf der Leak-Seite der Ransomware-/Erpressungsgruppe „The Gentlemen", in dem Thyssenkrupp Marine Systems (TKMS) GmbH und Atlas Elektronik genannt werden.
Inzwischen liegt eine offizielle Stellungnahme von TKMS vor. Der Konzern bestätigt einen Cybervorfall, grenzt ihn jedoch klar auf einen IT-Standort in Nordamerika ein. Details siehe Statement direkt darunter.
TKMS bestätigt Vorfall – Angriff auf Nordamerika-Standort beschränkt
Gegenüber der WirtschaftsWoche hat TKMS-Sprecher Nils Beyer zum Cybervorfall Stellung genommen. Die Kernaussagen des offiziellen Statements:
- Eingrenzung des Schadens: Der Angriff erfolgte gezielt auf das IT-System an einem Standort in Nordamerika. Der Vorfall ist laut Sprecher Nils Beyer streng auf diesen lokalen Bereich beschränkt.
- Kein Netzübergang: Es bestehen keine Verbindungen zur IT-Infrastruktur der restlichen TKMS-Gruppe oder Systemen in Deutschland. Die betroffenen Systeme in Nordamerika wurden umgehend vom Netz getrennt.
- Keine Staatsgeheimnisse: TKMS betont offiziell, dass nach aktuellem Prüfstand keine sicherheitsrelevanten oder eingestuften Projekte von dem Datenabfluss betroffen sind.
- Kooperation mit Behörden: Die Verantwortlichen von Atlas Elektronik stehen in engem Austausch mit den US-Ermittlungsbehörden, um die technischen Details gemeinsam mit IT-Experten aufzuarbeiten.
- Keine Lösegeldzahlung: Auf die Erpressungsversuche der Ransomware-Gruppe „The Gentlemen" wird das Unternehmen nicht eingehen. Aus Konzernkreisen heißt es dazu klar, dass man sich nicht erpressen lasse.
TKMS – einer der wichtigsten Rüstungskonzerne Europas
Sollte sich dieser Vorfall bestätigen, wäre dies einer der bedeutendsten bekannten Cybervorfälle im europäischen Marineschiffbau. TKMS (ehemals Thyssenkrupp Marine Systems) gehört zu den weltweit führenden Unternehmen bei modernen U-Booten, Fregatten, Korvetten, Marinesystemen, Unterwassertechnologien, Sensorik, Sonarsystemen, Marineelektronik und Verteidigungstechnologie. Im Bereich nicht-nuklearer U-Boote zählt das Unternehmen zu den technologischen Marktführern.
Unterwasser
Überwasser
Elektronik & C4I
Atlas Elektronik – das technologische Herzstück
Atlas Elektronik ist eine Tochtergesellschaft innerhalb der TKMS-Gruppe und entwickelt unter anderem Sonarsysteme, Unterwasser-Sensorik, Torpedosysteme, Minenabwehrsysteme, Unterwasser-Drohnen, Kommunikationssysteme, Führungs- und Waffeneinsatzsysteme, Marine-IT, AUVs und ROVs.
Bei Hydroakustik und Sonartechnik gilt Atlas Elektronik weltweit als Technologieführer.
Welche Branchen beliefert TKMS?
Atlas Elektronik liefert darüber hinaus teilweise auch Technologien für zivile Anwendungen im maritimen Bereich.
Internationale Standorte
TKMS verfügt über mehrere große Standorte in Deutschland sowie zahlreiche internationale Niederlassungen. Atlas Elektronik besitzt darüber hinaus Tochtergesellschaften in mehreren Ländern weltweit.
Unternehmensgröße, Umsatz & Auftragsbestand
Der Auftragsbestand zählt zu den höchsten Werten der Unternehmensgeschichte.
Welche Daten könnten betroffen sein?
Sollte tatsächlich ein Datenabfluss erfolgt sein – wofür derzeit keine Bestätigung vorliegt –, könnten je nach betroffenem Bereich unter anderem folgende Daten gefährdet sein:
Warum wäre ein Angriff besonders kritisch?
Anders als bei gewöhnlichen Industrieunternehmen entwickelt TKMS sicherheitskritische Technologien – darunter Marinekommunikation, Sonarsysteme, Waffeneinsatzsysteme, Sensorik, autonome Unterwasserfahrzeuge, Torpedotechnologie und Gefechtsführungssysteme.
Ein erfolgreicher Angriff könnte daher – je nach Umfang – nicht nur wirtschaftliche, sondern auch sicherheits- und geopolitische Auswirkungen haben. Allein ein Eintrag auf einer Leak-Seite beweist jedoch noch nicht, dass solche sensiblen Informationen tatsächlich kompromittiert wurden.
Wie viel müsste Thyssenkrupp Marine Systems (TKMS) realistisch in Cyber-Security investieren?
Laut Gartner IT Key Metrics Data liegt der IT-Anteil am Umsatz in der Industrie typisch bei 3–5 %, in KRITIS- und Defense-Sektoren bei 6–8 %. Vom IT-Budget empfehlen BSI-Mindeststandards für KRITIS mindestens 10–15 %, FBI/CISA für die Defense Industrial Base sogar 20 % und mehr – speziell für Rüstungslieferanten wie TKMS.
- Basis-SOC
- Backups
- Awareness-Training
- + Threat Intelligence
- + EDR / XDR
- + SIEM-Korrelation
- + Red-Team-Ops
- + Zero-Trust
- + 24/7 Pentest & IR
Quellen / Benchmarks: Gartner IT Key Metrics Data (Industrie / Defense), BSI Mindeststandards für KRITIS-Betreiber, FBI & CISA Sector Guide „Defense Industrial Base“, NATO-Empfehlungen für Rüstungslieferanten – Stand 2026. Modellrechnung basierend auf öffentlich berichtetem TKMS-Jahresumsatz.
Aktueller Stand
Tätergruppe · „The Gentlemen"
„The Gentlemen" trat erstmals im August 2025 in Erscheinung und operiert als RaaS-Gruppe mit Double-Extortion-Modell: Daten werden zuerst exfiltriert, anschließend verschlüsselt, und Opfer werden zusätzlich über eine Darknet-Leak-Seite öffentlich unter Druck gesetzt. Die Gruppe bringt einen in Go und C entwickelten, plattformübergreifenden Locker (Windows, Linux, NAS, BSD, ESXi) mit BYOVD-EDR-Killer mit – ein Werkzeugkasten, der industrielle Umgebungen wie TKMS/Atlas Elektronik gezielt ins Visier nehmen kann.
The Gentlemen · Operator Profile
Quelle: SOCRadar Dark-Web Intelligence (Stand 02/2026) und öffentliche Darknet-Listings. Operator-Identität nicht abschließend attribuiert.
Attack Chain · 7 Phasen
Beobachtetes Vorgehen in mehreren Enterprise-Vorfällen ab Herbst 2025.
- Phase 1Initial AccessExposed FortiGate, VPN, kompromittierte Admin-Credentials
- Phase 2ReconAdvanced IP Scanner, AD-Queries, Privileged-Accounts mappen
- Phase 3PrivEscPowerRun.exe → SYSTEM, UAC-Bypass
- Phase 4EvasionBYOVD: All.exe + ThrottleBlood.sys terminiert AV/EDR
- Phase 5LateralPsExec über SMB-Admin-Shares, blendet sich in Admin-Traffic
- Phase 6DeploymentPassword-protected Payload via NETLOGON-Share
- Phase 7ImpactBackup/DB-Stop, Log-Delete, .7mtzhh + README-GENTLEMEN.txt
Sektor-Verteilung der Opfer
Public-Leak-Listings, normalisiert auf das jeweilige Branchen-Maximum.
Hinweis: Ein Listing auf der Leak-Seite belegt keinen tatsächlichen Datenabfluss bei TKMS/Atlas Elektronik. Die hier gezeigten TTPs beschreiben das beobachtete Vorgehen der Gruppe generell.
Fazit
Die Nennung von TKMS und Atlas Elektronik auf der Leak-Seite der Erpressungsgruppe „The Gentlemen" ist aufgrund der strategischen Bedeutung des Unternehmens besonders bemerkenswert.
Gleichzeitig ist Vorsicht geboten: Solche Veröffentlichungen dienen häufig dem Druckaufbau auf potenzielle Opfer und sind nicht automatisch ein Beleg dafür, dass Daten tatsächlich entwendet wurden.
Erst eine offizielle Stellungnahme oder die Veröffentlichung überprüfbarer Beweise wird zeigen, ob es sich um einen bestätigten Sicherheitsvorfall, einen Erpressungsversuch oder möglicherweise um eine unbelegte Behauptung handelt.
Sicherheitskritische IT? Wasacon härtet ab.
EDR/XDR, 24/7-SOC-Anbindung, Netzwerksegmentierung, Zero-Trust, Backup-Strategien, Lieferketten-Monitoring und Incident-Response-Planung – für Industrie, Mittelstand und Behörden im Kreis Heinsberg und Umgebung.
