Tönnies gehackt? TheGentlemen listet Deutschlands größten Fleischverarbeiter im Darknet

Was ist passiert?

Auf der Leak-Webseite von TheGentlemen wurde am 6./7. Juli 2026 ein neuer Eintrag zur Tönnies Group veröffentlicht. Beobachtungsplattformen wie Ransomware.live dokumentierten den Eintrag am 07.07.2026 und schätzen den mutmaßlichen Angriffszeitpunkt auf den 06.07.2026.

Welche Daten angeblich entwendet wurden oder in welchem Umfang ein möglicher Vorfall stattgefunden haben soll, geht aus dem Eintrag bislang nicht eindeutig hervor. Das passt zum bekannten Muster der Gruppe: Sicherheitsforscher beschreiben die Leak-Seite von TheGentlemen als vergleichsweise wortkarg – häufig ohne Angaben zu Datenmengen und zunächst ohne Beweisdokumente.

Am selben Tag wurden auf der Leak-Seite mehrere weitere Organisationen aus verschiedenen Ländern gelistet, darunter Unternehmen aus Argentinien, Paraguay, Taiwan und Indien. Die Tönnies Group ist damit Teil einer größeren Veröffentlichungswelle der Gruppe. Bislang hat das Unternehmen öffentlich keine Stellungnahme abgegeben.

Wer ist Tönnies?

Die Tönnies Group mit Hauptsitz in Rheda-Wiedenbrück (Nordrhein-Westfalen) ist der größte Fleischverarbeiter Deutschlands und zählt zu den führenden der Branche in Europa. Das Familienunternehmen wurde 1971 von den Brüdern Bernd und Clemens Tönnies gegründet und entwickelte sich aus einer kleinen elterlichen Metzgerei in Rheda zu einem international tätigen Lebensmittelkonzern.

Eine Besonderheit: Die Konzernholding firmiert seit dem 1. Januar 2025 nicht mehr als Tönnies Holding, sondern als Premium Food Group (PFG). Der Markenname Tönnies steht seither ausschließlich für die Geschäftsbereiche der Fleischproduktion (Pork und Beef). Die Täter beziehen sich in ihrem Eintrag auf die „Tönnies Group" und die Domain toennies.de – ob damit der Fleischbereich, einzelne Gesellschaften oder Systeme der gesamten Unternehmensgruppe gemeint sind, ist unklar. Die Konzernstruktur umfasst nach eigenen Angaben über 160 in- und ausländische Gesellschaften.

Für 2023 wies die Gruppe einen Umsatz von rund 7,3 Milliarden Euro aus, davon etwa 4,2 Milliarden Euro in Deutschland. Die Beschäftigtenzahl wird mit rund 21.000 weltweit angegeben, davon etwa 17.000 in Deutschland. Der Standort Rheda-Wiedenbrück ist einer der größten Schlacht- und Zerlegebetriebe Europas.

Warum die Lebensmittelbranche zunehmend im Fokus steht

Fleischverarbeitung ist ein Just-in-Time-Geschäft mit lebenden Tieren, Kühlketten und engen Lieferfenstern. Produktionsausfälle können innerhalb weniger Stunden erhebliche wirtschaftliche Schäden verursachen und lassen sich – anders als in vielen anderen Branchen – kaum durch Lagerbestände abfedern. Für Angreifer entsteht so ein maximaler Zahlungsdruck.

Der bekannteste Präzedenzfall: Im Mai 2021 legte ein Ransomware-Angriff der Gruppe REvil den weltgrößten Fleischkonzern JBS zeitweise lahm – Schlachthöfe in den USA, Kanada und Australien standen still, das Unternehmen zahlte nach eigenen Angaben elf Millionen US-Dollar Lösegeld. Der Fall zeigte, wie schnell ein IT-Vorfall in der Fleischindustrie zu einem realen Versorgungs- und Preisthema werden kann.

Hinzu kommt die regulatorische Dimension: Die Ernährungswirtschaft zählt in Deutschland zu den kritischen Sektoren. Große Lebensmittelproduzenten fallen unter KRITIS-Regelungen bzw. den Anwendungsbereich der NIS-2-Richtlinie – mit entsprechenden Anforderungen an Risikomanagement, Meldewege und Nachweispflichten. Ein bestätigter Vorfall bei einem Unternehmen dieser Größenordnung hätte damit nicht nur zivil- und datenschutzrechtliche, sondern auch aufsichtsrechtliche Relevanz.

Welche Risiken bestehen bei solchen Vorfällen?

Sollte es tatsächlich zu einem Datendiebstahl gekommen sein, könnten bei einem Konzern dieses Zuschnitts – rein hypothetisch – unter anderem folgende Informationen betroffen sein:

Gerade Personaldaten wären hier heikel: Die Belegschaft der Fleischbranche umfasst viele Beschäftigte aus dem europäischen Ausland, deren Ausweis-, Aufenthalts- und Kontodaten in Personalakten typischerweise gebündelt vorliegen – attraktives Material für Identitätsmissbrauch und gezieltes Phishing.

12 Präventions-Do's für KRITIS-Betriebe der Ernährungswirtschaft

1. MFA flächendeckend – auf VPN, RDP, SAP, Mail, Admin-Konten und Werksfernwartung.
2. 3-2-1-Backups mit Offline-/Immutable-Kopie und regelmäßigen Restore-Tests für ERP & Werksleitsysteme.
3. Kein offenes RDP ins Internet; Fernzugänge nur über gehärtetes VPN mit MFA.
4. Patch-Management mit Fristen – VPN-Appliances, Firewalls, SAP-Systeme und Werkssoftware zuerst.
5. EDR/MDR statt reinem Virenscanner – inkl. 24/7-SOC.
6. Strikte Trennung: IT-Netz ≠ OT-Netz (Schlachtung, Zerlegung, Kühlung, Logistik).
7. Least Privilege und getrennte, gehärtete Admin-Konten (Tier-Modell).
8. Datenminimierung: Personal- und Ausweiskopien nur so lange speichern wie nötig.
9. Awareness-Schulungen für alle 21.000 Beschäftigten inklusive Werk- und Leiharbeitskräfte.
10. Notfallplan mit Übungen – auch für gleichzeitigen Ausfall von SAP, Mail und Werksleitsystemen.
11. Mindestens 5–10 % des IT-Budgets für Security (BSI/ENISA/Bitkom-Empfehlung) – dauerhaft, nicht einmalig.
12. NIS-2 / KRITIS-Ernährung: Meldewege, Risikomanagement und Nachweispflichten aktiv leben.

Meldepflichten und Zuständigkeiten

Käme es zu einer Verletzung des Schutzes personenbezogener Daten, bestünde nach Art. 33 DSGVO Meldepflicht binnen 72 Stunden an die zuständige Aufsichtsbehörde – für Nordrhein-Westfalen die LDI NRW. Bei hohem Risiko wären nach Art. 34 DSGVO die Betroffenen selbst zu benachrichtigen. Als KRITIS-/NIS-2-Betreiber kämen Meldepflichten gegenüber BSI/BNetzA hinzu (24-Stunden-Erstmeldung, 72-Stunden-Zwischenmeldung, 1-Monats-Abschlussbericht). Für Strafanzeigen ist die Zentrale Ansprechstelle Cybercrime (ZAC) des LKA NRW zuständig.

Wasacon in deiner Region

Ob in Erkelenz, Wegberg, Wassenberg, Hückelhoven, Aachen, Mönchengladbach, Geilenkirchen, Jülich, Düren oder Krefeld – Ransomware-Angriffe wie der mutmaßliche TheGentlemen-Vorfall treffen Industrie, Lebensmittelproduzenten und KRITIS-Betriebe deutschlandweit. Wasacon unterstützt Unternehmen im Kreis Heinsberg und im Rheinland mit Schwachstellenanalyse, EDR/XDR, Backup-Strategie und Incident-Response nach NIS-2-Standard.