La ville de Ouangani
·Mayotte
Public SectorDeadlock
Scroll to top
DEADLOCK · 0x0
.dlock · 0x29
POLYGON-C2 · 0x52
FRANKFURT · 0x7B
GmbH & Co. KG · 0xA4
60 MA · 0xCD
1926 · 0xF6
HRA 16298 :: 89
8–10 Mio € :: e6
SIMONSVOSS :: 143
ANYDESK :: 1a0
SESSION-ID :: 1fd
SWISSTRANSFER :: 25a
T-30d :: 2b7
Zurück zum Blog
Darknet-Leaks · Cyberangriffe · Elektro- & IT-Systemhaus
W.H. Müller gehackt? Frankfurter Elektro- und IT-Traditionsbetrieb im Darknet aufgetaucht
Die Ransomware-Gruppe Deadlock hat die W.H. Müller GmbH & Co. KG (whm.de, Frankfurt-Sossenheim) auf ihrer Leak-Seite veröffentlicht – mit Screenshot und Verweis auf SwissTransfer. Ein Datenabfluss ist unbestätigt.
16 min Lesezeit Frankfurt am Main
Darknet-Listing Deadlock
Deadlock-Frist bis zur mutmaßlichen Veröffentlichung
Sichtung 10.07.2026, 13:12 UTC · typische 30-Tage-Frist bis zur Datenfreigabe (Richtwert, unbestätigt)
220
Tage
13
Std
12
Min
00
Sek
Transparenz & Einordnung
Bestätigt ist ausschließlich die Listung auf der Deadlock-Leak-Seite (Sichtung 10.07.2026, ca. 15:12 MESZ / 13:12 UTC, indexiert durch ransomware.live) sowie eine frühere Massenlistung Mitte Juni 2026. Ein tatsächlicher Cyberangriff, Datenabfluss oder Verhandlungen sind nicht unabhängig verifiziert. Eine Stellungnahme des Unternehmens liegt bis zur Veröffentlichung nicht vor. Alle Aussagen der Täter bleiben unbelegte Behauptungen – für W.H. Müller gilt die Unschuldsvermutung. Wir verlinken bewusst nicht auf die Leak-Seite und haben keine angebotenen Daten heruntergeladen oder geprüft. Wirtschaftliche und IT-Budget-Angaben sind Branchen-Benchmarks (BSI, Bitkom, Handelsregister), keine Aussage über konkrete Investitionen bei W.H. Müller.
Chronologie des Vorfalls
| Datum | Ereignis |
|---|---|
| 16.06.2026 | Domain whm.de taucht erstmals auf der neu gestarteten Deadlock-Leak-Seite auf – als einer von rund 80 Einträgen einer Massenveröffentlichung (dokumentiert u. a. durch Breachsense). |
| 10.07.2026, ca. 15:12 MESZ | Erneute bzw. aktualisierte Listung von „WH Müller" auf der Deadlock-Leak-Seite, nun mit Screenshot einer mutmaßlichen Datei-/Verzeichnisübersicht und Verweis auf den Filesharing-Dienst SwissTransfer (indexiert durch Ransomware.live, 13:12 UTC). |
| 11.07.2026 | Wasacon veröffentlicht diese Einordnung. Der Beitrag wird bei neuen Erkenntnissen, einer Stellungnahme des Unternehmens oder einer etwaigen Datenveröffentlichung aktualisiert. |
Das Wichtigste in Kürze
- W.H. Müller GmbH & Co. KG (whm.de, Frankfurt-Sossenheim) am 10.07.2026 auf der Deadlock-Leak-Seite gelistet – mit Screenshot & SwissTransfer-Link.
- Datenabfluss unbestätigt, keine Stellungnahme, keine Echtheitsprüfung des Downloadlinks.
- Traditionsbetrieb seit 1926, rund 60 Beschäftigte, geschätzt 8 – 10 Mio. € Umsatz, Bilanzsumme 2023 rund 4,0 Mio. €.
- Besondere Brisanz: W.H. Müller ist selbst IT-Systemhaus mit privilegierten Zugängen zu Kundenumgebungen und Schließanlagen (u. a. SimonsVoss).
- NIS-2-Grauzone: mit 60 MA und geschätzt bis 10 Mio. € Umsatz exakt in der Zone „wichtige Einrichtung", je nach Managed-Service-Anteil meldepflichtig.
Was ist passiert?
Am 10. Juli 2026 wurde gegen 15:12 Uhr (MESZ) auf der Leak-Seite der Ransomware-Gruppe Deadlock ein Eintrag zur Firma W.H. Müller sichtbar, versehen mit der Länderkennung „DE". Die Täter beschreiben das Unternehmen knapp als „family business in the field of electrical engineering and IT technology" – eine Formulierung, die nahezu wortgleich von der Unternehmenswebseite übernommen wirkt.
Drei Details stechen hervor:
- Screenshot & SwissTransfer-Link: Der Eintrag enthält eine mutmaßliche Datei-/Verzeichnisübersicht und einen Verweis auf den Filesharing-Dienst SwissTransfer. Deadlock nutzt – anders als die meisten Gruppen – keine reine Tor-Infrastruktur und verlinkt angeblich erbeutete Daten teils über gewöhnliche Filesharing-Dienste. Ob der Link tatsächlich Daten von W.H. Müller enthält, ist nicht verifiziert.
- Massenlistung Mitte Juni: Nach Aufzeichnungen von Breach-Monitoring-Diensten tauchte whm.de bereits Mitte Juni 2026 in einer Massenveröffentlichung mit rund 80 mutmaßlichen Opfern auf. Deadlocks Clearnet-Seite wird regelmäßig neu aufgesetzt – Einträge erscheinen mehrfach. Ein etwaiger Angriff könnte Wochen oder Monate zurückliegen.
- Fehlkategorisierung als „Herstellung": W.H. Müller ist kein produzierendes Unternehmen, sondern Handwerks- und Dienstleistungsbetrieb. Solche Fehlzuordnungen sind bei Leak-Seiten häufig – die Einträge werden von den Tätern teils automatisiert und schlampig erstellt. Ein Hinweis, wie wenig Sorgfalt hinter den Angaben steckt.
| Betroffene Domain | whm.de |
|---|---|
| Gruppe | Deadlock (DeadLock) |
| Eintrag gesichtet | 10.07.2026, ca. 15:12 MESZ (13:12 UTC bei ransomware.live) |
| Erst-Listung | Mitte Juni 2026 (Massenveröffentlichung, ~80 Einträge) |
| Onion-Adresse (nicht verlinkt) | deadblogdbdu5wprek…onion |
| Status auf Leak-Seite | Screenshot einer Datei-/Verzeichnisübersicht · SwissTransfer-Link |
| Ländereintrag | Deutschland 🇩🇪 |
| Kategorie im Eintrag | „Manufacturing / Herstellung" (Fehlzuordnung) |
| Typische Frist | ~30 Tage bis mutmaßlicher Datenfreigabe |
| Vom Unternehmen bestätigt | Nein · keine öffentliche Stellungnahme |
| Cyberangriff bestätigt | ❌ Nein |
| Datenabfluss bestätigt | ❌ Nein |
Wer ist W.H. Müller?
Die W.H. Müller GmbH & Co. KG mit Sitz in der Westerbachstraße 120 in Frankfurt-Sossenheim ist ein Traditionsbetrieb im wörtlichen Sinn: 1926 gegründet von Richard Fischer und Willi Müller senior in der Frankfurter Hafenstraße – zunächst als Leuchtenmanufaktur –, feiert das Unternehmen in diesem Jahr sein hundertjähriges Bestehen. Nach der vollständigen Zerstörung im Zweiten Weltkrieg wurde der Betrieb wieder aufgebaut und über mehrere Generationen der Familien Müller, Veith und Jung weitergeführt. Heute wird die Gesellschaft (Amtsgericht Frankfurt am Main, HRA 16298) von Sören Jung, Gesa Leber und Martin Veith geführt.
Der Betrieb ist als Innungsfachbetrieb sowohl im Elektrotechnik- als auch im Informationstechniker-Handwerk in die Handwerksrolle eingetragen (Handwerkskammer Rhein-Main, Betriebs-Nr. 4202404) und bildet aus.
| Rechtsform | GmbH & Co. KG |
|---|---|
| Sitz | Westerbachstraße 120, Frankfurt-Sossenheim |
| Registergericht | Amtsgericht Frankfurt am Main HRA 16298 |
| Komplementärin | WIMÜ Elektrobau GmbH (HRB 11931) |
| Geschäftsführung | Sören Jung, Gesa Leber, Martin Veith |
| Gegründet | 1926 (100 Jahre Tradition) |
| Mitarbeiter | rund 60 Beschäftigte am Standort Frankfurt |
| Jahresumsatz (Schätzung) | ca. 8 – 10 Mio. € (Umsatzklasse „bis 10 Mio. €") |
| Bilanzsumme 2023 | ca. 4,0 Mio. € (-10,2 % ggü. Vorjahr) |
| Stammkapital | 26.250 € |
| Innungsstatus | Elektrotechnik & Informationstechniker-Handwerk (HWK Rhein-Main) |
Zum Leistungsspektrum gehören Elektrotechnik und Elektroinstallation für Gewerbe, Industrie und Privathaushalte, Netzwerk- und Datentechnik (Glasfaser, Kommunikationsinfrastruktur), ein eigenes IT-Systemhaus (Administration von Kundennetzwerken, E-Mail- und Server-Hosting, Online-Backup, VPN, VoIP, selbst betriebene Cloud-Dienste), digitale Schließ- und Zutrittskontrollsysteme (u. a. SimonsVoss) sowie Sicherheits- und Gebäudetechnik, Brandmeldeanlagen, Notstromversorgung und Photovoltaik.
Warum dieser Fall besonders heikel ist
Bei bisherigen Fällen unserer Berichterstattung – etwa dem Schiffsausbauer BMI Projects (SafePay) oder dem Massivhaus-Anbieter Lechner (Qilin) – lag die Brisanz vor allem in eigenen Kunden- und Projektdaten. Bei W.H. Müller kommt eine zweite Ebene hinzu: Das Unternehmen ist selbst IT-Dienstleister.
Ein Systemhaus, das Netzwerke einrichtet und administriert, E-Mail- und Cloud-Dienste hostet und digitale Schließanlagen konfiguriert, verwaltet naturgemäß hochsensibles Material über Dritte – rein hypothetisch etwa Netzwerkpläne und Konfigurationsdokumentationen von Kundenumgebungen, Zugangsdaten oder VPN-Konfigurationen, Wartungsverträge und im Fall von Schließsystemen sogar Informationen darüber, wie physische Zutritte zu fremden Gebäuden organisiert sind.
Sollten solche Unterlagen abgeflossen sein, wäre das nicht nur ein Problem des Unternehmens, sondern potenziell ein Lieferketten-Risiko für dessen Kunden. Ausdrücklich gilt: Dafür gibt es derzeit keinerlei Beleg. Die Konstellation erklärt aber, warum ein Leak-Eintrag bei einem IT-Dienstleister grundsätzlich ernster zu nehmen ist als anderswo.
Was hätte W.H. Müller investieren müssen? Eine Einordnung
Aus den öffentlich verfügbaren Eckdaten – rund 60 Beschäftigte, Umsatzklasse bis 10 Mio. €, rechnerisch etwa 8 – 10 Mio. € Jahresumsatz – lässt sich mit den gängigen Benchmarks ein konkreter Erwartungsrahmen abstecken.
ca. 8 – 10 Mio. € / Jahr
Geschätzter Jahresumsatz (Umsatzklasse bis 10 Mio. €)
ca. 240.000 – 600.000 € / Jahr
IT-Gesamtbudget (Bitkom ~4 % vom Umsatz)
ca. 48.000 – 120.000 € / Jahr
IT-Sicherheits-Budget (BSI: mind. 20 %)
100.000 – 500.000 €+ pro Vorfall
Ø Ransomware-Schaden im Mittelstand
| Maßnahme | Größenordnung / Jahr |
|---|---|
| Multi-Faktor-Authentifizierung (VPN, Mail, Admin, Remote-Wartung) | 3.000 – 8.000 € |
| EDR/MDR + 24/7-Monitoring (60 Endpoints + Server) | 12.000 – 30.000 € |
| Immutable / Offline-Backups + Restore-Tests | 5.000 – 12.000 € |
| Patch-Management (Firewalls, VPN, Public-Apps, WordPress etc.) | 3.000 – 8.000 € |
| Netzsegmentierung: interne IT ↔ Kundenumgebungen ↔ Buchhaltung | 6.000 – 15.000 € |
| Privileged Access Management (Systemhaus-Admins) | 6.000 – 15.000 € |
| Zero-Trust-Zugriff auf Kunden-Fernwartung / RMM-Konsolidierung | 5.000 – 12.000 € |
| Awareness- und Phishing-Simulationen für 60 Beschäftigte | 2.500 – 6.000 € |
| Incident-Response-Retainer & Krisenübungen | 6.000 – 15.000 € |
| NIS-2- / DSGVO-Beratung (HBDI Wiesbaden, BSI-Meldewege) | 3.000 – 8.000 € |
Realität im Markt vs. Empfehlung
Tatsächlicher Security-Anteil deutscher Unternehmen: 9 % (2022) → 14 % (2023) → 17 % (2024) → 18 % (2025). Über die Hälfte der Unternehmen verfehlt die 20-%-Empfehlung des BSI. Zum Vergleich: Der durchschnittliche Ransomware-Schaden im Mittelstand liegt regelmäßig im sechsstelligen Bereich – ein einziger Schadensfall kann das Security-Budget von zehn Jahren übersteigen. Bitkom 2025: 289 Mrd. € Gesamtschaden, Ransomware dominierend.
Bei einem IT-Systemhaus verschiebt sich die Rechnung zusätzlich: Hier geht es nicht nur um den Schutz des eigenen Betriebs, sondern um die Vertrauensgrundlage des Geschäftsmodells. Für Dienstleister mit privilegierten Zugängen zu Kundensystemen gelten strikte Trennung von interner IT und Kundenumgebungen, MFA auf allen Fernzugängen und gehärtete Remote-Management-Werkzeuge als absolutes Minimum – Tendenz durch NIS-2 weiter steigend.
Wer oder was ist Deadlock? Die Ransomware-Gruppe im Profil
Deadlock ist eine vergleichsweise junge, finanziell motivierte Ransomware-Operation, die von Sicherheitsforschern erstmals im Juli 2025 beobachtet wurde. Anders als große Marken wie LockBit oder Qilin arbeitet die Gruppe ohne Affiliate-Programm als geschlossene Operation. Seit Mai/Juni 2026 betreibt sie eine öffentliche Leak-Seite – bemerkenswerterweise im offenen Internet statt im Tor-Netzwerk – und listete dort binnen kurzer Zeit rund 75 bis 80 mutmaßliche Opfer.
Technisch fällt Deadlock durch zwei Punkte auf: Erstens die Nutzung von Polygon-Smart-Contracts zur Speicherung und Rotation der C2-Adressen (EtherHiding-Muster, dokumentiert durch Group-IB im Januar 2026). Zweitens eine eigene zeitbasierte Stream-Cipher statt der Windows-Krypto-APIs; verschlüsselte Dateien tragen die Endung .dlock. Verhandlungen laufen über den dezentralen Session-Messenger, Zahlung in Bitcoin oder Monero. Die Payload prüft die Systemsprache und läuft nicht auf kyrillisch konfigurierten Maschinen.
| Erstes Auftreten (Malware) | Juli 2025 (erste Samples ab 27.06.2025) |
|---|---|
| Leak-Seite live seit | Mitte Juni 2026 |
| Modell | Doppelte Erpressung (Verschlüsselung + Datendiebstahl/-verkauf) |
| Affiliate-Programm | Nein – geschlossene Operation |
| Opferzahl | 75 in 32 Ländern (Stand 11.07.2026) |
| Top-Zielländer | Italien 8 · Spanien 8 · Polen 6 · Deutschland 4 · Singapur 4 |
| Top-Zielbranchen | Business Services, Manufacturing, Public Sector |
| Bekannter Einstieg | Ausnutzung von Schwachstellen (u. a. CVE-2024-51324), ungepatchte Systeme |
| Fernzugriff / Persistenz | AnyDesk |
| Command & Control | Polygon-Smart-Contracts (Proxy-Rotation, EtherHiding-Muster) |
| Dateiendung / Ransom-Notes | .dlock · HOW_RECOVER.<ID>.txt · RECOVERY_CHAT.<ID>.html |
| Verhandlung / Zahlung | Session-Messenger · Bitcoin oder Monero |
Vertiefung: Vollständiges Threat-Profil mit Steckbrief, TTP-Matrix, Bewertungen von Group-IB/ZeroFox/SOCRadar und der kompletten Deadlock-Opferwall.
Zum Deadlock-Profil attacker :: session · whm.de · SCHEMATIC ONLY
> recon :: whm.de · ports=443,25,993,3389,5900 · rmm-panel discovered
Hinweis zu Banner 3
Die Terminal-Sequenz im Banner ist eine rein schematische, fiktive Darstellung möglicher Angriffs-Schritte – keine Rekonstruktion, keine reale Umgebung, keine Aussage darüber, wie ein etwaiger Angriff bei W.H. Müller tatsächlich abgelaufen sein könnte. Die gezeigten Deadlock-typischen Bausteine (CVE-2024-51324, AnyDesk-Persistenz, Polygon-C2-Rotation, .dlock-Verschlüsselung) sind aus öffentlichen Analysen von Group-IB, SOCRadar und ThreatScene Unit 31 bekannt. Alles Konjunktiv, alles Annahme – keine Tatsachenbehauptung.
Welche Risiken bestehen bei solchen Vorfällen?
Sollte es tatsächlich zu einem Datendiebstahl gekommen sein, könnten bei einem Elektro- und IT-Betrieb dieser Ausrichtung unter anderem folgende Informationen betroffen sein – rein hypothetisch:
Netzwerkpläne & Konfigurationen
Rein hypothetisch: Netzwerkdiagramme, Firewall-Regeln, VLAN-, VPN- und WLAN-Konfigurationen betreuter Kundenumgebungen (typisch 5–50 Arbeitsplätze).
Schließsystem- & Zutrittsdaten
Konfigurationen digitaler Schließanlagen (u. a. SimonsVoss), Berechtigungsmatrizen, Master-/Ersatzschlüssel-Zuweisungen, Zutrittsprotokolle.
Systemhaus-Zugangsdaten
Zugangs- und Konfigurationsdaten aus Hosting, Backup, VPN und VoIP – teils inkl. gespeicherter Kundenpasswörter im Ticket- oder RMM-System.
Kunden-, Vertrags- & Personaldaten
Angebote, Kalkulationen, Wartungsverträge, Personalakten der rund 60 Beschäftigten (auch ehemaliger) sowie Bank- und Sozialversicherungsdaten.
Bislang gibt es für einen Abfluss solcher Daten keine öffentliche Bestätigung.
Meldepflichten: DSGVO und NIS-2 in diesem Fall
DSGVO
Sollte sich ein Abfluss personenbezogener Daten bestätigen, greift Art. 33 DSGVO: Meldung binnen 72 Stunden an die zuständige Aufsichtsbehörde – für Frankfurt am Main der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) in Wiesbaden. Besteht für Betroffene voraussichtlich ein hohes Risiko, müssen diese nach Art. 34 DSGVO zusätzlich direkt benachrichtigt werden.
NIS-2 – warum dieser Fall in der Grauzone liegt
Die europäische NIS-2-Richtlinie und ihre deutsche Umsetzung nehmen erstmals auch Managed Service Provider und IT-Dienstleister in die Pflicht – mit Registrierung, Risikomanagement, Meldepflichten für erhebliche Sicherheitsvorfälle (Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden an das BSI) und persönlicher Verantwortung der Geschäftsleitung. Schwellenwerte: 50 Mitarbeiter oder 10 Mio. € Umsatz – W.H. Müller bewegt sich mit rund 60 Beschäftigten und geschätzt bis zu 10 Mio. € Umsatz exakt in dieser Zone. Ob der Betrieb konkret unter das Gesetz fällt, hängt vom Managed-Services-Anteil ab. Nichtmeldung ist bußgeldbewehrt.
Anlaufstellen und Meldewege
- ZAC Hessen – Zentrale Ansprechstelle Cybercrime beim Hessischen LKA; 24/7 für Unternehmen im Ernstfall.
- BSI – Meldestelle; bei NIS-2-Pflicht Erstmeldung binnen 24, Folgemeldung binnen 72 Stunden.
- HBDI Wiesbaden – Datenschutz-Meldung nach Art. 33 DSGVO binnen 72 Stunden bei Abfluss personenbezogener Daten.
- Cyberversicherung – falls vorhanden, umgehend informieren; viele Policen setzen unverzügliche Meldung voraus.
- Strafanzeige stellen – Ransomware-Erpressung ist eine Straftat (§§ 253, 303b StGB); oft Voraussetzung für Versicherungsleistungen.
10 Do's für Kunden, Geschäftspartner und Beschäftigte
- Wachsam bleiben – unerwartete Mails, Anrufe und Rechnungen mit Bezug zu W.H. Müller, laufenden Projekten oder „dringenden IT-Updates" kritisch prüfen.
- Zahlungsaufforderungen und angeblich geänderte Bankverbindungen telefonisch über bekannte offizielle Nummern verifizieren.
- Keine unerwarteten Dateianhänge öffnen – auch nicht solche, die wie Wartungsberichte oder Aufmaße aussehen.
- Keine spontanen Fernwartungszugriffe (AnyDesk, TeamViewer, RMM) zulassen, die nicht zweifelsfrei angekündigt und über bekannte Wege verifiziert sind.
- Als betreuter Kunde beim Dienstleister aktiv nachfragen, ob eigene Zugangsdaten, VPN-Konfigurationen oder Netzwerkdokumentationen betroffen sein könnten.
- Passwörter und Schlüsselmaterial für extern verwaltete Zugänge (VPN, Mailserver, Backup, Cloud-Konsolen) vorsorglich rotieren.
- Digitale Schließanlagen prüfen: Programmiergeräte-Zugriffe, aktive Ersatzmedien, Auslesehistorien.
- Phishing-Aufmerksamkeit erhöhen – Täter kombinieren gerne echte Projektdaten mit gefälschten Absendern.
- Verdachtsfälle bei der ZAC Hessen oder der örtlichen Polizei anzeigen und Beweise (Mails, Header, Logs) sichern.
- Im Zweifel nur offizielle Informationen von W.H. Müller oder Behörden als verlässlich behandeln – nicht Gerüchte aus dem Darknet.
10 Don'ts im Ernstfall
- Kein vorschnelles Lösegeld – BSI, BKA, FBI und CISA raten einhellig ab.
- Kein Täterkontakt ohne Profis (Forensik, Anwalt, ZAC Hessen).
- Vorfall nicht verschweigen oder kleinreden – DSGVO- und ggf. NIS-2-Meldepflichten laufen weiter.
- Systeme nicht neu aufsetzen, bevor der Einfallsweg forensisch geklärt ist.
- Keine Schuldzuweisung an einzelne Mitarbeitende – Opfer ist zunächst das Unternehmen selbst.
- Backups nie am selben Netz belassen – Ransomware sucht gezielt nach ihnen.
- Keine Wiederherstellung ohne Malware-Scan der Backups.
- Keine ungeprüften „Datenrettungs"-Angebote Dritter (oft Mittelsmänner der Täter).
- Leak-Daten nicht selbst herunterladen oder weiterverbreiten – der Besuch von Leak-Seiten kann strafbar sein.
- Nicht auf „uns trifft es nicht" setzen – BSI verortet rund 80 % der gemeldeten Angriffe im Mittelstand.
12 Präventions-Do's für Handwerks-/IT-Mischbetriebe
- MFA flächendeckend – VPN, Mail, Admin, Kunden-RMM.
- 3-2-1-Backups mit Offline-/Immutable-Kopie und regelmäßigen Restore-Tests.
- Kein offenes RDP ins Internet; Fernzugänge nur über gehärtetes VPN mit MFA.
- Patch-Management mit Fristen – öffentlich erreichbare Apps, Firewalls, VPN-Appliances zuerst (bekannter Deadlock-Einstieg u. a. via CVE-2024-51324).
- EDR/MDR mit Verhaltenserkennung statt reinem Virenscanner.
- Strikte Trennung interner IT und Kundenumgebungen (Segmentierung, getrennte Admin-Identitäten, kein Passwort-Recycling).
- AnyDesk und andere Remote-Tools netzwerkweit sichtbar machen oder auf gemanagtes RMM konsolidieren.
- Privileged Access Management für Systemhaus-Admins – Least Privilege, Just-in-Time-Freigaben, Session-Recording.
- Awareness-Schulungen für alle 60 Beschäftigten, Phishing-Simulationen mehrfach pro Jahr.
- Mindestens 20 % des IT-Budgets für Security (BSI/Bitkom) – dauerhaft, nicht einmalig.
- Altsysteme, offene Wartungs- und Ex-Mitarbeiter-Zugänge konsequent abschalten.
- NIS-2-Betroffenheit prüfen – bei > 50 MA oder 10 Mio. € Umsatz plus Managed-Services-Anteil dringend erforderlich.
Deadlock Leak-Wall · ransomware.live
Deadlock Opfer-Wall – vollständig (Jun – Jul 2026, 75 Einträge)
Von Deadlock auf der Darknet-Leak-Seite gelistete Organisationen – Bestand vom 15.06.2026 bis 10.07.2026. Eine Listung ist zunächst eine Behauptung der Täter und kein Beleg für einen bestätigten Angriff oder Datenabfluss.
74
Opfer
33
Länder
16
Branchen
10.07.2026
Neuestes
74 von 74 Opfern
Direção Estacionamentos S.A. (Autopark)
·Brasilien
Consumer ServicesDeadlock
EDISA and INVERTIGE
·Spanien
Business ServicesDeadlock
Breda Energia S.p.A.
·Italien
EnergyDeadlock
Muzeum Valašsko
·Tschechien
Hospitality & TourismDeadlock
bERS (Bers logistics)
·Bulgarien
Transportation/LogisticsDeadlock
NXIT / Franco Vago / Traconf
·Italien
Business ServicesDeadlock
AFWorkshop
·Singapur
Business ServicesDeadlock
Finam Gabon
·Gabun
EnergyDeadlock
iASK (Institute of Advanced Studies Kőszeg)
·Ungarn
Bildung/ForschungDeadlock
Noega and Esnova
·Spanien
ManufacturingDeadlock
IFC Eur(opa)
·Deutschland
Financial ServicesDeadlock
TPToys
·Großbritannien
Consumer ServicesDeadlock
EXPRESOKNA SP. Z O.O.
·Polen
Business ServicesDeadlock
Bär Cargolift Polska Sp. z o.o.
·Polen
Transportation/LogisticsDeadlock
Grupolider / Grupo Actual
·Angola
Business ServicesDeadlock
Dyhrberg AG Switzerland
·Schweiz
ManufacturingDeadlock
SKK Networks / UNICARD / SKK SA
·Polen
Business ServicesDeadlock
PB Sprinkler Engineering / PLISZKA
·Polen
Business ServicesDeadlock
8.2 Group e.V.
·Deutschland
Erneuerbare Energien / EngineeringDeadlock
Integra and Operosa (C.A.A. Nicoli)
·Italien
Business ServicesDeadlock
JOSO
·Norwegen
ManufacturingDeadlock
GEOPARTNER / GEOPARTNER GEOMATICS
·Polen
Business ServicesDeadlock
FIRESTA-Fišer, a.s.
·Tschechien
ConstructionDeadlock
UFL – United Finance Limited
·Papua-Neuguinea
Financial ServicesDeadlock
Picassent (Ayuntamiento)
·Spanien
Public SectorDeadlock
Starconn (Chief Land Electronic)
·Singapur
ManufacturingDeadlock
EFCA
·Deutschland
Financial ServicesDeadlock
AKSV (AK Service & Vedligehold)
·Dänemark
ConstructionDeadlock
Bridgeport S.p.A.
·Italien
ManufacturingDeadlock
Datenquelle: öffentlich einsehbare Einträge der Deadlock-Leak-Seite, indexiert via ransomware.live (Stand 11.07.2026). 74 namentlich extrahierbare Einträge; die Plattform zählt insgesamt 75. Land- und Branchenangaben teils unvollständig oder automatisiert erfasst. Wir verlinken bewusst nicht auf die Leak-Seite und veröffentlichen keine mutmaßlich entwendeten Daten.
Häufig gestellte Fragen (FAQ)
Aktueller Stand & Fazit
✅ Die W.H. Müller GmbH & Co. KG (whm.de) wurde auf der Leak-Seite der Ransomware-Gruppe Deadlock gelistet.
✅ Der Eintrag enthält einen Screenshot und einen SwissTransfer-Link.
⚠️ Ob dahinter echte Unternehmensdaten stehen, ist nicht unabhängig verifiziert.
❌ Eine offizielle Stellungnahme oder Bestätigung eines erfolgreichen Cyberangriffs liegt bis heute (11.07.2026) öffentlich nicht vor.
❌ Ob tatsächlich Daten entwendet wurden und welche, ist nicht bestätigt.
Sollte eine Stellungnahme veröffentlicht werden oder neue Informationen bekannt werden, wird dieser Beitrag entsprechend ergänzt. Bis dahin gilt: Vorsicht ja, Panik nein – und maximale Wachsamkeit für alle, die von W.H. Müller IT-seitig, elektrotechnisch oder mit Schließanlagen betreut werden.
Zuletzt aktualisiert: .
Elektrobetrieb, IT-Systemhaus oder Mischbetrieb? Prävention ist ein Bruchteil des Schadens.
Wasacon prüft Public-App-/VPN-Härtung, MFA, EDR/MDR, Backup-Strategie (3-2-1 mit Air-Gap), Segmentierung interner IT ↔ Kundenumgebungen, Privileged Access Management und NIS-2-/DSGVO-Readiness – bevor der Ernstfall eintritt.
Wasacon in deiner Region
Ob in Erkelenz, Wegberg, Wassenberg, Hückelhoven, Aachen, Mönchengladbach, Geilenkirchen, Jülich, Düren oder Krefeld – Ransomware-Angriffe wie der mutmaßliche Deadlock-Vorfall bei W.H. Müller treffen Elektro- und IT-Systemhäuser deutschlandweit. Wasacon unterstützt Unternehmen im Kreis Heinsberg und im Rheinland mit Schwachstellenanalyse, EDR/XDR, Backup-Strategie und Incident-Response.
Quellen & Methodik
Screenshot des Deadlock-Leak-Eintrags (Stand 10.–11.07.2026 – keine Verlinkung ins Darknet)
ransomware.live & Breachsense (Indexierung, Länder-/Branchen-Datenbank, Zuordnung Deadlock)
Unternehmensangaben laut whm.de, LinkedIn, Kontakt/Historie
Register- und Firmendaten (Amtsgericht Frankfurt am Main HRA 16298, North Data, Implisense, wer-zu-wem)
Threat-Intelligence zu Deadlock: Group-IB (Polygon-Smart-Contracts-Analyse), ZeroFox (Flash Report), SOCRadar (Gruppenprofil), ThreatScene Unit 31 (YARA/IOCs), WatchGuard
BSI (Empfehlung Präsidentin Plattner: 20 % des IT-Budgets für Cybersicherheit), Bitkom (IT-Kosten ~4 % vom Umsatz; Wirtschaftsschutz-Studie 2025: 289 Mrd. € Schaden), FBI/CISA-Ransomware-Advisories
Rechtsrahmen: Art. 33/34 DSGVO, NIS-2-Richtlinie (EU) 2022/2555 und deutsches Umsetzungsgesetz
Weitere Deadlock- und Systemhaus-/Mittelstands-Fälle
- Threat-Profil: Deadlock Ransomware – Steckbrief & Opfer-Wall
- 8.2 Group e.V. & Deadlock – Prüfnetzwerk der Energiewende
- Lechner Massivhaus & Qilin – Darknet-Leak
- BMI Projects (Hamburg) – SafePay-Darknet-Leak
- Hemmersbach & Qilin – Supply-Chain-Risiko
- Keifert GmbH & The Gentlemen – Darknet-Leak
- Threat-Profil: Qilin Ransomware – aktivste RaaS-Gruppe 2026
Diskussion
0 Beiträge
Lade Kommentare …
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
11.08.202615 min
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
11.08.202616 min
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
11.08.202617 min
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
