AuditTeam ist eine junge Erpressergruppe, die sich sprachlich als Wirtschaftsprüfer tarnt: Die Erpressernotiz ist als „Audit Log“ an Geschäftsleitung und Compliance-Abteilung adressiert, das Lösegeld heißt „Audit & Consulting Fee“, und wer nicht zahlt, dem droht die „öffentliche Transparenz“ – also die Veröffentlichung der gestohlenen Daten und die direkte Benachrichtigung von Kunden, Partnern und Aufsichtsbehörden. Eine Entschlüsselung wird in der Notiz gar nicht angeboten; ob die Gruppe überhaupt verschlüsselt, ist öffentlich nicht belegt.
Seit dem ersten geschätzten Angriff im Februar 2026 sind 34 Opfer in 14 Ländern gelistet, davon 13 allein in der zweiten Septemberwoche. Ungewöhnlich ist die Zielverteilung: 15 Opfer sitzen in Russland, was AuditTeam von den meisten russischsprachigen Gruppen unterscheidet, die russische Ziele meiden. Am 9. und 13. September 2026 erschienen zwei Einträge aus Deutschland – einer davon als „Paid Victim“ mit Kennung, ein Format, das darauf hindeutet, dass die Gruppe bezahlte Fälle anonymisiert als Referenz stehen lässt.
Einordnung: Zu AuditTeam existiert keine öffentliche Malware-Analyse, nur Tracker-Daten und die Erpressernotiz. Die Opfernamen sind auf der Leak-Site überwiegend maskiert. Wir führen das Profil wegen des Tempos und des Deutschland-Bezugs, weisen aber ausdrücklich darauf hin, dass die Behauptungen der Gruppe nicht unabhängig bestätigt sind.
Aktiv
Geschlossen auftretende Erpressergruppe mit eigener Tor-Leak-Site; kein bekanntes Partnerprogramm
AuditTeam, Auditteam, „Audit Team“ – der Name leitet sich aus der Erpressernotiz ab, die als „Audit Log“ formuliert ist
Erstes Opfer geschätzt am 21. Februar 2026; Leak-Site am 8. April 2026 erstmals von Trackern erfasst
Nicht öffentlich dokumentiert; keine belegte Verbindung zu bekannten Gruppen
Nicht zugeordnet; die Opferverteilung mit Schwerpunkt Russland ist für eine russischsprachige Gruppe untypisch, eine belastbare Zuschreibung existiert nicht
Technologie und Software (größte Gruppe), Transport und Logistik, Fertigung, Stahl, Agrar, Finanzdienstleister
14 Länder; Russland mit 15 Opfern klar an erster Stelle, dazu Südkorea, Deutschland (2), Kolumbien, Senegal, Japan, Indien, Argentinien, Ukraine
Öffentlich nicht beziffert; die Notiz spricht von einer „Audit & Consulting Fee“ ohne Betrag
34 gelistete Opfer in 14 Ländern seit Februar 2026, davon 13 in der Woche vom 8. bis 13. September 2026; +117 % gegenüber dem Vormonat (Stand: 14. September 2026)
Keine belastbare öffentliche Angabe – die Erpressernotiz bietet keine Entschlüsselung an, eine Verschlüsselung ist nicht belegt
[zufallszeichen].README.txt – formuliert als „AUDIT LOG: SEVERE INFRASTRUCTURE COMPROMISE VERIFIED“, adressiert an Geschäftsleitung und Compliance
Zu AuditTeam existiert keine öffentliche Malware-Analyse. Bekannt sind nur die Erpressernotiz (Dateiname mit Zufallszeichen und Endung .README.txt), die Leak-Site-Infrastruktur und eine vom Tracker ransomware.live veröffentlichte YARA-Regel (AuditTeam.yar). Die Notiz bietet keine Entschlüsselung an, sondern verkauft das Nichtveröffentlichen als „Audit & Consulting Fee“ – ein Hinweis darauf, dass die Gruppe primär auf Datendiebstahl setzt.
Die Leak-Site tritt als „/// DATA EXPOSURE TERMINAL ///“ mit Countdown pro Opfer auf und läuft auf einem nginx-Webserver im Tor-Netz; eine zweite .onion-Adresse dient als Ausweich- oder Kontaktportal. Die Erreichbarkeit lag zuletzt bei rund 96 Prozent – die Gruppe betreibt ihre Infrastruktur stabil.
AuditTeam steigt nach allem, was die Daten hergeben, über gestohlene Zugangsdaten ein und lebt vom Datendiebstahl. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und alarmiert bei den typischen Vorboten: erstmalige Anmeldung mit längst kompromittierten Zugangsdaten, ungewöhnliche Anmeldeorte und -zeiten, große ausgehende Datenübertragungen. Ergänzend beobachten wir Infostealer-Sammlungen und Untergrundmärkte auf Zugangsdaten Ihres Hauses, damit Konten gesperrt werden können, bevor sie benutzt werden.
Im Ernstfall übernimmt unser Incident-Response-Team die vollständige Fallbearbeitung: Umfang des Datenabflusses feststellen, Beweise sichern, Meldepflichten nach DSGVO und NIS2 fristgerecht erfüllen und die Kommunikation mit Kunden und Behörden steuern – damit die Drohung der Erpresser, genau diese Stellen selbst zu informieren, ins Leere läuft.