BravoX ist eine Ransomware-as-a-Service-Operation, die im Januar 2026 öffentlich in Erscheinung trat, nachdem der Betreiber im Untergrundforum RAMP eine Tor-Adresse veröffentlicht hatte. Die Gruppe arbeitet mit Doppelter Erpressung: Daten werden ausgeleitet, anschließend werden Systeme verschlüsselt – wer nicht zahlt, findet seine Unterlagen auf der Leak-Site wieder. Auffällig ist die strenge Auswahl der Partner: Wer mitmachen will, muss Zugang zu einem umsatzstarken Ziel nachweisen, eine Kaution hinterlegen oder von Vertrauten bürgen lassen.
Für die DACH-Region ist die Gruppe deshalb relevant, weil sie ihren Fokus verschoben hat: Nach dem Start mit Gesundheits- und Handelsunternehmen in Nordamerika liegt der Schwerpunkt seit 2026 auf Europa – ausdrücklich auf Deutschland, Österreich und der Schweiz sowie auf Finanz- und Rechtsdienstleistern. Die auf der Leak-Site angegebenen Datenmengen reichen von rund 460 Gigabyte bis über 3,1 Terabyte je Opfer, was auf ein systematisches Absaugen ganzer Dateiablagen hindeutet.
Aktiv
RaaS mit streng geprüftem Partnerprogramm: Bewerber müssen entweder Zugang zu einem Ziel mit über 5 Mio. USD Umsatz nachweisen, eine Kaution in einem anderen Untergrundforum hinterlegen oder über Bürgen verifiziert werden.
BravoX; auf Tracking-Portalen auch „bravox“ und „bravox2“
Forenregistrierung im September 2025, öffentlicher Start im Januar 2026 (Leak-Site ab 17. Januar 2026, erste Opfer ab 20. Januar 2026)
Kein Rebrand einer bekannten Gruppe belegt. Der Betreiber registrierte sich im September 2025 im Untergrundforum RAMP und blieb bis zur Veröffentlichung der Leak-Site auffällig ruhig – ein Muster, das auf einen längeren Infrastrukturaufbau vor dem Start hindeutet.
Russischsprachiger Raum / GUS (nach Eigenangabe werden GUS-Staaten nicht angegriffen)
Zu Beginn Gesundheitswesen und Einzelhandel, seit 2026 verstärkt Finanz- und Rechtsdienstleister sowie mittelständische Unternehmen quer durch die Branchen.
Anfangs Nordamerika (vor allem USA), seit 2026 klare Verlagerung nach Europa mit Schwerpunkt auf der DACH-Region; GUS-Staaten werden nach Eigenangabe ausgespart.
Nicht öffentlich beziffert; Verhandlung über ein Tor-Portal, den Opfern werden vier Tage zur Kontaktaufnahme gesetzt.
24 gelistete Opfer seit Februar 2026, darunter zwei Schweizer Unternehmen; jüngster Eintrag am 7. August 2026 (Stand: 10. August 2026)
Öffentlich nicht eindeutig dokumentiert
00_Recovery_notes.txt
BravoX setzt kaum auf eigene Werkzeuge, sondern kombiniert legitime Software mit wenigen spezialisierten Komponenten. Zur Erkundung dient der Netzwerk-Scanner Netscan, die eigene Anbindung wird über ProtonVPN verschleiert. Vor der Verschlüsselung wird die Endpunkt-Sicherheit abgeschaltet: über eigens angelegte Dienste und mitgebrachte verwundbare Treiber – dokumentiert sind unter anderem vulndriver.sys, UnknownKiller.sys und umdaau99.sys.
Der Verschlüsseler selbst wurde in einem analysierten Fall als k1.exe im Verzeichnis C:/temp abgelegt. Die Erpressernotiz heißt 00_Recovery_notes.txt; darin wird die Menge der gestohlenen Daten beziffert und mit der Veröffentlichung im Darknet gedroht. Zusätzlich meldet sich die Gruppe mehrfach über zufällig erzeugte Freemail-Adressen und schickt Screenshots gestohlener Unterlagen als Beleg.
Der dokumentierte DACH-Fall zeigt, worauf es bei dieser Gruppe ankommt: Zwischen dem ersten Zugriff über den VPN-Zugang und der Verschlüsselung liegt ein Zeitfenster, in dem der Angriff noch zu stoppen ist. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt genau bei diesen Mustern an: auffällige VPN-Anmeldungen, neu angelegte Administratorkonten, gestoppte Endpunkt-Sicherheit, Netzwerk-Erkundung und große Datenausleitungen. Im Ernstfall greift unser Incident-Response-Team kurzfristig per Fernzugriff ein, bestimmt Umfang und Zeitpunkt des Zugriffs und koordiniert Forensik, Wiederanlauf und Meldepflichten.