Threat Intelligence

Coinbase Cartel

Erpressung ohne Verschlüsselung: Die Gruppe stiehlt ausschließlich Daten – und trifft damit auch bekannte deutsche Unternehmen, die IT-seitig gar keinen Ausfall bemerken.

Kurz erklärt

Coinbase Cartel ist eine seit September 2025 aktive Erpressergruppe, die bewusst auf Verschlüsselung verzichtet. Die Angreifer verschaffen sich Zugang zu Unternehmensnetzen und Cloud-Umgebungen, ziehen große Mengen sensibler Daten ab und drohen anschließend mit der Veröffentlichung oder Versteigerung auf einer eigenen Tor-Leak-Site. Der Betrieb der Opfer läuft dabei ungestört weiter – was den Angriff gefährlich unauffällig macht: Es gibt keinen Ausfall, keine Erpressernotiz auf dem Bildschirm, oft wochenlang kein einziges Warnsignal.

Der Einstieg erfolgt überwiegend über gestohlene Zugangsdaten aus Infostealer-Infektionen und über Initial Access Broker, ergänzt um Social Engineering gegen Support- und Helpdesk-Prozesse. Bis Anfang August 2026 listet die Gruppe 187 Opfer in 34 Ländern, darunter mehrere bekannte deutsche Unternehmen. Der selbstgewählte Gruppenname ist eine Anspielung der Täter und sagt nichts über eine Beteiligung des gleichnamigen Börsenunternehmens aus.

Aktiv

Modell

Reine Datenerpressung (Exfiltration-only) mit eigener Tor-Leak-Site inklusive Auktionsbereich; kein Affiliate-Programm im klassischen RaaS-Sinn, stattdessen gezielte Anwerbung von Spezialisten.

Auch bekannt als

CoinbaseCartel

Gegründet

September 2025

Entstanden aus

Analysten ordnen die Gruppe dem englischsprachigen Cybercrime-Umfeld um ShinyHunters, Scattered Spider und Lapsus$ („Scattered Lapsus$ Hunters“) zu. Die Zuordnung ist plausibel begründet, aber nicht abschließend belegt.

Herkunft

Nicht eindeutig zugeordnet; englischsprachiges Cybercrime-Umfeld

Zielsektoren

Gesundheitswesen, Technologie, Transport und Logistik (zusammen über die Hälfte der Opfer), zusätzlich Finanzdienstleistungen, Telekommunikation, Handel und E-Commerce, Industrie und professionelle Dienstleistungen.

Zielregionen

34 Länder (Stand: August 2026), Schwerpunkt USA. In der DACH-Region sind mehrere deutsche Unternehmen gelistet; auffällig war zudem eine Häufung von Angriffen auf Gesundheitsorganisationen in den Vereinigten Arabischen Emiraten.

Typisches Lösegeld

Nicht öffentlich beziffert. Zahlung wird in Bitcoin verlangt; die Opfer erhalten typischerweise 48 Stunden für die erste Kontaktaufnahme und rund 10 Tage bis zur Zahlung oder Einigung.

Opferzahl

187 gelistete Opfer in 34 Ländern (Stand: 3. August 2026), darunter rund 15 in der DACH-Region

File Extensions

keine – die Gruppe verschlüsselt keine Dateien

Ransom Note

keine klassische Erpressernotiz auf den Systemen; die Kontaktaufnahme erfolgt per E-Mail an Führungskräfte und über ein Tor-Chatportal

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Umfang des Datenabflusses zuerst bestimmen: Welche Konten, Systeme und Datenbestände waren betroffen, und was wurde nachweislich ausgeleitet? Diese Frage entscheidet über alles Weitere.
  • Beweise sichern, bevor sie rotieren: Anmelde-, Proxy-, Firewall- und Cloud-Audit-Protokolle (Microsoft 365, SharePoint, OneDrive) unverändert exportieren und aufbewahren.
  • Kompromittierte Identitäten sofort sperren, Zugangsdaten zurücksetzen, aktive Sitzungen und OAuth-Tokens widerrufen und MFA erzwingen.
  • Incident Response aktivieren und Geschäftsführung sowie Datenschutzbeauftragte einbinden – hier ist von Beginn an eine rechtliche Bewertung nötig.
  • Meldepflichten prüfen und Fristen einhalten: bei personenbezogenen Daten Meldung an die Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei Polizei oder ZAC erwägen.
  • Kommunikation vorbereiten, bevor die Leak-Site es tut: abgestimmte Sprachregelung für Kunden, Partner und Beschäftigte bereithalten.
⛔ Unbedingt vermeiden
  • Nicht annehmen, es sei „nichts passiert“, weil keine Systeme verschlüsselt sind und der Betrieb normal weiterläuft – genau darauf baut das Vorgehen dieser Gruppe.
  • Keine eigenständige Zahlung ohne forensische und juristische Bewertung – eine Löschung der Daten ist durch nichts garantiert, und bei bereits kopierten Daten praktisch nicht überprüfbar.
  • Nicht auf eigene Faust über das Chatportal verhandeln oder auf die E-Mails der Täter antworten; Kontakt ausschließlich über spezialisierte Incident-Responder steuern.
  • Protokolldaten nicht überschreiben oder rotieren lassen – ohne sie lässt sich der Umfang des Abflusses nicht belastbar bestimmen, und ohne belastbaren Umfang ist keine saubere Meldung möglich.
  • Betroffene Konten nicht nur „vorsichtshalber“ mit neuem Passwort versehen, ohne Sitzungen und Tokens zu widerrufen – sonst bleibt der Zugang bestehen.
  • Den Vorfall nicht verzögert melden oder herunterspielen: Melde- und Informationspflichten laufen ab Kenntnis, unabhängig vom Verhandlungsstand.

Bekannte Angriffe

  • Deutschland (Auswahl laut Leak-Site): Studiosus Reisen München, Triumph International, Westwing Home & Living, KEB, Tab Service, Geno Bank.
  • International (Auswahl): Caterpillar und Canada Goose sowie eine Serie von Gesundheitsorganisationen in den Vereinigten Arabischen Emiraten.
  • Alle Nennungen beruhen auf Eigenangaben der Leak-Site und sind nicht unabhängig verifiziert. Erfahrungsgemäß enthalten solche Listen auch recycelte oder von Dritten stammende Datensätze.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Gestohlene Zugangsdaten aus Infostealer-Infektionen – T1078 (Valid Accounts); bei rund 80 Prozent der Opferdomänen bestehen entsprechende Hinweise
    • Zukauf von Zugängen bei Initial Access Brokern
    • Social Engineering gegen Helpdesk- und Support-Prozesse – T1566 / T1598
  • Rechteausweitung:
    • Übernahme von Administratorkonten und Cloud-Rollen – T1078.004 (Cloud Accounts)
  • Sammlung:
    • Zugriff auf Datei- und Informationsspeicher, SharePoint/OneDrive und Datenbanken – T1213 (Data from Information Repositories)
  • Exfiltration:
    • Ausleitung über Web-Dienste und Cloud-Speicher – T1567 (Exfiltration Over Web Service)
  • Auswirkung:
    • Erpressung ohne Verschlüsselung, gestaffelte Veröffentlichung und Versteigerung der Daten – T1657 (Financial Theft)
    • Direkte Ansprache von Führungskräften, Kunden und Partnern zur Druckerhöhung

Technologie & Malware

Coinbase Cartel setzt keinen eigenen Verschlüsseler ein – es existiert schlicht keine Ransomware-Familie, die man erkennen könnte. Das ist der Kern des Problems: Der Angriff besteht aus legitimen Anmeldungen, legitimen Dateizugriffen und legitimen Uploads. Verwendet werden gestohlene, gültige Zugangsdaten, Standard-Cloud-Werkzeuge und gängige Übertragungswege; klassische Virenerkennung findet dabei nichts.

Die Erpressungsinfrastruktur ist professionell aufgesetzt: eine Tor-Leak-Site mit Bereichen für Opferlisten, Auktionen, „Partnerschaften“ und Kontakt, dazu ein Chatportal für Verhandlungen. Die Gruppe wirbt in einschlägigen Foren offen um Spezialisten und hat nach eigener Darstellung ein erhebliches Budget für den Zukauf von Schwachstellen ausgelobt – solche Selbstdarstellungen sind allerdings mit Vorsicht zu behandeln.

Indicators of Compromise (IOCs)

  • Keine Datei-Endung, keine Erpressernotiz, kein Verschlüsseler – der Angriff hinterlässt keine klassischen Malware-Artefakte.
  • Verhaltensindikatoren statt Signaturen: Anmeldungen aus untypischen Regionen oder von untypischen Geräten, Anmeldungen mit Zugangsdaten, die in Infostealer-Logs auftauchen, sprunghafte Massen-Downloads aus SharePoint/OneDrive/Fileservern, große Uploads zu Cloud-Speicherdiensten.
  • Erpressungskanäle: Tor-Leak-Site mit Auktionsbereich, Chatportal, E-Mail-Ansprache von Führungskräften.
  • Konkrete Onion-Adressen und Hashes ändern sich laufend – bitte über etablierte Threat-Intelligence-Quellen beziehen und vor dem Blocken verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Werden geleakte Zugangsdaten Ihrer Domänen (Infostealer-Logs, Darknet-Märkte) laufend überwacht und betroffene Konten zwangsweise zurückgesetzt?
  • Ist Multi-Faktor-Authentifizierung für alle Zugänge erzwungen – inklusive VPN, Fernwartung, Cloud-Konsolen und Dienstkonten?
  • Sind Helpdesk- und Passwort-Reset-Prozesse gegen Social Engineering gehärtet (Rückrufverfahren, Identitätsprüfung, Vier-Augen-Prinzip bei MFA-Resets)?
  • Wird ausgehender Datenverkehr überwacht: Massen-Downloads aus SharePoint/OneDrive/Fileservern, Uploads zu Cloud-Speichern, ungewöhnliche Datenvolumina außerhalb der Geschäftszeiten?
  • Sind besonders schützenswerte Datenbestände klassifiziert und so segmentiert, dass ein einzelnes kompromittiertes Konto nicht alles erreicht?
  • Ist ein Datenschutz-Meldeprozess eingespielt, der binnen 72 Stunden belastbare Aussagen zum Umfang eines Datenabflusses erlaubt?

Wie Argos unterstützt

Gegen eine Gruppe, die keine Systeme verschlüsselt, hilft nur, den Datenabfluss selbst zu bemerken. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und ist gezielt auf genau diese Muster ausgelegt: Anmeldungen mit geleakten Zugangsdaten, untypische Zugriffe auf Datei- und Cloud-Speicher, Massen-Downloads und ungewöhnliche Ausleitungen. Über unsere Threat Intelligence beobachten wir Leak-Sites und Infostealer-Quellen und melden es, wenn Zugangsdaten Ihres Unternehmens dort auftauchen. Kommt es zum Vorfall, ermittelt unser Incident-Response-Team kurzfristig den tatsächlichen Umfang des Datenabflusses – die Grundlage für jede Meldung an Aufsichtsbehörden und für die Kommunikation mit Kunden und Partnern.