Dark Project wurde Anfang August 2026 öffentlich sichtbar – und zwar nicht schleichend, sondern mit einem Schlag: 19 Opfer an zwei aufeinanderfolgenden Tagen. Ein solcher Sammelstart ist typisch für Gruppen, die ihre Leak-Site erst eröffnen, nachdem sie über Monate Zugänge gesammelt haben; die Angriffe selbst liegen also teils deutlich früher.
Die Gruppe kombiniert Verschlüsselung und Datenerpressung. Bei den betroffenen Organisationen zeigt sich kein Branchenmuster: Energieversorger, Logistiker, Autohäuser, Arztpraxen, Ingenieurbüros, Verpackungshersteller, Bildungseinrichtungen und eine öffentliche Veranstaltungsgesellschaft stehen nebeneinander. Das spricht für opportunistisches Vorgehen – angegriffen wird, wer erreichbar ist, nicht wer in ein Beuteschema passt.
Für den deutschsprachigen Raum ist ein Fall dokumentiert: ein deutscher Pumpenhersteller, gelistet in der Startwelle vom 5. August 2026. Zur Ehrlichkeit gehört allerdings: Zu Dark Project liegt keine veröffentlichte Analyse des Verschlüsselers vor – keine Datei-Endung, keine Erpressernotiz, keine belegten Angriffstechniken. Tracking-Portale versehen die Behauptungen junger Gruppen ausdrücklich mit einem Vorbehalt. Wir führen das Profil, weil der deutsche Fall und das Volumen belegt sind – nicht, weil die technische Handschrift verstanden wäre.
Aktiv
Eigenständige Erpressergruppe mit eigener Tor-Leak-Site; ein offenes Partnerprogramm (RaaS) wird bislang nicht beworben
Dark Project; Schreibweise auf Tracking-Portalen: Dark Project. Keine Verbindung zur älteren Ransomware-Familie „Dark Power“ belegt.
Leak-Site öffentlich seit dem 5. August 2026; erste Angriffe liegen nach dem Sammelstart zu urteilen davor
Nicht zugeordnet – ein Rebrand oder eine Vorgängergruppe ist öffentlich nicht belegt
Nicht zugeordnet – eine belegte geografische Herkunft ist öffentlich nicht dokumentiert. Der Gruppenname sagt nichts über Sprache oder Standort der Täter aus.
Energie und Versorgung, Transport und Logistik, Automobilhandel, Fertigung und Maschinenbau, Ingenieur- und Planungsbüros, Gesundheitswesen, Bildung, Verpackung, professionelle Dienstleistungen, öffentliche Einrichtungen
6 Länder; Schwerpunkt USA (19 von 25 Einträgen), daneben Vereinigtes Königreich (2), Kanada, Philippinen, Mexiko und Deutschland (je 1)
Öffentlich nicht beziffert – die Gruppe nennt auf der Leak-Site keine Summen
25 gelistete Opfer zwischen dem 5. und 25. August 2026, davon 19 allein in der Startwelle am 5. und 6. August (Stand: 7. September 2026)
keine belastbare öffentliche Angabe – eine Analyse des Verschlüsselers liegt nicht vor
keine belastbare öffentliche Angabe
Zu Dark Project liegt keine veröffentlichte technische Analyse vor. Weder Verschlüsselungsverfahren, Programmiersprache oder Zielplattform (Windows, Linux, Virtualisierung) noch Datei-Endung oder Erpressernotiz sind dokumentiert. Wir tragen an dieser Stelle bewusst nichts nach, was nicht belegt ist – Angaben aus Blog-Beiträgen, die allgemeine Ransomware-Merkmale auf diese Gruppe übertragen, sind keine Analyse.
Belegt ist allein die Infrastruktur: eine über das Tor-Netzwerk erreichbare Leak-Site, auf der die Opfer mit Namen, Mengenangaben und teilweise Dateiproben gelistet werden.
Sobald belastbare Analysen vorliegen, ergänzen wir dieses Profil. Bis dahin gilt: Ein Dark-Project-Angriff lässt sich nicht über Signaturen erkennen, sondern nur über Verhalten.
Gegen eine Gruppe ohne bekannte Signaturen entscheidet die Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt bei den Mustern an, die einer Verschlüsselung vorausgehen: erstmalige Nutzung gestohlener Zugangsdaten, Anmeldungen an Fernzugängen zu ungewohnten Zeiten, große ausgehende Datenübertragungen, Manipulation von Sicherungsjobs und Schattenkopien.
Der Sammelstart von Dark Project zeigt, worauf es ankommt: Zwischen Kompromittierung und öffentlicher Nennung liegen Wochen. In diesem Zeitfenster lässt sich ein Angriff noch stoppen – danach geht es nur noch um Schadensbegrenzung. Ergänzend beobachten wir Leak-Sites auf Nennungen Ihres Unternehmens.
Tritt der Ernstfall ein, übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf – und begleitet Sie durch Meldepflichten, Kommunikation und, falls nötig, die Verhandlung. Gerade bei Fertigungs- und Logistikbetrieben steht dabei die schnelle Rückkehr in den Betrieb im Vordergrund, nicht die vollständige Aufklärung am ersten Tag.