Threat Intelligence

Genesis

Genesis arbeitet ohne Partnerprogramm und ohne Verschlüsselung – und hat in zehn Monaten über 110 Opfer veröffentlicht.

Kurz erklärt

Genesis tauchte im Oktober 2025 auf – und zwar mit einem Paukenschlag: neun Opfer auf einen Schlag, zusammen über 2,2 Terabyte angeblich gestohlener Daten. Seither ist die Gruppe kontinuierlich aktiv und hat mehr als 110 Organisationen veröffentlicht.

Zwei Dinge machen Genesis ungewöhnlich. Erstens: Es wird nicht verschlüsselt. Eine Verschlüsselungsfähigkeit ist bis heute nicht belegt; das Geschäftsmodell ist reiner Datendiebstahl mit anschließender Veröffentlichungsdrohung. Zweitens: Genesis wirbt keine Partner an. Auf einschlägigen Untergrundforen finden sich keine Rekrutierungsanzeigen – ein Hinweis auf ein kleines, geschlossenes Team, das mit Standardwerkzeugen arbeitet, dafür aber sehr diszipliniert.

Der Ablauf ist getaktet: 48 Stunden für die erste Kontaktaufnahme, danach Fristen von in der Regel bis zu zehn Tagen, bei Verstreichen steigt die Forderung. Bezahlt werden soll in Bitcoin. Getroffen werden überwiegend kleine und mittlere Organisationen in den USA – Arztpraxen, Pflegedienste, Bauunternehmen, Kanzleien, Immobilienverwaltungen. Ein Fall im deutschsprachigen Raum ist bislang nicht dokumentiert; das nächstgelegene Opfer ist ein dänisches Softwarehaus. Wir führen die Gruppe wegen ihres Volumens und ihres Vorgehens, nicht wegen eines DACH-Bezugs – die Erfahrung zeigt allerdings, dass US-fokussierte Gruppen ihren Radius mit wachsender Routine ausweiten.

Aktiv

Modell

Kleines geschlossenes Team ohne Partnerprogramm; keine Rekrutierung in Untergrundforen beobachtet

Auch bekannt als

Genesis (Erpressergruppe seit 2025); Schreibweise auf Tracking-Portalen: genesis. Nicht zu verwechseln mit dem 2023 abgeschalteten Zugangsdaten-Marktplatz „Genesis Market“ – zwischen beiden ist keine Verbindung belegt.

Gegründet

Erste veröffentlichte Opfer im Oktober 2025 (neun Einträge auf einen Schlag)

Entstanden aus

Nicht zugeordnet – kein belegter Rebrand, keine bekannte Vorgängergruppe

Herkunft

Nicht zugeordnet – eine belegte geografische Herkunft ist öffentlich nicht dokumentiert

Zielsektoren

Gesundheitswesen und Pflege, Bau und Handwerk, Rechts- und Steuerberatung, Immobilien- und Finanzdienstleistungen, Einzelhandel, Fertigung, IT-Dienstleistungen

Zielregionen

Rund 8 Länder; sehr klarer Schwerpunkt USA (rund 90 % der Einträge), daneben Vereinigtes Königreich, Kanada und Einzelfälle in Dänemark, Spanien, Malaysia und Jamaika. Kein dokumentierter Fall in Deutschland, Österreich oder der Schweiz.

Typisches Lösegeld

Öffentlich nicht beziffert; Zahlung in Bitcoin gefordert, mit Preisaufschlag nach Fristablauf

Opferzahl

Über 110 gelistete Opfer zwischen Oktober 2025 und August 2026 (Stand: 7. September 2026)

File Extensions

keine – eine Verschlüsselungsfähigkeit ist nicht belegt

Ransom Note

keine Datei auf dem System belegt; Kontaktaufnahme über Leak-Site und E-Mail

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher gehen sonst verloren.
  • Incident Response aktivieren und die Geschäftsführung einbinden – auch wenn der Betrieb ungestört weiterläuft. Bei reiner Datenerpressung ist genau das der Regelfall.
  • Alle Zugangsdaten zurücksetzen, Sitzungen widerrufen, Fernzugänge sperren und Mehr-Faktor-Anmeldung erzwingen – auch für externe Dienstleister.
  • Rückwärts suchen: Zwischen Zugriff und Nennung liegen typischerweise Wochen. Protokolle der letzten zwei Monate auf ungewohnte Anmeldungen, fremde Fernzugriffswerkzeuge und große Datenübertragungen prüfen.
  • Die Frist ernst nehmen, ohne ihr zu folgen: Genesis arbeitet mit 48-Stunden-Kontaktfenster und Countdown. Das ist Druckaufbau – die Reaktion gehört in die Hände erfahrener Incident-Responder, nicht in die der betroffenen Fachabteilung.
  • Umfang bestimmen: Welche Datensätze, welche Personen, welche Vertragspartner sind betroffen?
  • Meldepflichten prüfen und Fristen einhalten: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Betroffeneninformation bei hohem Risiko (Art. 34), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; Strafanzeige bei der ZAC der Polizei erwägen.
  • Den Leak-Site-Eintrag mit Datum, Countdown-Stand und veröffentlichten Proben dokumentieren – auch die anonymisierte Vorstufe.
⛔ Unbedingt vermeiden
  • Die Nennung nicht ungeprüft glauben – aber auch nicht als Bluff abtun, ohne die eigenen Protokolle durchgesehen zu haben. Beides sind Fehler mit teuren Folgen.
  • Sich nicht auf Backups verlassen: Gegen eine Veröffentlichung helfen sie nicht.
  • Nicht auf eigene Faust mit den Erpressern kommunizieren – Kontakt ausschließlich über erfahrene Incident-Responder und Verhandlungsexperten.
  • Nicht wegen des ablaufenden Countdowns vorschnell zahlen: keine Garantie für Löschung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder bereinigen, bevor die Forensik gesichert ist – sonst lässt sich der Umfang des Datenabflusses nicht mehr feststellen.
  • Den Vorfall nicht verschweigen oder aufschieben – Meldefristen laufen ab Kenntnisnahme, nicht ab Veröffentlichung.

Bekannte Angriffe

  • Startwelle (Oktober 2025) – neun Opfer gleichzeitig veröffentlicht, zusammen über 2,2 Terabyte behaupteter Daten. Ein Sammel-Veröffentlichungsmuster, das seither beibehalten wurde.
  • Boyum IT Solutions (Dänemark, Juli 2026) – Softwarehaus für ERP-Erweiterungen; der bislang einzige Eintrag aus Nordeuropa und der am nächsten am deutschsprachigen Markt liegende Fall.
  • Interim HealthCare (USA, August 2026) – Pflegedienstleister; gleich mehrere regionale Gesellschaften nacheinander gelistet.
  • Consolidated Medical Practices of Memphis und Hospitality Health ER (USA, August 2026) – medizinische Einrichtungen mit umfangreichen Patientendaten.
  • C. A. Walker Construction, Westlake Realty Group, Servonix Technologies (USA, Juli 2026) – Bau, Immobilien und IT; die Bandbreite zeigt eine opportunistische, nicht branchengebundene Auswahl.
  • Einordnung: Sämtliche Nennungen beruhen auf Eigenangaben der Leak-Site; unabhängige Bestätigungen liegen nur für einen Teil der Fälle vor. Mehrere Einträge sind zudem nur teilweise anonymisiert veröffentlicht – ein Druckmittel vor Fristablauf.

Angriffstechniken (TTPs)

  • Einstieg (nicht abschließend belegt):
    • Nach vorliegenden Berichten Missbrauch gültiger Zugangsdaten und offen erreichbarer Fernzugriffsdienste (MITRE T1078, T1133)
    • Phishing als weiterer plausibler Weg (T1566) – ein einzelner, sauber dokumentierter Erstzugriff ist öffentlich nicht beschrieben
  • Im Netz:
    • Handelsübliche Fernzugriffs- und Administrationswerkzeuge statt eigener Schadsoftware (T1219, T1218)
    • Gezielte Suche nach Patienten-, Personal- und Finanzdaten – die Auswahl der veröffentlichten Proben legt eine vorherige Sichtung nahe
  • Ausleitung und Erpressung:
    • Datenabfluss über Standardprotokolle oder Cloud-Speicher (T1567), anschließend Erpressung ohne Verschlüsselung (T1657)
    • Getakteter Ablauf: 48 Stunden bis zur ersten Kontaktaufnahme, Fristen bis zu zehn Tagen, danach Preisaufschlag und Veröffentlichung
    • Veröffentlichung in Sammelwellen – zwischen Zugriff und Nennung liegen typischerweise Wochen
  • Ausdrücklich nicht belegt:
    • Keine Verschlüsselungsfähigkeit nachgewiesen
    • Keine ausgenutzte Schwachstelle (CVE) öffentlich zugeordnet
    • Keine Werkzeuge für Rechteausweitung oder seitliche Bewegung dokumentiert

Technologie & Malware

Zu Genesis liegt keine veröffentlichte Malware-Analyse vor – aus dem einfachen Grund, dass keine eigene Schadsoftware bekannt ist. Weder Verschlüsseler noch Loader, weder Datei-Endung noch Erpressernotiz sind dokumentiert. Berichte sprechen übereinstimmend von handelsüblichen Werkzeugen („commodity tooling“): Fernzugriffsprogramme, Administrationswerkzeuge und Übertragungssoftware, wie sie in jedem Netz vorkommen.

Das ist für die Verteidigung die eigentliche Nachricht: Es gibt nichts zu blocken. Eine Erkennung kann sich hier nicht auf Signaturen oder Hashes stützen, sondern nur auf Verhalten – wer meldet sich an, wer greift auf welche Datenbestände zu, wohin fließen wie große Datenmengen.

Belegt ist die Infrastruktur: eine über das Tor-Netzwerk erreichbare Leak-Site mit Countdown-Anzeige je Opfer. Sobald belastbare technische Analysen vorliegen, ergänzen wir dieses Profil.

Indicators of Compromise (IOCs)

  • Datei-Endung: keine – keine belegte Verschlüsselung
  • Erpressernotiz: keine dokumentierte Datei; Ansprache über E-Mail und Leak-Site mit Countdown
  • Verhaltensindikatoren:
    • Anmeldungen mit gültigen Zugangsdaten außerhalb üblicher Zeiten oder aus fremden Netzen
    • Ungewöhnlich große ausgehende Übertragungen aus Datei-, Praxis- oder ERP-Systemen
    • Nutzung von Fernzugriffs- und Übertragungswerkzeugen, die nicht zur bewilligten Softwareliste gehören
  • Zeitliches Muster: Veröffentlichung erfolgt gebündelt in Wellen – eine Nennung bedeutet, dass der Zugriff bereits Wochen zurückliegt
  • Es liegen keine veröffentlichten Datei-Hashes, Tor-Adressen oder Netzwerk-Indikatoren aus belastbaren Quellen vor.

Was Unternehmen jetzt prüfen sollten

  • Sind alle Fernzugänge – VPN, RDP, Fernwartung, Webmail – mit phishing-resistenter Mehr-Faktor-Anmeldung geschützt?
  • Würden Sie einen großen Datenabfluss bemerken – auch nachts, am Wochenende und aus Fachanwendungen wie Praxis-, Kanzlei- oder ERP-Software heraus?
  • Ist dokumentiert, welche personenbezogenen Datenbestände wo liegen? Ohne diese Übersicht lässt sich im Ernstfall kein Meldeumfang bestimmen.
  • Werden Fernzugriffs- und Übertragungswerkzeuge über eine Freigabeliste kontrolliert, sodass fremde Programme auffallen?
  • Werden Firmen-Zugangsdaten auf Funde in Infostealer-Sammlungen überwacht?
  • Ist geregelt, wer Leak-Sites beobachtet und intern Alarm schlägt, wenn Ihr Name erscheint?
  • Existiert ein geübter Notfallplan mit Meldewegen (DSGVO 72 Stunden, bei NIS2-Betroffenheit 24 Stunden)?
  • Ist die Kommunikation gegenüber Kunden, Patienten und Aufsicht vorbereitet – für den Fall, dass Daten veröffentlicht werden, ohne dass ein System ausgefallen ist?

Wie Argos unterstützt

Genesis hinterlässt nichts, was ein Virenscanner finden könnte – keine Verschlüsselung, keine eigene Schadsoftware, keine Signaturen. Das Cyber Defense Center von Argos Security setzt deshalb auf Verhaltenserkennung rund um die Uhr (24/7): Anmeldungen, die nicht zum Nutzerprofil passen, Zugriffe auf Datenbestände außerhalb der üblichen Rolle, ausgehende Übertragungen in ungewohnter Größenordnung, Fernzugriffswerkzeuge, die dort nichts zu suchen haben.

Weil zwischen Zugriff und Veröffentlichung typischerweise Wochen liegen, ist dieses Zeitfenster der Hebel: Wer den Datenabfluss während des Vorgangs bemerkt, muss ihn hinterher nicht erklären. Ergänzend beobachten wir Leak-Sites und Untergrundmärkte auf Nennungen Ihres Unternehmens – auch auf die anonymisierten Vorabeinträge, mit denen Genesis Druck aufbaut, bevor der Name fällt.

Im Ernstfall übernimmt unser Incident-Response-Team die forensische Klärung des tatsächlichen Datenabflusses, die Bewertung der Meldepflichten nach DSGVO und NIS2 sowie die Begleitung von Kommunikation und Verhandlung.