Genesis tauchte im Oktober 2025 auf – und zwar mit einem Paukenschlag: neun Opfer auf einen Schlag, zusammen über 2,2 Terabyte angeblich gestohlener Daten. Seither ist die Gruppe kontinuierlich aktiv und hat mehr als 110 Organisationen veröffentlicht.
Zwei Dinge machen Genesis ungewöhnlich. Erstens: Es wird nicht verschlüsselt. Eine Verschlüsselungsfähigkeit ist bis heute nicht belegt; das Geschäftsmodell ist reiner Datendiebstahl mit anschließender Veröffentlichungsdrohung. Zweitens: Genesis wirbt keine Partner an. Auf einschlägigen Untergrundforen finden sich keine Rekrutierungsanzeigen – ein Hinweis auf ein kleines, geschlossenes Team, das mit Standardwerkzeugen arbeitet, dafür aber sehr diszipliniert.
Der Ablauf ist getaktet: 48 Stunden für die erste Kontaktaufnahme, danach Fristen von in der Regel bis zu zehn Tagen, bei Verstreichen steigt die Forderung. Bezahlt werden soll in Bitcoin. Getroffen werden überwiegend kleine und mittlere Organisationen in den USA – Arztpraxen, Pflegedienste, Bauunternehmen, Kanzleien, Immobilienverwaltungen. Ein Fall im deutschsprachigen Raum ist bislang nicht dokumentiert; das nächstgelegene Opfer ist ein dänisches Softwarehaus. Wir führen die Gruppe wegen ihres Volumens und ihres Vorgehens, nicht wegen eines DACH-Bezugs – die Erfahrung zeigt allerdings, dass US-fokussierte Gruppen ihren Radius mit wachsender Routine ausweiten.
Aktiv
Kleines geschlossenes Team ohne Partnerprogramm; keine Rekrutierung in Untergrundforen beobachtet
Genesis (Erpressergruppe seit 2025); Schreibweise auf Tracking-Portalen: genesis. Nicht zu verwechseln mit dem 2023 abgeschalteten Zugangsdaten-Marktplatz „Genesis Market“ – zwischen beiden ist keine Verbindung belegt.
Erste veröffentlichte Opfer im Oktober 2025 (neun Einträge auf einen Schlag)
Nicht zugeordnet – kein belegter Rebrand, keine bekannte Vorgängergruppe
Nicht zugeordnet – eine belegte geografische Herkunft ist öffentlich nicht dokumentiert
Gesundheitswesen und Pflege, Bau und Handwerk, Rechts- und Steuerberatung, Immobilien- und Finanzdienstleistungen, Einzelhandel, Fertigung, IT-Dienstleistungen
Rund 8 Länder; sehr klarer Schwerpunkt USA (rund 90 % der Einträge), daneben Vereinigtes Königreich, Kanada und Einzelfälle in Dänemark, Spanien, Malaysia und Jamaika. Kein dokumentierter Fall in Deutschland, Österreich oder der Schweiz.
Öffentlich nicht beziffert; Zahlung in Bitcoin gefordert, mit Preisaufschlag nach Fristablauf
Über 110 gelistete Opfer zwischen Oktober 2025 und August 2026 (Stand: 7. September 2026)
keine – eine Verschlüsselungsfähigkeit ist nicht belegt
keine Datei auf dem System belegt; Kontaktaufnahme über Leak-Site und E-Mail
Zu Genesis liegt keine veröffentlichte Malware-Analyse vor – aus dem einfachen Grund, dass keine eigene Schadsoftware bekannt ist. Weder Verschlüsseler noch Loader, weder Datei-Endung noch Erpressernotiz sind dokumentiert. Berichte sprechen übereinstimmend von handelsüblichen Werkzeugen („commodity tooling“): Fernzugriffsprogramme, Administrationswerkzeuge und Übertragungssoftware, wie sie in jedem Netz vorkommen.
Das ist für die Verteidigung die eigentliche Nachricht: Es gibt nichts zu blocken. Eine Erkennung kann sich hier nicht auf Signaturen oder Hashes stützen, sondern nur auf Verhalten – wer meldet sich an, wer greift auf welche Datenbestände zu, wohin fließen wie große Datenmengen.
Belegt ist die Infrastruktur: eine über das Tor-Netzwerk erreichbare Leak-Site mit Countdown-Anzeige je Opfer. Sobald belastbare technische Analysen vorliegen, ergänzen wir dieses Profil.
Genesis hinterlässt nichts, was ein Virenscanner finden könnte – keine Verschlüsselung, keine eigene Schadsoftware, keine Signaturen. Das Cyber Defense Center von Argos Security setzt deshalb auf Verhaltenserkennung rund um die Uhr (24/7): Anmeldungen, die nicht zum Nutzerprofil passen, Zugriffe auf Datenbestände außerhalb der üblichen Rolle, ausgehende Übertragungen in ungewohnter Größenordnung, Fernzugriffswerkzeuge, die dort nichts zu suchen haben.
Weil zwischen Zugriff und Veröffentlichung typischerweise Wochen liegen, ist dieses Zeitfenster der Hebel: Wer den Datenabfluss während des Vorgangs bemerkt, muss ihn hinterher nicht erklären. Ergänzend beobachten wir Leak-Sites und Untergrundmärkte auf Nennungen Ihres Unternehmens – auch auf die anonymisierten Vorabeinträge, mit denen Genesis Druck aufbaut, bevor der Name fällt.
Im Ernstfall übernimmt unser Incident-Response-Team die forensische Klärung des tatsächlichen Datenabflusses, die Bewertung der Meldepflichten nach DSGVO und NIS2 sowie die Begleitung von Kommunikation und Verhandlung.