Kairos verzichtet bewusst auf das, was Ransomware laut ist: Es wird nichts verschlüsselt, kein System fällt aus. Die Gruppe verschafft sich leise Zugang – in dokumentierten Fällen über ein aus dem Internet erreichbares Remote-Desktop-Gateway ohne Mehr-Faktor-Anmeldung und per Passwort-Raten –, sammelt gezielt Geschäftsdokumente und leitet sie per Rclone aus. Erst danach beginnt die Erpressung: Mails aus gekaperten Postfächern an die eigene Belegschaft, Anrufe, und schließlich der Eintrag auf der Tor-Leak-Site.
Wie ernst das trotz fehlender Verschlüsselung ist, zeigt der Fall Union County (Ohio): Die Gruppe stahl rund 2 Terabyte mit 1,6 Millionen Dateien, forderte 3 Millionen US-Dollar und erhielt am 13. Juni 2025 nach 28 Tagen Verhandlung 9,44 Bitcoin, rund 1 Million US-Dollar – eine Zahlung, die öffentlich auf der Blockchain nachvollziehbar ist. 45.487 Personen mussten informiert werden.
Seit November 2024 sind 95 Opfer in 15 Ländern gelistet, mehr als die Hälfte in den USA. In Deutschland traf es 2026 den Fertigungsspezialisten Resch Maschinenbau (März) und Arwini, die Arbeitsgemeinschaft Wirtschaftlichkeitsprüfung Niedersachsen (Mai). Zwischen Angriff und Veröffentlichung liegen im Schnitt 58 Tage – wer auf der Leak-Site auftaucht, ist meist seit zwei Monaten kompromittiert.
Aktiv
Geschlossene Gruppe ohne bekanntes Partnerprogramm; Zugänge teils von Access-Brokern gekauft, teils selbst per Passwortangriff erarbeitet
Kairos, Kairos Group; nicht zu verwechseln mit gleichnamigen legitimen Unternehmen und Softwareprodukten
Erstes Opfer geschätzt im Juni 2024; Leak-Site am 13. November 2024 erstmals von Trackern erfasst
Nicht öffentlich dokumentiert; keine belegte Verbindung zu bekannten Ransomware-Familien
Nicht zugeordnet; Exfiltrations-Infrastruktur in einem dokumentierten Fall in der Ukraine gehostet, Lösegeld floss über Börsen und einen russischen Dienst
Gesundheitswesen, Fertigung, Business Services, Kanzleien, Kommunen und öffentliche Verwaltung, Bildung, Handel
15 Länder; USA mit 54 Opfern klar vorn, dazu Australien, Großbritannien, Kanada, Frankreich, Spanien; Deutschland mit zwei Einträgen 2026
Im dokumentierten Fall Union County (Ohio): Forderung 3 Mio. USD, gezahlt 9,44 BTC (rund 1 Mio. USD) nach 28 Tagen Verhandlung
95 gelistete Opfer in 15 Ländern seit November 2024; letztes am 2. September 2026 (Stand: 14. September 2026)
keine (reine Datenerpressung, kein Encryptor bekannt)
README_47.txt (auf der Leak-Site dokumentiert); zusätzlich Druck per E-Mail aus kompromittierten Postfächern und per Telefon
Kairos setzt keinen eigenen Verschlüsselungs-Trojaner ein – bis heute ist kein Encryptor bekannt, der der Gruppe sicher zugeordnet werden kann. Analysten stufen Kairos deshalb ausdrücklich nicht als Ransomware-Gruppe im engeren Sinn ein, sondern als Datenerpresser.
Das Werkzeugarsenal besteht aus frei verfügbaren Programmen: Rubeus für Kerberos-Angriffe, PowerShell für seitliche Bewegung und Log-Löschung, Rclone für die Ausleitung per SFTP. Im Fall Union County kamen zusätzlich Links des Filesharing-Dienstes temp.sh zum Einsatz. Genau diese Unauffälligkeit ist das Problem: Nichts davon löst klassische Ransomware-Alarme aus.
Zur Erkennung existiert eine öffentliche YARA-Regel (kairos.yar); ein archivierter Verhandlungs-Chat vom Mai 2025 mit 41 Nachrichten dokumentiert den Verhandlungsstil.
Kairos lebt davon, unbemerkt zu bleiben – nichts fällt aus, bis die Erpressung beginnt. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und erkennt genau die leisen Signale dieses Angriffs: Passwort-Spraying gegen Fernzugänge, Kerberos-Auffälligkeiten durch Werkzeuge wie Rubeus, Rclone-Aktivität und ungewöhnliche SFTP- oder Filesharing-Uploads, gelöschte Ereignisprotokolle. So wird der Datenabfluss gestoppt, bevor er abgeschlossen ist.
Im Ernstfall übernimmt unser Incident-Response-Team die Fallbearbeitung: Umfang der gestohlenen Daten forensisch feststellen, Meldepflichten nach DSGVO und NIS2 fristgerecht erfüllen, die Kommunikation mit Belegschaft, Kunden und Behörden steuern und – falls überhaupt sinnvoll – die Verhandlung professionell führen. Der Fall Union County zeigt, wie teuer eine unvorbereitete Verhandlung wird.