Threat Intelligence

Kazu

Kazu greift nicht das Krankenhaus an, sondern dessen Software-Plattform – und erreicht damit viele Praxen auf einmal.

Kurz erklärt

Kazu ist seit Ende 2025 aktiv und fällt weniger durch Masse als durch Zielauswahl auf: Angegriffen werden bevorzugt Betreiber von Gesundheitsplattformen – Telemedizin-Dienste, Praxisverwaltungssysteme, Terminportale, Cloud-Bildarchive. Am 23. August 2026 veröffentlichte die Gruppe elf solcher Opfer an einem einzigen Tag.

Das ist ein Lieferkettenangriff mit medizinischen Daten: Wer die Plattform trifft, erreicht die Daten hunderter angeschlossener Praxen auf einmal – ohne eine einzige davon selbst angreifen zu müssen. Für die betroffenen Ärztinnen und Ärzte bedeutet das, dass ihre Patientendaten abfließen, obwohl in ihrer eigenen Praxis nichts passiert ist.

Nach vorliegenden Analysen setzt Kazu auf Datendiebstahl statt auf Verschlüsselung; hinter der Gruppe werden Personen vermutet, die zuvor bei anderen Operationen aktiv waren. Der Schwerpunkt liegt in Südostasien, im Nahen Osten und in Lateinamerika, dazu Nordamerika. Ein Fall im deutschsprachigen Raum ist bislang nicht dokumentiert. Wir führen das Profil trotzdem, weil das Muster übertragbar ist: Auch in Deutschland hängen Praxen, MVZ und Kliniken an wenigen zentralen Software- und Abrechnungsplattformen.

Aktiv

Modell

Kleine eigenständige Gruppe mit eigener Leak-Site; ein offenes Partnerprogramm (RaaS) ist nicht bekannt

Auch bekannt als

Kazu; Schreibweise auf Tracking-Portalen: kazu

Gegründet

Erste öffentliche Aktivität im Herbst 2025; erster gelisteter Eintrag im November 2025

Entstanden aus

Nicht eindeutig zugeordnet – nach vorliegenden Analysen stehen dahinter Personen, die zuvor bei anderen Erpressergruppen aktiv waren; eine konkrete Vorgängergruppe ist nicht benannt

Herkunft

Nicht zugeordnet – eine belegte geografische Herkunft ist öffentlich nicht dokumentiert

Zielsektoren

Gesundheitswesen und digitale Gesundheitsdienste (Schwerpunkt), Bildung, öffentliche Verwaltung und staatsnahe Betriebe, Finanzdienstleistungen, Logistik

Zielregionen

Rund 12 Länder; Schwerpunkte Südostasien, Naher Osten und Lateinamerika (Brasilien, Mexiko, Kolumbien, Argentinien), dazu USA und Kanada; Einzelfälle in Europa (Spanien). Kein dokumentierter Fall in Deutschland, Österreich oder der Schweiz.

Typisches Lösegeld

Öffentlich nicht beziffert – die Gruppe nennt auf der Leak-Site keine Summen

Opferzahl

20 gelistete Opfer seit November 2025, davon elf Gesundheitsplattformen an einem einzigen Tag (23. August 2026); Stand: 7. September 2026

File Extensions

keine – eine Verschlüsselung ist nicht belegt

Ransom Note

keine belastbare öffentliche Angabe; Ansprache über Leak-Site und direkte Kontaktaufnahme

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher gehen sonst verloren. Bei Plattformbetreibern zuerst die Zugriffs- und Anwendungsprotokolle sichern.
  • Incident Response aktivieren und die Geschäftsführung einbinden – auch wenn die Systeme normal weiterlaufen.
  • Zugriffstoken und Dienstkonten der Plattform widerrufen, alle Zugangsdaten zurücksetzen, Mehr-Faktor-Anmeldung erzwingen.
  • Als angeschlossene Praxis oder Klinik: Beim Anbieter schriftlich Auskunft verlangen – welche Ihrer Datensätze sind betroffen, in welchem Zeitraum, in welchem Umfang? Diese Auskunft brauchen Sie für Ihre eigene Meldung.
  • Umfang bestimmen: Welche Patienten- oder Kundendaten, welche Zeiträume, welche besonderen Kategorien nach DSGVO Art. 9 (Gesundheitsdaten) sind betroffen?
  • Meldepflichten prüfen und Fristen einhalten: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Betroffeneninformation bei hohem Risiko (Art. 34) – bei Gesundheitsdaten ist davon regelmäßig auszugehen; bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden. Die Pflicht trifft Sie als Verantwortliche, auch wenn der Vorfall beim Dienstleister lag.
  • Den Eintrag auf der Leak-Site samt Datum, Mengenangaben und Dateiproben dokumentieren.
  • Strafanzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) der Polizei erwägen; bei Ärztinnen und Ärzten zusätzlich die berufsrechtlichen Pflichten prüfen.
⛔ Unbedingt vermeiden
  • Sich nicht darauf verlassen, dass der Dienstleister meldet oder informiert – die Verantwortung gegenüber Ihren Patientinnen und Patienten bleibt bei Ihnen.
  • Nicht abwarten, bis der Anbieter „die Analyse abgeschlossen“ hat: Die 72-Stunden-Frist läuft ab Ihrer Kenntnis, nicht ab dem Abschlussbericht.
  • Nicht auf eigene Faust mit den Erpressern kommunizieren – Kontakt ausschließlich über erfahrene Incident-Responder.
  • Nicht vorschnell zahlen: keine Garantie für Löschung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Protokolle nicht überschreiben lassen – viele Plattformen halten Zugriffsprotokolle nur wenige Wochen vor; Sicherung hat Vorrang.
  • Behauptete Datenmengen nicht ungeprüft übernehmen, aber auch nicht abtun: Maßgeblich ist, was Ihre eigene Prüfung ergibt.
  • Den Vorfall nicht verschweigen oder aufschieben – gerade bei Gesundheitsdaten wiegt die unterlassene Information schwerer als der Vorfall selbst.

Bekannte Angriffe

  • Elf Gesundheitsplattformen an einem Tag (23. August 2026) – darunter Telemedizin- und Praxisverwaltungssysteme in Brasilien, Mexiko, Argentinien, Pakistan, Kanada und den USA sowie ein Cloud-Bildarchiv (PACS). Die Sammelveröffentlichung zeigt die Systematik deutlicher als jeder Einzelfall.
  • Hafen- und Zollbehörde in Dubai – nach Angaben der Gruppe rund 1,94 Terabyte erbeutete Daten; die größte behauptete Einzelmenge und ein Beleg dafür, dass Kazu auch staatsnahe Ziele angeht.
  • Lehrkrankenhaus in Pakistan (August 2026) – Patientendaten einer größeren Versorgungseinrichtung.
  • Bildungs- und Austauschplattformen (September 2026) – jüngste Einträge in den USA und Kanada; ein Hinweis darauf, dass die Gruppe über das Gesundheitswesen hinaus greift.
  • Einordnung: Sämtliche Nennungen und Mengenangaben beruhen auf Eigenangaben der Leak-Site. Unabhängige Bestätigungen liegen nur vereinzelt vor – gerade bei Terabyte-Angaben ist Zurückhaltung angebracht.

Angriffstechniken (TTPs)

  • Zielsystematik (der aussagekräftigste belegte Punkt):
    • Angriff auf Plattform- und Dienstleisterebene statt auf einzelne Praxen – ein Zugang, viele Datenbestände (MITRE T1199, Trusted Relationship)
    • Sammelveröffentlichung ganzer Opfergruppen an einem Tag
  • Vorgehen:
    • Datenausleitung ohne Verschlüsselung (T1567), anschließend Erpressung mit Veröffentlichungsdrohung (T1657)
    • Erfahrene Akteure: Nach vorliegenden Analysen waren die Betreiber zuvor bei anderen Gruppen aktiv – was Routine im Umgang mit Cloud- und Webanwendungen erwarten lässt
  • Nicht belegt – bewusst offengelassen:
    • Der initiale Zugangsweg ist öffentlich nicht dokumentiert; keine CVE zugeordnet
    • Keine Werkzeuge, keine Schadsoftware, keine Datei-Endung, keine Erpressernotiz bekannt
    • Ob in Einzelfällen doch verschlüsselt wurde, ist nicht abschließend geklärt
  • Hinweis für die Verteidigung:
    • Bei Plattformangriffen sind die eigenen Protokolle oft leer – der Vorfall geschieht beim Dienstleister. Entscheidend sind deshalb vertragliche Meldepflichten und die Fähigkeit, Zugriffe des Dienstleisters auf die eigenen Daten nachzuvollziehen
    • Auffällig sind große Abfragen über Programmierschnittstellen (API) und Massenexporte aus Fachanwendungen

Technologie & Malware

Zu Kazu liegt keine veröffentlichte Malware-Analyse vor. Nach den vorliegenden Einschätzungen setzt die Gruppe auf Datendiebstahl und nicht auf einen eigenen Verschlüsseler; entsprechend gibt es weder eine bekannte Datei-Endung noch eine dokumentierte Erpressernotiz.

Für Betreiber medizinischer Plattformen liegt der Schwerpunkt der Verteidigung damit nicht auf Endgeräten, sondern auf der Anwendung selbst: Wer greift über welche Schnittstelle auf welche Datenmengen zu, und passt dieses Muster zum Zweck des Zugriffs? Massenexporte, ungewöhnlich breite Abfragen über Programmierschnittstellen und Zugriffe außerhalb der Sprechzeiten sind hier die aussagekräftigen Signale.

Sobald belastbare technische Analysen vorliegen, ergänzen wir dieses Profil.

Indicators of Compromise (IOCs)

  • Datei-Endung: keine – keine belegte Verschlüsselung
  • Erpressernotiz: keine belastbare öffentliche Angabe
  • Verhaltensindikatoren bei Plattformbetreibern:
    • Ungewöhnlich große Abfragen über Programmierschnittstellen (API) oder Massenexporte aus Fachanwendungen
    • Administrative Zugriffe außerhalb der üblichen Zeiten, insbesondere auf mandantenübergreifende Datenbestände
    • Neue oder veränderte Dienstkonten und Zugriffstoken
  • Verhaltensindikatoren bei angeschlossenen Praxen und Kliniken:
    • Meldungen des Dienstleisters über „ungewöhnliche Aktivität“ – diese ernst nehmen und schriftlich nachfassen
    • Nennung des Plattformnamens auf einer Leak-Site, auch wenn der eigene Name dort nicht steht
  • Es liegen keine veröffentlichten Datei-Hashes oder Netzwerk-Indikatoren vor.

Was Unternehmen jetzt prüfen sollten

  • Wissen Sie, welche externen Plattformen Zugriff auf Ihre Patienten- oder Kundendaten haben – Terminportal, Praxisverwaltung, Bildarchiv, Abrechnung, Diktatdienst, Telemedizin?
  • Enthalten diese Verträge eine verbindliche Meldefrist bei Sicherheitsvorfällen? Ohne sie erfahren Sie von einem Abfluss unter Umständen erst von der Leak-Site.
  • Ist für jeden Dienstleister ein Auftragsverarbeitungsvertrag nach DSGVO Art. 28 vorhanden und aktuell?
  • Können Sie nachvollziehen, wer wann welche Daten über die Plattform abgerufen hat – oder liegen diese Protokolle allein beim Anbieter?
  • Ist der Zugriff auf die Plattform mit Mehr-Faktor-Anmeldung geschützt, und sind Administratorrechte auf wenige benannte Personen begrenzt?
  • Gibt es einen Plan für den Ausfall des Anbieters – wie arbeiten Sie einen Tag lang ohne Terminsystem oder Bildarchiv weiter?
  • Ist geregelt, wer Leak-Sites auch auf die Namen Ihrer Dienstleister beobachtet, nicht nur auf Ihren eigenen?
  • Ist vorbereitet, wie Sie Patientinnen und Patienten informieren, wenn deren Daten über einen Dienstleister abgeflossen sind – die Informationspflicht trifft Sie als Verantwortliche, nicht den Anbieter?

Wie Argos unterstützt

Bei Angriffen auf Plattformbetreiber sitzt die Schwachstelle außerhalb des eigenen Netzes – die Verteidigung muss deshalb früher ansetzen. Das Cyber Defense Center von Argos Security beobachtet Leak-Sites und Untergrundmärkte rund um die Uhr (24/7) nicht nur auf Ihren Unternehmensnamen, sondern auch auf die Namen Ihrer Dienstleister. Taucht dort eine Plattform auf, an der Sie hängen, wissen Sie es, bevor der Anbieter selbst informiert.

Für Betreiber solcher Plattformen überwachen wir die Anwendungsebene: Massenexporte, ungewöhnlich breite Abfragen über Programmierschnittstellen, mandantenübergreifende Zugriffe, neue Dienstkonten. Das sind die Signale, die einem Abfluss dieser Größenordnung vorausgehen – lange bevor ein Erpresserschreiben eintrifft.

Im Ernstfall klärt unser Incident-Response-Team, welche Ihrer Datensätze tatsächlich betroffen sind, und begleitet Sie durch die Meldepflichten – auch durch die unangenehme Konstellation, dass Sie als Verantwortliche melden und informieren müssen, obwohl der Vorfall bei einem Dienstleister stattgefunden hat.