Kazu ist seit Ende 2025 aktiv und fällt weniger durch Masse als durch Zielauswahl auf: Angegriffen werden bevorzugt Betreiber von Gesundheitsplattformen – Telemedizin-Dienste, Praxisverwaltungssysteme, Terminportale, Cloud-Bildarchive. Am 23. August 2026 veröffentlichte die Gruppe elf solcher Opfer an einem einzigen Tag.
Das ist ein Lieferkettenangriff mit medizinischen Daten: Wer die Plattform trifft, erreicht die Daten hunderter angeschlossener Praxen auf einmal – ohne eine einzige davon selbst angreifen zu müssen. Für die betroffenen Ärztinnen und Ärzte bedeutet das, dass ihre Patientendaten abfließen, obwohl in ihrer eigenen Praxis nichts passiert ist.
Nach vorliegenden Analysen setzt Kazu auf Datendiebstahl statt auf Verschlüsselung; hinter der Gruppe werden Personen vermutet, die zuvor bei anderen Operationen aktiv waren. Der Schwerpunkt liegt in Südostasien, im Nahen Osten und in Lateinamerika, dazu Nordamerika. Ein Fall im deutschsprachigen Raum ist bislang nicht dokumentiert. Wir führen das Profil trotzdem, weil das Muster übertragbar ist: Auch in Deutschland hängen Praxen, MVZ und Kliniken an wenigen zentralen Software- und Abrechnungsplattformen.
Aktiv
Kleine eigenständige Gruppe mit eigener Leak-Site; ein offenes Partnerprogramm (RaaS) ist nicht bekannt
Kazu; Schreibweise auf Tracking-Portalen: kazu
Erste öffentliche Aktivität im Herbst 2025; erster gelisteter Eintrag im November 2025
Nicht eindeutig zugeordnet – nach vorliegenden Analysen stehen dahinter Personen, die zuvor bei anderen Erpressergruppen aktiv waren; eine konkrete Vorgängergruppe ist nicht benannt
Nicht zugeordnet – eine belegte geografische Herkunft ist öffentlich nicht dokumentiert
Gesundheitswesen und digitale Gesundheitsdienste (Schwerpunkt), Bildung, öffentliche Verwaltung und staatsnahe Betriebe, Finanzdienstleistungen, Logistik
Rund 12 Länder; Schwerpunkte Südostasien, Naher Osten und Lateinamerika (Brasilien, Mexiko, Kolumbien, Argentinien), dazu USA und Kanada; Einzelfälle in Europa (Spanien). Kein dokumentierter Fall in Deutschland, Österreich oder der Schweiz.
Öffentlich nicht beziffert – die Gruppe nennt auf der Leak-Site keine Summen
20 gelistete Opfer seit November 2025, davon elf Gesundheitsplattformen an einem einzigen Tag (23. August 2026); Stand: 7. September 2026
keine – eine Verschlüsselung ist nicht belegt
keine belastbare öffentliche Angabe; Ansprache über Leak-Site und direkte Kontaktaufnahme
Zu Kazu liegt keine veröffentlichte Malware-Analyse vor. Nach den vorliegenden Einschätzungen setzt die Gruppe auf Datendiebstahl und nicht auf einen eigenen Verschlüsseler; entsprechend gibt es weder eine bekannte Datei-Endung noch eine dokumentierte Erpressernotiz.
Für Betreiber medizinischer Plattformen liegt der Schwerpunkt der Verteidigung damit nicht auf Endgeräten, sondern auf der Anwendung selbst: Wer greift über welche Schnittstelle auf welche Datenmengen zu, und passt dieses Muster zum Zweck des Zugriffs? Massenexporte, ungewöhnlich breite Abfragen über Programmierschnittstellen und Zugriffe außerhalb der Sprechzeiten sind hier die aussagekräftigen Signale.
Sobald belastbare technische Analysen vorliegen, ergänzen wir dieses Profil.
Bei Angriffen auf Plattformbetreiber sitzt die Schwachstelle außerhalb des eigenen Netzes – die Verteidigung muss deshalb früher ansetzen. Das Cyber Defense Center von Argos Security beobachtet Leak-Sites und Untergrundmärkte rund um die Uhr (24/7) nicht nur auf Ihren Unternehmensnamen, sondern auch auf die Namen Ihrer Dienstleister. Taucht dort eine Plattform auf, an der Sie hängen, wissen Sie es, bevor der Anbieter selbst informiert.
Für Betreiber solcher Plattformen überwachen wir die Anwendungsebene: Massenexporte, ungewöhnlich breite Abfragen über Programmierschnittstellen, mandantenübergreifende Zugriffe, neue Dienstkonten. Das sind die Signale, die einem Abfluss dieser Größenordnung vorausgehen – lange bevor ein Erpresserschreiben eintrifft.
Im Ernstfall klärt unser Incident-Response-Team, welche Ihrer Datensätze tatsächlich betroffen sind, und begleitet Sie durch die Meldepflichten – auch durch die unangenehme Konstellation, dass Sie als Verantwortliche melden und informieren müssen, obwohl der Vorfall bei einem Dienstleister stattgefunden hat.