Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
Threat Intelligence

Panzer

Seit August 2026 stark auffällig: Panzer verschlüsselt und erpresst doppelt – mit Opfern in Deutschland und der Schweiz.

Vorfall melden
Kurz erklärt

Panzer ist eine Ransomware-Gruppe, die 2025 erstmals auftauchte und ihre Leak-Site seit August 2026 auffällig stark bespielt. Sie arbeitet nach dem Muster der doppelten Erpressung: Erst werden Daten abgezogen, dann die Systeme verschlüsselt – zahlt das Opfer nicht, erscheinen die Daten auf einer Tor-Seite.

Für den deutschsprachigen Raum ist die Gruppe relevant, weil unter den Opfern der letzten Wochen mit Alpine Electronics Europe (Deutschland) und der Festina Group (Schweiz) gleich zwei DACH-Unternehmen sind. Der Gruppenname ist eine reine Selbstbezeichnung – auf deutschsprachige Täter deutet er nicht hin, eine Herkunft ist bislang nicht belegt.

Hinweis zur Einordnung: Panzer ist eine junge Gruppe. Angaben auf der Leak-Site sind bis zu einer unabhängigen Bestätigung mit Vorbehalt zu behandeln – neue Gruppen übertreiben Umfang und Bedeutung ihrer Beute regelmäßig.

Aktiv

Modell

Eigenständige Ransomware-Operation mit eigener Tor-Leak-Site; ein offenes Partnerprogramm ist nicht belegt

Auch bekannt als

PANZER, Panzer Ransomware Group

Gegründet

Erste Opferlistung im Mai 2025; deutlich gesteigerte Aktivität ab August 2026

Entstanden aus

Keine Vorgängergruppe belegt; die Gruppe gehört zur Welle neuer Leak-Site-Betreiber des Jahres 2026

Herkunft

Nicht belegt. Der Gruppenname ist eine Selbstbezeichnung und lässt keinen Rückschluss auf deutschsprachige Täter zu.

Zielsektoren

Technologie, Fertigung, Energie und Versorgung, Agrar- und Lebensmittelwirtschaft, Medien, Bildung

Zielregionen

sechs Länder, Schwerpunkt Südostasien (Thailand, Indonesien); dazu Deutschland, Schweiz, Tschechien und Nigeria

Typisches Lösegeld

nicht öffentlich beziffert – die Verhandlung läuft über eine Tox-ID

Opferzahl

14 gelistete Opfer in 90 Tagen, davon 9 im August 2026 (Stand: 17. August 2026)

File Extensions

keine belastbare öffentliche Angabe

Ransom Note

keine belastbare öffentliche Angabe – Kontakt über Tox

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline schreibgeschützt sichern.
  • Fernzugriffe (RDP, VPN) sperren, Zugangsdaten zurücksetzen und MFA erzwingen.
  • Umfang des Datenabflusses ermitteln – bei dieser Gruppe ist die Veröffentlichung das eigentliche Druckmittel; die Beweislage entscheidet über die Meldung an Betroffene.
  • Wenn das Unternehmen bereits auf der Leak-Site steht: die Behauptungen prüfen, nicht übernehmen – junge Gruppen übertreiben Umfang und Brisanz der Beute regelmäßig. Eine sachliche Prüfung ist auch für die Kommunikation entscheidend.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Erpressungsnachricht und Tox-Kontakt sichern.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder bereinigen, bevor die Forensik gesichert ist.
  • Nicht allein über Tox mit den Angreifern verhandeln – nur über erfahrene IR- und Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Sich nicht darauf verlassen, dass eine bekannte Dateiendung den Angriff verrät – zu dieser Gruppe ist keine dokumentiert; die Erkennung muss über Verhalten laufen.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Alpine Electronics Europe (Deutschland, August 2026) – der Autoelektronik-Distributor wurde am 15. August 2026 auf der Leak-Site gelistet.
  • Festina Group (Schweiz, August 2026) – die Uhrengruppe erschien am 5. August 2026 mit der Behauptung eines Datenabflusses.
  • Weitere Opfer im August 2026 – u. a. SAGASTA s.r.o. (Tschechien), The Minor Food Group und Siam Oil Product (beide Thailand), Daily Trust (Nigeria) sowie die Universitas Surakarta (Indonesien). Alle Angaben stammen von der Leak-Site der Gruppe und sind nicht unabhängig bestätigt.

Angriffstechniken (TTPs)

  • Erstzugang: nach bisheriger Berichtslage Phishing sowie exponierte oder unzureichend gesicherte Fernzugriffsdienste (RDP/VPN). Ein einzelner bestätigter Vektor ist öffentlich nicht dokumentiert.
    • MITRE: T1566 (Phishing), T1133 (externe Fernzugriffsdienste), T1078 (gültige Konten)
  • Bewegung im Netz: laterale Ausbreitung und Rechteausweitung vor dem eigentlichen Schadensereignis – typischerweise über administrative Bordmittel.
  • Datenabzug: Exfiltration vor der Verschlüsselung; die abgezogenen Datenmengen werden auf der Leak-Site als Druckmittel beziffert (T1567).
  • Erpressung: Verschlüsselung der Systeme plus angedrohte Veröffentlichung (T1486 + T1657); Verhandlung über eine Tox-ID, Veröffentlichung nach ausbleibender oder abgebrochener Verhandlung.
  • Einordnung: Da eine unabhängige Malware-Analyse bislang fehlt, sind die technischen Details des Verschlüsselers offen. Die Abwehr sollte sich deshalb an den generischen Ransomware-Phasen ausrichten und nicht auf gruppenspezifische Signaturen setzen.

Technologie & Malware

Stand der öffentlichen Analyse: Zu Panzer liegt bislang keine unabhängige technische Analyse des Verschlüsselers vor. Verschlüsselungsverfahren, Dateiendung und Ransom-Note-Dateiname sind daher nicht belastbar dokumentiert – wir tragen hier bewusst keine Vermutungen ein.

Belegt ist: die Gruppe betreibt eine eigene Tor-Leak-Site (NGINX-basiert, mit Screenshot-Vorschauen der Beute) und verhandelt über Tox. Auf der Leak-Site veröffentlicht sie einen PGP-Schlüssel unter der Kennung OfficialPGP@Panzer.onion.

Praktische Folge: Erkennung muss über Verhalten laufen – ungewöhnliche Massenzugriffe auf Dateifreigaben, Schattenkopien-Löschung, große ausgehende Datentransfers – nicht über eine bekannte Dateiendung.

Indicators of Compromise (IOCs)

  • Leak-Site (Tor): pnzruro7syvwvefx5mpo2fhzi4jftgquynsqf3vy5x3no57yp2iz4nyd.onion
  • Tox-ID (Verhandlung): 8C3D96497A9438794F705C055FC2FD3059F6CF11FF51060EE55ED7F0679CFC7218825BD56CB1
  • PGP-Kennung der Gruppe: OfficialPGP@Panzer.onion
  • Keine belastbare File Extension oder Ransom-Note-Datei öffentlich dokumentiert
  • Verhaltensindikator: großvolumige ausgehende Datentransfers, gefolgt von Schattenkopien-Löschung und Massenverschlüsselung auf Dateiservern

Was Unternehmen jetzt prüfen sollten

  • Phishing-resistente MFA auf allen RDP-, VPN- und Fernwartungszugängen; nicht benötigte Fernzugriffe aus dem Internet nehmen
  • Erkennung für Schattenkopien-Löschung und Massenzugriffe auf Dateifreigaben scharf schalten – der letzte Warnmoment vor der Verschlüsselung
  • Ausgehende Großtransfers zu Cloud-Speichern und unbekannten Zielen überwachen
  • Offline- und unveränderliche Backups, regelmäßig auf Wiederherstellbarkeit getestet
  • Netzsegmentierung zwischen Büro-IT, Fertigung und Dateiservern
  • Krisen- und Meldeprozesse (DSGVO 72 h, NIS2 24 h) vorbereitet und geübt

Wie Argos unterstützt

Weil zu Panzer keine belastbaren technischen Signaturen veröffentlicht sind, greift bei dieser Gruppe nur eine verhaltensbasierte Abwehr. Das Argos Cyber Defense Center überwacht rund um die Uhr genau diese Phasen: auffällige Anmeldungen über Fernzugriffe, große ausgehende Datentransfers und die Löschung von Schattenkopien kurz vor dem Verschlüsselungsbeginn.

Ergänzend härten wir Fernzugänge, prüfen die Wiederherstellbarkeit Ihrer Backups und übernehmen im Ernstfall die vollständige Incident Response – einschließlich der Bewertung, was von den Behauptungen auf der Leak-Site tatsächlich belegt ist, und der Behördenmeldungen.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →Ransomware-Soforthilfe →