PEAR steht nach eigener Lesart für „Pure Extraction And Ransom“ – und das Programm ist wörtlich gemeint: Die Gruppe stiehlt Daten und erpresst damit, ohne überhaupt zu verschlüsseln. Es gibt keinen Verschlüsseler, keine Datei-Endung, keine Erpressernotiz auf dem Server. Wer auf Backups und Wiederanlaufzeiten optimiert hat, ist gegen diese Angriffsform praktisch ungeschützt – es gibt nichts wiederherzustellen.
Aktiv ist PEAR seit Mitte 2025. Auf der Leak-Site stehen inzwischen über 110 Organisationen, rund neun von zehn davon in den USA. Auffallend ist die Zielauswahl: Anwaltskanzleien machen etwa ein Fünftel der Fälle aus, dazu kommen Arzt- und Zahnarztpraxen, Abrechnungsdienstleister und Steuerberatungen – also Organisationen, deren Geschäftsgrundlage die Vertraulichkeit fremder Daten ist.
Besonders unangenehm ist die Preisfindung: Die Angreifer sichten die erbeuteten Unterlagen, ziehen Bilanzen, Steuererklärungen und Umsatzzahlen heran und leiten daraus die Lösegeldforderung ab. Die Ansprache auf der Leak-Site ist dabei als „Sicherheitsberatung“ verbrämt – eine Inszenierung, die nichts daran ändert, dass es sich um Erpressung handelt. Für den deutschsprachigen Raum sind zwei Fälle dokumentiert: ein deutsches Fertigungsunternehmen und eine Schweizer Treuhandgesellschaft.
Aktiv
Geschlossene Gruppe mit eigener Tor-Leak-Site; ein offenes Partnerprogramm (RaaS) wird nicht beworben
PEAR; „Pure Extraction And Ransom“ (Eigenbezeichnung); Schreibweise auf Tracking-Portalen: pear
Erste veröffentlichte Opfer im August 2025
Nicht zugeordnet – ein Rebrand oder eine Vorgängergruppe ist öffentlich nicht belegt
Nicht zugeordnet – eine belegte geografische Zuordnung der Täter ist öffentlich nicht dokumentiert
Rechtsberatung, Gesundheitswesen (Praxen, Kliniken, Abrechnung), unternehmensnahe Dienstleistungen, Finanz- und Steuerberatung, Fertigung, Technologie
Rund 10 Länder; klarer Schwerpunkt USA (etwa 90 % der Einträge), daneben Jamaika, Kanada und Einzelfälle in Frankreich, Norwegen, Singapur, Ägypten und Neuseeland; im deutschsprachigen Raum je ein Fall in Deutschland und der Schweiz
Öffentlich nicht beziffert – die Forderung wird individuell aus erbeuteten Bilanzen, Steuerunterlagen und Umsatzzahlen abgeleitet; bei schneller Zahlung wird ein Nachlass von bis zu 10 % angeboten
Über 110 gelistete Opfer seit August 2025 (Stand: 7. September 2026); allein im August 2026 rund ein Dutzend neuer Einträge
keine (reine Datenerpressung ohne Verschlüsselung)
keine Datei auf dem System – die Forderung wird per E-Mail und über die Leak-Site zugestellt
PEAR setzt keine eigene Schadsoftware ein – weder Verschlüsseler noch Loader oder Wiper. Das ist keine Lücke in der Recherche, sondern das Geschäftsmodell: Wer nur Daten abzieht, braucht keine Malware, die auffallen könnte. Genutzt werden Fernzugriffe, Administrationswerkzeuge und Übertragungsprogramme, die in jedem Firmennetz ohnehin vorkommen.
Praktische Folge für die Verteidigung: Signaturbasierte Erkennung greift hier prinzipiell nicht. Sichtbar wird ein solcher Angriff nur über Verhalten – eine Anmeldung, die nicht zum Nutzer passt, ein Zugriff auf Aktenbestände, die diese Person nie öffnet, eine ausgehende Datenübertragung in ungewohnter Größenordnung.
Die Infrastruktur besteht aus einer über das Tor-Netzwerk erreichbaren Leak-Site, auf der Opfer zunächst anonymisiert und nach Fristablauf mit vollem Namen samt Dateiproben veröffentlicht werden.
Gegen eine Gruppe, die keine Schadsoftware einsetzt, hilft kein Virenscanner – sondern nur die Beobachtung von Verhalten. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt genau bei den Mustern an, die dieser Angriffsform vorausgehen: erstmalige Nutzung längst gestohlener Zugangsdaten, Anmeldungen aus untypischen Netzen, massenhafte Lesezugriffe auf Akten- und Patientenbestände, ungewöhnlich große ausgehende Übertragungen.
Der Hebel liegt im Zeitfenster: Zwischen Kompromittierung und Erpressermail vergeht bei PEAR rund ein Monat. Wer den Datenabfluss in dieser Zeit bemerkt, verhandelt nicht – er stoppt. Ergänzend beobachten wir Untergrundmärkte und Leak-Sites auf Nennungen Ihres Unternehmens und auf Funde Ihrer Zugangsdaten.
Ist es bereits passiert, übernimmt unser Incident-Response-Team die Aufklärung: Welche Daten sind tatsächlich abgeflossen, wer ist betroffen, was ist meldepflichtig? Wir begleiten Sie durch die Fristen nach DSGVO und NIS2, durch die Kommunikation mit Mandanten und Aufsichtsbehörden und, falls nötig, durch die Verhandlung – die niemals das Opfer selbst führen sollte.