Threat Intelligence

PEAR

PEAR verschlüsselt keine einzige Datei – und ist trotzdem eine der aktivsten Erpressergruppen des Jahres.

Kurz erklärt

PEAR steht nach eigener Lesart für „Pure Extraction And Ransom“ – und das Programm ist wörtlich gemeint: Die Gruppe stiehlt Daten und erpresst damit, ohne überhaupt zu verschlüsseln. Es gibt keinen Verschlüsseler, keine Datei-Endung, keine Erpressernotiz auf dem Server. Wer auf Backups und Wiederanlaufzeiten optimiert hat, ist gegen diese Angriffsform praktisch ungeschützt – es gibt nichts wiederherzustellen.

Aktiv ist PEAR seit Mitte 2025. Auf der Leak-Site stehen inzwischen über 110 Organisationen, rund neun von zehn davon in den USA. Auffallend ist die Zielauswahl: Anwaltskanzleien machen etwa ein Fünftel der Fälle aus, dazu kommen Arzt- und Zahnarztpraxen, Abrechnungsdienstleister und Steuerberatungen – also Organisationen, deren Geschäftsgrundlage die Vertraulichkeit fremder Daten ist.

Besonders unangenehm ist die Preisfindung: Die Angreifer sichten die erbeuteten Unterlagen, ziehen Bilanzen, Steuererklärungen und Umsatzzahlen heran und leiten daraus die Lösegeldforderung ab. Die Ansprache auf der Leak-Site ist dabei als „Sicherheitsberatung“ verbrämt – eine Inszenierung, die nichts daran ändert, dass es sich um Erpressung handelt. Für den deutschsprachigen Raum sind zwei Fälle dokumentiert: ein deutsches Fertigungsunternehmen und eine Schweizer Treuhandgesellschaft.

Aktiv

Modell

Geschlossene Gruppe mit eigener Tor-Leak-Site; ein offenes Partnerprogramm (RaaS) wird nicht beworben

Auch bekannt als

PEAR; „Pure Extraction And Ransom“ (Eigenbezeichnung); Schreibweise auf Tracking-Portalen: pear

Gegründet

Erste veröffentlichte Opfer im August 2025

Entstanden aus

Nicht zugeordnet – ein Rebrand oder eine Vorgängergruppe ist öffentlich nicht belegt

Herkunft

Nicht zugeordnet – eine belegte geografische Zuordnung der Täter ist öffentlich nicht dokumentiert

Zielsektoren

Rechtsberatung, Gesundheitswesen (Praxen, Kliniken, Abrechnung), unternehmensnahe Dienstleistungen, Finanz- und Steuerberatung, Fertigung, Technologie

Zielregionen

Rund 10 Länder; klarer Schwerpunkt USA (etwa 90 % der Einträge), daneben Jamaika, Kanada und Einzelfälle in Frankreich, Norwegen, Singapur, Ägypten und Neuseeland; im deutschsprachigen Raum je ein Fall in Deutschland und der Schweiz

Typisches Lösegeld

Öffentlich nicht beziffert – die Forderung wird individuell aus erbeuteten Bilanzen, Steuerunterlagen und Umsatzzahlen abgeleitet; bei schneller Zahlung wird ein Nachlass von bis zu 10 % angeboten

Opferzahl

Über 110 gelistete Opfer seit August 2025 (Stand: 7. September 2026); allein im August 2026 rund ein Dutzend neuer Einträge

File Extensions

keine (reine Datenerpressung ohne Verschlüsselung)

Ransom Note

keine Datei auf dem System – die Forderung wird per E-Mail und über die Leak-Site zugestellt

Akut betroffen?
+49 89 45 24 24 112
24/7 erreichbar · Ersteinschätzung im Erstgespräch

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher gehen sonst verloren.
  • Incident Response aktivieren und die Geschäftsführung einbinden – auch dann, wenn nichts verschlüsselt ist und der Betrieb normal weiterläuft. Genau das ist bei dieser Gruppe der Normalfall.
  • Alle Zugangsdaten zurücksetzen, Sitzungen widerrufen, Fernzugänge sperren und Mehr-Faktor-Anmeldung erzwingen – auch für Zugänge externer Dienstleister.
  • Rückwärts suchen: Der Zugriff liegt im Schnitt rund einen Monat zurück. Protokolle der letzten acht Wochen auf ungewohnte Anmeldungen, Massenzugriffe auf Akten und große Datenübertragungen prüfen.
  • Umfang bestimmen: Welche Datensätze, welche Personen, welche Mandanten oder Patienten sind betroffen? Ohne diese Feststellung ist keine belastbare Meldung möglich.
  • Meldepflichten prüfen und Fristen einhalten: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), Betroffeneninformation bei hohem Risiko (Art. 34), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden; bei Berufsgeheimnisträgern zusätzlich die berufsrechtlichen Pflichten prüfen.
  • Strafanzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) der Polizei erwägen.
  • Den Eintrag auf der Leak-Site samt Datum und veröffentlichten Dateiproben dokumentieren – er ist Beweismittel und Grundlage für die Schadensbewertung.
⛔ Unbedingt vermeiden
  • Nicht davon ausgehen, dass ohne Verschlüsselung nichts passiert ist – der Schaden liegt vollständig in den abgeflossenen Daten.
  • Sich nicht auf Backups verlassen: Sie sind hier wertlos, weil nichts zerstört wurde.
  • Nicht auf eigene Faust mit den Erpressern kommunizieren – Kontakt ausschließlich über erfahrene Incident-Responder und Verhandlungsexperten. Die tägliche Rückmeldepflicht ist ein Druckmittel, kein Verfahren.
  • Nicht vorschnell zahlen: Es gibt keine Garantie für Löschung, und Kopien bleiben typischerweise erhalten; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Den angebotenen „Schnellzahler-Rabatt“ nicht als Entgegenkommen missverstehen – er dient allein dazu, eine saubere Prüfung des Sachverhalts zu verhindern.
  • Systeme nicht neu aufsetzen oder bereinigen, bevor die Forensik gesichert ist – sonst ist der Umfang des Datenabflusses nicht mehr feststellbar.
  • Den Vorfall nicht verschweigen oder aufschieben – Meldefristen laufen ab Kenntnisnahme, nicht ab Veröffentlichung auf der Leak-Site.

Bekannte Angriffe

  • Kalchschmid GmbH & Co. KG (Deutschland, August 2025) – bislang der einzige dokumentierte deutsche Eintrag auf der Leak-Site.
  • B. G. Schneider Treuhand AG (Schweiz, Oktober 2025) – Treuhand- und Beratungsgesellschaft; ein Fall, der das Muster gut zeigt: Ziel sind Organisationen, die fremde Finanz- und Mandantendaten verwahren.
  • Medizinischer Abrechnungsdienstleister (USA, 2026) – nach öffentlicher Berichterstattung waren Daten von rund 1,26 Millionen Patientinnen und Patienten betroffen; ein einzelner Dienstleister-Vorfall trifft damit hunderte Praxen zugleich.
  • San Diego Eye Bank und Tri-Century Eye Care (USA, 2026) – zwei Gesundheitseinrichtungen, deren Vorfälle öffentlich dokumentiert sind.
  • Club One Casino, Austin Plastic Surgery Institute, Next Level Medical (USA, August 2026) – jüngere Einträge, die die unverändert hohe Schlagzahl belegen.
  • Einordnung: Alle Nennungen beruhen zunächst auf Eigenangaben der Leak-Site. In mehreren Fällen haben die betroffenen Organisationen den Datenabfluss allerdings selbst bestätigt.

Angriffstechniken (TTPs)

  • Einstieg:
    • Missbrauch gültiger Zugangsdaten – aus fremden Datenlecks, aus Passwort-Wiederverwendung oder von Infostealern (MITRE T1078)
    • Phishing (T1566) und offen erreichbare Fernzugriffsdienste wie RDP oder VPN ohne Mehr-Faktor-Anmeldung (T1133)
  • Im Netz:
    • Bordmittel und Administrationswerkzeuge statt eigener Schadsoftware – dadurch kaum Signaturen, die ein Virenscanner erkennen könnte (T1218)
    • Schwächung von Sicherheitsprodukten und Backups, um die Ausleitung ungestört zu halten (T1562)
    • Systematische Suche nach Finanz- und Mandantenunterlagen – die Beute wird gesichtet und bewertet, nicht nur abgezogen
  • Ausleitung und Erpressung:
    • Großvolumiger Datenabfluss (T1567), danach Erpressung ohne Verschlüsselung (T1657)
    • Verweildauer: Zwischen mutmaßlichem Angriff und dem öffentlichen Eintrag liegen je nach Auswertung 23 bis 41 Tage – wer heute auf der Leak-Site steht, wurde vor rund einem Monat kompromittiert
    • Druckmittel: enge Frist, tägliche Rückmeldepflicht, Nachlass bei schneller Zahlung
  • Nicht belegt: Es existiert keine öffentliche Analyse eines PEAR-Werkzeugs, da die Gruppe keine eigene Schadsoftware einsetzt. Alles oben Genannte beruht auf Vorfallsberichten, nicht auf Malware-Analysen.

Technologie & Malware

PEAR setzt keine eigene Schadsoftware ein – weder Verschlüsseler noch Loader oder Wiper. Das ist keine Lücke in der Recherche, sondern das Geschäftsmodell: Wer nur Daten abzieht, braucht keine Malware, die auffallen könnte. Genutzt werden Fernzugriffe, Administrationswerkzeuge und Übertragungsprogramme, die in jedem Firmennetz ohnehin vorkommen.

Praktische Folge für die Verteidigung: Signaturbasierte Erkennung greift hier prinzipiell nicht. Sichtbar wird ein solcher Angriff nur über Verhalten – eine Anmeldung, die nicht zum Nutzer passt, ein Zugriff auf Aktenbestände, die diese Person nie öffnet, eine ausgehende Datenübertragung in ungewohnter Größenordnung.

Die Infrastruktur besteht aus einer über das Tor-Netzwerk erreichbaren Leak-Site, auf der Opfer zunächst anonymisiert und nach Fristablauf mit vollem Namen samt Dateiproben veröffentlicht werden.

Indicators of Compromise (IOCs)

  • Datei-Endung: keine – es wird nicht verschlüsselt
  • Erpressernotiz: keine Datei auf dem System; Kontaktaufnahme per E-Mail und über die Leak-Site
  • Verhaltensindikatoren statt Hashes:
    • Anmeldungen mit gültigen Zugangsdaten aus untypischen Netzen oder zu untypischen Zeiten
    • Ungewöhnlich große ausgehende Übertragungen aus Datei-, Dokumentenmanagement- oder Kanzleisystemen
    • Massenhafte Lesezugriffe auf Mandanten-, Patienten- oder Buchhaltungsordner
    • Abschalten oder Umkonfigurieren von Sicherheitsprodukten und Sicherungsjobs
  • Frühwarnung: Funde eigener Firmen-Zugangsdaten in Infostealer-Sammlungen und Untergrundmärkten
  • Veröffentlichte Datei-Hashes oder Netzwerk-Indikatoren liegen nicht vor – wer hier auf Blocklisten wartet, wartet vergebens.

Was Unternehmen jetzt prüfen sollten

  • Sind alle Fernzugänge – VPN, RDP, Fernwartung durch Dienstleister, Webmail – mit phishing-resistenter Mehr-Faktor-Anmeldung geschützt?
  • Würden Sie einen großen Datenabfluss überhaupt bemerken – aus dem Dokumentenmanagement, der Kanzlei- oder Praxissoftware, dem Dateiserver? Wenn nichts verschlüsselt wird, ist das Ihr einziges Warnsignal.
  • Werden die Zugangsdaten Ihrer Mitarbeitenden auf Funde in Infostealer-Sammlungen überwacht?
  • Sind Passwörter dienstlich und privat sauber getrennt – oder öffnet ein längst geleaktes Passwort auch Ihr VPN?
  • Wissen Sie, welche besonders schutzbedürftigen Daten wo liegen – Mandantenakten, Patientendaten, Bilanzen, Verträge? Ohne diese Übersicht ist im Ernstfall kein Meldeumfang bestimmbar.
  • Ist geregelt, wer Leak-Sites beobachtet und intern Alarm schlägt, wenn Ihr Name dort erscheint?
  • Existiert ein geübter Notfallplan mit Meldewegen (DSGVO 72 Stunden, bei NIS2-Betroffenheit 24 Stunden) und Ansprechpartnern außerhalb der Geschäftszeiten?
  • Ist die Kommunikation mit Mandanten, Patienten oder Kunden vorbereitet? Bei reiner Datenerpressung ist das der eigentliche Schadensfall.

Wie Argos unterstützt

Gegen eine Gruppe, die keine Schadsoftware einsetzt, hilft kein Virenscanner – sondern nur die Beobachtung von Verhalten. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt genau bei den Mustern an, die dieser Angriffsform vorausgehen: erstmalige Nutzung längst gestohlener Zugangsdaten, Anmeldungen aus untypischen Netzen, massenhafte Lesezugriffe auf Akten- und Patientenbestände, ungewöhnlich große ausgehende Übertragungen.

Der Hebel liegt im Zeitfenster: Zwischen Kompromittierung und Erpressermail vergeht bei PEAR rund ein Monat. Wer den Datenabfluss in dieser Zeit bemerkt, verhandelt nicht – er stoppt. Ergänzend beobachten wir Untergrundmärkte und Leak-Sites auf Nennungen Ihres Unternehmens und auf Funde Ihrer Zugangsdaten.

Ist es bereits passiert, übernimmt unser Incident-Response-Team die Aufklärung: Welche Daten sind tatsächlich abgeflossen, wer ist betroffen, was ist meldepflichtig? Wir begleiten Sie durch die Fristen nach DSGVO und NIS2, durch die Kommunikation mit Mandanten und Aufsichtsbehörden und, falls nötig, durch die Verhandlung – die niemals das Opfer selbst führen sollte.