Sarcoma tauchte im Oktober 2024 auf und gehörte binnen weniger Wochen zu den drei aktivsten Ransomware-Gruppen weltweit. Bis März 2026 kamen 141 Opfer in 35 Ländern zusammen – darunter zwölf deutsche Unternehmen, zwei österreichische und drei schweizerische. Getroffen wurden fast ausschließlich Mittelständler: Maschinenbauer, Zulieferer, Lebensmittelbetriebe, Ingenieurbüros, Softwarehersteller.
Das auffälligste Merkmal der Gruppe ist ihr Zeitversatz. Zwischen dem geschätzten Angriff und der Veröffentlichung auf der Leak-Site lagen im Schnitt rund 173 Tage – fast ein halbes Jahr. Wer im Frühjahr 2026 auf der Liste erschien, war teilweise schon im Sommer 2025 kompromittiert worden. Für Verteidiger heißt das: Eine Nennung ist kein Frühwarnsignal, sondern die Rechnung für einen längst geschehenen Einbruch.
Aktuelle Einordnung (September 2026): Seit dem 30. März 2026 ist kein neues Opfer mehr erschienen – rund fünf Monate Stille. Wir führen Sarcoma deshalb als historisch. Die Leak-Site ist zwar technisch noch erreichbar, neue Aktivität gibt es aber nicht. Erfahrungsgemäß verschwinden die Menschen hinter einer solchen Marke nicht, sondern arbeiten unter neuem Namen weiter – die hier beschriebenen Vorgehensweisen bleiben daher lehrreich.
Historisch
Ransomware-as-a-Service mit Partnern, eigene Tor-Leak-Site
Sarcoma, Sarcoma Group
Debut im Oktober 2024 (erstes gelistetes Opfer am 9. Oktober 2024)
Keine belegte Vorgängergruppe. In Analysen werden technische Ähnlichkeiten zu älteren Familien wie Maze und Egregor diskutiert; das ist eine Hypothese, keine gesicherte Zuschreibung.
Nicht zugeordnet – eine belastbare nationale oder staatliche Zuschreibung existiert nicht
Professionelle Dienstleistungen (37 Opfer), Fertigung und Industrie (34), Land- und Lebensmittelwirtschaft (16), Technologie (11), Handel und E-Commerce (11); daneben Gesundheitswesen und Kanzleien
35 Länder; rund die Hälfte der Opfer in den USA, starker europäischer Anteil. DACH: 12 Opfer in Deutschland, 2 in Österreich, 3 in der Schweiz.
Öffentlich nicht einheitlich beziffert; Ziel waren überwiegend Unternehmen mit 1 bis 50 Mio. US-Dollar Umsatz, entsprechend fielen die Forderungen aus
141 gelistete Opfer in 35 Ländern zwischen Oktober 2024 und März 2026 (Stand: 2. September 2026)
Berichtet wird .sarcoma; in einzelnen Proben wurde stattdessen eine zufällige Zeichenfolge angehängt – die Endung ist also kein verlässliches Alleinstellungsmerkmal
Die Forderung wird als eingebettetes PDF abgelegt; berichtet werden Dateinamen wie FAIL_STATE_NOTIFICATION.pdf und SYSTEM.README.TXT
Verschlüsselung: Sarcoma setzt ein hybrides Verfahren ein. Berichtet werden zwei Varianten – ChaCha20 kombiniert mit RSA-4096 sowie AES-256 mit RSA-2048. Umgesetzt ist das mit der Programmbibliothek CryptoPP in einer mehrfädigen Architektur, was den Durchlauf über große Dateibestände stark beschleunigt.
Plattformen: Es existieren Fassungen für Windows und Linux. Die Linux-Variante fragt über das VMware-Werkzeug vim-cmd die Snapshots virtueller Maschinen ab – ein deutlicher Hinweis darauf, dass virtualisierte Serverlandschaften gezielt mitgenommen wurden.
Vorbereitung: Vor der Verschlüsselung werden per PowerShell und WMIC die Dienste von SQL Server und PostgreSQL beendet. Grund: Geöffnete Datenbankdateien lassen sich sonst nicht verschlüsseln. Anschließend löschen vssadmin und wbadmin Schattenkopien und Windows-Sicherungen.
Erpressernotiz: Ungewöhnlich ist die Ablage als eingebettetes PDF statt als Textdatei – berichtet werden Namen wie FAIL_STATE_NOTIFICATION.pdf.
Sarcoma ist ein Lehrstück für das eigentliche Problem: Der Angriff war längst passiert, bevor irgendjemand davon erfuhr – im Schnitt fast ein halbes Jahr vorher. Genau diese Lücke schließt das Cyber Defense Center von Argos Security mit einer 24/7-Überwachung, die auf Verhalten reagiert statt auf Veröffentlichungen: beendete Datenbankdienste ohne Wartungsfenster, gelöschte Schattenkopien, ungewohnte Anmeldungen, große Datenübertragungen nach außen.
Für Organisationen, die in dieser Zeit betroffen waren oder es sein könnten, prüfen wir im Rahmen einer Kompromittierungs-Analyse gezielt, ob damals angelegte Zugänge oder Hintertüren noch bestehen – denn die Menschen hinter einer verstummten Marke arbeiten meist unter neuem Namen weiter. Tritt ein Vorfall ein, übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf und begleitet Meldepflichten und Kommunikation.