Storm ist im August 2026 aufgetaucht und hat innerhalb von drei Wochen 35 Opfer auf seiner Leak-Site gelistet – damit ist die Gruppe der volumenstärkste Neuzugang dieses Sommers. Sie arbeitet als Ransomware-as-a-Service, tritt zusätzlich als Datenhändler auf und nutzt sowohl die klassische doppelte Erpressung als auch die reine Veröffentlichungsdrohung.
Das auffälligste Merkmal ist das Tempo: Zwischen dem eigentlichen Angriff und der Veröffentlichung liegen im Schnitt nur rund zwei Tage. Bei etablierten Gruppen sind es häufig Wochen bis Monate. Für Betroffene bedeutet das: Der Fall wird öffentlich, bevor die interne Aufklärung abgeschlossen ist – Krisenkommunikation und Meldeprozesse müssen praktisch parallel zur Forensik laufen.
Wichtig zur Abgrenzung: Diese Gruppe hat nichts mit Stormous zu tun, einer eigenständigen Erpressergruppe, die seit 2022 aktiv ist. Ebenso wenig ist sie mit den Storm-XXXX-Kennungen zu verwechseln, mit denen Microsoft noch nicht zugeordnete Angreifergruppen durchnummeriert – etwa Storm-2603 hinter Warlock. „Storm“ ist hier schlicht die Selbstbezeichnung auf der eigenen Leak-Site.
Hinweis zur Einordnung: Storm ist eine sehr junge Gruppe ohne unabhängige Malware-Analyse. Angaben auf der Leak-Site sind bis zu einer Bestätigung mit Vorbehalt zu behandeln – neue Gruppen übertreiben Umfang und Bedeutung ihrer Beute regelmäßig.
Aktiv
Ransomware-as-a-Service mit Partnerprogramm; die Gruppe tritt zusätzlich als Datenhändler auf und nutzt sowohl direkte als auch doppelte Erpressung
Storm (Selbstbezeichnung auf der eigenen Leak-Site „Storm Blog“)
August 2026 – erste Opferlistung am 7. August 2026, frühester rückgerechneter Angriff am 3. August 2026
Keine Vorgängergruppe belegt. Die auffällig professionelle Leak-Site und die hohe Anfangsgeschwindigkeit legen erfahrene Betreiber nahe – ein Beleg dafür fehlt jedoch.
Nicht belegt. Der Gruppenname ist eine reine Selbstbezeichnung und lässt keinen Rückschluss auf die Herkunft zu.
Gesundheitswesen, Finanzdienstleistungen, Fertigung, Immobilien, Versicherungen, Logistik und IT-Sicherheitsdienstleister
Bislang vier Länder mit klarem Schwerpunkt USA. Ein DACH-Opfer ist bislang nicht gelistet – bei der aktuellen Ausbreitungsgeschwindigkeit ist das aber keine belastbare Entwarnung.
nicht öffentlich beziffert – die Verhandlung läuft über eine Tox-ID
35 gelistete Opfer seit dem 7. August 2026, davon 14 allein in der letzten Woche (Stand: 24. August 2026)
keine belastbare öffentliche Angabe – eine unabhängige Malware-Analyse liegt noch nicht vor
keine belastbare öffentliche Angabe – Kontakt über Tox
Stand der öffentlichen Analyse: Zu Storm liegt bislang keine unabhängige technische Analyse des Verschlüsselers vor. Verschlüsselungsverfahren, Datei-Endung und Name der Erpressernotiz sind daher nicht belastbar dokumentiert – wir tragen hier bewusst keine Vermutungen ein.
Belegt ist: Die Gruppe betreibt eine eigene Tor-Leak-Site („Storm Blog“) mit hoher Verfügbarkeit und verhandelt ausschließlich über eine öffentlich hinterlegte Tox-ID. Sie tritt parallel als Datenhändler auf, bietet Beute also auch zum Verkauf an, statt nur mit Veröffentlichung zu drohen.
Praktische Folge: Die Erkennung muss über Verhalten laufen – große ausgehende Datentransfers, Löschung von Schattenkopien und Massenzugriffe auf Dateifreigaben – und nicht über eine bekannte Datei-Endung. Wegen der sehr kurzen Zeit zwischen Angriff und Veröffentlichung ist zusätzlich der organisatorische Teil entscheidend: Melde- und Kommunikationswege müssen vorbereitet sein, nicht erst improvisiert werden.
Bei Storm entscheidet nicht nur die Abwehr, sondern auch das Tempo der Reaktion: Wenn der Fall zwei Tage nach dem Angriff öffentlich wird, muss die Organisation vorbereitet sein. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt genau in den Phasen an, in denen sich dieser Angriff noch aufhalten lässt – auffällige Anmeldungen über Fernzugänge, große ausgehende Datentransfers und die Löschung von Schattenkopien kurz vor Verschlüsselungsbeginn.
Vorbeugend härten wir Fernzugänge, prüfen die Wiederherstellbarkeit Ihrer Backups und üben mit Ihnen den Ernstfall – einschließlich Krisenkommunikation, die bei dieser Gruppe früh gebraucht wird. Im Ernstfall übernimmt unser Incident-Response-Team die vollständige Bearbeitung: Eindämmung, Forensik, Bewertung der Behauptungen auf der Leak-Site sowie die Behördenmeldungen.