ZaWoo ist Ende August 2026 aufgetaucht – und fällt aus einem Grund auf, der für Unternehmen im deutschsprachigen Raum unangenehm ist: Elf der 19 veröffentlichten Opfer sind deutsche Organisationen, ein weiteres liegt in Österreich. Eine so klare DACH-Konzentration ist unter neuen Erpressergruppen die Ausnahme; die meisten veröffentlichen vor allem US-Opfer.
Die Gruppe arbeitet nach dem üblichen Muster der Doppelten Erpressung: Daten werden ausgeleitet, das Opfer soll verhandeln, sonst erscheinen die Daten auf einer über das Tor-Netzwerk erreichbaren Leak-Site. Bemerkenswert ist der zeitliche Abstand – zwischen mutmaßlichem Angriff und Veröffentlichung liegen im Schnitt rund 15 Tage. Wer Ende August auf der Liste stand, wurde also Anfang bis Mitte des Monats angegriffen.
Zur Ehrlichkeit gehört: ZaWoo ist wenige Tage alt. Es gibt bislang keine veröffentlichte Analyse des Verschlüsselers, keine bekannte Datei-Endung, keine Erpressernotiz und keine belegten Angriffstechniken. Tracking-Portale kennzeichnen die Gruppe ausdrücklich als aufkommend und ihre Behauptungen als ungeprüft. Wir führen sie hier auf, weil der DACH-Bezug belegt und für Verantwortliche in Deutschland relevant ist – nicht, weil ihre technische Handschrift bereits verstanden wäre.
Aktiv
Eigenständige Erpressergruppe mit eigener Tor-Leak-Site; ein offenes Partnerprogramm (RaaS) ist bislang nicht beworben worden
Zawoo; Leak-Site firmiert als „ZaWooBlog“
Öffentlich sichtbar seit dem 30. August 2026; der früheste geschätzte Angriffszeitpunkt eines gelisteten Opfers liegt im Juli 2026
Nicht zugeordnet – eine belegte Vorgängergruppe oder ein Rebrand ist öffentlich nicht dokumentiert
Nicht zugeordnet. Der Deutschland-Schwerpunkt der Opferliste sagt nichts über die Herkunft der Täter aus – er zeigt nur, wo angegriffen wurde.
Technologie und IT (Schwerpunkt), professionelle Dienstleistungen, Fertigung, Handel und E-Commerce, soziale Einrichtungen, Forschung und Entwicklung
8 Länder; deutlicher Schwerpunkt Deutschland (11 von 19 Opfern), dazu Neuseeland (2), USA (1) und Einzelfälle; Österreich mit einem Opfer betroffen
Öffentlich nicht beziffert – die Gruppe nennt keine Summen auf der Leak-Site
19 gelistete Opfer in 8 Ländern, veröffentlicht am 30. und 31. August 2026 (Stand: 2. September 2026)
keine belastbare öffentliche Angabe – eine Analyse des Verschlüsselers liegt bislang nicht vor
keine belastbare öffentliche Angabe
Zu ZaWoo liegt keine veröffentlichte technische Analyse vor. Weder Verschlüsselungsverfahren, Programmiersprache oder Plattform (Windows/Linux/Virtualisierung) noch Datei-Endung oder Erpressernotiz sind dokumentiert. Wir tragen an dieser Stelle bewusst nichts nach, was nicht belegt ist.
Bekannt ist die Infrastruktur: Die Gruppe betreibt eine über das Tor-Netzwerk erreichbare Leak-Site unter dem Namen „ZaWooBlog“, ausgeliefert über einen NGINX-Webserver (Version 1.24.0). Die Site war im gesamten Beobachtungszeitraum stabil erreichbar – ein Hinweis darauf, dass hinter der Veröffentlichung eine funktionierende, gepflegte Infrastruktur steht und nicht ein einmaliger Datendump.
Sobald belastbare Analysen vorliegen, ergänzen wir dieses Profil. Bis dahin gilt: Die Erkennung eines ZaWoo-Angriffs kann sich nicht auf Signaturen stützen, sondern nur auf Verhalten.
Bei einer Gruppe, zu der es weder Signaturen noch bekannte Datei-Endungen gibt, entscheidet die Verhaltenserkennung. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt genau bei den Mustern an, die diesem Erpressungstyp vorausgehen: erstmalige Nutzung längst gestohlener Zugangsdaten, Anmeldungen an Fernzugängen zu ungewohnten Zeiten, große ausgehende Datenübertragungen, massenhafte Dateizugriffe.
Weil zwischen Angriff und Veröffentlichung im Schnitt rund zwei Wochen liegen, ist dieses Zeitfenster der eigentliche Hebel: Wer den Datenabfluss bemerkt, bevor die Leak-Site online geht, verhandelt aus einer völlig anderen Position. Ergänzend beobachten wir Leak-Sites und Untergrundmärkte auf Nennungen Ihres Unternehmens. Tritt der Ernstfall ein, übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf und begleitet Sie durch Meldepflichten und Kommunikation.