Die Ransomware-Gruppe «Gentlemen» gehört laut einer aktuellen Analyse von ESET zu den aktivsten Akteuren im Erpressergeschäft des Jahres 2026. Besonders brisant ist dabei nicht nur die Ransomware selbst, sondern das Arsenal an Werkzeugen, mit dem die Täter Sicherheitssoftware in Firmennetzwerken gezielt ausser Betrieb setzen. Für Unternehmen in der Schweiz und in Europa ist das ein wichtiges Signal: Die Angriffe werden technischer, professioneller und im Ablauf immer stärker industrialisiert.
Im Zentrum der Untersuchung steht ein Framework, das ESET «GentleKiller» nennt. Dabei handelt es sich um ein internes Werkzeugset der Gruppe, mit dem sogenannte Endpoint-Detection-and-Response-Lösungen, kurz EDR, ausgeschaltet werden sollen, bevor die eigentliche Verschlüsselung beginnt. Anders gesagt: Die Täter versuchen zuerst, den Alarm abzustellen, bevor sie den Tresor aufbrechen.
Mehr als nur ein Erpressungstrojaner
ESET beschreibt «Gentlemen» als eine Ransomware-as-a-Service-Gruppe, also als ein Modell, bei dem Betreiber die technische Infrastruktur bereitstellen und angeschlossene Partner die konkreten Angriffe ausführen. Das senkt die Hürden für Cyberkriminelle erheblich, weil nicht jeder Angreifer seine eigenen Werkzeuge entwickeln muss. Gerade darin liegt die eigentliche Bedeutung des Falls: Die Professionalisierung der Szene schreitet weiter voran, und mit ihr nimmt auch die Arbeitsteilung im Cybercrime zu.
Nach Angaben von ESET ist «Gentlemen» Ende 2025 als eigenständige RaaS-Operation aufgetreten und entwickelte sich schon im ersten Quartal 2026 zu einer der aktivsten Gruppen im globalen Ransomware-Ökosystem. Auffällig sei zudem, dass die Bande nicht primär auf die USA fokussiert sei, sondern Opfer in Südostasien, Südamerika und Westeuropa angreife. Genannt werden unter anderem Länder wie Thailand, Brasilien und Frankreich. Das ist aus europäischer Sicht relevant, weil es zeigt, dass auch Unternehmen diesseits des Atlantiks klar im Fokus professioneller Tätergruppen stehen.
EDR-Killer als Dienstleistung für Affiliates
Das eigentlich Neue an der ESET-Analyse ist der Blick auf jene Werkzeuge, die vor dem eigentlichen Erpressungsakt eingesetzt werden. Viele Ransomware-Gruppen verlassen sich darauf, dass ihre Affiliates eigene Methoden mitbringen, um Sicherheitslösungen zu umgehen. Bei «Gentlemen» scheint das anders zu sein: Die Betreiber selbst entwickeln und pflegen nach Einschätzung der Forscher ein Portfolio von EDR-Killern, das sie ihren Partnern direkt zur Verfügung stellen.
Jakub Souček (Bild), Malware-Forscher bei ESET, bringt diesen Punkt auf den Punkt: «Das Leak hat uns erlaubt, die Hypothese zu bestätigen, die wir im Februar 2026 formuliert hatten: dass die Gentlemen-Betreiber aktiv ein Portfolio von EDR-Killern entwickeln und pflegen, das sie ihren Affiliates anbieten, mit Fokus auf ihr Inhouse-Framework, das wir GentleKiller genannt haben.» Das ist bemerkenswert, weil die Gruppe damit nicht bloss eine Ransomware verkauft, sondern gewissermassen ein Komplettpaket für den Angriff liefert.
Laut ESET existieren mindestens acht Varianten von «GentleKiller». Diese nutzen unterschiedliche verwundbare oder manipulierte Treiber, um Schutzmechanismen mit hohen Systemrechten ausser Kraft zu setzen. Gleichzeitig weisen die Varianten so viele gemeinsame Merkmale auf, dass ESET sie als Teil einer einzigen Werkzeugfamilie klassifiziert.
Tarnung, Tempo und technische Reife
Auffällig ist laut den Forschern auch die operative Reife der Gruppe. «Gentlemen» integriert nicht nur eigene Werkzeuge, sondern auch externe oder geleakte EDR-Killer wie HexKiller, ThrottleBlood und HavocKiller in eine vereinheitlichte Angriffslogik. Diese Tools werden mit einer gemeinsamen Tarnschicht versehen, etwa durch gefälschte Versionsinformationen, kopierte Zertifikate und Symbole legitimer Softwareanbieter.
Hinzu kommt eine bemerkenswerte Geschwindigkeit bei der Übernahme neuer Angriffstechniken. ESET hält fest, dass die Gruppe neu veröffentlichte «Bring Your Own Vulnerable Driver»-Konzepte oft innert weniger Tage operationalisiert. Das zeigt zweierlei: Erstens beobachten die Täter den Sicherheitsmarkt sehr genau. Zweitens verkürzt sich für Verteidiger das Zeitfenster, um auf neue Bedrohungen zu reagieren.
Souček sagt dazu: « Zwar gab es in den letzten Monaten zahlreiche Berichte über Gentlemen, doch lag der Schwerpunkt dabei nicht auf einer detaillierten Analyse der EDR-Killer der Gruppe.» Und weiter: «Dank der kontinuierlichen Transparenz auf Vorfallsebene durch ESET können wir einen einzigartig detaillierten Einblick in die Entwicklungspraktiken der „EDR-Killer“ von Gentlemen bieten.» Für Unternehmen ist genau das die eigentliche Warnung: Nicht jeder Angriff beginnt mit der Verschlüsselung. Immer öfter beginnt er mit der systematischen Ausschaltung jener Werkzeuge, die den Angriff eigentlich erkennen sollten.
Von GentleKiller erzeugtes Ausgabefenster
Warum das auch für die Schweiz relevant ist
Auf den ersten Blick mag die Analyse wie eine weitere internationale Cybercrime-Meldung wirken. Tatsächlich berührt sie aber auch typische Risikofelder in der Schweiz: viele stark digitalisierte KMU, hohe Abhängigkeit von Dienstleistern, sensible Kundendaten und in zahlreichen Branchen begrenzte Ressourcen für hochspezialisierte Abwehrmassnahmen. Wenn EDR-Systeme zum primären Ziel werden, reicht es nicht mehr, eine Schutzlösung einzukaufen und sich danach sicher zu fühlen.
Unternehmen müssen sich vielmehr fragen, wie gut ihre EDR-Lösungen gehärtet sind, wie rasch Warnungen ausgewertet werden und ob Incident Response, Backup-Strategie und Krisenkommunikation ineinandergreifen. Denn Ransomware ist heute nicht nur ein IT-Vorfall, sondern fast immer auch ein Führungs- und Reputationsproblem. Wer erst kommuniziert, wenn Daten bereits verschlüsselt oder abgeflossen sind, reagiert zu spät.
ESET identifizierte im Umfeld der Gruppe zudem einen Credential Stealer namens «OxideHarvest», der von einem Affiliate entwickelt worden sein soll. Solche Werkzeuge dienen dem Diebstahl von Zugangsdaten und vergrössern den Handlungsspielraum der Täter zusätzlich. Das macht deutlich, dass moderne Angriffe oft aus mehreren Schritten bestehen: erst Zugang, dann Tarnung, dann Ausschaltung der Abwehr, dann Datendiebstahl und erst am Ende die eigentliche Verschlüsselung.
Von GentleKiller implementierte Code-Verschleierung
Einordnung statt Alarmismus
Die ESET-Analyse zeigt vor allem eines: Ransomware-Gruppen werden nicht nur aggressiver, sondern organisatorisch reifer. «Gentlemen» unterscheidet sich weniger durch einen spektakulären Einzelfall als durch den systematischen Versuch, Abwehrwerkzeuge als erstes Ziel auszuschalten. Das sollte Unternehmen nicht in Panik versetzen, aber zur Nüchternheit zwingen. Souček formuliert es so: « Aus Sicht der Verteidigung ermöglicht das Verständnis der Funktionsweise von GentleKiller den Verteidigern, ihre Verteidigungsstrategien besser zu gestalten und sich sogar gegen noch zu entwickelnde Ergänzungen des EDR-Killer-Arsenals von Gentlemen zu wappnen.» Übersetzt in den Alltag von Unternehmen heisst das: Wer seine Schutzsysteme nicht testet, härtet und in ein realistisches Krisenszenario einbettet, verlässt sich auf Technik, die im Ernstfall vielleicht bereits zum Schweigen gebracht wurde. Und vielleicht liegt genau darin der einzig unfreiwillig komische Zug dieser angeblichen «Gentlemen»: Wirklich höflich wäre es ja, wenn Einbrecher wenigstens die Alarmanlage eingeschaltet liessen.
