Deadlock (Eigenschreibweise „DeadLock") ist eine noch junge Ransomware- und Datenerpressungsgruppe, deren öffentliche Leak-Site Mitte Juni 2026 erstmals beobachtet wurde. Innerhalb weniger Wochen listete die Gruppe bereits rund 76 Opfer in etwa 33 Ländern – ein außergewöhnlich schneller Anstieg, den Beobachter mit mehreren hundert Prozent gegenüber dem Vormonat beziffern.
Deadlock betreibt sowohl eine Clearnet- als auch eine Tor-Leak-Site und übt über Namensnennung und Datenveröffentlichung Druck auf die Opfer aus. Da die Gruppe sehr neu ist, sind viele technische Details noch nicht abschließend dokumentiert; einzelne Sicherheitsanbieter berichten von einer Vorgeschichte bereits ab Mitte 2025 sowie von auffälligen Werkzeugen. Wo Angaben nicht unabhängig bestätigt sind, weisen wir dies ausdrücklich aus. Deadlock ist nicht mit der gleichnamigen, unverwandten „DEADLOCK"-Schadsoftware aus dem Jahr 2022 zu verwechseln.
Aktiv
Noch nicht abschließend dokumentiert. Öffentlich ist nicht bestätigt, ob Deadlock als Ransomware-as-a-Service (RaaS) mit Partnern oder als eigenständige, geschlossene Gruppe operiert.
DeadLock (Eigenschreibweise). Nicht zu verwechseln mit der unverwandten „DEADLOCK"-Ransomware aus dem Jahr 2022.
Juni 2026
nicht eindeutig zugeordnet
nicht eindeutig zugeordnet
Fertigung/Manufacturing, Business Services, Finanz- und Buchhaltungsdienstleister, Landwirtschaft/Lebensmittel, öffentlicher Sektor, Gesundheitswesen, IT, Bau/Logistik und Tourismus.
Schwerpunkt Europa (u. a. Spanien, Italien, Polen), mit bestätigten Opfern in Deutschland und der Schweiz; daneben Nord- und Südamerika, APAC, Naher Osten und Afrika. Für Österreich sind bislang keine Opfer gelistet.
nicht öffentlich beziffert
Rund 76 gelistete Opfer in ~33 Ländern binnen weniger Wochen (Stand: Juli 2026)
Noch nicht abschließend dokumentiert. Einzelne Vendor-Tracker (u. a. WatchGuard) nennen die Endung „.dlock" für verschlüsselte Dateien; diese Angabe ist bislang nicht unabhängig bestätigt.
Noch nicht abschließend dokumentiert. Berichtet werden Erpresserschreiben mit Dateinamen wie „HOW_RECOVER.<Opfer-ID>.txt" und „RECOVERY_CHAT.<Opfer-ID>.html", die eine individuelle Session-ID zur Kontaktaufnahme enthalten sollen; diese Angaben sind vendor-berichtet und nicht unabhängig bestätigt.
Zur Schadsoftware selbst ist öffentlich wenig gesichert. Einzelne Anbieter beschreiben eine eigenentwickelte Verschlüsselung (u. a. als „Custom Stream Cipher" bzw. symmetrisches Verfahren bezeichnet) statt Standard-Windows-Krypto-APIs sowie die Nutzung von Session als Kommunikationskanal und AnyDesk für den Fernzugriff. Auffällig ist die berichtete Einbindung von Smart Contracts auf der Polygon-Blockchain in die Erpressungs- bzw. Zahlungsinfrastruktur. Diese Angaben stammen aus Vendor-Analysen, sind teils widersprüchlich (u. a. abweichende Erstsichtungsdaten Mitte 2025 vs. öffentlicher Leak-Site-Start Juni 2026) und nicht durchgängig unabhängig bestätigt. Ob es sich in allen Fällen um dieselbe Operation handelt, ist noch nicht abschließend geklärt.
Das Argos Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr (24/7) auf die typischen Vorboten eines Ransomware-Angriffs – etwa auffällige Fernzugriffe, verdächtige Datenabflüsse und laterale Bewegungen. Bei einem Vorfall greift unser Incident-Response-Team innerhalb von maximal 30 Minuten remote ein, isoliert betroffene Systeme, stoppt die Ausbreitung und begleitet Sie durch Forensik, Wiederherstellung und Kommunikation. Ergänzend prüfen wir kontinuierlich Ihre externe Angriffsfläche und Ihre Backup- und Wiederanlauf-Strategie, damit ein Deadlock-Angriff frühzeitig erkannt und im Ernstfall beherrschbar bleibt.