Introduction

Artikel: Wie Lockbit5 topackt.com, ein französisches Produktionsunternehmen, kompromittierte

Am 5. Dezember 2025 bekannte sich die Ransomware-Gruppe Lockbit5 zu einem Cyberangriff auf topackt.com, ein französisches Unternehmen, das sich auf Industrieverpackungen spezialisiert hat. Das 1995 gegründete Unternehmen mit 50 bis 100 Mitarbeitern und einem Umsatz von 15 Millionen Euro wurde auf der geleakten Website der Cyberkriminellen preisgegeben. Der Vorfall, der gemäß unserem XC-Classify-Protokoll als SIGNAL eingestuft wurde, ereignete sich inmitten einer Welle von Angriffen auf den französischen Produktionssektor. Daten, die auf der Polygon-Blockchain zertifiziert wurden, zeigten eine Kompromittierung von B2B-Kundendaten, Logistikdaten und sensiblen Produktionsprozessen. Dieser Angriff verdeutlicht die anhaltende Anfälligkeit mittelständischer Unternehmen für Ransomware-as-a-Service (RaaS)-Modelle.

Analyse détaillée

Das betroffene Unternehmen, das seit fast 30 Jahren in der Verpackungsindustrie tätig ist, verwaltet täglich kritische Informationen für seinen Geschäftsbetrieb: professionelle Kundendateien, Bestandsdaten, Logistikinformationen und firmeneigene Industrieprozesse. Die Kompromittierung dieser digitalen Assets stellt ein erhebliches Risiko für die Geschäftskontinuität und die Vertraulichkeit von B2B-Geschäftsbeziehungen dar. Der Vorfall verdeutlicht die Herausforderungen der Cybersicherheit für französische KMU im produzierenden Gewerbe, die im Vergleich zu Großkonzernen oft weniger gut gegen komplexe Ransomware-Angriffe gewappnet sind.

Die von unserem Bewertungssystem vergebene Warnstufe (SIGNAL) signalisiert eine bestätigte Bedrohung, die erhöhte Wachsamkeit erfordert. Diese Einstufung spiegelt die Art der potenziell offengelegten Daten und die geschätzten Auswirkungen auf das französische Industrieökosystem wider. Partnerunternehmen von topackt.com, insbesondere aus den Bereichen Lebensmittel, Pharma und Kosmetik, müssen wachsam bleiben, um mögliche Versuche, die kompromittierten Informationen für Kettenangriffe auszunutzen, zu verhindern.

LockBit5: Funktionsweise, Geschichte und Opfer der Ransomware-Gruppe

LockBit5 ist eine Ransomware-Gruppe, die nach dem Ransomware-as-a-Service-Modell (RaaS) operiert. Dieses Modell ermöglicht es Partnern, schädliche Infrastruktur zu mieten und im Gegenzug einen Anteil am Gewinn zu erhalten. Dieses kriminelle Kollektiv ist Teil des sich stetig weiterentwickelnden LockBit-Ökosystems, einer der produktivsten und widerstandsfähigsten Ransomware-Gruppen der letzten Jahre. Trotz internationaler Bekämpfungsaktionen gegen frühere Versionen im Jahr 2024 hat die Gruppe eine bemerkenswerte Fähigkeit zur Regeneration und Anpassung ihrer Taktiken bewiesen.

Die Vorgehensweise der Angreifer basiert auf mehreren bewährten technischen Säulen. Der erste Eindringen erfolgt in der Regel durch Ausnutzung ungepatchter Sicherheitslücken in Systemen mit Internetverbindung, gezieltes Phishing oder die Kompromittierung von Zugangsdaten für den Fernzugriff (RDP, VPN). Sobald der erste Zugangspunkt etabliert ist, setzen die Angreifer Aufklärungstools ein, um das interne Netzwerk zu kartieren, kritische Ressourcen zu identifizieren und Backups zu lokalisieren. In der Persistenzphase werden Hintertüren installiert und Berechtigungen eskaliert, um den Zugriff auch bei teilweiser Entdeckung aufrechtzuerhalten.

Die Strategie der doppelten Erpressung ist das Markenzeichen des Kollektivs: Vor der Datenverschlüsselung werden sensible Dateien auf Server exfiltriert, die von den Angreifern kontrolliert werden. Dieser Ansatz maximiert den Druck auf die Opfer, indem er droht, die gestohlenen Informationen auf einer eigens dafür eingerichteten Webseite zu veröffentlichen – selbst wenn das betroffene Unternehmen über funktionierende Backups verfügt. Die Verschlüsselung selbst erfolgt dank optimierter Algorithmen schnell, sodass eine Wiederherstellung ohne Entschlüsselungsschlüssel in den meisten Fällen technisch unmöglich ist.

Die bisherigen Opfer der Gruppe stammen aus verschiedenen Branchen und Regionen, wobei mittelständische Unternehmen mit kritischen digitalen Assets, aber begrenzten Budgets für Cybersicherheit bevorzugt werden. Der Fertigungssektor gehört aufgrund seiner Abhängigkeit von industriellen Systemen und der unmittelbaren betrieblichen Auswirkungen jeder Störung zu den Hauptzielen. Das RaaS-Modell ermöglicht es der Gruppe, über autonome Tochtergesellschaften mehrere Angriffe gleichzeitig durchzuführen, was die genaue Zuordnung und Unterbrechung für die Aufsichtsbehörden erschwert.

topackt.com: Unternehmensprofil – Fertigung (50–100 Mitarbeiter) – Frankreich

topackt.com ist seit 1995 im hart umkämpften Markt für Industrieverpackungen in Frankreich tätig. Das mittelständische Unternehmen mit 50 bis 100 Mitarbeitern erwirtschaftet einen geschätzten Jahresumsatz von 15 Millionen Euro. Durch seine Positionierung im Markt für Industrieverpackungen arbeitet das Unternehmen mit anspruchsvollen B2B-Kunden zusammen, insbesondere in der Lebensmittel-, Pharma- und Kosmetikindustrie, wo Rückverfolgbarkeit und die Einhaltung gesetzlicher Vorschriften von höchster Bedeutung sind.

Das Unternehmen verwaltet täglich große Mengen sensibler Daten im Zusammenhang mit seinen Geschäftstätigkeiten: professionelle Kundendateien mit Vertrags- und Geschäftsinformationen, Echtzeit-Bestandsdaten, detaillierte Logistikinformationen zum Warenfluss sowie firmeneigene Produktionsprozesse, die in drei Jahrzehnten Unternehmensgeschichte entwickelt wurden. Diese digitalen Ressourcen bilden den Kern seines Wettbewerbsvorteils und seiner Fähigkeit, die strengen Anforderungen seiner Kunden zu erfüllen.

Der Firmensitz in Frankreich unterwirft das Unternehmen europäischen und nationalen Vorschriften zum Datenschutz und zur Cybersicherheit. Die Verpackungstätigkeit für regulierte Branchen beinhaltet potenziell die Verarbeitung personenbezogener Daten (Kundenmitarbeiter, Endempfänger) und vertraulicher Geschäftsinformationen. Die Gefährdung dieser Informationen könnte vertragliche Konsequenzen mit Geschäftspartnern, einen Vertrauensverlust im Markt und erhebliche regulatorische Auswirkungen nach sich ziehen.

Die Bedeutung von topackt.com innerhalb seines industriellen Ökosystems geht weit über seine scheinbare Größe hinaus. Als Glied in kritischen Lieferketten, insbesondere im Lebensmittel- und Pharmasektor, könnte die Kompromittierung dieses Unternehmens weitreichende Störungen für seine Kunden verursachen. Informationen über Produktionsprozesse und technische Verpackungsspezifikationen sind auch für Wettbewerber oder Angreifer, die Branchenstandards verstehen wollen, wertvoll. Diese strategische Position erklärt das potenzielle Interesse der Ransomware-Gruppe an diesem Ziel.

Technische Analyse: Gefährdungsgrad

Die von unserem XC-Classify-System vergebene SIGNAL-Klassifizierung für diesen Vorfall signalisiert eine bestätigte Bedrohung, die besondere Aufmerksamkeit erfordert. Diese Stufe, die sich von den Klassifizierungen MINIMAL, PARTIAL oder FULL unterscheidet, signalisiert eine verifizierte Behauptung auf den offiziellen Kanälen der Ransomware-Gruppe, ohne dass unmittelbar öffentliche Details zum genauen Umfang der exfiltrierten Daten vorliegen. Das Fehlen detaillierter Informationen mindert jedoch nicht die Schwere der Situation für das betroffene Unternehmen.

Die Art der potenziell offengelegten Daten umfasst laut dem Betriebsprofil von topackt.com mehrere kritische Kategorien. Die B2B-Kundendateien enthalten wahrscheinlich Handelsverträge, Bestellhistorien, Rechnungsinformationen und geschäftliche Kontaktdaten. Die Bestandsdaten geben Aufschluss über verarbeitete Mengen, Produktreferenzen und potenziell Gewinnmargen. Logistikinformationen legen den Warenfluss, Transportpartner und Lieferzeiten offen. Produktionsprozesse bilden das intellektuelle Kapital des Unternehmens und umfassen Verpackungsrezepte, Maschinenparameter und Qualitätssicherungsverfahren.

Die wahrscheinliche Vorgehensweise entspricht dem klassischen Muster der Lockbit-5-Angriffe. Der anfängliche Einbruch könnte eine ungepatchte Sicherheitslücke in mit dem Internet verbundenen Systemen ausgenutzt, Zugangsdaten für den Fernzugriff kompromittiert oder Teil einer gezielten Phishing-Kampagne gegen Mitarbeiter gewesen sein. Die interne Aufklärungsphase ermöglichte es den Angreifern, Dateiserver, Datenbanken und Backup-Systeme zu identifizieren. Die Exfiltration sensibler Daten erfolgte vor dem Einsatz der Ransomware, um den Druck während der Lösegeldforderung zu maximieren.

Conclusion

Der zeitliche Ablauf des Vorfalls, dessen öffentliche Entdeckung am 5. Dezember 2025 stattfand, deutet darauf hin, dass die Kompromittierung wahrscheinlich mehrere Tage oder sogar Wochen zuvor erfolgte. Raffinierte Ransomware-Gruppen halten sich in kompromittierten Netzwerken typischerweise unauffällig, um die Datenexfiltration vor der Verschlüsselung zu maximieren. Die Veröffentlichung auf der geleakten Website erfolgte, nachdem Verhandlungen gescheitert waren oder eine von den Angreifern gesetzte Frist abgelaufen war. Die über unser Blockchain-Protokoll zertifizierten Daten ermöglichen die präzise Nachverfolgung der Chronologie der öffentlichen Behauptung.