Im Zentrum der neuen Entwicklung stehen Beiträge, die angeblich von der Ransomware-Gruppe The Gentlemen stammen. Darin behaupteten die Angreifer, 6 Terabyte an Daten exfiltriert zu haben, darunter besonders sensible Gesundheitsinformationen wie Unterlagen zu sexuellen Übergriffen, psychischer Gesundheit, Abtreibungen und Vorfällen sexueller Belästigung. Belege legten die Täter dafür nicht vor. AnMed selbst hat nach eigenem Bekunden weiterhin weder den Umfang möglicher Auswirkungen auf Patientendaten bestätigt noch erklärt, ob Patientendaten tatsächlich betroffen sind.

Als AnMed den ursprünglichen Vorfall publik machte, sprach das Unternehmen von einer „Cybersicherheitsstörung unter Beteiligung von Malware“ und erklärte, an der Wiederherstellung der Systeme zu arbeiten. Seitdem veröffentlicht der Gesundheitsverbund täglich Aktualisierungen zu geöffneten und geschlossenen Standorten. Stand Montag blieben zehn Einrichtungen für Termine geschlossen.

The Gentlemen hat sich seit seinem Auftreten in der zweiten Hälfte von 2025 zu einer der aktivsten Ransomware-as-a-Service-Gruppen entwickelt. Es wird angenommen, dass die Gruppe von einem früheren Affiliate der Ransomware-Gruppe Qilin gegründet wurde, der unter dem Namen „hastalamuerte“ auftritt. Nach Angaben des Sicherheitsunternehmens CheckPoint wurde die Ransomware der Gruppe allein in den ersten fünf Monaten dieses Jahres verwendet, um 332 Opfer zu erpressen.

Für das zweite Quartal 2026 reklamierte The Gentlemen laut dem auf operative Technologien spezialisierten Sicherheitsunternehmen Dragos 125 Angriffe auf Industrieorganisationen für sich. Damit lag die Gruppe in diesem Zeitraum auf dem dritten Platz unter den Ransomware-Gruppen. Interne, geleakte Dateien, die CheckPoint ausgewertet hat, zeigen zudem ein ungewöhnlich großzügiges Gebührenmodell: 90 Prozent der Lösegelder gehen demnach an die Affiliates, die die Angriffe ausführen.

Wie CheckPoint weiter berichtet, verschaffen sich die Täter typischerweise über Edge-Geräte wie Firewalls, VPN-Appliances und andere aus dem Internet erreichbare Systeme Zugang. Dazu kombinierten sie unterschiedliche Methoden, darunter das Ausprobieren von Zugangsdaten gegen Web- oder VPN-Panels, die Ausnutzung bekannter Schwachstellen sowie den Kauf von Zugriffen bei externen Bot- oder Access-Brokern. Nach dem Eindringen versuchten die Angreifer, Administratorenkonten zu übernehmen, Sicherheitstools zu deaktivieren, Daten zu exfiltrieren und anschließend Ransomware auszurollen.

Auffällig ist der Gruppe laut Berichten auch ihre Ausstattung für Affiliates. Sie stellt Werkzeuge bereit, mit denen sich Technologien zur Endpoint Detection and Response, kurz EDR, deaktivieren lassen. Das Sicherheitsunternehmen Expel beobachtete in einem Fall, dass The Gentlemen eine Schwachstelle in einem „wenig bekannten“ Treiber eines Drittanbieters missbrauchte, um das EDR des Opfers auszuschalten. Expel-Forscher Marcus Hutchins schrieb im Juni dazu, bemerkenswert sei „nicht die Technik selbst, sondern die Ausgereiftheit des Werkzeugkastens, den sie darum aufgebaut haben“.