In der 8-K-Meldung vom Montag beschreibt Nutex den Vorfall als laufende Erpressung: Kriminelle hätten Unternehmensserver kompromittiert und Informationen zu Patienten, Mitarbeitern und externen Leistungserbringern sowie vertrauliche Finanzdaten ausgeleitet. Das Unternehmen erklärte, es sei „nicht in der Lage, den Ausgang des Verfahrens vorherzusagen oder die möglichen Auswirkungen des Vorfalls auf die Geschäftsstrategie, den Betrieb, die Finanzlage, das Betriebsergebnis oder den Börsenkurs der Stammaktien des Unternehmens abzuschätzen“.
Die Einreichung benennt keine Tätergruppe. Auf Anfragen um eine Stellungnahme reagierte Nutex nicht. Am Montag setzte die Ransomware-Bande The Gentlemen Nutex auf ihre Leak-Seite und bekannte sich damit zu dem Angriff.
The Gentlemen ist als Ransomware-as-a-Service seit September 2025 aktiv. Nach Einschätzung von Experten wurde die Gruppe von einem verstimmten früheren Partner der Qilin-Ransomware-Operation aufgebaut. Seit ihrem Auftauchen soll sie mindestens 350 Angriffe verübt haben. Fachleute vermuten den Sitz der Gruppe in Russland: Mitgliedern ist es untersagt, Ziele in den Staaten der Gemeinschaft Unabhängiger Staaten (GUS) anzugreifen, und ihre Beiträge in Untergrundforen sind auf Russisch verfasst.
Das Partnerprogramm lässt sowohl klassische Verschlüsselungsangriffe als auch reine Datenabfluss-Vorfälle zu. Für Letztere behält die Gruppe lediglich drei Prozent der eingenommenen Lösegelder ein – ein auffällig niedriger Anteil, der Partner zu Erpressung ohne Verschlüsselung motivieren dürfte.
Aufsehen erregte die Bande zuletzt mit dem Angriff auf das gemeinnützige Gesundheitssystem AnMed: Die Angreifer legten dessen IT-System still und übernahmen zusätzlich den Facebook-Auftritt der Organisation. AnMed musste dutzende Einrichtungen mehrere Tage schließen und bestätigte später, dass Patientendaten gestohlen wurden.
Im zweiten Quartal 2026 reklamierte The Gentlemen nach Angaben der auf operative Technik spezialisierten Firma Dragos 125 Angriffe auf Industrieunternehmen – der dritthöchste Wert unter allen Ransomware-Gruppen in diesem Zeitraum. Fachleute des Anbieters Gambit Security berichteten zudem vor zwei Wochen, dass ein Partner der Gruppe bei Einbrüchen in mindestens sechs Organisationen Claude Code eingesetzt habe.