SafePay: Warum FBI, CISA und das LKA Rheinland-Pfalz gemeinsam warnen
Mehrere Behörden warnen seit dem 20. Oktober gemeinsam vor der Ransomware SafePay: rund 600 betroffene Organisationen, auffällig viele davon in Deutschland. Die Gruppe kommt nicht über ausgefeilte Technik herein, sondern über offene Zugänge. Genau deshalb können Sie sich wirksam schützen.
SafePay ist eine Ransomware-Gruppe, die in Firmennetze eindringt, Daten verschlüsselt und zusätzlich stiehlt, um mit der Veröffentlichung zu drohen. Am 20. Oktober 2026 haben das FBI, die US-Behörde CISA und weitere Partner eine gemeinsame Warnung veröffentlicht (Advisory AA26-293A). Mit herausgegeben hat sie das Landeskriminalamt Rheinland-Pfalz — ein deutlicher Hinweis, wie stark der deutschsprachige Raum betroffen ist.
Laut der Warnung hat SafePay seit August 2024 mindestens rund 600 Organisationen getroffen, in Nordamerika, Südamerika, Europa und Australien. Deutschland steht nach mehreren Berichten weit oben: SafePay war hier 2025 einer der aktivsten Erpresser überhaupt.
Warum das gerade den Mittelstand trifft
Große Konzerne haben Sicherheitsabteilungen. SafePay zielt bevorzugt auf Betriebe, die das nicht haben: mittelständische Unternehmen mit wertvollen Daten, aber ohne eigenes Sicherheitsteam. Dass eine deutsche Strafverfolgungsbehörde wie das LKA Rheinland-Pfalz an einer internationalen Warnung mitschreibt, kommt selten vor — und zeigt, dass die Fälle auch hier in der Region ankommen.
Wie SafePay hereinkommt
Das Entscheidende an dieser Warnung: Die Gruppe nutzt kaum teure, unbekannte Sicherheitslücken. Sie geht durch Türen, die ohnehin offen stehen. Die Behörden nennen als Hauptwege:
- Gestohlene oder erratene Zugangsdaten. Passwörter aus früheren Datenlecks, schwache Passwörter, automatisierte Rateangriffe auf Anmeldemasken.
- Externe Zugänge. VPN-Einwahl und internetseitige Geräte wie Firewalls, teils über bekannte, ungepatchte Schwachstellen (unter anderem in Cisco-ASA- und -FTD-Produkten).
- Phishing. Mails, die Zugangsdaten abgreifen oder Schadsoftware einschleusen.
Ist die Gruppe im Netz, meldet sie sich per Fernzugriff (RDP) mit gültigen Konten an, schaltet Schutzmechanismen wie Windows Defender ab und arbeitet mit Bordmitteln des Systems, um nicht aufzufallen. Besonders bitter: SafePay zerstört gezielt die Sicherungen, bevor verschlüsselt wird. Wer sich allein auf ein Backup verlässt, das vom selben Netz aus erreichbar ist, steht dann mit leeren Händen da.
Die drei Zugänge, die Sie zuerst absichern sollten
Aus den genannten Angriffswegen ergibt sich eine klare Reihenfolge. Diese drei Punkte verengen das Einfallstor am stärksten:
- 1. Externe Zugänge mit zweitem Faktor. Jeder Zugang von außen — VPN, Fernwartung, Webmail, Kundenportale — gehört hinter eine Mehr-Faktor-Anmeldung. Ein gestohlenes Passwort allein reicht dann nicht mehr.
- 2. Konten und Passwörter in Ordnung bringen. Keine geteilten Administrator-Konten, keine Passwörter aus bekannten Lecks, eine Sperre nach wiederholten Fehlversuchen. Firewalls und VPN-Gateways auf den aktuellen Stand bringen.
- 3. Sicherungen, an die der Angreifer nicht herankommt. Mindestens eine Kopie offline oder unveränderbar, getrennt vom Tagesbetrieb — und regelmäßig testen, ob sich daraus wirklich wiederherstellen lässt.
Der schnellste Selbsttest: Kommt man von außen mit nur einem Passwort, ohne zweiten Faktor, in Ihr Netz? Gibt es ein Backup, das vom normalen Netz aus nicht löschbar ist? Wurde die Wiederherstellung in den letzten zwölf Monaten einmal geprobt? Dreimal „ja“ ist das Ziel.
Wobei wir unterstützen
Wir sind ein IT-Systemhaus aus Bad Vilbel bei Frankfurt und betreuen mittelständische Betriebe im Rhein-Main-Gebiet: in Frankfurt, Wiesbaden, Offenbach, Hanau, Bad Homburg, Friedberg, Maintal, der Wetterau und darüber hinaus. Gegen eine Bedrohung wie SafePay hilft kein einzelnes Produkt, sondern ein geordneter Unterbau.
- Bestandsaufnahme: Welche Zugänge führen von außen in Ihr Netz, und wie sind sie gesichert?
- Mehr-Faktor-Anmeldung für VPN, Fernwartung und Microsoft 365, sauber ausgerollt.
- Sicherungskonzept mit offline oder unveränderbarer Kopie und getesteter Wiederherstellung.
- Überwachung und Reaktion im Rahmen der laufenden Managed Services, damit ein Angriff auffällt, bevor er durchläuft.
- Notfallplanung für den Ernstfall — siehe unser IT-Notfallhandbuch mit Vorlage.
Nicht sicher, wie gut Sie aufgestellt sind? Das klärt sich meist in wenigen Minuten im Gespräch: 069 4015000-33 oder sales@centriccom.de. Wenn es brennt, kommen wir im Rhein-Main-Gebiet auch vor Ort.
Häufige Fragen
Sind wir als kleiner Betrieb überhaupt ein Ziel?
Ja. SafePay sucht nicht nach großen Namen, sondern nach offenen Zugängen und löschbaren Backups. Gerade kleinere Betriebe ohne eigenes Sicherheitsteam sind deshalb häufig betroffen. Entscheidend ist nicht Ihre Größe, sondern wie leicht man hereinkommt.
Reicht unser Virenschutz nicht aus?
Nur bedingt. SafePay meldet sich mit gültigen Zugangsdaten an und schaltet Schutzsoftware anschließend ab. Ein Virenschutz ist eine Schicht, aber er ersetzt weder die Mehr-Faktor-Anmeldung an externen Zugängen noch ein Backup, an das der Angreifer nicht herankommt.
Woran erkenne ich einen laufenden Angriff?
An abgeschalteter Schutzsoftware, an neuen oder unbekannten Benutzerkonten, an Anmeldungen zu ungewöhnlichen Zeiten, an plötzlich fehlenden Sicherungen und an Dateien, die sich in großer Zahl umbenennen. Fällt eines davon auf, zählt jede Minute.
Sollen wir im Ernstfall das Lösegeld zahlen?
Behörden raten davon ab, und es gibt keine Garantie, dass Daten zurückkommen. Wichtiger ist, vorbereitet zu sein: betroffene Systeme vom Netz trennen, aus einer sauberen Sicherung wiederherstellen und prüfen, ob personenbezogene Daten betroffen sind. Dann läuft die Frist von 72 Stunden nach Art. 33 DSGVO.
Schützt die Mehr-Faktor-Anmeldung wirklich?
Sie ist der wirksamste einzelne Schritt gegen genau diese Angriffsart. Ein gestohlenes oder erratenes Passwort allein genügt dann nicht mehr, weil zusätzlich ein zweiter Faktor benötigt wird. Ein Allheilmittel ist sie nicht, aber sie schließt die mit Abstand häufigste Tür.
Woher die Angaben stammen
Einstufung, Angriffswege und Fallzahl nach dem gemeinsamen Advisory AA26-293A von CISA, FBI und Partnern (20. Oktober 2026), an dem auch das Landeskriminalamt Rheinland-Pfalz beteiligt ist. Ergänzende Einordnung nach der Berichterstattung von BleepingComputer und GovInfoSecurity. Einzelne Angaben zur Verbreitung in Deutschland stammen aus Sekundärquellen und sind entsprechend einzuordnen.
Stand dieses Beitrags: 30. Oktober 2026. Für den vollständigen Satz technischer Merkmale (TTPs) und Kompromittierungsindikatoren (IOCs) ist das CISA-Advisory maßgeblich.
Markus J. Rehberg
Vorstand (CEO), für viele Kunden der erste persönliche Kontakt.