In der IT-Sicherheitsberatung bei unseren Kunden (Mittelständler) sowie während unserer Vorträge, Workshops und Seminare hören wir sie immer wieder: die manifestierten Sätze und Phrasen deutscher Mittelständler zum Thema Cybersicherheit, die oft staubiger als ein alter PC-Lüfter aus den 1990er-Jahren klingen. Zu diesen Sätzen und Phrasen zählen zum Beispiel „Für Hacker sind wir viel zu klein“, dicht gefolgt von „Wir sind doch keine Bank“ oder dem absoluten Klassiker: „Was sollen die bei uns schon wollen?“ Die Antwort ist ernüchternd einfach: Alles!

Ein kurzer Blick ins Darknet oder in unseren Ransomware-Monitor genügt: Am 20. Juli hat die Ransomware-Gruppe SafePay auf ihrem Leak-Portal im Darknet wieder neue angebliche Opfer veröffentlicht. Darunter mehrere deutsche Unternehmen aus dem Mittelstand:

Das sind keine DAX-Konzerne und auch keine Unicorns. Ebenso wenig handelt es sich dabei um Unternehmen, die jeden Abend in der Tagesschau auftauchen. Es sind schlicht und ergreifend ganz normale deutsche Mittelständler: Maschinenbauer, Zulieferer, Dienstleister, Verbände, Rechtsanwälte und Steuerbüros. Alles in allem Unternehmen, die vermutlich bis vor Kurzem ebenfalls davon überzeugt waren, für Cyberkriminelle völlig uninteressant zu sein.

Natürlich gilt: Ein Eintrag auf einer Leak-Seite ist zunächst nur eine Behauptung der Täter. Ob Daten tatsächlich entwendet wurden oder wie weit ein Angriff reichte, lässt sich von außen nicht immer unabhängig bestätigen. Wenn aber ein Unternehmen auf der Abschussliste einer professionellen Ransomware-Gruppe landet, sollte es Grund genug sein, die eigene Sicherheitsstrategie ernsthaft und kritisch zu hinterfragen.

Wer ist eigentlich SafePay?

SafePay ist eine vergleichsweise junge, aber äußerst aktive Ransomware-Gruppe, die erst seit 2024 öffentlich in Erscheinung tritt und innerhalb kurzer Zeit weltweit Dutzende Unternehmen auf ihre Leak-Seite gesetzt hat. Wie viele moderne Erpresserbanden verschlüsselt SafePay nicht nur Systeme, sondern kopiert zuvor Daten und droht anschließend mit deren Veröffentlichung. Bei dieser Vorgehensweise handelt es sich um das sogenannte Double Extortion-Modell.

Das Geschäftsmodell von SafePay: Zugang verschaffen, Daten stehlen, Systeme verschlüsseln, Druck aufbauen, Geld verlangen.

Dabei kannst du das schmuddelige, kellerverstaubte Bild, das du bislang von Hackern hattest, getrost vergessen. Sie sitzen hochprofessionell und gut gekleidet in klimatisierten Büros in 1A-Geschäftslagen. Mit Fingerspitzengefühl, allerfeinster Technik, qualifiziertem Personal, viel Geduld und automatisierten Werkzeugen konzentrieren sich Ransomware-Gruppen wie SafePay auf Unternehmen jeglicher Größenordnung, die ihre Hausaufgaben in Sachen IT-Sicherheit noch immer nicht gemacht haben.

SafePay ist zwar international ausgerichtet, hat aber insbesondere auch immer wieder deutsche Mittelständler im Visier. In den vergangenen vier Wochen zählten u.a. diese Unternehmen zu den auf der Leak-Seite öffentlich gemachten Opfern der Ransomware-Gruppe:

2026-07-20	wdk[.]de
2026-07-20	jaecklin-industrial[.]de
2026-07-20	lbb-treuhand[.]de
2026-07-20	timetex[.]de
2026-07-20	stroebel-gruppe[.]de
2026-07-20	industriesjaro[.]com
2026-07-20	cenesco[.]de
2026-07-20	mende-grundbesitz[.]de
2026-07-06	hahn-airport[.]de
2026-07-06	bmiprojects[.]de
2026-07-06	caritas-koblenz[.]de
2026-07-06	knobel-bau[.]de
2026-07-06	rtngmbh[.]de
2026-07-06	lh-wohnverbund-wohnen-nrw[.]de
2026-07-06	shw-fr.[.]e
2026-07-02	awo-suedost[.]de
2026-06-27	hellmold-plank[.]de
2026-06-22	ehg[.]bayern

Cybercrime ist heute Fließbandarbeit

Viele Geschäftsführer stellen sich Hacker immer noch wie geniale Einzelkämpfer in vermufften Kellergewölben vor, die gezielt einen Großkonzern auswählen. Diese Vorstellung geht allerdings gnadenlos an der Realität vorbei. Cybercrime ist heute ein professionelles, lukratives, skalierbares, zukunftsträchtiges Geschäftsmodell:

1. Es gibt Zugangshändler.
2. Es gibt Malware-Entwickler.
3. Es gibt Verhandler.
4. Es gibt Callcenter für Lösegeldverhandlungen.
5. Es gibt Affiliate- und Partnerprogramme.
6. Es gibt Gewinnbeteiligungen.
7. Es gibt Support.

Falls du jetzt immer noch denkst: „Aber wir sind doch viel zu klein“, sage ich dir: „Nein, seid ihr nicht!“ Vielleicht zu klein für einen Börsenindex, aber ganz gewiss nicht zu klein für eine Erpressung. Ransomware-Gruppen suchen nicht nur nach berühmten Koryphäen, Global Playern oder Marken – sie suchen z. B. nach:

1. schlechten Passwörtern.
2. ungepatchten VPN-Gateways.
3. Servern ohne Multi-Faktor-Authentifizierung.
4. Domänenadministratoren, deren Kennwort seit der Fußball-WM 2018 unverändert ist.
5. Unternehmen, die Backups zwar besitzen, aber noch nie ausprobiert haben.

Wenn sie fündig werden, ist der Firmenname vollkommen unerheblich. Der Mittelstand ist für Cyberkriminelle kein unliebsamer Nebenschauplatz, den man gelegentlich mitabgrast – der Mittelstand ist für sie das Geschäftsmodell schlechthin! Ein Produktionsbetrieb steht still? Perfekt. Eine Spedition kann keine Touren mehr planen und fahren? Großartig. Ein Zulieferer blockiert die gesamte Lieferkette? Jackpot!

Passend zum Thema: Sommerferien? Hochsaison für Ransomware! Warum Unternehmen jetzt besonders wachsam sein sollten

Je teurer der Ausfall eines Unternehmens ist, desto attraktiver wird es als Ziel. Nicht trotz seiner Größe, sondern wegen seiner Größe. Denn während Großkonzerne Milliarden in Security investieren, besteht IT-Sicherheit im Mittelstand leider noch erstaunlich oft aus einem guten Gefühl und einer Firewall, die irgendwann einmal installiert wurde.

Das eigentliche Problem

Das größte Sicherheitsrisiko deutscher KMU ist nicht SafePay, nicht LockBit, nicht Akira, nicht Qilin. Es ist die Überzeugung, dass man selbst kein interessantes Ziel sei. Diese Denkweise sorgt dafür, dass Sicherheitsprojekte verschoben werden.

Deshalb funktionieren Ransomware-Angriffe immer noch erschreckend gut, weil niemand weiß, ob MFA „nächstes Quartal“ tatsächlich kommt, weil Backups nie getestet werden und weil niemand weiß, was im Ernstfall eigentlich zu tun wäre.

Ein kleiner Realitätscheck

Frage nicht nur: „Warum sollten die uns angreifen?“, frage besser: „Wie lange würden wir überleben, wenn morgen früh alle Server verschlüsselt wären?“ Frage auch: Wie schnell läuft die Produktion wieder? Wer informiert die Kunden? Wer spricht mit der Presse? Wer entscheidet, ob Systeme abgeschaltet werden müssen? Wer weiß, welche Daten und Systeme überhaupt betroffen sind?

Wenn du diese Fragen erst während eines Angriffs beantworten musst, hast du bereits verloren. Die SafePay-Veröffentlichungen vom 20. Juli sind keine Ausnahme, sie sind der Alltag. Der deutsche Mittelstand bekommt davon aber meistens erst etwas mit, wenn der eigene Firmenname plötzlich auf einer Leak-Seite auftaucht. Und dann ist aus dem Satz „Uns hackt doch keiner“ ganz schnell Realität geworden.

…