Kurz gesagt: Am 20.10.2026 haben sechs Behörden eine gemeinsame Warnung zur Erpressergruppe SafePay veröffentlicht, darunter FBI, die US-Behörde CISA und das Landeskriminalamt Rheinland-Pfalz. Laut Warnung hat SafePay seit August 2024 mindestens 600 Organisationen angegriffen. Die Gruppe kommt meist über gestohlene Passwörter und ungepatchte VPN-Zugänge ins Netz und zerstört gezielt Backups, bevor sie verschlüsselt. Auch in Deutschland ist die Gruppe seit 2025 sehr aktiv. Stand 30.10.2026.

Was die Behörden melden

Die Warnung trägt die Kennung AA26-293A. Herausgeber sind FBI, CISA, der US Secret Service, das LKA Rheinland-Pfalz sowie aus Großbritannien die National Crime Agency und die North West Regional Organised Crime Unit. Die Erkenntnisse stammen aus Ermittlungen bis August 2026. Opfer gibt es in Nord- und Südamerika, Europa und Australien, in mehreren Sektoren der kritischen Infrastruktur.

SafePay ist eine Ransomware-Gruppe. Ransomware ist Schadsoftware, die Daten verschlüsselt und nur gegen Lösegeld wieder freigibt. Laut Cybernews hat SafePay 2025 Angriffe auf 76 deutsche Unternehmen für sich beansprucht, etwa ein Viertel aller deutschen Opfer auf Leak-Seiten in diesem Jahr (it-daily, 26.10.2026). Eine Leak-Seite ist eine Seite im Darknet, auf der Täter Opfer nennen und gestohlene Daten veröffentlichen. Solche Einträge sind Behauptungen der Täter und nicht immer bestätigt.

Wie SafePay ins Netz kommt

Laut Warnung nutzt die Gruppe gestohlene oder erratene Passwörter, Phishing und aus dem Internet erreichbare Systeme wie VPN-Zugänge und Firewalls. Ein VPN ist ein verschlüsselter Fernzugang ins Firmennetz. Zero-Day-Lücken setzt SafePay nicht ein. Alle fünf genannten Schwachstellen sind seit 2024 oder früher bekannt und haben Updates:

  • Cisco ASA und FTD (Firewalls und VPN): CVE-2020-3259 und CVE-2023-20269
  • SonicWall SSL-VPN: CVE-2024-40766
  • Veeam Backup & Replication (Datensicherung): CVE-2023-27532 und CVE-2024-40711

Ermittler beobachteten Verbindungen über den VPN-Dienst Mullvad, mit dem Täter ihre Herkunft verschleiern (it-daily).

Was im Netz passiert

Im Netz arbeiten die Täter mit Werkzeugen, die auch Administratoren nutzen: PsExec, Windows Remote Management und Remotedesktop. Das macht sie schwer von normaler Wartung zu unterscheiden. Mit Mimikatz lesen sie Passwörter aus dem Speicher aus. Mit ShareFinder.ps1 und SharpShares.exe suchen sie Netzwerkfreigaben mit wertvollen Daten.

Die Daten werden mit 7-Zip oder WinRAR gepackt und über Rclone, FileZilla oder OneDrive abgezogen. Erst danach verschlüsselt SafePay die Systeme. Das ist doppelte Erpressung: Wer nicht zahlt, dem drohen Ausfall und Veröffentlichung der Daten. Opfer, die sich nicht melden, werden laut Warnung auch angerufen.

Warum Backups das eigentliche Ziel sind

Ein gutes Backup ist der wichtigste Grund, kein Lösegeld zahlen zu müssen. SafePay greift es deshalb gezielt an. Laut Warnung beenden die Täter den Windows-Dienst für Schattenkopien und löschen diese. Schattenkopien sind automatische Zwischenstände von Dateien, mit denen Windows ältere Versionen wiederherstellen kann. Netzwerkspeicher (NAS) mit Sicherungen setzen sie auf Werkseinstellungen zurück, damit ist deren Inhalt weg. Backup-Programme werden vor der Verschlüsselung beendet. Zwei der fünf genutzten Lücken betreffen die Backup-Software von Veeam selbst.

Wer seine Sicherungen nur im selben Netz hält, mit denselben Admin-Konten erreichbar, verliert sie im Ernstfall zusammen mit den Produktivdaten.

Was Firmen jetzt tun können

  1. Die fünf Lücken schließen. Cisco ASA und FTD, SonicWall-Firewalls und Veeam Backup & Replication auf den aktuellen Stand bringen. Bei Veeam schließt laut Decryption Digest Version 12.1.2.172 oder neuer die Lücke CVE-2024-40711.
  2. Fernzugänge nur mit zweitem Faktor. Jeder VPN- und Remote-Zugang braucht Multi-Faktor-Authentifizierung (MFA), also neben dem Passwort einen zweiten Nachweis, etwa per App. Gestohlene Passwörter allein reichen dann nicht.
  3. Backups trennen. Mindestens eine Kopie offline oder unveränderbar halten. Unveränderbar heißt: Die Sicherung lässt sich für eine festgelegte Zeit weder löschen noch überschreiben, auch nicht mit Admin-Rechten. Die Backup-Umgebung bekommt eigene Konten, getrennt vom übrigen Netz.
  4. Wiederherstellung üben. Ein Backup zählt erst, wenn die Rückspielung getestet ist. Einmal im Quartal ein wichtiges System probeweise wiederherstellen und die Dauer messen.
  5. Admin-Werkzeuge überwachen. PsExec, WinRM und Remotedesktop nur von freigegebenen Rechnern erlauben. Das Löschen von Schattenkopien und große Datenabflüsse sollten sofort einen Alarm auslösen. Die Warnung enthält Merkmale zur Erkennung (IP-Adressen und Dateinamen), die sich in die eigene Überwachung übernehmen lassen.
  6. Notfallplan bereithalten. Wer ruft wen an, wer darf Systeme vom Netz nehmen, wo liegen die Kontaktdaten der Polizei. Einrichtungen unter dem NIS-2-Umsetzungsgesetz müssen erhebliche Vorfälle dem BSI binnen 24 Stunden als Frühwarnung melden. Sind personenbezogene Daten betroffen, gilt nach Art. 33 DSGVO eine Meldefrist von 72 Stunden an die Datenschutzaufsicht.

Wie GermanAI Defense unterstützt

Unsere Cybersecurity Services setzen an genau diesen Stellen an: Prüfung von VPN, Firewalls und Backup-Umgebung auf bekannte Lücken, ein Penetrationstest aus Sicht eines Angreifers und SOC-Überwachung rund um die Uhr, Service- und Reaktionszeiten laut Vertrag. Im Ernstfall hilft unsere Notfallhilfe und Forensik beim Eindämmen und bei der Aufklärung.

→ Mehr zu unseren Cybersecurity Services: Cybersecurity Services ansehen

Weitere aktuelle Fälle: Windows-Patchday Oktober 2026, Binance-Diebstahl und PHP2Shell

Quellen: CISA, FBI, USSS, LKA Rheinland-Pfalz, NCA, NWROCU: #StopRansomware: SafePay Ransomware (AA26-293A), 20.10.2026 · it-daily, 26.10.2026 · HSToday, Oktober 2026 · Decryption Digest, 21.10.2026 · Hagel IT, Oktober 2026