Ransomware im Mittelstand: SafePay-Welle & Schutz 2026

Stand: 3. August 2026

Kurzantwort: Die Ransomware-Gruppe SafePay hat Ende Juli 2026 mehrere deutsche Organisationen auf ihrer Leak-Seite gelistet. Der typische Einstieg erfolgt über VPN- und RDP-Zugänge ohne Multi-Faktor-Authentifizierung, gefolgt von Datendiebstahl und Verschlüsselung (Double Extortion). Wirksam schützen sich KMU durch MFA auf allen externen Zugängen, getestete Offline-Backups, Netzwerksegmentierung, einen geübten Notfallplan und eine 24/7-Erkennung über Managed Detection & Response.

Die Lage: Deutschland unter den Top 3 der Ransomware-Ziele

Nach Zahlen von Trend Micro verzeichnete Deutschland im Jahr 2025 insgesamt 433 bestätigte Ransomware-Angriffe und liegt damit weltweit auf Platz drei — nur die USA und Kanada waren stärker betroffen. Die zehn aktivsten Gruppen steigerten ihre Opferzahlen im Jahresvergleich um 236 Prozent auf über 5.000 betroffene Unternehmen (Trend Micro, 14.07.2026).

Besonders relevant für den Mittelstand: Kleine Unternehmen mit bis zu 100 Mitarbeitenden werden zunehmend gezielt angegriffen — als Einfallstor in größere Lieferketten. Wer als Zulieferer, Dienstleister oder IT-Partner größerer Kunden arbeitet, ist damit auch dann ein attraktives Ziel, wenn die eigenen Daten auf den ersten Blick „uninteressant“ wirken.

Die jüngste Angriffswelle vom 27. Juli 2026

Allein am 27. Juli 2026 tauchten mehrere deutsche Organisationen neu auf Ransomware-Leak-Seiten auf, ein Großteil davon zugeordnet zur Gruppe SafePay — darunter der Deutsche Paritätische Wohlfahrtsverband, Landesverband NRW, sowie mittelständische Handels- und Handwerksbetriebe (Security-Insider, Überblick aktueller Cyberangriffe). Dass ein Wohlfahrtsverband betroffen ist, zeigt: Die Täter unterscheiden nicht nach Branche oder Gemeinnützigkeit, sondern nach Erreichbarkeit und Zahlungsfähigkeit.

Wer ist SafePay — und wie läuft ein Angriff ab?

SafePay ist seit Ende 2024 aktiv und zählt mit über 528 gelisteten Opfern (Stand Mitte 2026) zu den aktivsten Ransomware-Gruppen weltweit. Anders als viele Konkurrenten arbeitet die Gruppe nicht als offenes „Ransomware-as-a-Service“-Modell mit wechselnden Partnern, sondern als geschlossene, zentral gesteuerte Organisation. Ihre bevorzugten Ziele: kleine und mittlere Unternehmen in den USA, Deutschland und Großbritannien, vor allem aus Professional Services, Fertigung und Handel.

Einfallstor Nummer 1: VPN-Zugänge ohne Multi-Faktor-Authentifizierung

Der typische SafePay-Angriff beginnt unspektakulär: mit gestohlenen Zugangsdaten. Die Gruppe nutzt kompromittierte Passwörter gegen VPN-Gateways ohne Multi-Faktor-Authentifizierung (MFA), insbesondere FortiGate-Appliances, sowie offen erreichbare RDP-Zugänge. Ergänzend setzen die Täter auf Social Engineering — etwa gefälschte IT-Support-Anrufe über Microsoft Teams. Ob Zugangsdaten aus Ihrem Unternehmen bereits im Umlauf sind, lässt sich über Darknet Monitoring frühzeitig erkennen.

Double Extortion: Erst stehlen, dann verschlüsseln

SafePay setzt konsequent auf Double Extortion: Vor der Verschlüsselung werden sensible Daten abgezogen. Wer nicht zahlt, dem droht die Veröffentlichung — mit allen Folgen für Kundenbeziehungen, Betriebsgeheimnisse und DSGVO-Meldepflichten. Ein aktuelles Backup schützt damit zwar vor dem Betriebsstillstand, nicht aber vor dem Datenleck. Genau deshalb greift die klassische „Wir haben ja Backups“-Strategie zu kurz.

Was der Mittelstand jetzt konkret tun sollte

Die gute Nachricht: Die Einfallstore von SafePay und vergleichbaren Gruppen sind bekannt — und mit überschaubarem Aufwand zu schließen. Wir empfehlen die folgende Priorisierung.

Sofortmaßnahmen (diese Woche)

MFA auf allen extern erreichbaren Zugängen ist die wichtigste Einzelmaßnahme überhaupt: VPN, RDP, E-Mail, Cloud-Administration — ohne Ausnahme, auch für Dienstleister-Accounts. Prüfen Sie zusätzlich, welche Systeme überhaupt aus dem Internet erreichbar sind, und schließen Sie alles, was nicht zwingend offen sein muss. Ein extern durchgeführter Penetrationstest macht solche Lücken sichtbar, bevor es Angreifer tun.

Mittelfristige Maßnahmen (dieses Quartal)

Drei Bausteine haben sich in der Praxis bewährt: Erstens eine Offline- bzw. unveränderliche Backup-Strategie (3-2-1-Prinzip), die regelmäßig auf Wiederherstellbarkeit getestet wird. Zweitens Netzwerksegmentierung, damit ein kompromittierter Client nicht gleich die Produktion oder die Buchhaltung mitreißt. Drittens ein geübter Notfallplan für den Cyberangriff: Wer entscheidet was, wer informiert Kunden und Behörden, wie erreichen Sie Ihre Incident-Response-Unterstützung, wenn E-Mail und Telefonanlage ausgefallen sind? Wie ein solcher Plan aufgebaut wird, zeigt auch unser Überblick zur Business Continuity.

Der entscheidende Faktor: Erkennung in Echtzeit

Zwischen Erstzugriff und Verschlüsselung liegen bei modernen Ransomware-Gruppen oft nur Stunden bis wenige Tage. In diesem Zeitfenster hinterlassen die Angreifer deutliche Spuren: Anmeldungen zu ungewöhnlichen Zeiten, das Auslesen von Zugangsdaten, verdächtige Bewegungen im Netzwerk. Ein KMU ohne eigenes Security-Team kann diese Signale nachts und am Wochenende realistischerweise nicht überwachen. Genau hier setzt Managed Detection & Response (MDR) an: 24/7-Monitoring durch ein externes Analystenteam, das Angriffe in der Frühphase erkennt und stoppt — bevor verschlüsselt wird.

Für viele NIS2-regulierte Unternehmen ist ein solches Monitoring ohnehin Teil der geforderten Risikomanagementmaßnahmen; ein externer Informationssicherheitsbeauftragter (ISB) hilft, die Maßnahmen sauber zu priorisieren und zu dokumentieren. Den regulatorischen Rahmen dazu erklärt unser Beitrag zur NIS2-Compliance.

Warnsignale: So erkennen Sie einen laufenden Angriff

Ein Ransomware-Angriff kündigt sich fast immer an — man muss nur hinsehen. Typische Frühindikatoren sind:

• fehlgeschlagene und anschließend erfolgreiche VPN-Anmeldungen aus ungewöhnlichen Ländern oder zu ungewöhnlichen Zeiten
• neu angelegte Administratorkonten
• deaktivierte Virenschutz- oder EDR-Agenten
• ungewöhnlich hohe ausgehende Datenmengen — das Exfiltrations-Signal vor der Verschlüsselung
• der Einsatz legitimer Fernwartungs- und Archivierungstools, die in Ihrem Haus eigentlich niemand nutzt

Für IT-Verantwortliche in KMU heißt das: Wenn eines dieser Signale auffällt, ist nicht „beobachten“, sondern sofortiges Handeln gefragt — Konto sperren, Session beenden, Gerät isolieren und im Zweifel externe Hilfe hinzuziehen. Zwischen dem ersten Signal und der Verschlüsselung liegt oft nur noch wenig Zeit; genau dieses Zeitfenster entscheidet darüber, ob aus einem Sicherheitsvorfall ein Betriebsstillstand wird. Wer diese Auswertung nicht rund um die Uhr selbst leisten kann, sollte sie an ein Security-Operations-Team auslagern, das die Signale korreliert und nachts um drei genauso reagiert wie am Dienstagvormittag.

Fazit: Handeln, bevor es teuer wird

Die SafePay-Welle vom Juli 2026 zeigt, wie professionell und schnell Ransomware-Gruppen heute gegen den deutschen Mittelstand vorgehen — und wie berechenbar ihre Einfallstore sind. Wer MFA, Backups, Segmentierung und eine Echtzeit-Erkennung kombiniert, nimmt den Angreifern die einfachen Wege. Wenn Sie wissen möchten, wo Ihr Unternehmen heute steht, sprechen Sie mit uns: In einem unverbindlichen Erstgespräch zeigen wir Ihnen, welche Lücken Angreifer bei Ihnen zuerst suchen würden — und wie Sie sie mit vertretbarem Aufwand schließen. Jetzt Kontakt aufnehmen.

Quellen

• Security-Insider: Cyberangriffe auf deutsche Unternehmen 2026 (Einträge vom 27.07.2026)
• Trend Micro: Ransomware-Angriffe auf Rekordniveau (14.07.2026)
• Proven Data: SafePay Ransomware — What It Is, How It Operates
• Ransomware.live: SafePay-Opferliste