SafePay-Ransomware: CISA- und FBI-Warnung vom Oktober 2026 im Überblick

Wer für die IT-Sicherheit eines mittelständischen Betriebs verantwortlich ist, bekommt derzeit eine ungewöhnlich konkrete Warnung aus erster Hand: Am 20. Oktober 2026 veröffentlichten die US-Cybersicherheitsbehörde CISA, das FBI, der US Secret Service, Rheinland-Pfalz' Landeskriminalamt sowie die britische National Crime Agency und deren North West Regional Organised Crime Unit eine gemeinsame Sicherheitswarnung zur Ransomware-Gruppe SafePay (öffnet in neuem Tab). Der Grund für die Dringlichkeit: Die Gruppe hat laut dieser Warnung seit August 2024 mindestens 600 Organisationen in Nord- und Südamerika, Europa und Australien getroffen und zählt laut CISA zu den aktivsten Ransomware-Akteuren des Jahres 2026.

Was die Warnung von vielen ähnlichen Meldungen unterscheidet, ist ihre Konkretheit: Die Behörden nennen nicht nur Taktiken in allgemeinen Worten, sondern listen fünf exakte Schwachstellen, über die SafePay-Akteure nachweislich in Netzwerke eingedrungen sind — mit CVE-Nummern, betroffenen Herstellern und verfügbaren Patches. Das macht aus der Warnung eine konkrete Prüfliste statt einer weiteren Erinnerung, wachsam zu sein.

Wer ist SafePay, und warum jetzt diese Warnung?

SafePay ist laut der CISA-Pressemitteilung (öffnet in neuem Tab) seit August 2024 aktiv und hat sich zu einer der am stärksten verbreiteten Ransomware-Operationen des Jahres 2026 entwickelt. Die Gruppe wird laut Cybersecurity Dive (öffnet in neuem Tab) auch mit dem Angriff auf den Technologiedistributor Ingram Micro im Juli 2025 in Verbindung gebracht, bei dem laut einer bei US-Behörden eingereichten Datenschutzmeldung personenbezogene Daten von mehr als 42.000 Menschen gestohlen wurden. Cynthia Kaiser vom Halcyon Ransomware Research Center wird in demselben Artikel mit der Einschätzung zitiert, SafePay habe über das Jahr 2026 hinweg konstant 15 bis 30 Organisationen pro Monat angegriffen — auch wenn das Angriffsvolumen Ende 2025 seinen Höhepunkt gehabt habe.

Für ein mittelständisches Unternehmen ist weniger die Größe der Gruppe relevant als die Methode: SafePay bricht laut der Warnung nicht über Zero-Day-Lücken in teure, maßgeschneiderte Angriffe ein, sondern über seit Jahren bekannte, längst gepatchte Schwachstellen in Standardgeräten, die an vielen Netzwerkrändern immer noch unpatched im Einsatz sind.

Die fünf ausgenutzten Schwachstellen

Laut der CISA-Warnung nutzen SafePay-Akteure gezielt folgende, öffentlich bekannte Schwachstellen in internetseitig erreichbaren Edge-Geräten für den Erstzugriff:

• CVE-2020-3259 und CVE-2023-20269 in Cisco ASA und Firepower Threat Defense (FTD). Die zweite Lücke betrifft laut Ciscos eigenem Advisory (öffnet in neuem Tab) die Remote-Access-VPN-Funktion und erlaubt unautorisierten Angreifern, per Brute-Force gültige Zugangsdaten zu erraten oder eine VPN-Sitzung mit nicht autorisierten Benutzerrechten aufzubauen.
• CVE-2023-27532 und CVE-2024-40711 in Veeam Backup & Replication. Laut dem NVD-Eintrag zu CVE-2023-27532 (öffnet in neuem Tab) lassen sich darüber in der Konfigurationsdatenbank gespeicherte, verschlüsselte Zugangsdaten auslesen — ein direkter Weg zu weiteren Systemen im Netzwerk.
• CVE-2024-40766 in SonicWall SonicOS, eine fehlerhafte Zugriffskontrolle, die laut dem NVD-Eintrag (öffnet in neuem Tab) bereits seit September 2024 in CISAs Katalog bekannter, aktiv ausgenutzter Schwachstellen (KEV) geführt wird und Firewalls der Generationen 5, 6 sowie ältere Generation-7-Firmware betrifft.

Alle fünf Lücken sind seit mindestens zwei Jahren bekannt und gepatcht. Dass sie 2026 noch für Erstzugriffe ausreichen, zeigt weniger eine neue Angriffstechnik als eine alte, bekannte Lücke in der Patch-Disziplin — genau an den Geräten, die am Netzwerkrand am stärksten exponiert sind.

Wie SafePay nach dem Einstieg vorgeht

Nach dem Erstzugriff folgt laut der Warnung ein Muster, das sich von vielen anderen Ransomware-Gruppen kaum unterscheidet, aber genau deshalb lehrreich ist: SafePay-Akteure legen neue Benutzerkonten an oder übernehmen bestehende, nutzen dafür aber keine Spezialwerkzeuge, sondern bordeigene Windows-Funktionen wie PsExec und Windows Remote Management — sogenannte "Living off the Land"-Techniken, die in vielen Umgebungen kaum auffallen, weil sie regulär vorhanden sind. Anschließend deaktivieren sie Sicherheitssoftware, bewegen sich über das Remote Desktop Protocol seitlich durchs Netzwerk und suchen gezielt nach Zugangsdaten mit höheren Rechten.

Besonders relevant für die Wiederherstellungsfähigkeit nach einem Angriff: Die Täter stoppen laut der Warnung den Volume Shadow Copy Service und setzen Network-Attached-Storage-Geräte mit Backup-Daten auf Werkseinstellungen zurück, bevor sie verschlüsseln — ein gezielter Angriff auf genau die Systeme, die eine Wiederherstellung ohne Lösegeldzahlung ermöglichen würden. Zur Datenexfiltration nutzen sie frei verfügbare, legitime Werkzeuge wie FileZilla, 7-Zip, WinRAR, WinSCP und RClone. Nach der Verschlüsselung folgt laut der Warnung die klassische doppelte Erpressung: eine Lösegeldforderung in Kryptowährung, verbunden mit der Drohung, gestohlene Daten auf einer eigenen Leak-Website zu veröffentlichen — teils ergänzt um direkte Telefonanrufe bei den Betroffenen, um den Druck zu erhöhen.

Was CISA und FBI konkret empfehlen

Die Behörden formulieren ihre Empfehlungen nicht als allgemeine Sicherheitshygiene, sondern als direkte Reaktion auf die beobachtete Angriffskette:

1. Bekannte, ausgenutzte Schwachstellen priorisiert patchen — insbesondere an internetseitig erreichbaren Systemen. Die Warnung verweist ausdrücklich auf CISAs Katalog bekannter ausgenutzter Schwachstellen (öffnet in neuem Tab) als Grundlage für die Priorisierung. Für die fünf hier genannten CVEs bedeutet das konkret: Firmware- und Software-Version von Cisco-ASA/FTD-Geräten, Veeam Backup & Replication und SonicWall-Firewalls gegen die Herstellerangaben prüfen.
2. Multi-Faktor-Authentifizierung durchsetzen, insbesondere für Webmail, VPN-Zugänge und Accounts mit Zugriff auf kritische Systeme. Die Warnung nennt VPN-Konten ausdrücklich als Schwerpunkt, weil SafePay-Akteure laut eigener Beobachtung der Behörden wiederholt über kompromittierte oder erratene VPN-Zugangsdaten eingestiegen sind.
3. Backups offline, verschlüsselt und unveränderlich vorhalten und die Wiederherstellung regelmäßig testen. Weil SafePay gezielt NAS-Systeme mit Backup-Daten zurücksetzt, schützt nur eine Kopie, die vom Produktivnetzwerk getrennt ist und sich nicht per Netzwerkzugriff löschen oder überschreiben lässt.
4. Netzwerke segmentieren, um die seitliche Bewegung der Angreifer nach einem Erstzugriff einzudämmen.
5. Konten- und Zugriffsrechte regelmäßig auditieren, insbesondere auf neu angelegte oder ungewöhnlich berechtigte Administratorkonten — genau das Muster, das SafePay-Akteure laut Warnung nach dem Erstzugriff hinterlassen.

Was das für den Mittelstand bedeutet

Kein Punkt auf dieser Liste ist neu oder exotisch — und genau das ist die eigentliche Botschaft der Warnung. SafePay ist nicht deshalb erfolgreich, weil die Gruppe über außergewöhnliche technische Fähigkeiten verfügt, sondern weil zwei bis sechs Jahre alte, öffentlich bekannte Schwachstellen in Firewalls, VPN-Gateways und Backup-Software an genug Standorten unpatched geblieben sind, um daraus laut der Einschätzung des Halcyon Ransomware Research Center über das Jahr 2026 hinweg monatlich 15 bis 30 neue Opfer zu gewinnen. Für ein mittelständisches Unternehmen, das Cisco-, SonicWall- oder Veeam-Produkte einsetzt, lohnt sich deshalb zuerst eine einfache Bestandsaufnahme statt einer neuen Sicherheitsinitiative: Welche Firmware- und Softwareversionen laufen aktuell auf den Edge-Geräten, und decken sie sich mit den Versionen, die laut Hersteller gegen die fünf genannten CVEs abgesichert sind?

Wer darüber hinaus noch keine MFA-Pflicht für VPN-Zugänge durchgesetzt hat, sollte das nicht als nachrangige Komfortmaßnahme behandeln. Laut der Warnung ist genau dieser eine Schritt — MFA auf dem VPN-Zugang — die Stelle, an der sich ein erheblicher Teil der beobachteten SafePay-Angriffe hätte stoppen lassen, bevor der Angreifer überhaupt im internen Netzwerk ankommt. Und wer Backups betreibt, die im selben Netzwerk erreichbar sind wie die Produktivsysteme, sollte die Warnung zum Anlass nehmen, das zu ändern, bevor ein Vorfall es erzwingt.

Die Behörden raten ausdrücklich davon ab, ein Lösegeld zu zahlen — eine Zahlung garantiert laut CISA nicht die Wiederherstellung der Daten und finanziert gleichzeitig die nächste Angriffswelle gegen andere Unternehmen. Wer dennoch betroffen ist, sollte den Vorfall über CISAs Meldesystem (öffnet in neuem Tab) oder das FBI's Internet Crime Complaint Center melden — nicht aus Pflichtgefühl, sondern weil jede gemeldete Kennung in Zukunft anderen Unternehmen hilft, denselben Angriff früher zu erkennen.

Warum ausgerechnet Edge-Geräte das Einfallstor bleiben

Die Warnung reiht sich in ein Muster ein, das sich über 2026 hinweg wiederholt beobachten lässt: Firewalls, VPN-Gateways und Backup-Server sitzen an der Grenze zwischen Internet und internem Netzwerk, werden aber in vielen mittelständischen Betrieben seltener aktualisiert als Arbeitsplatzrechner oder Server im Rechenzentrum. Der Grund ist nachvollziehbar und trotzdem riskant: Ein Update an einer Firewall oder einem VPN-Gateway kann im schlechtesten Fall den gesamten Fernzugriff eines Unternehmens für Stunden lahmlegen, wenn etwas schiefgeht. Diese begründete Vorsicht führt in der Praxis häufig dazu, dass Patch-Fenster für Edge-Geräte seltener und mit mehr Vorlauf geplant werden als für andere Systeme — und genau dieser zeitliche Abstand ist die Lücke, die Gruppen wie SafePay systematisch ausnutzen.

Alle fünf in der Warnung genannten Schwachstellen sind seit 2020 beziehungsweise 2023 und 2024 bekannt; keine davon ist ein Zero-Day. Das bedeutet umgekehrt: Jedes Unternehmen, das seine Edge-Geräte innerhalb der vom Hersteller empfohlenen Fristen patcht, ist gegen genau diesen Angriffsweg bereits abgesichert, ohne eine zusätzliche Investition tätigen zu müssen. Der limitierende Faktor ist in der Praxis seltener fehlendes Budget als ein fehlender, verbindlicher Prozess, der Patches für Netzwerkrand-Geräte genauso regelmäßig einplant wie für Betriebssysteme und Office-Software.

Eine kurze Checkliste für den nächsten IT-Termin

Wer die Warnung zum Anlass nimmt, die eigene Lage zu prüfen, kommt mit einer überschaubaren Liste an Fragen weit:

• Welche Version läuft aktuell auf jeder Firewall, jedem VPN-Gateway und jedem Backup-Server im Einsatz — und wann wurde das zuletzt geprüft, nicht nur vermutet?
• Ist MFA auf jedem VPN-Zugang tatsächlich erzwungen, oder nur für einen Teil der Konten konfiguriert?
• Liegt mindestens eine Backup-Kopie offline oder unveränderlich vor, sodass sie sich nicht über einen kompromittierten Netzwerkzugang löschen oder überschreiben lässt?
• Gibt es einen festen, wiederkehrenden Termin für Patches an Edge-Geräten, oder passiert das bislang anlassbezogen?
• Wann wurde die Active-Directory-Kontenliste zuletzt auf neue oder ungewöhnlich berechtigte Administratorkonten durchgesehen?

Keine dieser Fragen braucht eine neue Software-Anschaffung, um beantwortet zu werden — sie braucht einen festen Platz auf der nächsten IT-Tagesordnung. Genau dort, zwischen bekannter Schwachstelle und fehlendem Prozess, liegt laut der CISA-Warnung der Unterschied zwischen einem Unternehmen, das zu den 600 bekannten SafePay-Opfern zählt, und einem, das es nicht tut.