:quality(90):no_upscale()){kind=logo}
Behörden aus den USA, Großbritannien und Deutschland veröffentlichen gemeinsame Warnung zur „SafePay“-Ransomware
STATUS: Gemeinsame multinationale Empfehlung SCHWERWEGE: 6/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
6. November 2026
·Blog
·Sichere Kommunikation
:quality(90):no_upscale())
Ende Oktober veröffentlichten Behörden aus den USA, Großbritannien und Deutschland eine gemeinsame Warnung vor der Ransomware-Gruppe „SafePay“, die mindestens 600 Opfer in kritischen Infrastruktursektoren in Nordamerika, Südamerika, Europa und Australien getroffen hat. Die Warnung bündelt die Ermittlungsergebnisse des FBI, der CISA und des Secret Service mit denen deutscher und britischer Strafverfolgungsbehörden und ist die jüngste in einer Reihe multinationaler Warnungen in diesem Jahr – ein Muster, das verdeutlicht, wie wenig diese Bedrohungen vor Grenzen Halt machen.
Was ist passiert?
Behörden in drei Ländern haben ihre Ermittlungen zu einer Gruppe, deren Opfer sich über vier Regionen erstrecken, in einer gemeinsamen Mitteilung zusammengefasst.
Am 20. Oktober veröffentlichten die CISA, das FBI und der Secret Service gemeinsam mit dem Landeskriminalamt Rheinland-Pfalz sowie der britischen National Crime Agency und der North West Regional Organised Crime Unit eine gemeinsame #StopRansomware-Warnmeldung zu SafePay.2 Darin werden Taktiken, Techniken, Vorgehensweisen, Anzeichen für eine Kompromittierung sowie Empfehlungen vorgestellt, die auf Ermittlungen basieren, die erst im August 2026 durchgeführt wurden.1 Die meisten der an der Erstellung beteiligten Stellen sind Strafverfolgungsbehörden, was den kriminellen Charakter der Bedrohung widerspiegelt.
SafePay ist seit August 2024 aktiv und hat mindestens 600 Opfer in verschiedenen Sektoren der kritischen Infrastruktur in Nordamerika, Südamerika, Europa und Australien betroffen.1 Die Opfer stammen aus vier Regionen, und die Verfasser des Hinweises kommen aus drei Ländern. Eine grenzüberschreitend agierende Gruppe hinterlässt Spuren in mehreren Rechtsräumen, weshalb gebündelte Erkenntnisse aussagekräftiger sind als die Einschätzung einer einzelnen Behörde.
Die Warnung folgt auf eine Reihe multinationaler Warnungen in diesem Jahr. Im April veröffentlichten das britische NCSC und 15 internationale Partner aus neun weiteren Ländern Hinweise zu mit China in Verbindung stehenden verdeckten Netzwerken.3 Im September warnten das FBI, das NCSC und der niederländische AIVD jeweils davor, dass staatlich geförderte Akteure Messaging-Apps für Verbraucher als primären Angriffsvektor nutzen.4 „CI Fortify“, das im Mai veröffentlicht wurde, stammte von Behörden aus den USA, Australien, Großbritannien und Kanada.5
In der SafePay-Warnmeldung selbst werden als Einstiegsmöglichkeiten offengelegte Anmeldedaten, Brute-Force-Angriffe, Phishing und die Ausnutzung von Systemen mit Internetanbindung aufgeführt, darunter fünf CVEs aus den Jahren 2020 bis 2024. Sobald sie sich Zugang verschafft haben, deaktivieren die Angreifer die Sicherheitssoftware, ändern mitunter die Passwörter der Benutzer, um legitimen Zugriff zu verhindern, stoppen den Volume Shadow Copy Service und setzen netzwerkgebundene Speichergeräte mit Backups zurück, bevor sie Daten stehlen und verschlüsseln.1
Was sie herausgefunden haben und was das bedeutet
Ergebnis | Was das bedeutet | Operative Konsequenz | Offene Frage |
Behörden aus den USA, Großbritannien und Deutschland haben eine gemeinsame Warnmeldung zu SafePay veröffentlicht, wobei es sich bei den meisten der verfassenden Stellen um Strafverfolgungsbehörden handelt. | Mehrere Regierungen schließen sich denselben Erkenntnissen über eine Gruppe an, deren Opfer aus vier Regionen stammen. | Unternehmen, die in mehr als einem dieser Länder tätig sind, erhalten einen einheitlichen Satz von Strategien und Kennzahlen, anstatt separate nationale Leitlinien miteinander in Einklang bringen zu müssen. | Werden sich andere Länder, in denen es Opfer von SafePay gibt, der Empfehlung anschließen oder eigene Empfehlungen veröffentlichen? |
SafePay hat mindestens 600 Opfer in Bereichen kritischer Infrastruktur in Nordamerika, Südamerika, Europa und Australien betroffen. | Die Reichweite der Gruppe erstreckt sich über die Länder hinaus, deren Behörden die Empfehlung verfasst haben. | Organisationen außerhalb der verfassenden Länder sind mit denselben Vorgehensweisen konfrontiert und sollten die Empfehlung als auf sie anwendbar betrachten. | Inwieweit nehmen betroffene Organisationen in Regionen ohne zuständige Behörde die Empfehlung regelmäßig entgegen und setzen sie um? |
Diese Empfehlung schließt sich an weitere multinationale Warnungen in diesem Jahr an, darunter die vom NCSC herausgegebenen Hinweise zu verdeckten Netzwerken sowie die Warnungen des FBI, des NCSC und des AIVD zu Messaging-Apps für Verbraucher. | Die grenzüberschreitende Zusammenarbeit im Bereich Cyberbedrohungen entwickelt sich zunehmend zu einer gängigen Methode, mit der Regierungen die von ihnen geschützten Organisationen warnen. | Gemeinsame Warnmeldungen sollten als eigene Kategorie verfolgt werden, da sie auf Bedrohungen hinweisen, die mehrere Regierungen als so bedeutend erachten, dass sie gemeinsam davor warnen. | Hält die Notfallplanung in multinationalen Organisationen mit den Warnmeldungen Schritt, die für alle Länder gleichzeitig eingehen? |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Eine nationale Empfehlung ist vor allem für Organisationen in dem Land von Bedeutung, das sie herausgegeben hat. | Die Warnmeldung von SafePay betrifft Autoren aus drei Ländern und Opfer in vier Regionen, sodass auch Organisationen, die weit außerhalb der Herkunftsländer der Autoren liegen, mit denselben Vorgehensweisen konfrontiert sind. | BlackBerry®UEM wendet für seine multinationalen Mitarbeiter einheitliche Richtlinien zur Gerätekonformität und zum Zugriff an, sodass ein einziger Satz von Kontrollmaßnahmen die Mitarbeiter eines Unternehmens über alle Rechtsräume hinweg begleitet. |
Eine länderübergreifende Reaktion kann über die üblichen E-Mail- und Chat-Kanäle der Organisation erfolgen, unabhängig davon, wo sich die Mitarbeiter gerade befinden. | SafePay deaktiviert Sicherheitssoftware und ändert mitunter Passwörter, wodurch einige berechtigte Nutzer keinen Zugriff mehr haben; daher steht für eine länder- und zeitzonenübergreifende Reaktion möglicherweise kein funktionierender interner Kommunikationskanal zur Verfügung. | BlackBerry® AtHoc® wurde entwickelt, um Mitarbeiter über mobile Geräte und Telefone außerhalb des internen E-Mail-Systems und Netzwerks des Unternehmens zu erreichen, sodass Einsatzteams in mehreren Ländern gleichzeitig kontaktiert werden können. |
Gemeinsame Warnmeldungen sind allgemeine Warnungen, die nur wenige operative Einzelheiten enthalten. | Die SafePay-Empfehlung enthält eine Auflistung spezifischer CVEs, Tools und Verhaltensweisen, die aus jüngsten Untersuchungen stammen und anhand derer Sicherheitsteams ihre Kontrollmaßnahmen überprüfen können. | BlackBerry AtHoc kann die Checkliste eines Hinweises an Teams in jeder Region mit Empfangsbestätigung weiterleiten. Die Compliance-Berichte zu BlackBerry- UEM s können aufzeigen, welche Geräte die daraus resultierenden Anforderungen erfüllen. |
Empfohlene Maßnahmen
SOFORT | Behandeln Sie die Sicherheitsempfehlung in allen Ländern, in denen Sie tätig sind, entsprechend und stellen Sie sicher, dass die darin aufgeführten fünf CVEs auf allen mit dem Internet verbundenen Systemen in allen Regionen behoben sind. |
SOFORT | Verlangen Sie eine Multi-Faktor-Authentifizierung (MFA) für VPN- und privilegierte Konten in allen Regionen und untersuchen Sie unerwartete Kontoeröffnungen, Änderungen an Administratorrechten sowie wiederholte Authentifizierungsfehler. |
KURZFRISTIG | Bewahren Sie verschlüsselte, unveränderliche Offline-Sicherungen an einem separaten Ort auf und testen Sie die Wiederherstellung, da SafePay den Netzwerkspeicher, auf dem die Sicherungen gespeichert sind, zurücksetzt. |
KURZFRISTIG | Ermitteln Sie, wie die Einsatzteams in den einzelnen Ländern miteinander und mit der Führungsebene in Kontakt treten würden, falls die Verzeichniskonten gesperrt sind und die interne E-Mail-Kommunikation nicht verfügbar ist, und testen Sie diesen Kommunikationsweg über verschiedene Zeitzonen hinweg. |
LAUFEND | Verfolgen Sie gemeinsame multinationale Empfehlungen als eigenständiges Signal mit höherer Priorität und benennen Sie einen Verantwortlichen, der jede einzelne Empfehlung in konkrete Maßnahmen in allen Regionen umsetzt. |
BlackBerry-Position
Die SafePay-Empfehlung spiegelt die Erkenntnis der Regierungen wider, dass eine in vier Regionen aktive Ransomware-Gruppe nicht von innerhalb eines einzigen Landes aus verstanden oder bekämpft werden kann. Das Gleiche gilt für die Organisationen, auf die sie abzielt. Ein multinationales Unternehmen erhält eine einzige Warnmeldung und muss in jedem Land gleichzeitig darauf reagieren, wobei Sicherheitsteams, Führungskräfte und lokale Einsatzkräfte über verschiedene Zeitzonen verteilt sind. Wenn durch einen Angriff Konten gesperrt und Tools deaktiviert werden, muss diese Koordination über einen Kanal außerhalb dieser Systeme erfolgen und bereits vor dem Angriff eingerichtet sein, da sie nach der Sperrung der Konten nicht mehr aufgebaut werden kann.
Quellenangaben:
1. #StopRansomware: SafePay-Ransomware (CISA, FBI, US-Geheimdienst, Landeskriminalamt Rheinland-Pfalz, britische National Crime Agency und North West Regional Organised Crime Unit, #StopRansomware: SafePay-Ransomware, Hinweis AA26-293A, 20. Oktober 2026).
2. Reaktion auf die CISA-Warnmeldung (AA26-293A): #StopRansomware: SafePay-Ransomware (AttackIQ, 21. Oktober 2026).
3. Internationale Cyber-Behörden geben neue Empfehlungen zum Schutz vor verdeckten Netzwerken mit Verbindungen zu China (Britisches National Cyber Security Centre, April 2026).
4. Großbritannien und seine Verbündeten decken Spionagesoftware auf, die von iranischen staatlichen Akteuren gegen Dissidenten, Aktivisten und Journalisten eingesetzt wird (Gemeinsame Warnmeldungen des FBI, des britischen National Cyber Security Centre und des niederländischen AIVD. Der Titel lautet „Iranian Cyber Targeting of Dissidents, Activists and Journalists“ und wurde am 15. September 2026 veröffentlicht. Darin wird die Malware „CHOSEN BRICK“ behandelt. Mitteilung des NCSC sowie IC3-Meldung des FBI (PDF). 15. September 2026).
5. CISA stellt neue Initiative zur Stärkung der kritischen Infrastruktur der USA vor (CISA und internationale Partner, Leitfaden „CI Fortify“, 5. Mai 2026).
:quality(90):no_upscale())