Scroll to top
    Zurück zum Blog
    IT-Sicherheit · Darknet-Leak · Sozialträger · unbestätigt

    AWO Berlin Kreisverband Südost e.V. im Darknet gelistet – SafePay setzt Countdown

    Die Ransomware-Gruppe SafePay hat einen Berliner Sozialträger auf ihrer Darknet-Erpresserseite veröffentlicht. Die AWO Berlin Kreisverband Südost e.V. arbeitet mit besonders sensiblen Sozialdaten – eine offizielle Bestätigung des Vorfalls fehlt bislang.

    01.07.2026 10 min Lesezeit Berlin-Neukölln
    > safepay.onion :: target=awo-suedost.de :: status=LISTED
    AWO Berlin Kreisverband Südost e.V. im Darknet gelistet – SafePay Erpressung
    Teilen
    WhatsApp
    Telegram
    Facebook

    Transparenzhinweis

    Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.

    Kurzfassung

    Nach einem Screenshot einer Leak-Seite ist die AWO Berlin Kreisverband Südost e.V. auf einer Darknet-Erpresserseite der Gruppe SafePay aufgetaucht. Öffentlich bestätigt ist der Vorfall bislang nicht. Die Listung ist ein ernstzunehmender Hinweis, aber noch kein unabhängiger Beweis dafür, welche Daten tatsächlich entwendet wurden.

    Wer ist die AWO Südost?

    Die AWO Berlin Kreisverband Südost e.V. ist ein gemeinnütziger Träger mit Sitz in Berlin-Neukölln, Erkstraße 1. Der Verband wurde 1994 gegründet und ist in den Berliner Bezirken Neukölln, Lichtenberg, Treptow-Köpenick sowie in Reinickendorf aktiv.

    Der Träger betreibt ein breites soziales Netz: 13 Kitas, 2 Horte, Schulsozialarbeit, Jugendfreizeiteinrichtungen, Familienzentren, Jugendberufshilfe, Beratungsstellen, Schuldner- und Insolvenzberatung, Frauenberatung, Gesundheits- und Migrationsberatung sowie Wohn- und Betreuungsangebote für Menschen mit Beeinträchtigungen.

    13 Kitas + 2 Horte
    Schulsozialarbeit
    Jugend- & Familienhilfe
    Familienzentren
    Schuldner-/Insolvenzberatung
    Frauen- & Migrationsberatung
    Wohnen & Betreuung Behinderung
    Gesundheitsberatung

    Besonders sensibel: Wer könnte betroffen sein?

    Die AWO arbeitet mit Kindern, Familien, Ratsuchenden, Menschen mit Migrationshintergrund, Frauen in schwierigen Lebenslagen, Schuldnern, Menschen mit Behinderung und Jugendlichen. Sollte es tatsächlich zu einem Datenabfluss gekommen sein, könnten daher nicht nur klassische Verwaltungsdaten betroffen sein, sondern auch besonders schützenswerte Sozial-, Beratungs-, Betreuungs- und Personaldaten.

    Kinder & FamilienJugendlicheMenschen mit BehinderungFrauen in SchutzsituationenMenschen mit MigrationshintergrundRatsuchende in SchuldnerberatungMitarbeitende (441+)
    AWO Südost – SafePay Darknet-Leak: einfach erklärt, Zahlen & Fakten

    Rechts: simulierte SafePay-Leak-Console mit 72h-Countdown und Fake-Upload.

    Zahlen, Daten, Fakten – und was in IT hätte investiert werden müssen

    Laut Transparenzangaben beschäftigte der Kreisverband bereits 2019 200 Vollzeit- und 241 Teilzeitkräfte. Im Tätigkeitsbericht werden zusätzlich 32 hauptamtliche Mitarbeitende in der Kreisgeschäftsstelle genannt – u. a. in Verwaltung, IT, Technik, Personal, Finanzen, Controlling, Qualitätsmanagement und Vorstand.

    Die veröffentlichte Gewinn- und Verlustrechnung 2024 weist eine wirtschaftliche Gesamtleistung von rund 27,15 Mio € aus (Umsatzerlöse 20,62 Mio € + Zuwendungen 5,71 Mio € + sonstige Erträge 0,71 Mio €). Personalaufwand: 19,20 Mio €. Jahresüberschuss: 73.264 €.

    Modellrechnung · AWO Berlin Südost · Basis 2024
    Gesamtleistung 2024
    0,00 Mio €
    IT-Budget bei 4 %
    0,00 Mio €
    Security · Ober­grenze plausibel
    0 €
    Mitarbeitende (2019)
    441

    Rechenbasis: Gesamtleistung 27,15 Mio € (Umsatz 20,62 Mio € + Zuwendungen 5,71 Mio € + sonstige Erträge 0,71 Mio €). IT- und Security-Anteile abgeleitet aus Marktbenchmarks (BSI / Gartner / ENISA) für Sozialträger mit besonders sensiblen Daten. Keine offiziellen IT-Kennzahlen der AWO Südost veröffentlicht.

    Bars · % der Gesamtleistung

    IT-Budget-Szenarien

    Basis · 3 %814.500 €/ Jahr
    Realistisch · 4 %1.086.000 €/ Jahr
    Solide · 5 %1.357.500 €/ Jahr
    Typischer IT-Anteil bei Sozialträgern mit vielen Standorten: 3–6 %.
    Bars · Anteil vom 4 %-IT-Budget

    Cybersecurity-Anteil am IT-Budget

    Minimum · 7,5 %81.450 €/ Jahr
    Solide · 10 %108.600 €/ Jahr
    Sensibel · 15 %162.900 €/ Jahr
    Sozialdaten sind besonders schützenswert → 10–15 % sind angemessen.
    Bars · % von 27,15 Mio €

    Security-Budget direkt aus Gesamtleistung

    0,3 %
    81.450 €
    Untergrenze – deutlich zu wenig.
    0,5 %
    135.750 €
    Solide Basis für Sozialträger.
    0,8 %
    217.200 €
    Angemessen bei Sozial-, Kinder- & Beratungsdaten.
    0,3 % / Jahr81.450 €
    0,5 % / Jahr135.750 €
    0,8 % / Jahr217.200 €
    Pflicht-Bausteine · Sozialträger

    Was das Security-Budget mindestens abdecken muss

    MFA / SSO
    EDR / XDR
    Immutable Backup
    Restore-Tests
    Patchmanagement
    Mail-Security
    Awareness
    Pentests / Scans
    Notfallhandbuch
    Logging / SIEM
    DSGVO-Prozesse
    IR-Vertrag
    Merksatz: Bei rund 27,15 Mio € Gesamt­ leistung und besonders sensiblen Sozialdaten wäre ein Security-Budget von 136.000 – 217.000 € pro Jahr angemessen. Diese Summe ist deutlich geringer als die Folgekosten eines einzigen bestätigten Datenlecks.

    Warum der Fall besonders brisant ist

    Bei einem Industriebetrieb geht es oft um Konstruktionsdaten, Kundenlisten oder Rechnungen. Bei einem Sozialträger ist die Lage anders: Hier können Daten von Kindern, Eltern, Mitarbeitenden, Menschen mit Behinderung, Schuldnern oder Frauen in Schutz- und Beratungssituationen betroffen sein. Genau deshalb ist eine Darknet-Listung in diesem Umfeld besonders kritisch.

    Kita- & Familiendaten
    Anmeldungen, Betreuungsverträge, Gesundheits- und Sozialdaten von Kindern sowie Angaben zu Eltern und Erziehungsberechtigten.
    Beratungs- & Betreuungsakten
    Schuldner-, Insolvenz-, Frauen-, Migrations- und Gesundheitsberatung – häufig hochsensibel und besonders schützenswert.
    Personaldaten
    441 Mitarbeitende (2019): Verträge, Bewerbungen, Gehaltsabrechnungen, Krankmeldungen, Personalakten.
    Verträge & interne Dokumente
    Kooperationsverträge mit Bezirken, Trägerabrechnungen, Fördermittelunterlagen, interne Verwaltungsdokumente.
    Finanzen & Buchhaltung
    GVR, Kontoauszüge, Lieferantendaten, Kassenbelege, Zuwendungsnachweise gegenüber Bezirks- und Landesbehörden.
    IT- & Zugangsdaten
    Sofern Systemzugänge, VPN-Konten, E-Mail-Postfächer oder AD-Extrakte betroffen sein sollten: erhebliches Folgeschadenrisiko.
    Welche Daten tatsächlich betroffen sein könnten, ist zum jetzigen Zeitpunkt unklar. Alle genannten Kategorien sind mögliche, nicht bestätigte Szenarien.

    Wer steckt hinter SafePay?

    SafePay ist eine seit 2024 aktive Ransomware-Gruppe, die nach dem Double-Extortion-Prinzip angreift: Daten werden erst gestohlen, dann verschlüsselt – und bei Nichtzahlung im Darknet veröffentlicht. Deutschland gehört zu den am häufigsten adressierten Zielregionen.

    1. Schritt 1
      Eindringen
      Zugang ins Netzwerk – häufig über Phishing oder Sicherheitslücken.
    2. Schritt 2
      Daten stehlen
      Sensible Dateien werden aus Fileservern und Fachanwendungen kopiert.
    3. Schritt 3
      Verschlüsseln
      Server und Arbeitsplätze werden verschlüsselt, Betriebsabläufe stehen still.
    4. Schritt 4
      Lösegeld fordern
      Kryptowährungs-Forderung mit Frist – oft mittlerer sechsstelliger Bereich.
    5. Schritt 5
      Veröffentlichung
      Bei Nichtzahlung: Publikation der gestohlenen Daten auf der Darknet-Leak-Seite.
    Ob dieser Ablauf bei der AWO Südost tatsächlich stattgefunden hat, ist derzeit nicht bekannt.

    Was Klient:innen & Mitarbeitende jetzt tun sollten

    Menschen, die aktuell Angebote der AWO Südost nutzen oder dort arbeiten, sollten vorsorglich aufmerksam bleiben – ohne in Panik zu verfallen.

    • Ungewöhnliche E-Mails im Namen der AWO Südost sorgfältig prüfen (Phishing)
    • Keine unbekannten Anhänge öffnen – auch nicht bei bekannten Absendern
    • Passwörter ändern, sofern gemeinsame Portale/E-Mail-Konten genutzt wurden
    • Login- und MFA-Benachrichtigungen aufmerksam prüfen
    • Klient:innen und Mitarbeitende offen über mögliche Phishing-Wellen informieren
    • Bei Verdacht auf Identitätsdiebstahl: Schufa-Selbstauskunft & IDG-Monitoring

    Diese Empfehlungen sind allgemeine Vorsichtsmaßnahmen und bedeuten nicht, dass einzelne Personen automatisch betroffen sind.

    Wasacon-Einschätzung

    Sozialträger geraten zunehmend in den Fokus professioneller Ransomware-Gruppen. Sie sind personell und finanziell selten auf komplexe Cyberangriffe vorbereitet – arbeiten aber mit besonders schützenswerten Daten. Genau diese Kombination macht sie für Gruppen wie SafePay attraktiv.

    Wichtig: Der Screenshot zeigt eine Listung durch SafePay. Ob die AWO Südost tatsächlich kompromittiert wurde, welche Systeme betroffen sind und ob Daten abgeflossen sind, ist ohne Stellungnahme oder technische Bestätigung noch offen. Sollte das Unternehmen eine Stellungnahme veröffentlichen, wird dieser Artikel aktualisiert.

    Häufige Fragen

    Nein. Es liegt aktuell keine öffentliche Bestätigung der AWO Berlin Kreisverband Südost e.V. vor. Die Informationen basieren ausschließlich auf einem Screenshot der SafePay-Darknet-Leak-Seite.

    Die AWO Berlin Kreisverband Südost e.V. ist ein gemeinnütziger Sozialträger mit Sitz in Berlin-Neukölln (Erkstraße 1). Gegründet 1994, aktiv in Neukölln, Lichtenberg, Treptow-Köpenick und Reinickendorf. Sie betreibt 13 Kitas, 2 Horte, Schulsozialarbeit, Beratungsstellen und Angebote für Menschen mit Behinderung.

    Sollte tatsächlich ein Datenabfluss stattgefunden haben, könnten Kita- und Familiendaten, Beratungs- und Betreuungsakten, Personaldaten von rund 441 Mitarbeitenden, Verträge, Finanzunterlagen sowie interne Kommunikation betroffen sein. Alle Kategorien sind mögliche, nicht bestätigte Szenarien.

    SafePay ist eine seit 2024 aktive Ransomware-Gruppe, die nach Double-Extortion-Prinzip arbeitet: Daten werden gestohlen und verschlüsselt, danach mit Veröffentlichung auf der Darknet-Leak-Seite gedroht.

    Ruhe bewahren, ungewöhnliche E-Mails im Namen der AWO Südost besonders kritisch prüfen, keine Anhänge unbekannter Herkunft öffnen, Passwörter für gemeinsam genutzte Portale ändern und auf Login-/MFA-Benachrichtigungen achten.
    Sozialträger oder Verein? Wir prüfen Ihre Ransomware-Resilienz.
    Wasacon analysiert Backup-Strategie, Incident-Response und DSGVO-Sicherheits­niveau – realistisch und bezahlbar.
    Kontakt aufnehmenIT-Sicherheit & Datenschutz
    Quellen
    SafePay-Darknet-Leak-Seite (Beobachtung – keine Verlinkung)
    Öffentliche Transparenz- und Tätigkeitsberichte der AWO Berlin Kreisverband Südost e.V., GVR 2024

    Mehr Analysen zu SafePay & deutschen Darknet-Leaks

    Weitere aktuelle Fälle aus Deutschland – Ransomware-Listungen, Sozial- und Industrieziele.

    Transparenzhinweis

    Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.

    Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.

    Diskussion

    0 Beiträge

    Lade Kommentare …
    Neuer Kommentar
    0/2000

    E-Mail wird nur zur Verifizierung verwendet, nicht veröffentlicht. Beiträge werden manuell geprüft.

    IT-Budget Quick-Check

    Wie viel sollte Ihr Unternehmen jährlich in IT investieren?

    Risiko-Level: Mittel · Multiplikator: 1.2×

    Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.

    Das könnte Sie auch interessieren

    Dringend: Kritische Apache-Lücke CVE-2026-119618 – HTTP/2 jetzt abschalten
    IT-Sicherheit

    Dringend: Kritische Apache-Lücke CVE-2026-119618 – HTTP/2 jetzt abschalten

    Kritische Apache-Lücke CVE-2026-119618 in HTTP/2 (Versionen 2.4.55–2.4.70, mögliches RCE). Sofortmaßnahme, Patch-Stand und was Ubuntu-Server jetzt tun sollten.

    12.11.20264 min
    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe
    IT-Sicherheit

    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe

    Am 13. Oktober 2026 informiert die CDU Itzehoe über einen Sicherheitsvorfall in ihrer Managed Nextcloud. Angreifer konnten nach bisherigen Angaben sämtliche gespeicherten Dateien herunterladen – Kontakte, Mitgliedsdaten, interne Dokumente, möglicherweise Beitrags- und Bankdaten. Was der Fall für gemanagte Clouds heißt.

    12.11.202613 min
    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen
    IT-Sicherheit

    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen

    Am 1. Oktober 2026 entdecken die Hamburger Grünen bei einer Routineprüfung einen automatisierten Angriff auf ihren Mailserver. Mitgliedsdatenbank und Dateiserver bleiben unberührt, Hinweise auf einen Datenabfluss gibt es zunächst nicht. Was der Fall für geteilte IT in Parteien und Unternehmen heißt.

    12.11.202613 min

    Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?

    Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.

    Jetzt kostenlosen Check anfordern

    Bekannt aus

    Wasa Consult, Data Recovery Service, Heinsberg, Nordrhein-Westfalen