AWO Berlin Kreisverband Südost e.V. im Darknet gelistet – SafePay setzt Countdown
Die Ransomware-Gruppe SafePay hat einen Berliner Sozialträger auf ihrer Darknet-Erpresserseite veröffentlicht. Die AWO Berlin Kreisverband Südost e.V. arbeitet mit besonders sensiblen Sozialdaten – eine offizielle Bestätigung des Vorfalls fehlt bislang.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Nach einem Screenshot einer Leak-Seite ist die AWO Berlin Kreisverband Südost e.V. auf einer Darknet-Erpresserseite der Gruppe SafePay aufgetaucht. Öffentlich bestätigt ist der Vorfall bislang nicht. Die Listung ist ein ernstzunehmender Hinweis, aber noch kein unabhängiger Beweis dafür, welche Daten tatsächlich entwendet wurden.
Wer ist die AWO Südost?
Die AWO Berlin Kreisverband Südost e.V. ist ein gemeinnütziger Träger mit Sitz in Berlin-Neukölln, Erkstraße 1. Der Verband wurde 1994 gegründet und ist in den Berliner Bezirken Neukölln, Lichtenberg, Treptow-Köpenick sowie in Reinickendorf aktiv.
Der Träger betreibt ein breites soziales Netz: 13 Kitas, 2 Horte, Schulsozialarbeit, Jugendfreizeiteinrichtungen, Familienzentren, Jugendberufshilfe, Beratungsstellen, Schuldner- und Insolvenzberatung, Frauenberatung, Gesundheits- und Migrationsberatung sowie Wohn- und Betreuungsangebote für Menschen mit Beeinträchtigungen.
Besonders sensibel: Wer könnte betroffen sein?
Die AWO arbeitet mit Kindern, Familien, Ratsuchenden, Menschen mit Migrationshintergrund, Frauen in schwierigen Lebenslagen, Schuldnern, Menschen mit Behinderung und Jugendlichen. Sollte es tatsächlich zu einem Datenabfluss gekommen sein, könnten daher nicht nur klassische Verwaltungsdaten betroffen sein, sondern auch besonders schützenswerte Sozial-, Beratungs-, Betreuungs- und Personaldaten.
Rechts: simulierte SafePay-Leak-Console mit 72h-Countdown und Fake-Upload.
Zahlen, Daten, Fakten – und was in IT hätte investiert werden müssen
Laut Transparenzangaben beschäftigte der Kreisverband bereits 2019 200 Vollzeit- und 241 Teilzeitkräfte. Im Tätigkeitsbericht werden zusätzlich 32 hauptamtliche Mitarbeitende in der Kreisgeschäftsstelle genannt – u. a. in Verwaltung, IT, Technik, Personal, Finanzen, Controlling, Qualitätsmanagement und Vorstand.
Die veröffentlichte Gewinn- und Verlustrechnung 2024 weist eine wirtschaftliche Gesamtleistung von rund 27,15 Mio € aus (Umsatzerlöse 20,62 Mio € + Zuwendungen 5,71 Mio € + sonstige Erträge 0,71 Mio €). Personalaufwand: 19,20 Mio €. Jahresüberschuss: 73.264 €.
Rechenbasis: Gesamtleistung 27,15 Mio € (Umsatz 20,62 Mio € + Zuwendungen 5,71 Mio € + sonstige Erträge 0,71 Mio €). IT- und Security-Anteile abgeleitet aus Marktbenchmarks (BSI / Gartner / ENISA) für Sozialträger mit besonders sensiblen Daten. Keine offiziellen IT-Kennzahlen der AWO Südost veröffentlicht.
IT-Budget-Szenarien
Cybersecurity-Anteil am IT-Budget
Security-Budget direkt aus Gesamtleistung
Was das Security-Budget mindestens abdecken muss
Warum der Fall besonders brisant ist
Bei einem Industriebetrieb geht es oft um Konstruktionsdaten, Kundenlisten oder Rechnungen. Bei einem Sozialträger ist die Lage anders: Hier können Daten von Kindern, Eltern, Mitarbeitenden, Menschen mit Behinderung, Schuldnern oder Frauen in Schutz- und Beratungssituationen betroffen sein. Genau deshalb ist eine Darknet-Listung in diesem Umfeld besonders kritisch.
Wer steckt hinter SafePay?
SafePay ist eine seit 2024 aktive Ransomware-Gruppe, die nach dem Double-Extortion-Prinzip angreift: Daten werden erst gestohlen, dann verschlüsselt – und bei Nichtzahlung im Darknet veröffentlicht. Deutschland gehört zu den am häufigsten adressierten Zielregionen.
- Schritt 1EindringenZugang ins Netzwerk – häufig über Phishing oder Sicherheitslücken.
- Schritt 2Daten stehlenSensible Dateien werden aus Fileservern und Fachanwendungen kopiert.
- Schritt 3VerschlüsselnServer und Arbeitsplätze werden verschlüsselt, Betriebsabläufe stehen still.
- Schritt 4Lösegeld fordernKryptowährungs-Forderung mit Frist – oft mittlerer sechsstelliger Bereich.
- Schritt 5VeröffentlichungBei Nichtzahlung: Publikation der gestohlenen Daten auf der Darknet-Leak-Seite.
Was Klient:innen & Mitarbeitende jetzt tun sollten
Menschen, die aktuell Angebote der AWO Südost nutzen oder dort arbeiten, sollten vorsorglich aufmerksam bleiben – ohne in Panik zu verfallen.
- Ungewöhnliche E-Mails im Namen der AWO Südost sorgfältig prüfen (Phishing)
- Keine unbekannten Anhänge öffnen – auch nicht bei bekannten Absendern
- Passwörter ändern, sofern gemeinsame Portale/E-Mail-Konten genutzt wurden
- Login- und MFA-Benachrichtigungen aufmerksam prüfen
- Klient:innen und Mitarbeitende offen über mögliche Phishing-Wellen informieren
- Bei Verdacht auf Identitätsdiebstahl: Schufa-Selbstauskunft & IDG-Monitoring
Diese Empfehlungen sind allgemeine Vorsichtsmaßnahmen und bedeuten nicht, dass einzelne Personen automatisch betroffen sind.
Wasacon-Einschätzung
Sozialträger geraten zunehmend in den Fokus professioneller Ransomware-Gruppen. Sie sind personell und finanziell selten auf komplexe Cyberangriffe vorbereitet – arbeiten aber mit besonders schützenswerten Daten. Genau diese Kombination macht sie für Gruppen wie SafePay attraktiv.
Wichtig: Der Screenshot zeigt eine Listung durch SafePay. Ob die AWO Südost tatsächlich kompromittiert wurde, welche Systeme betroffen sind und ob Daten abgeflossen sind, ist ohne Stellungnahme oder technische Bestätigung noch offen. Sollte das Unternehmen eine Stellungnahme veröffentlichen, wird dieser Artikel aktualisiert.
Häufige Fragen
Mehr Analysen zu SafePay & deutschen Darknet-Leaks
Weitere aktuelle Fälle aus Deutschland – Ransomware-Listungen, Sozial- und Industrieziele.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
