SafePay listet Badisches Landesmuseum: Ransomware-Verdacht bei bedeutender Kulturinstitution

Was belegt ist – und was nicht

Eine Erwähnung auf einer Leak-Seite ist zunächst nur eine Behauptung der Täter, kein Beleg für einen erfolgreichen Angriff oder Datenabfluss. Vor einer abschließenden Bewertung sollte das Museum Gelegenheit zur Stellungnahme erhalten.

Was macht das Badische Landesmuseum?

Das Badische Landesmuseum ist das große kulturhistorische Museum für den badischen Landesteil. Es sammelt, erforscht, bewahrt und vermittelt Zeugnisse aus rund 50.000 Jahren internationaler Kulturgeschichte: archäologische Funde, antike Objekte, Kunst- und Alltagsgegenstände, Zeugnisse der badischen Landesgeschichte sowie international bedeutende Sammlungen wie die Karlsruher Türkenbeute.

Neben dem Hauptsitz im Karlsruher Schloss gehören acht weitere Museen und Archive von Bruchsal bis Salem am Bodensee zur Organisation – darunter das Museum beim Markt, das Deutsche Musikautomaten-Museum in Bruchsal und das Keramikmuseum Staufen. Der Hauptsitz ist seit 29. September 2025 wegen Generalsanierung geschlossen. Rund 17.500 ausgestellte Objekte müssen dokumentiert, gesichert und verpackt werden; etwa 350 Dauerleihgaben wurden zurückgegeben.

Wer oder was ist SafePay?

SafePay ist seit Ende 2024 als Ransomware-Gruppe bekannt. Sicherheitsforscher beschreiben sie als vergleichsweise geschlossen operierende Struktur, die nicht wie viele Konkurrenten offen mit Partnern im Ransomware-as-a-Service-Modell arbeitet. Die Gruppe setzt auf doppelte Erpressung: Daten werden kopiert, Systeme verschlüsselt, danach wird mit Veröffentlichung gedroht. Beobachtete Angriffe begannen unter anderem mit kompromittierten Zugangsdaten für VPN- oder RDP-Systeme; teilweise vergingen weniger als 24 Stunden zwischen Erstzugriff und Verschlüsselung.

SafePay war bereits 2025 auffällig stark gegen deutsche Organisationen aktiv. Check Point ordnete der Gruppe im ersten Quartal 2025 rund 24 % der öffentlich gemeldeten deutschen Ransomware-Opfer zu.

Quellen: Check Point (Q1/2025 Regional Ransomware Report), Huntress, Bitdefender, Blackpoint Cyber, öffentliche Leak-Site-Auswertungen.

Welche Daten könnten grundsätzlich relevant sein?

Ohne Stellungnahme des Museums darf nicht behauptet werden, bestimmte Daten seien tatsächlich entwendet worden. Die öffentlich erkennbare Organisationsstruktur zeigt jedoch, welche Bereiche bei einem schwerwiegenden Angriff grundsätzlich untersucht werden müssten:

Besonders sensibel wären erbeutete E-Mail-, Rechnungs- oder Leihdaten: Kriminelle könnten daraus täuschend echte Nachrichten, gefälschte Bankverbindungen oder Betrugsanweisungen erstellen. Partner und Leihgeber sollten Änderungen von Kontodaten immer über einen zweiten, bereits bekannten Kanal bestätigen. Grundlage: BSI-Top-10 Ransomware-Maßnahmen.

Warum wäre ein Angriff auf ein Museum besonders problematisch?

Bei einem Museum geht es nicht nur um klassische Büro-IT. Digitale Inventare dokumentieren Herkunft, Zustand, Lagerort und wissenschaftliche Einordnung teilweise unersetzlicher Kulturgüter. Hinzu kommen Bildarchive, Forschungsdaten, Provenienzunterlagen, Restaurierungsdokumentationen und Informationen über nationale und internationale Leihgaben.

Während der laufenden Sanierung besitzt die Verfügbarkeit verlässlicher Daten zusätzliche Bedeutung. Tausende Objekte werden bewegt, inventarisiert, verpackt oder ausgeliehen. Ein Ausfall von Dokumentations-, Kommunikations- oder Logistiksystemen könnte deshalb nicht nur die Verwaltung, sondern auch Transport- und Restaurierungsabläufe beeinträchtigen. Diese besondere Situation ergibt sich aus den derzeit laufenden Arbeiten, ist aber kein Hinweis darauf, dass entsprechende Systeme tatsächlich betroffen sind.

Vier realistische Szenarien

Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.

Typische SafePay-Angriffswege (nicht auf diesen Fall bezogen)

Für das Badische Landesmuseum ist der Angriffsweg unbekannt. Die folgenden Methoden stammen aus anderen untersuchten SafePay-Fällen und sind keine Aussage über den aktuellen Vorgang.

Was hätte angemessene IT-Sicherheit gekostet?

Ohne Kenntnis über Infrastruktur, bestehende Verträge und Schutzmaßnahmen lässt sich nicht beurteilen, wie viel das Museum tatsächlich investiert hat oder ob organisatorische Fehler vorlagen. Eine seriöse Kalkulation kann daher nur einen Größenkorridor liefern.

Für eine öffentliche Einrichtung mit 173 Beschäftigten, mehreren Standorten, digitalen Sammlungen, Webanwendungen und besonders schützenswerten Kulturgutdaten wäre ein laufendes Cybersicherheitsbudget von rund 250.000–500.000 € pro Jahr plausibel. Hinzu kämen je nach Ausgangslage einmalige Modernisierungskosten von etwa 150.000–350.000 €.

Wirksamkeit von Gegenmaßnahmen (Erfahrungswerte)

Geschätzte Risikoreduktion einzelner Maßnahmen gegen SafePay-typische Angriffsketten – auf Basis dokumentierter Incident-Response-Erfahrungen im deutschen Mittelstand und in öffentlichen Einrichtungen. Kein Ersatz für eine individuelle Risikoanalyse.

Was jetzt organisatorisch passieren müsste

Datenschutz: Die 72-Stunden-Frist nach Art. 33 DSGVO beginnt nicht mit dem Leak-Eintrag, sondern mit Kenntnis einer tatsächlichen Schutzverletzung. Bei hohem Risiko zusätzlich Art. 34 DSGVO.

Die wichtigsten offenen Fragen

FAQ zur SafePay-Listung Badisches Landesmuseum

Fazit

Die SafePay-Listung des Badischen Landesmuseums ist ernst zu nehmen – insbesondere wegen Sammlungsgröße, mehreren Standorten, laufender Sanierungslogistik und umfangreichen digitalen Angeboten. Derzeit handelt es sich jedoch weiterhin um eine unbestätigte Täterbehauptung.

Für eine abschließende Bewertung fehlen entscheidende Informationen: Wurden tatsächlich Daten kopiert? Sind interne Systeme ausgefallen? Waren personenbezogene Daten betroffen? Wurde die Datenschutzaufsicht oder das LKA informiert? Und betrifft der Vorfall das Museum selbst oder einen externen Dienstleister? Bis diese Fragen offiziell beantwortet sind, muss redaktionell konsequent von einer behaupteten Kompromittierung beziehungsweise SafePay-Listung gesprochen werden – nicht von einem zweifelsfrei bestätigten Datenleck.

Stand: 28. Juli 2026. Sämtliche Angaben der Täterseite sind unbestätigt. Kontakt Badisches Landesmuseum: Schlossbezirk 10, 76131 Karlsruhe · Tel. +49 721 926-6514 · [email protected].