BerlinMobil im Visier von Cyberkriminellen – Safepay-Leak setzt Fahrdienst unter Druck

Die Berliner BerlinMobil Frank Richert GmbH ist auf einer bekannten Leak-Seite der Ransomware-Gruppe „Safepay" aufgetaucht. Dort behaupten die Täter, interne Unternehmensdaten erbeutet zu haben. Ein Countdown auf der Leak-Seite deutet darauf hin, dass die Daten innerhalb weniger Tage veröffentlicht werden könnten, sofern es keine Einigung gibt.

Eine unabhängige Bestätigung über die Echtheit oder den Umfang der angeblich gestohlenen Daten liegt derzeit nicht vor. Sämtliche im Folgenden zitierten Angaben stammen aus der Leak-Seite der Tätergruppe und sind mit Vorsicht zu betrachten.

Die Cyberkriminellen veröffentlichen laut Listing mehrere Informationen über das Unternehmen. BerlinMobil wird als großer Berliner Transportdienstleister beschrieben, spezialisiert auf:

Sollte tatsächlich ein Datenabfluss erfolgt sein, könnten potenziell sensible Informationen betroffen sein. Gerade Unternehmen aus Schüler- und Behindertenbeförderung verarbeiten regelmäßig:

Aktuell gibt es jedoch keine öffentlichen Nachweise darüber, welche Daten konkret betroffen sein sollen.

Die Veröffentlichung auf einer Leak-Seite folgt dem bekannten „Double Extortion"-Prinzip moderner Ransomware-Gruppen. Selbst wenn Unternehmen Backups besitzen und Systeme wiederherstellen können, bleibt der Druck durch mögliche Datenleaks bestehen.

Angriffe auf Mobilität, Gesundheit, Bildung und öffentliche Dienstleistungen nehmen seit Jahren zu. Der Grund: Diese Organisationen können sich längere Ausfälle kaum leisten. Bei Transportdienstleistern haben bereits wenige Stunden IT-Ausfall massive Auswirkungen:

Die Gruppe „Safepay" tauchte in den vergangenen Monaten mehrfach im Zusammenhang mit veröffentlichten Unternehmensdaten auf. Leak-Seiten dienen dabei häufig als Druckmittel gegenüber den Opfern.

Die dort veröffentlichten Angaben sollten grundsätzlich mit Vorsicht betrachtet werden. Ransomware-Gruppen übertreiben teilweise bewusst oder veröffentlichen zunächst nur Fragmente, um Aufmerksamkeit zu erzeugen.

Der Fall zeigt erneut, dass Cybersecurity längst nicht mehr nur Konzerne betrifft. Besonders mittelständische Dienstleister mit kritischer Tagesorganisation geraten zunehmend in den Fokus professioneller Angreifer.

Mobilitätsdienstleister sind in den meisten Kommunen de facto kritische Infrastruktur – ohne sie stehen Schulbetrieb, Pflege und öffentliche Termine still. Trotzdem sind sie häufig technisch wie ein klassisches mittelständisches Unternehmen aufgestellt: gewachsene Netzwerke, flache Strukturen, wenige Reserven für 24/7-Security.

Wir empfehlen einen stufenweisen Hardening-Plan: zuerst Identität und Backups absichern, dann Netzwerksegmentierung zwischen Office, Disposition und Telematik einziehen, parallel EDR/XDR ausrollen und ein externes 24/7-SOC anbinden. Wer zusätzlich Darknet-Monitoring nutzt, sieht solche Leak-Listings im Idealfall vor dem Countdown.