BMI Projects gehackt? SafePay listet deutsches Schiffsausbau-Unternehmen im Darknet – Countdown läuft
Die Ransomware-Gruppe SafePay hat die BMI Projects GmbH (vormals Bez Marine Interiors GmbH) auf ihrer Darknet-Leak-Seite gelistet. Ein Countdown läuft – unbestätigte Täter-Behauptung.
Dieser Artikel basiert auf öffentlich einsehbaren Angaben der Darknet-Leak-Seite der Ransomware-Gruppe SafePay sowie auf öffentlich verfügbaren Register- und Firmenauskünften Dritter. Es handelt sich um Behauptungen der Täter, keine bestätigten Tatsachen. Weder liegt eine unabhängige Verifizierung eines Datenabflusses vor, noch hat die BMI Projects GmbH oder ihr Liquidator den Vorfall zum Zeitpunkt der Veröffentlichung öffentlich bestätigt. Alle Angaben zu möglicherweise betroffenen Daten, Auswirkungen, Umsätzen und Budgets sind Mutmaßungen bzw. Schätzungen. Es gilt die Unschuldsvermutung. Wir verlinken bewusst nicht auf die Leak-Seite und verbreiten keine mutmaßlich entwendeten Daten. Der Beitrag wird aktualisiert, sobald belastbare neue Informationen oder eine offizielle Stellungnahme vorliegen.
Die Ransomware-Gruppe SafePay hat die BMI Projects GmbH (vormals Bez Marine Interiors GmbH, gegründet 2016, Sitz Hamburg-Rothenburgsort, ca. 10–19 Beschäftigte) am 6. Juli 2026 um 18:50 Uhr (UTC) auf ihrer Darknet-Leak-Seite gelistet und behauptet, interne Daten zu besitzen. Ein rund dreitägiger Countdown läuft, Ablauf ca. 9./10. Juli 2026. Besonderheit: Über das Vermögen der BMI Projects GmbH wurde bereits Ende März 2025 ein Insolvenzverfahren eröffnet, seit Mitte 2025 befindet sich die Gesellschaft in Liquidation. Eine unabhängige Bestätigung des Angriffs, ein Datenabfluss oder eine offizielle Stellungnahme liegen nicht vor.
Das Wichtigste in Kürze
- BMI Projects GmbH am 06.07.2026 (18:50 UTC) auf SafePay-Leak-Seite gelistet.
- Countdown läuft, Ablauf ca. 9./10. Juli 2026 – Datenabfluss unbestätigt.
- Unternehmen seit Frühjahr 2025 insolvent und in Liquidation.
- Hamburger Spezialist für Kreuzfahrtschiff-Innenausbau, Referenzen u. a. Hapag-Lloyd Cruises.
- Empfohlenes IT-Sicherheitsbudget: ca. 15.000–40.000 € pro Jahr (BSI/Bitkom-Benchmark).
Was ist passiert?
Am 06.07.2026 gegen 18:50 Uhr erschien auf der im Tor-Netzwerk („Darknet") betriebenen Leak-Seite von SafePay ein neuer Eintrag zur Domain bmiprojects.de. Zum Zeitpunkt unserer Sichtung zeigte der Eintrag einen laufenden Countdown von rund 2 Tagen und 23 Stunden – die angedrohte Veröffentlichung mutmaßlich entwendeter Daten wäre damit rechnerisch für den 9./10. Juli 2026 angesetzt.
Auffällig ist, dass die Täter das Unternehmen in ihrem Eintrag durchgehend in der Vergangenheitsform beschreiben („BMI Projects GmbH was a German engineering and interior construction company") – ein ungewöhnliches Detail, das zur wirtschaftlichen Lage des Unternehmens passt. Konkrete Angaben zum Umfang der angeblich erbeuteten Daten machen die Täter im Eintrag nicht; Beweisdateien („Proof Packs") waren zum Zeitpunkt unserer Sichtung nicht erkennbar.
| Betroffene Domain | bmiprojects.de |
|---|---|
| Gruppe | SafePay |
| Veröffentlichung des Eintrags | 06.07.2026, 18:50 Uhr (UTC) |
| Countdown (Erfassung) | ≈ 2 Tage, 23 Std., 8 Min. |
| Aufrufe des Eintrags | 77 |
| Voraussichtlicher Fristablauf | ≈ 09./10.07.2026 |
| Land | Deutschland 🇩🇪 |
Wer ist die BMI Projects GmbH?
Die BMI Projects GmbH mit Sitz in Hamburg-Rothenburgsort (Brandshofer Deich 116) ist auf hochwertige Innenausbauprojekte für die Passagierschifffahrt spezialisiert. Das Unternehmen wurde im November 2016 unter dem Namen Bez Marine Interiors GmbH in das Handelsregister eingetragen (Amtsgericht Hamburg, HRB 143812) und firmierte später in BMI Projects GmbH um. Geschäftsführer ist Stefan Bez, dessen Familienname auch im ursprünglichen Firmennamen steckt – die Wurzeln des Betriebs im Hamburger Schiffsinnenausbau reichen deutlich weiter zurück als die GmbH-Gründung.
Zu den Referenzen zählen prominente Projekte für Hapag-Lloyd Cruises, darunter die Revitalisierung der Gatsby Bar und der Grand Penthouse Suite auf der MS Europa (2015) sowie der Collins Bar auf der MS Europa 2 (2017). Die Täter nennen in ihrem Eintrag zudem TUI Cruises als Kunden – auch das ist bislang unbestätigt.
Leistungsspektrum
- Innenausbau für Kreuzfahrtschiffe, Fähren und Yachten
- Engineering, Schiffsarchitektur & Projektentwicklung
- Möbel- und Innenraumfertigung, Polsterei
- Logistik und schlüsselfertige Montage
- Modernisierung von Passagierschiffen weltweit
- Rapid Dry-Dock-Refurbishments in engen Werftliegezeiten
Zahlen, Daten, Fakten
| Organisation | BMI Projects GmbH (vormals Bez Marine Interiors GmbH) |
|---|---|
| Sitz | Brandshofer Deich 116, Hamburg-Rothenburgsort |
| Gründung | November 2016 |
| Register | HRB 143812, Amtsgericht Hamburg |
| Geschäftsführer | Stefan Bez |
| Branche | Innenausbau für Kreuzfahrtschiffe, Fähren & Yachten |
| Mitarbeitende | ca. 10–19 |
| Umsatz (Schätzung) | niedriger einstelliger Millionenbereich € |
| Bilanzsumme 2022 | ca. 3,0 Mio. € (2020: 4,3 Mio. € · 2021: 2,8 Mio. €) |
| Referenzen (öffentlich) | Hapag-Lloyd Cruises (MS Europa, MS Europa 2); TUI Cruises laut Tätereintrag – unbestätigt |
| Wirtschaftlicher Status | Insolvenzverfahren seit März 2025, in Liquidation |
| Leak-Gruppe | SafePay |
| Status | Auf Leak-Seite mit Countdown gelistet, keine unabhängige Bestätigung |
Unternehmen bereits in der Insolvenz
Ein zentraler Punkt für die Einordnung dieses Falls: Laut öffentlich zugänglichen Registerinformationen wurde über das Vermögen der BMI Projects GmbH bereits Ende März 2025 ein Insolvenzverfahren eröffnet. Seit Mitte 2025 befindet sich die Gesellschaft in Liquidation.
Das wirft mehrere Fragen auf, die derzeit nicht beantwortet werden können:
- Stammen die angeblich erbeuteten Daten aus einem aktuellen Angriff oder aus Altsystemen, die nach der Insolvenz möglicherweise nicht mehr aktiv betreut wurden?
- Wer ist im laufenden Liquidationsverfahren überhaupt noch für IT-Sicherheit, Incident Response und mögliche Meldepflichten (Art. 33 DSGVO) verantwortlich?
- Besteht überhaupt noch ein Ansprechpartner, der auf die Erpressung reagieren könnte?
Gerade insolvente oder in Abwicklung befindliche Unternehmen sind für Angreifer teils leichte Ziele: Systeme laufen weiter, werden aber nicht mehr gepatcht oder überwacht – und die dort gespeicherten Kunden-, Projekt- und Personaldaten bleiben trotzdem sensibel.
Was hätte BMI Projects in Cybersecurity investieren müssen?
Empfohlene Investitionen (Beispiel-Jahresbudget)
| Bereich | Beispielbudget/Jahr |
|---|---|
| Multi-Faktor-Authentifizierung (VPN, Mail, Cloud) | 1.500–4.000 € |
| Patch- & Schwachstellen-Management | 2.500–6.000 € |
| RDP absichern / abschalten, gehärtete Remote-Zugänge | 1.000–3.000 € |
| Endpoint Detection & Response (EDR) für ~20 Endpoints | 3.000–8.000 € |
| Offline-/Immutable-Backups + Restore-Tests | 2.500–6.000 € |
| Awareness-Schulungen + simulierte Phishing-Tests | 1.500–4.000 € |
| Netzwerk-Segmentierung (Verwaltung ≠ CAD/Konstruktion) | 1.500–5.000 € |
| Incident-Response-Retainer / Notfallplan | 1.500–4.000 € |
Hinweis: Alle Budget-Zahlen sind Branchenrichtwerte auf Basis von BSI-, Bitkom- und BKA-Empfehlungen. Ob und in welchem Umfang die BMI Projects GmbH tatsächlich in IT- und Cybersecurity investiert hat, ist öffentlich nicht bekannt. Diese Rechnung ist keine Schuldzuweisung, sondern eine Benchmark-Betrachtung.
Hollywood-Darstellung: So könnte ein SafePay-Angriff ablaufen
Welche Daten könnten betroffen sein?
Bestätigt ist nichts. Bei einem Schiffsausbau-Spezialisten dieser Größe sind folgende Datenkategorien typischerweise besonders sensibel:
Ob diese Datenkategorien im Fall der BMI Projects GmbH zutreffen, ist derzeit nicht bestätigt.
Wer ist SafePay? Die Ransomware-Gruppe im Profil
SafePay tauchte im Herbst 2024 auf und hat sich in Rekordzeit an die Spitze der Bedrohungslandschaft gesetzt. Anders als die meisten Banden arbeitet SafePay nicht als Ransomware-as-a-Service, sondern als geschlossene, zentral gesteuerte Gruppe mit eigenem Verschlüsselungstrojaner (Code-Überschneidungen mit dem geleakten LockBit-3.0-Quellcode).
- Über 500 gelistete Opfer weltweit bis Juli 2026; Deutschland nach den USA zweithäufigstes Zielland.
- Über 110 deutsche Organisationen betroffen – rund ein Fünftel aller SafePay-Veröffentlichungen.
- Am selben Tag wie BMI Projects wurden weitere Einträge veröffentlicht, u. a. ein sozialer Träger aus Koblenz.
- Kein RaaS: zentral gesteuert, geschlossene Gruppe, einheitliche TTPs.
- Typischer Einstieg: ungesicherte RDP-Zugänge und VPN-Zugangsdaten ohne MFA.
- Vom Eindringen bis zur Verschlüsselung oft weniger als 24 Stunden.
- Double Extortion: Datenexfiltration vor Verschlüsselung, dann Leak-Site + Countdown.
- Deaktiviert Schutzsoftware, löscht Schattenkopien/Backups, ändert teils Admin-Passwörter.
- Zielt bevorzugt auf KMU – auch Handwerk, Bauwesen, maritime Zulieferer und soziale Träger.
Weitere Wasacon-Analysen zu SafePay: Caritas Koblenz, KNOBEL Bau, RTN GmbH, Lebenshilfe Wohnverbund NRW, Flughafen Hahn.
So läuft eine Doppelerpressung ab
- Eindringen ins Netzwerk (meist RDP/VPN ohne MFA)
- Ausspähen des Netzwerks und Kopieren sensibler Daten
- Verschlüsselung von Servern, Fachanwendungen und Arbeitsplätzen
- Lösegeldforderung
- Veröffentlichung des Unternehmensnamens auf der Leak-Seite mit Countdown
- Androhung der Datenveröffentlichung bei Nichtzahlung
Selbst wer aus Backups wiederherstellen kann, bleibt erpressbar – über die gestohlenen Daten.
Do's – Was Betroffene und KMU jetzt tun sollten
- Incident-Response-Team sofort aktivieren – Rollen und Entscheidungswege klären.
- Forensiker einschalten, bevor Systeme „aufgeräumt“ werden – Beweise sichern.
- Anzeige bei der ZAC des LKA Hamburg erstatten.
- Meldung an die Datenschutzaufsicht (HmbBfDI) binnen 72 h nach Art. 33 DSGVO.
- Insolvenzverwalter / Liquidator und Rechtsbeistand unverzüglich einbinden.
- Betroffene proaktiv und ehrlich informieren – auch (ehemalige) Mitarbeitende.
- Backups offline verifizieren, bevor sie eingespielt werden.
- Alle Zugänge zurücksetzen, MFA für VPN, RDP, E-Mail und Admin erzwingen.
- Kontaktstelle für Kunden, Geschäftspartner und Ex-Mitarbeitende einrichten.
- Lessons Learned in ein ISMS (BSI IT-Grundschutz / ISO 27001) überführen.
- 3-2-1-Backup-Strategie mit Air-Gap-Kopie und geübtem Restore.
- Netzwerksegmentierung: Verwaltung, Konstruktion/CAD und Fertigung trennen.
- EDR/MDR statt reinem Virenscanner – SafePay agiert in unter 24 Stunden.
- Altsysteme und stillgelegte Zugänge nach Insolvenz konsequent abschalten.
Don'ts – Diese Fehler unbedingt vermeiden
- Nicht in Panik verfallen – ein Leak-Eintrag ist noch kein bestätigter Angriff.
- Nicht vorschnell Lösegeld zahlen – BSI, BKA und FBI raten ausdrücklich ab.
- Keinen Direktkontakt zu den Tätern ohne professionelle Verhandler/Anwalt.
- Vorfall nicht verschweigen oder kleinreden – Meldefristen einhalten.
- Systeme nicht neu aufsetzen, bevor der Einfallsweg geklärt ist.
- Keine Schuldzuweisungen an einzelne Mitarbeitende – Phishing-Opfer sind Symptom.
- Backups nie am selben Netz belassen – was online ist, wird mitverschlüsselt.
- Keine ungeprüften „Datenrettungs“-Angebote Dritter (oft Mittelsmänner der Täter).
- Leak-Daten nicht selbst herunterladen oder weiterverbreiten (§ 202d StGB).
- Alte VPN-/RDP-Konten ausgeschiedener Beschäftigter nicht aktiv lassen.
- Kein offenes RDP ins Internet – nur über VPN mit MFA.
- Nicht auf „uns trifft es nicht“ setzen – auch KMU und insolvente Firmen sind Ziel.
- IT-Sicherheit nicht als einmaliges Projekt behandeln – dauerhafter Prozess.
Was sollten Kunden, Partner und (Ex-)Mitarbeitende jetzt tun?
Kein Grund zur Panik – aber erhöhte Wachsamkeit:
- Bei angeblichen E-Mails mit BMI-Projects-Bezug Bankverbindungen und Rechnungen telefonisch verifizieren
- Ehemalige Beschäftigte: verdächtige Kontaktversuche mit Verweis auf Insolvenz oder Restlöhne kritisch prüfen
- Werften und Reedereien: interne Verteilerlisten prüfen und für Phishing sensibilisieren
- Keine unerwarteten Dateianhänge öffnen, insbesondere mit Bezug zu laufenden Werftprojekten
- Bei konkreten Hinweisen auf missbrauchte Daten Anzeige erstatten und Datenschutzaufsicht (HmbBfDI) einbinden
Häufig gestellte Fragen (FAQ)
Fazit
Bestätigt ist derzeit ausschließlich: Die BMI Projects GmbH wurde am 06.07.2026 auf der Leak-Seite der Ransomware-Gruppe SafePay gelistet, und ein Countdown läuft. Ob tatsächlich Daten entwendet wurden, welche Systeme betroffen sind und ob es zu einer Veröffentlichung kommt, ist offen – erschwert dadurch, dass sich das Unternehmen bereits in Liquidation befindet.
Der Fall unterstreicht: Auch kleine Betriebe und Unternehmen in wirtschaftlicher Schieflage sind für Ransomware-Banden lohnende Ziele – teils gerade wegen der Aufsichtslücke im laufenden Verfahren. Für Reedereien, Werften und Zulieferer der maritimen Wirtschaft ist das ein Weckruf, IT-Sicherheit und Lieferketten-Absicherung mit der von BSI und Bitkom empfohlenen Priorität zu budgetieren.
Zuletzt aktualisiert: . Wir aktualisieren diesen Beitrag, sobald neue verifizierbare Informationen oder eine offizielle Stellungnahme vorliegen.
Wasacon in deiner Region
Ob in Erkelenz, Wegberg, Wassenberg, Hückelhoven, Aachen, Mönchengladbach, Geilenkirchen, Jülich, Düren oder Krefeld – Ransomware-Angriffe nach dem SafePay-Muster treffen Mittelständler, Zulieferer und Handwerksbetriebe in der gesamten Region. Wasacon unterstützt Organisationen im Kreis Heinsberg und im Rheinland mit Schwachstellenanalyse, EDR/XDR, Backup-Strategie und Incident-Response nach NIS-2-Standard.
Mehr aus der Themenwelt SafePay & Ransomware in Deutschland
Weitere Analysen zu SafePay-Listungen deutscher Organisationen aus Mittelstand, Sozialwirtschaft und maritimer Wirtschaft.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
