Caritasverband Koblenz gehackt? SafePay listet Sozialverband im Darknet – Countdown läuft
Die Ransomware-Gruppe SafePay hat den Caritasverband Koblenz e. V. auf ihrer Darknet-Leak-Seite gelistet. Ein Countdown läuft – unbestätigte Täter-Behauptung.
Dieser Artikel basiert auf öffentlich einsehbaren Angaben der Darknet-Leak-Seite der Ransomware-Gruppe SafePay sowie auf öffentlich verfügbaren Informationen des Verbandes und Dritter. Es handelt sich um Behauptungen der Täter, keine bestätigten Tatsachen. Weder liegt eine unabhängige Verifizierung eines Datenabflusses vor, noch hat der Caritasverband Koblenz den Vorfall zum Zeitpunkt der Veröffentlichung öffentlich bestätigt. Alle Angaben zu möglicherweise betroffenen Daten, Auswirkungen, Umsätzen und Budgets sind Mutmaßungen bzw. Schätzungen. Es gilt die Unschuldsvermutung. Wir verlinken bewusst nicht auf die Leak-Seite und verbreiten keine mutmaßlich entwendeten Daten. Der Beitrag wird aktualisiert, sobald belastbare neue Informationen oder eine offizielle Stellungnahme vorliegen.
Die Ransomware-Gruppe SafePay hat den Caritasverband Koblenz e. V. (gegründet 1918, ca. 500 Mitarbeitende, über 50 Dienste und Einrichtungen) am 6. Juli 2026 um 18:52 Uhr (UTC) auf ihrer Darknet-Leak-Seite gelistet und behauptet, interne Daten zu besitzen. Ein rund dreitägiger Countdown läuft, Ablauf ca. 9./10. Juli 2026. Eine unabhängige Bestätigung des Angriffs, ein Datenabfluss oder eine offizielle Stellungnahme des Verbandes liegen nicht vor. Auf telefonische Nachfrage wurde uns keine Auskunft erteilt, sondern auf eine schriftliche Anfrage verwiesen.
Das Wichtigste in Kürze
- SafePay listet den Caritasverband Koblenz am 06.07.2026 (18:52 UTC) im Darknet.
- Countdown von rund 3 Tagen bis zur angedrohten Datenveröffentlichung.
- Keine unabhängige Bestätigung, keine offizielle Stellungnahme des Verbandes.
- Ca. 500 Mitarbeitende, über 50 Dienste – höchst sensible Sozial- und Klientendaten im Raum.
- Empfohlenes IT-Sicherheitsbudget: ca. 80.000–200.000 € pro Jahr (BSI/Bitkom-Benchmark).
Was ist passiert?
Am 06.07.2026 gegen 18:52 Uhr erschien auf der im Tor-Netzwerk („Darknet") betriebenen Leak-Seite von SafePay ein neuer Eintrag zur Domain caritas-koblenz.de. Zum Zeitpunkt unserer Sichtung zeigte der Eintrag einen laufenden Countdown von rund 2 Tagen und 23 Stunden – die angedrohte Veröffentlichung mutmaßlich entwendeter Daten wäre damit rechnerisch für den 9./10. Juli 2026 angesetzt.
Der Eintrag folgt dem bekannten Muster der Gruppe: Die Täter beschreiben die Organisation ausführlich, behaupten den Besitz interner Daten und setzen einen Timer. Beweisdateien („Proof Packs") waren zum Zeitpunkt unserer Sichtung nicht erkennbar. Ob Systeme verschlüsselt wurden, wie die Angreifer eingedrungen sein könnten und ob bzw. welche Datenmengen tatsächlich betroffen sind – all das ist derzeit offen.
| Betroffene Domain | caritas-koblenz.de |
|---|---|
| Gruppe | SafePay |
| Veröffentlichung des Eintrags | 06.07.2026, 18:52 Uhr (UTC) |
| Countdown (Erfassung) | ≈ 2 Tage, 23 Std., 11 Min. |
| Aufrufe des Eintrags | 75 |
| Voraussichtlicher Fristablauf | ≈ 09./10.07.2026 |
| Land | Deutschland 🇩🇪 |
Wer ist der Caritasverband Koblenz?
Der Caritasverband Koblenz e. V. wurde 1918 gegründet und ist nach eigenen Angaben der größte Wohlfahrtsverband der Region Koblenz. Er ist eine rechtlich eigenständige Gliederung unter dem Dach des Deutschen Caritasverbandes und gehört zum Bistum Trier. Sitz der Geschäftsstelle ist die Hohenzollernstraße 118–120 in 56068 Koblenz.
Das Einzugsgebiet umfasst die Städte Koblenz und Bendorf sowie die Verbandsgemeinden Rhein-Mosel, Vallendar und Weißenthurm. Rund 500 hauptamtliche Mitarbeitende arbeiten in multiprofessionellen Teams, unterstützt von zahlreichen Ehrenamtlichen, in einem Netz von mehr als 50 Diensten und Einrichtungen. Seit 2019 veröffentlicht der Verband einen freiwilligen Transparenzbericht nach den Transparenzstandards von Caritas und Diakonie.
Leistungsspektrum
- Altenhilfe & ambulante Pflege (Caritas-Sozialstation)
- Kitas, Schulsozialarbeit, Familienberatung
- Behindertenhilfe (Wohnhäuser, Assistenz)
- Sucht-, Schuldner- und Wohnungslosenhilfe
- Migration & Integration (Beratung, IQ-Service)
- Soziale Betriebe (CarMen gGmbH, Secondhand, Werkstätten)
Zahlen, Daten, Fakten
| Organisation | Caritasverband Koblenz e. V. |
|---|---|
| Sitz | Hohenzollernstraße 118–120, 56068 Koblenz |
| Gründung | 1918 |
| Rechtsform | eingetragener, gemeinnütziger Verein |
| Branche | Freie Wohlfahrtspflege / Sozialwirtschaft |
| Mitarbeitende | ca. 500 hauptamtlich + zahlreiche Ehrenamtliche |
| Einrichtungen | > 50 Dienste und Einrichtungen |
| Einzugsgebiet | Koblenz, Bendorf, VG Rhein-Mosel, Vallendar, Weißenthurm |
| Jahreserträge | nicht öffentlich beziffert; Schätzung: 25–35 Mio. € |
| Leak-Gruppe | SafePay |
| Status | Auf Leak-Seite mit Countdown gelistet, keine unabhängige Bestätigung |
Was hätte die Caritas Koblenz in Cybersecurity investieren müssen?
Empfohlene Investitionen (Beispiel-Jahresbudget)
| Bereich | Beispielbudget/Jahr |
|---|---|
| Endpoint Protection (EDR/XDR) auf ~500 Endpoints | 25.000–50.000 € |
| Managed Detection & Response (24/7-SOC) | 40.000–80.000 € |
| Immutable / Offline-Backups (3-2-1-Strategie) | 15.000–30.000 € |
| MFA + moderne VPN-/Zugangs-Absicherung | 8.000–15.000 € |
| Netzwerksegmentierung (Verwaltung ≠ Pflege ≠ Kita) | 20.000–50.000 € |
| Patch- & Schwachstellen-Management | 8.000–15.000 € |
| Awareness-Schulungen + Phishing-Tests (inkl. Ehrenamt) | 5.000–12.000 € |
| Incident-Response-Retainer + Notfallplan | 8.000–20.000 € |
| Cyber-Versicherung | 15.000–35.000 € |
Hinweis: Alle Budget-Zahlen sind Branchenrichtwerte auf Basis von BSI-, Bitkom- und BKA-Empfehlungen. Ob und in welchem Umfang der Caritasverband Koblenz tatsächlich in IT- und Cybersecurity investiert hat, ist öffentlich nicht bekannt. Diese Rechnung ist keine Schuldzuweisung, sondern eine Benchmark-Betrachtung.
Hollywood-Darstellung: So könnte ein SafePay-Angriff ablaufen
Warum dieser Fall besonders sensibel ist
Ein Sozialverband ist kein Maschinenbauer. Sollte es tatsächlich zu einem Datenabfluss gekommen sein, stünden potenziell besondere Kategorien personenbezogener Daten im Raum – also genau die Daten, die Artikel 9 DSGVO und das Sozialgeheimnis (§ 35 SGB I) unter den höchsten Schutz stellen. Menschen, die eine Sucht-, Schuldner- oder Wohnungslosenberatung aufsuchen, tun dies im Vertrauen auf absolute Verschwiegenheit. Genau darauf spekulieren Erpresser: Der Reputations- und Vertrauensschaden soll den Zahlungsdruck maximieren.
Käme es zu einem bestätigten Abfluss personenbezogener Daten, griffen zudem die Melde- und Benachrichtigungspflichten der DSGVO: Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden – in Rheinland-Pfalz der Landesbeauftragte für den Datenschutz und die Informationsfreiheit (LfDI RLP) bzw. bei kirchlichen Trägern die Katholische Datenschutzaufsicht (KDSA) nach dem Kirchlichen Datenschutzgesetz (KDG) – sowie ggf. die Benachrichtigung der Betroffenen.
Welche Daten könnten betroffen sein?
Bestätigt ist nichts. Bei einem Sozialverband dieser Größe sind folgende Datenkategorien typischerweise besonders sensibel:
Ob diese Datenkategorien im Fall des Caritasverbandes Koblenz zutreffen, ist derzeit nicht bestätigt.
Wer ist SafePay? Die Ransomware-Gruppe im Profil
SafePay tauchte im Herbst 2024 auf und hat sich in Rekordzeit an die Spitze der Bedrohungslandschaft gesetzt. Anders als die meisten Banden arbeitet SafePay nicht als Ransomware-as-a-Service, sondern als geschlossene, zentral gesteuerte Gruppe mit eigenem Verschlüsselungstrojaner (Code-Überschneidungen mit dem geleakten LockBit-3.0-Quellcode).
- Über 400 Opfer weltweit bis Anfang 2026; Deutschland nach den USA zweithäufigstes Zielland.
- Rund 25 % aller erfolgreichen Ransomware-Angriffe in Deutschland 2025 gehen laut Analysen auf SafePay zurück.
- Allein 2025 traf die Gruppe Berichten zufolge 77 deutsche Organisationen.
- Kein RaaS: zentral gesteuert, geschlossene Gruppe, einheitliche TTPs.
- Typischer Einstieg: ungesicherte RDP-Zugänge und VPN-Zugangsdaten ohne MFA.
- Vom Eindringen bis zur Verschlüsselung oft weniger als 24 Stunden.
- Double Extortion: Datenexfiltration vor Verschlüsselung, dann Leak-Site + Countdown.
- Deaktiviert Schutzsoftware, löscht Schattenkopien/Backups, ändert teils Admin-Passwörter.
- Zielt bevorzugt auf KMU – auch soziale Träger, Pflege- und Gesundheitseinrichtungen.
- Laut Check Point 2026 aktivste Doppelerpressungs-Gruppe weltweit.
Weitere Wasacon-Analysen zu SafePay: KNOBEL Bau, RTN GmbH, Lebenshilfe Wohnverbund NRW, SHW Schmiedetechnik, Flughafen Hahn.
So läuft eine Doppelerpressung ab
- Eindringen ins Netzwerk (meist RDP/VPN ohne MFA)
- Ausspähen des Netzwerks und Kopieren sensibler Daten
- Verschlüsselung von Servern, Fachanwendungen und Arbeitsplätzen
- Lösegeldforderung
- Veröffentlichung des Verbandsnamens auf der Leak-Seite mit Countdown
- Androhung der Datenveröffentlichung bei Nichtzahlung
Selbst wer aus Backups wiederherstellen kann, bleibt erpressbar – über die gestohlenen Daten.
Do's – Was Betroffene und soziale Träger jetzt tun sollten
- Incident-Response-Team sofort aktivieren – Rollen und Entscheidungswege klären.
- Forensiker einschalten, bevor Systeme „aufgeräumt“ werden – Beweise sichern.
- Anzeige bei der ZAC des LKA Rheinland-Pfalz erstatten.
- Meldung an Datenschutzaufsicht binnen 72 h (KDG/KDSA bzw. LfDI RLP).
- Betroffene proaktiv und ehrlich informieren – besonders Klienten und Angehörige.
- Backups offline verifizieren, bevor sie eingespielt werden.
- Alle Zugänge zurücksetzen, MFA verpflichtend für VPN, RDP, E-Mail, Admin.
- Cyber-Versicherung und Rechtsbeistand früh einbinden.
- Hotline für Klienten, Angehörige und Mitarbeitende einrichten.
- Lessons Learned in ein ISMS (BSI IT-Grundschutz / ISO 27001) überführen.
- 3-2-1-Backup-Strategie mit Air-Gap-Kopie und geübtem Restore.
- Netzwerksegmentierung: Verwaltung, Pflegedoku und Kita-Systeme trennen.
- EDR/MDR statt reinem Virenscanner – SafePay agiert in unter 24 h.
- NIS-2-Readiness prüfen – auch für gemeinnützige Träger relevant.
Don'ts – Diese Fehler unbedingt vermeiden
- Nicht in Panik verfallen – ein Leak-Eintrag ist noch kein bestätigter Angriff.
- Nicht vorschnell Lösegeld zahlen – BSI, BKA und FBI raten ausdrücklich ab.
- Keinen Direktkontakt zu den Tätern ohne professionelle Verhandler/Anwalt.
- Vorfall nicht verschweigen oder kleinreden – Meldefristen einhalten.
- Systeme nicht neu aufsetzen, bevor der Einfallsweg geklärt ist.
- Keine Schuldzuweisungen an einzelne Mitarbeitende – Phishing-Opfer sind Symptom.
- Backups nie am selben Netz belassen – was online ist, wird mitverschlüsselt.
- Keine ungeprüften „Datenrettungs“-Angebote Dritter (oft Mittelsmänner der Täter).
- Leak-Daten nicht selbst herunterladen oder weiterverbreiten (§ 202d StGB).
- Alte VPN-Konten ausgeschiedener Mitarbeiter nicht aktiv lassen.
- Kein offenes RDP ins Internet – nur über VPN mit MFA.
- Nicht auf „uns trifft es nicht“ setzen – Gemeinnützigkeit schützt nicht.
- IT-Sicherheit nicht als einmaliges Projekt behandeln – dauerhafter Prozess.
Was sollten Klient*innen, Partner und Mitarbeitende jetzt tun?
Kein Grund zur Panik – aber erhöhte Wachsamkeit:
- Nur auf offizielle Informationen des Caritasverbandes Koblenz achten
- Bei angeblichen E-Mails der Caritas Bankdaten und Rechnungen telefonisch verifizieren
- Als Klient*in erhöhte Wachsamkeit bei unerwarteten Anrufen, Mails oder Briefen mit Caritas-Bezug
- Mitarbeitende: offizielle interne Infos abwarten, keine Auskünfte an Unbekannte
- Bei konkreten Hinweisen auf missbrauchte Daten Anzeige erstatten und Datenschutzaufsicht einbinden
Häufig gestellte Fragen (FAQ)
Fazit
Bestätigt ist derzeit ausschließlich: Der Caritasverband Koblenz e. V. wurde am 06.07.2026 auf der Leak-Seite der Ransomware-Gruppe SafePay gelistet, und ein Countdown läuft. Ob tatsächlich Daten entwendet wurden, welche Systeme betroffen sind und ob es zu einer Veröffentlichung kommt, ist offen.
Angesichts der Sensibilität von Sozialdaten wäre eine schnelle, transparente Kommunikation des Verbandes gegenüber Mitarbeitenden und Klienten wünschenswert – und für alle Träger der Wohlfahrtspflege ist der Fall spätestens jetzt ein Weckruf, IT-Sicherheit mit der von BSI und Bitkom empfohlenen Priorität zu budgetieren.
Zuletzt aktualisiert: . Wir aktualisieren diesen Beitrag, sobald neue verifizierbare Informationen oder eine offizielle Stellungnahme vorliegen.
Wasacon in deiner Region
Ob in Erkelenz, Wegberg, Wassenberg, Hückelhoven, Aachen, Mönchengladbach, Geilenkirchen, Jülich, Düren oder Krefeld – Ransomware-Angriffe nach dem SafePay-Muster treffen Mittelständler, soziale Träger und Versorger-Zulieferer in der gesamten Region. Wasacon unterstützt Organisationen im Kreis Heinsberg und im Rheinland mit Schwachstellenanalyse, EDR/XDR, Backup-Strategie und Incident-Response nach NIS-2-Standard.
Mehr aus der Themenwelt SafePay & Ransomware in Deutschland
Weitere Analysen zu SafePay-Listungen deutscher Organisationen, insbesondere aus der Sozialwirtschaft und dem Mittelstand.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
