Cenesco gehackt? Lüner IT-Systemhaus auf SafePay-Leak-Seite – wie viele Kunden betroffen sein könnten
Die Ransomware-Gruppe SafePay listet das Lüner IT-Systemhaus Cenesco im Darknet. Was bislang bekannt ist, wie hoch der Umsatz ist, wie viele Kunden betroffen sein könnten und warum der Fall für einen NIS2- und IT-Sicherheitsanbieter besonders brisant ist.
Der vorliegende Screenshot zeigt eine Listung der Domain cenesco.de auf einer der Ransomware-Gruppe SafePay zugerechneten Leak-Seite. Eine solche Veröffentlichung ist zunächst eine unbestätigte Behauptung der Täter. Sie beweist für sich allein weder, dass Daten tatsächlich entwendet wurden, noch dass Systeme verschlüsselt oder Kundenumgebungen kompromittiert worden sind. Eine öffentlich erkennbare Stellungnahme von Cenesco war auf der Unternehmens- und Nachrichtenseite zum Zeitpunkt unserer Recherche nicht zu finden.
Wenn ausgerechnet der IT-Sicherheitsdienstleister im Darknet erscheint
Es ist eine Listung mit besonderer Sprengkraft: Die Ransomware-Gruppe SafePay führt das Lüner IT-Systemhaus Cenesco auf ihrer Leak-Seite. Der zur Verfügung gestellte Screenshot trägt den Zeitstempel 20. Juli 2026, 18:31 Uhr und zeigt einen Countdown von knapp drei Tagen.
Für jedes Unternehmen wäre eine solche Veröffentlichung gravierend. Für einen IT-Dienstleister, der sich selbst mit den Begriffen „IT. Digital. Sicher", NIS2, KRITIS, Ransomware-Schutz, Managed Monitoring, Cloud-Backup und ISO/IEC 27001 positioniert, ist der Vorgang jedoch besonders kritisch.
Cenesco erklärt auf seiner Website, seit mehr als 20 Jahren IT-Infrastrukturen, Sicherheitslösungen, Microsoft-365- und Azure-Umgebungen sowie Managed Services anzubieten. Zum Portfolio gehören außerdem Schwachstellenscans, Passwortmanagement, Cloud-Backup, Mobile Device Management, 24/7-Support und Fernwartung.
Genau deshalb geht es hier möglicherweise um mehr als den Angriff auf ein einzelnes mittelständisches Unternehmen. Bei IT-Systemhäusern stellt sich immer auch die Frage nach der digitalen Lieferkette: Welche Kundendaten lagen beim Dienstleister? Welche administrativen Zugänge waren vorhanden? Welche Fernwartungswerkzeuge wurden eingesetzt? Und konnten Angreifer möglicherweise Informationen erbeuten, die weitere Angriffe auf Kunden erleichtern?
Bislang gibt es dafür allerdings keinen öffentlichen Nachweis.
Was ist über die mutmaßliche Attacke bekannt?
| Punkt | Aktueller Kenntnisstand |
|---|---|
| Gelistetes Unternehmen | Cenesco GmbH bzw. cenesco.de |
| Tätergruppe | SafePay |
| Veröffentlichung | Laut Screenshot am 20. Juli 2026 um 18:31 Uhr |
| Countdown | Zum Zeitpunkt des Screenshots knapp drei Tage |
| Angeblich gestohlene Datenmenge | Nicht erkennbar bzw. nicht veröffentlicht |
| Datenproben | Im vorliegenden Screenshot nicht sichtbar |
| Verschlüsselte Systeme | Nicht bestätigt |
| Betroffene Kundensysteme | Nicht bestätigt |
| Offizielle Stellungnahme | Zum Recherchestichtag öffentlich nicht erkennbar |
| Lösegeldforderung | Nicht bekannt |
Ein Countdown ist ein typisches Druckmittel von Ransomware-Gruppen. Solange keine verifizierbaren Datenproben, forensischen Ergebnisse oder Unternehmensmitteilungen vorliegen, muss zwischen einer Täterbehauptung und einem bestätigten Sicherheitsvorfall unterschieden werden. Auch falsche, übertriebene oder veraltete Einträge sind grundsätzlich möglich.
Wer ist Cenesco?
Die Cenesco GmbH ist ein IT-Systemhaus mit Sitz in Lünen. Nach dem offiziellen Impressum wird das Unternehmen durch Geschäftsführer Rüdiger Hubrach vertreten und ist beim Amtsgericht Dortmund unter HRB 17465 eingetragen. Öffentliche Registerinformationen nennen eine Eintragung im Jahr 1998 und ein Stammkapital von 300.000 Euro.
| Kennzahl | Angabe |
|---|---|
| Unternehmen | Cenesco GmbH |
| Sitz | Zum Pier 70, 44536 Lünen |
| Gründung / Eintragung | 1998 |
| Geschäftsführung laut Impressum | Rüdiger Hubrach |
| Handelsregister | Amtsgericht Dortmund, HRB 17465 |
| Öffentlich genannter Umsatz | rund 4,19 Millionen Euro |
| Öffentlich genannte Beschäftigte | 28 |
| Umsatz je Beschäftigtem | rund 149.600 Euro |
| Zertifizierungen | ISO/IEC 27001, DIN EN ISO 9001 |
| Tätigkeitsbereiche | IT-Infrastruktur, IT-Sicherheit, Cloud, Microsoft 365, Azure, Managed Services, Fernwartung, Backup |
Das regionale Branchenranking „Die größten IT-Dienstleister in Lünen 2026" führt Cenesco mit 4,19 Millionen Euro Umsatz und 28 Mitarbeitern. Diese Größenangaben stammen aus Recherchen, Unternehmensauskünften oder Informationen von Creditreform und entsprechen nicht zwingend dem Geschäftsjahr 2026.
Wie viele Kunden könnte Cenesco betreuen?
Eine offizielle Kundenzahl veröffentlicht Cenesco nicht. Sie kann deshalb nur anhand des Umsatzes modelliert werden. Bei einem IT-Systemhaus setzt sich der Umsatz üblicherweise aus laufenden Managed-Service-Verträgen, Supportstunden, Projekten, Hardware, Softwarelizenzen, Cloud-Abonnements und Sicherheitslösungen zusammen.
Die wichtigste Einschränkung
70 bis 210 Kunden bedeuten nicht 70 bis 210 betroffene Unternehmen. Betroffen wäre ein Kunde erst dann, wenn seine Daten auf kompromittierten Cenesco-Systemen lagen, Zugangsdaten oder Sicherheitsschlüssel entwendet wurden, ein administrativer Zugriff auf seine Umgebung möglich war, eine bereitgestellte Plattform kompromittiert wurde oder die Angreifer tatsächlich vom Dienstleister zum Kunden gelangten. Dafür liegen bislang keine öffentlichen Beweise vor.
Was könnte betroffen sein?
Die Tätergruppe SafePay behauptet, Daten des Lüner IT-Systemhauses Cenesco erbeutet zu haben. Eine Bestätigung durch Cenesco liegt bislang nicht vor. Als IT-Dienstleister besitzt Cenesco jedoch oft privilegierte Zugänge und sensible Informationen zu vielen Unternehmen. Diese können für weitere Angriffe, Phishing oder Erpressung missbraucht werden.
Datenkategorien im Überblick
* Berechnet auf Basis von Ø 20.000 – 60.000 € Umsatz pro Kunde. ** Quelle: Regiomanager – „Die größten IT-Dienstleister in Lünen 2026" (öffentliche Angabe, kein Cenesco-Jahresabschluss).
Empfehlung für Kunden
Welche Kundenbeziehungen wären besonders sensibel?
| Kundenbeziehung | Mögliches Risiko bei bestätigtem Datenabfluss |
|---|---|
| Reiner Hardware- oder Lizenzkauf | Kontakt-, Bestell-, Rechnungs- und Vertragsdaten |
| Projekt- und Infrastrukturberatung | Netzwerkpläne, Gerätelisten, IP-Strukturen, technische Dokumentationen |
| Microsoft 365 oder Azure | Admin-Konten, App-Registrierungen, Tokens, Mandanteninformationen |
| Managed IT und Fernwartung | Privilegierte Zugänge und Werkzeuge mit Zugriff auf Kundensysteme |
| 24/7-Monitoring | Alarmdaten, Systeminventare, Protokolle, technische Zugangspfade |
| Cloud-Backup oder vServer | Vertraulichkeit und Verfügbarkeit gespeicherter Kundendaten |
| Passwortmanagement | Besonders kritische Zugangsdaten, sofern betroffen |
| Individualsoftware und SharePoint | Quellcode, Geschäftsprozesse, Dokumente, interne Informationen |
Die bittere Ironie: NIS2, Ransomware-Schutz und ISO 27001
Cenesco präsentiert sich öffentlich als Sicherheits- und NIS2-Partner mit ISO/IEC-27001-Zertifizierung. Das macht die Listung besonders reputationskritisch. Es wäre jedoch fachlich falsch, daraus abzuleiten, dass ein zertifiziertes Sicherheitsunternehmen nicht angegriffen oder kompromittiert werden könne. Eine ISO-27001-Zertifizierung dokumentiert ein Managementsystem – kein technisches Versprechen, dass jeder VPN-Zugang zu jedem Zeitpunkt unangreifbar ist.
Die entscheidende Frage lautet daher nicht nur: Wie konnte ein IT-Sicherheitsanbieter angegriffen werden? Sondern vielmehr: Wie schnell wurde der Vorfall erkannt, begrenzt und forensisch aufgearbeitet – und wie transparent werden Kunden über mögliche Risiken informiert?
Wer steckt hinter SafePay?
SafePay wurde Ende 2024 erstmals breiter beobachtet und entwickelte sich innerhalb kurzer Zeit zu einer international aktiven Ransomware-Gruppe. Bereits bis Juli 2025 hatten die Täter mehr als 200 Organisationen auf ihrer Tor-Leak-Seite aufgeführt. Deutschland zählt neben den USA und Großbritannien zu den besonders häufig genannten Zielregionen.
- Daten werden möglichst vor der Verschlüsselung kopiert.
- Anschließend werden Systeme oder Dateien verschlüsselt.
- Das Opfer soll für Wiederherstellung und gegen Veröffentlichung zahlen.
Bei beobachteten SafePay-Angriffen kamen unter anderem manipulierte VPN- und Firewall-Zugänge, gestohlene Zugangsdaten, Remote-Desktop-Verbindungen sowie legitime Fernwartungswerkzeuge zum Einsatz. Für den Abtransport wurden Werkzeuge wie 7-Zip, WinRAR, Rclone und FileZilla beobachtet. In einem von der NCC Group untersuchten – nicht mit Cenesco zusammenhängenden – Fall ermöglichte eine fehlerhafte FortiGate-Konfiguration die Umgehung der Mehrfaktor-Authentifizierung. Diese Erkenntnisse beschreiben das generelle Vorgehen der Gruppe. Sie sind kein Beleg dafür, dass Cenesco über dieselbe Schwachstelle angegriffen wurde.
Warum ein kompromittiertes Systemhaus zum Lieferkettenrisiko werden kann
Ein Systemhaus besitzt häufig Informationen oder Berechtigungen für viele weitere Organisationen. Dazu können gehören: Fernwartungskonten, lokale und cloudbasierte Administratorkonten, Microsoft-365-Partnerbeziehungen, API-Schlüssel und App-Geheimnisse, VPN-Konfigurationen, Netzwerk- und Firewall-Dokumentationen, Serverlisten, Sicherungskonzepte, Tickets mit technischen Details, Passwörter in Dokumentationen sowie Kontaktdaten von Geschäftsführung und IT-Verantwortlichen.
Selbst wenn Angreifer nicht unmittelbar in Kundensysteme gelangt sind, können solche Informationen für spätere Phishing-, Social-Engineering- oder Identitätsangriffe verwendet werden. Eine besonders glaubwürdige Betrugsmasche wäre etwa eine Nachricht, die angeblich von Cenesco stammt und Kunden wegen des „aktuellen Sicherheitsvorfalls" zur Installation eines Tools oder zur Herausgabe eines MFA-Codes auffordert.
Sind Cenesco und seine Kunden direkt von NIS2 betroffen?
Managed Service Provider gehören grundsätzlich zu den von der NIS2-Regulierung erfassten Tätigkeitsbereichen. Die konkrete Einordnung hängt in Deutschland jedoch von Unternehmensgröße, Konzernstruktur, angebotenen Leistungen und Ausnahmetatbeständen ab. Das neue deutsche NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft.
Die öffentlich genannten Größen von 28 Mitarbeitern und 4,19 Millionen Euro Umsatz liegen unter den allgemeinen Schwellenwerten von 50 Beschäftigten bzw. mehr als 10 Millionen Euro Umsatz. Allein aus der Bezeichnung „Managed Service Provider" lässt sich deshalb keine abschließende direkte NIS2-Pflicht ableiten. Unabhängig davon können Kunden von Cenesco selbst NIS2-reguliert sein – sie müssen dann auch Risiken aus ihrer Lieferkette bewerten. Bei einem erheblichen Sicherheitsvorfall gelten gestufte Fristen (24 h Erstmeldung, 72 h detaillierter Bericht, ein Monat Abschlussmeldung). Sind personenbezogene Daten betroffen, greift zusätzlich die DSGVO-72-Stunden-Frist.
Was Cenesco-Kunden vorsorglich tun sollten
Schriftliche Auskunft über den Umfang des Vorfalls verlangen.
Administrative Cenesco-Konten und Fernwartungszugänge prüfen.
Passwörter, API-Schlüssel, Zertifikate und gemeinsam genutzte Geheimnisse austauschen.
Aktive Sitzungen und OAuth-Tokens widerrufen.
Microsoft-Entra-, M365- und Azure-Anmeldeprotokolle kontrollieren.
Neue Benutzer, App-Registrierungen und ungewöhnliche MFA-Änderungen suchen.
RMM-, TeamViewer- und sonstige Remote-Tools inventarisieren.
Firewall-, VPN- und RDP-Zugriffe auf unbekannte Quelladressen untersuchen.
Backup-Systeme isoliert prüfen und Wiederherstellungstests durchführen.
Mitarbeiter vor glaubwürdigen Phishing-Nachrichten im Namen von Cenesco warnen.
Dabei sollte nicht unkoordiniert alles gelöscht oder neu installiert werden. Protokolle und verdächtige Systeme können wichtige forensische Beweismittel enthalten.
Wie hoch müsste das eigene Sicherheitsbudget sein?
Für ein Systemhaus mit rund 4,19 Millionen Euro Umsatz, 28 Mitarbeitern und potenziell privilegierten Kundenzugängen wäre aus redaktioneller Sicht ein eigenes Sicherheits- und Resilienzbudget von etwa 3 bis 6 Prozent des Jahresumsatzes plausibel. Ein sinnvoller Zielkorridor läge damit bei ungefähr 150.000 bis 250.000 Euro pro Jahr – zusätzlich zu den allgemeinen Personalkosten des normalen IT-Betriebs.
Fazit: Nicht nur ein möglicher Angriff, sondern eine Vertrauensfrage
Die SafePay-Listung ist für Cenesco besonders heikel, weil IT-Sicherheit, Ransomware-Schutz, NIS2, ISO 27001 und 24/7-Betreuung zentrale Bestandteile der eigenen Außendarstellung sind. Das bedeutet nicht, dass Cenesco nachweislich fahrlässig gehandelt hat. Auch professionell geschützte Unternehmen können Opfer hoch entwickelter Angriffe werden – und eine Leak-Seite ist noch kein gerichtsfester Beweis für einen erfolgreichen Datenabfluss.
Aus dem öffentlich genannten Umsatz lässt sich eine Größenordnung von 70 bis 210 Geschäftskunden ableiten, mittleres Szenario rund 120. Diese Kunden sind nicht automatisch betroffen – sie befinden sich jedoch im Prüfbereich, wenn Cenesco administrative Zugänge, Kundendaten, Backups, Cloud-Umgebungen oder Fernwartungssysteme für sie verwaltet hat. Entscheidend ist nicht der Countdown auf der SafePay-Seite, sondern wie viele Kundenbeziehungen technisch berührt wurden – und wie schnell Cenesco hierzu belastbare Antworten liefert.
Wer tatsächlich betroffen ist, wird sich erst mit der Zeit zeigen. Alles andere bleibt bis dahin Mutmaßung. Der Redaktion ist wichtig, dem betroffenen IT-Unternehmen eine gute Genesung und Erholung von diesem Vorgang zu wünschen. Der Fall zeigt einmal mehr: Auch IT-Unternehmen selbst können Opfer von Cyberattacken werden – niemand ist gegenüber Ransomware-Gruppen unverwundbar.
FAQ zur Cenesco-Listung
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
