Ransomware-Verdacht bei CPU Softwarehouse AG: SafePay listet ausgerechnet einen IT-Partner für Banken

Ausgerechnet ein Spezialist für Banken

Besonders brisant ist nicht allein die mögliche Attacke, sondern das Tätigkeitsfeld der CPU-Gruppe. Das Unternehmen bezeichnet sich selbst als Partner für die „digitale Zukunft der Banken“ und wirbt mit mehr als 40 Jahren Erfahrung in der Beratung, Softwareentwicklung, Implementierung und laufenden Betreuung von Kreditinstituten.

Zum öffentlich dargestellten Portfolio gehören unter anderem

Die Software zur Kontoeröffnung verarbeitet nach Unternehmensangaben Kunden- und Kontodaten und ist über Schnittstellen an bestandsführende Banksysteme anbindbar. Das Refinanzierungsregister bildet regulatorisch relevante Informationen nach den §§ 22a bis 22o Kreditwesengesetz ab. Das Signaturportal unterstützt unterschiedliche Signaturverfahren und lässt sich ebenfalls in andere Systeme integrieren.

Genau deshalb wäre ein bestätigter Sicherheitsvorfall bei diesem Unternehmen mehr als ein gewöhnlicher Angriff auf einen mittelständischen IT-Betrieb.

Was bei einer Kompromittierung betroffen sein könnte

Bislang gibt es keinen Beleg, dass Bankkundendaten, Zugangsdaten oder Quellcode entwendet wurden. Dennoch müssen bei einem IT-Anbieter mit diesem Tätigkeitsprofil mehrere Risikokategorien untersucht werden:

Besonders kritisch wären entwendete VPN-Zugangsdaten, Fernwartungskonten, API-Schlüssel, Servicekonten, Code-Signing-Zertifikate oder Passwörter für Kundenportale. Selbst wenn die Systeme der Banken nicht unmittelbar angegriffen worden wären, könnten solche Informationen für spätere, gezielte Angriffe auf Kunden und Geschäftspartner verwendet werden.

Das ist derzeit jedoch lediglich ein plausibles Risikoszenario, keine Feststellung zum tatsächlichen Inhalt der mutmaßlich entwendeten Daten.

Welche Gesellschaft wurde möglicherweise getroffen?

Auch diese Frage ist noch offen. Die Domain cpu-ag.com wird von der gesamten CPU-Gruppe genutzt. Die börsennotierte CPU Softwarehouse AG fungiert nach eigenen Angaben vorwiegend als Holding und erbringt zentrale Dienstleistungen. Das operative Software- und Beratungsgeschäft wird insbesondere über die CPU Consulting & Software GmbH abgewickelt. Daneben gehört die CPU GIS GmbH zur Gruppe.

Eine bloße Domainnennung lässt daher nicht erkennen, ob die Holding, eine Tochtergesellschaft, ein gemeinsam genutztes Netzwerk, ein E-Mail-System oder lediglich ein einzelner Server betroffen sein soll.

CPU Softwarehouse AG in Zahlen

Die CPU Softwarehouse AG ist unter der Handelsregisternummer HRB 2005 beim Registergericht Augsburg eingetragen. Als aktuelle Geschäftsanschrift nennt das Unternehmen den Winterbruckenweg 45 in 86316 Friedberg. Im Vorstand sitzen Volker Bürgel und Roman Zenetti.

Im Geschäftsjahr 2024 beschäftigte die Gruppe durchschnittlich 35 Mitarbeiter, nach 44 im Vorjahr. Das entsprach einem Rückgang um rund 20 Prozent. Der Konzern erzielte 2024 Umsatzerlöse von etwa 3,21 Millionen Euro und wies einen Konzernfehlbetrag von rund 510.000 Euro aus.

Für 2025 kündigte die Gesellschaft zunächst ein voraussichtliches negatives Konzernergebnis von 878.000 Euro an. Durch eine zusätzliche außerplanmäßige Abschreibung von rund 1,009 Millionen Euro auf aktivierte immaterielle Vermögenswerte erhöhte sich die Belastung rechnerisch auf ungefähr 1,89 Millionen Euro. Nach Unternehmensangaben beruhte die Abschreibung auf einer Neuausrichtung der Produktstrategie und nicht auf dem jetzt behaupteten Cybervorfall.

Ein größerer IT-Ausfall, eine aufwendige forensische Untersuchung oder der Verlust von Kundenaufträgen könnte ein Unternehmen dieser Größenordnung wirtschaftlich deutlich stärker treffen als einen großen internationalen Softwarekonzern.

Wer steckt hinter SafePay?

SafePay wurde erstmals im Herbst 2024 beobachtet und arbeitet nach Analysen mehrerer Sicherheitsunternehmen offenbar als geschlossene, zentral organisierte Gruppe. Anders als klassische Ransomware-as-a-Service-Strukturen scheint SafePay seine Schadsoftware nicht offen an zahlreiche externe Partner zu vermieten.

Die Gruppe setzt auf sogenannte Double Extortion: Zunächst werden Daten gesammelt und mutmaßlich aus dem Netzwerk übertragen. Anschließend werden Systeme verschlüsselt. Das Opfer soll sowohl für die Wiederherstellung seiner Systeme als auch für die angebliche Nichtveröffentlichung der Daten bezahlen.

Bitdefender registrierte allein für Juni 2025 insgesamt 73 von SafePay behauptete Opfer und für Juli weitere 42. Im Verlauf des Jahres 2025 hatte die Gruppe mehr als 270 Unternehmen auf ihrer Leak-Seite genannt. Deutschland gehörte neben den USA, Großbritannien und Kanada zu den häufig genannten Zielländern.

Wie SafePay in andere Unternehmen eindrang

Daraus lässt sich nicht ableiten, wie ein möglicher Angriff auf CPU erfolgt sein könnte. Es gibt bislang keine öffentlich bekannten forensischen Erkenntnisse zu diesem konkreten Fall. Bei einem von NCC Group untersuchten SafePay-Angriff zeigte sich jedoch folgendes Muster:

1. 1Eine fehlerhaft konfigurierte FortiGate-Firewall ließ ein lokales Konto die vorgeschriebene Multifaktor-Authentifizierung am VPN umgehen.
2. 2Schwache Passwörter ermöglichten anschließend die Übernahme eines Domänenadministratorkontos.
3. 3Rund zwei Tage nach dem ersten Zugriff wurde die Ransomware verteilt.
4. 4In anderen Fällen wurden legitime Werkzeuge wie Remote Desktop, WinRAR, FileZilla, ScreenConnect und PowerShell missbraucht.
5. 5Die Täter versuchten, Wiederherstellungsfunktionen und Schattenkopien zu löschen.

Diese Erkenntnisse zeigen vor allem, dass nicht immer eine hochkomplexe Zero-Day-Schwachstelle erforderlich ist. Fehlkonfigurationen, ungeschützte Administratorenkonten, fehlende Multifaktor-Authentifizierung und unzureichend überwachte Fernzugänge können für einen erfolgreichen Angriff ausreichen.

Datenschutzrechtliche Meldepflichten

Sollte sich bestätigen, dass personenbezogene Daten entwendet wurden, wäre zu prüfen, ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist. Nach Artikel 33 DSGVO muss eine meldepflichtige Verletzung des Schutzes personenbezogener Daten grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden. Bei einem hohen Risiko für betroffene Personen kann zusätzlich deren direkte Benachrichtigung erforderlich werden.

Die Frist beginnt nicht mit der Veröffentlichung eines Zeitungsartikels oder einer Täterliste, sondern mit dem Zeitpunkt, an dem das verantwortliche Unternehmen ausreichende Kenntnis von einer Datenschutzverletzung erlangt.

Was angemessene Cybersecurity gekostet hätte

Über das tatsächliche IT-Sicherheitsbudget der CPU-Gruppe liegen keine öffentlich belastbaren Informationen vor. Es wäre deshalb unseriös zu behaupten, das Unternehmen habe zu wenig investiert oder eine bestimmte Sicherheitsmaßnahme versäumt. Für einen Softwareanbieter mit rund 35 Beschäftigten, Schnittstellen zu Banken und potenziell regulatorisch sensiblen Anwendungen wäre jedoch ein jährliches reines Cybersecurity-Budget von ungefähr 150.000 bis 300.000 Euro plausibel. Hinzu könnten einmalige Härtungs- und Modernisierungskosten von etwa 50.000 bis 120.000 Euro kommen.

Ein solches Programm müsste 24/7-Überwachung durch ein externes SOC oder MDR, Endpoint Detection and Response, manipulationsgeschützte Backups, Multifaktor-Authentifizierung, privilegiertes Zugriffsmanagement, Netzwerksegmentierung, sichere Softwareentwicklung, Code- und Abhängigkeitsprüfungen, regelmäßige Penetrationstests sowie einen Incident-Response-Vertrag umfassen.

Diese Beträge sind eine redaktionelle Risikoschätzung und kein Nachweis, dass entsprechende Leistungen bei CPU fehlten. Auch ein sehr gut geschütztes Unternehmen kann erfolgreich angegriffen werden.

Häufige Fragen