Jäcklin Industrial auf SafePay-Leak-Seite – was bekannt ist
Die Ransomware-Gruppe SafePay listet die Jäcklin Industrial Bearings & Sealings GmbH aus Augsburg im Darknet: 47 angeblich erbeutete Dateien, Countdown von rund 2 Tagen 23 Stunden – Status im öffentlichen Tracker: nicht bestätigt.
Belegt ist die Listung – nicht der Angriff
Die Jäcklin Industrial Bearings & Sealings GmbH aus Augsburg erscheint auf der Darknet-Leak-Seite der Ransomware-Gruppe SafePay. SafePay behauptet, 47 interne Dateien erbeutet zu haben, und zeigt einen Countdown von rund 2 Tagen 23 Stunden bis zur angekündigten Veröffentlichung.
Was tatsächlich geschehen ist, welche Systeme betroffen sind und ob Kunden- oder Personaldaten abgeflossen sind, ist bislang nicht öffentlich belegt. Eine offizielle Stellungnahme des Unternehmens lag bis Redaktionsschluss nicht vor.
Zahlen, Daten, Fakten: Screenshot der SafePay-Leak-Seite mit Eintrag zur Jäcklin Industrial – Status im öffentlichen Tracker: nicht bestätigt.
Was belegt ist – und was nicht
| Aussage | Status |
|---|---|
| Jäcklin Industrial ist auf SafePay-Leak-Seite gelistet | belegt |
| Countdown von ca. 2 Tagen 23 Stunden angezeigt | belegt (Screenshot) |
| SafePay behauptet 47 erbeutete Dateien | Täterbehauptung |
| Sitz des Unternehmens: Augsburg | belegt |
| Systeme wurden verschlüsselt | nicht öffentlich bestätigt |
| Kundendaten oder Konstruktionspläne betroffen | nicht öffentlich bestätigt |
| Produktionsausfall / Lieferkettenstörung | nicht bekannt |
| Höhe der Lösegeldforderung | nicht bekannt |
| Ursache (Phishing, VPN, RDP, MFA-Lücke) | nicht bekannt |
Die Erwähnung auf einer Leak-Seite bedeutet nicht automatisch, dass ein erfolgreicher Angriff oder ein Datenabfluss stattgefunden hat.
Warum Industriezulieferer für SafePay lohnende Ziele sind
Industriezulieferer wie Jäcklin Industrial sind fest in Just-in-time-Lieferketten des deutschen Maschinen- und Fahrzeugbaus eingebettet. Ein IT-Ausfall bedeutet nicht nur eigene Stillstände: Kunden müssen mit Bandstillstand, Konventionalstrafen und Alternativlieferanten reagieren. Genau dieser Druck macht Zulieferer für Ransomware-Gruppen attraktiv.
Welche Datenkategorien bei einem Industriezulieferer betroffen sein könnten
Ob im konkreten Fall Daten abgeflossen sind, ist offen. Grundsätzlich verarbeitet ein Industriezulieferer folgende Datenarten:
Wer ist SafePay?
SafePay tauchte Ende 2024 erstmals öffentlich auf und entwickelte sich innerhalb weniger Monate zu einer der aktivsten Ransomware-Gruppen mit deutlichem Fokus auf den deutschsprachigen Raum. Anders als klassische Ransomware-as-a-Service-Netzwerke arbeitet SafePay nach eigener Darstellung ohne großes Partnernetzwerk – ein zentral kontrolliertes Team übernimmt Einbruch, Datenentwendung, Verschlüsselung und Verhandlung selbst.
So läuft ein typischer SafePay-Angriff auf einen Industriezulieferer ab
Für den konkreten Vorfall ist der Angriffsweg unbekannt. Forensische Untersuchungen anderer SafePay-Vorfälle zeigen ein wiederkehrendes Muster:
Bei Industriebetrieben typisch: Phishing mit Bestellungen im Anhang, kompromittierte VPN-Zugänge, RDP ohne MFA oder ein Passwort-Leak eines Konstrukteurs.
SafePay sucht Domain-Admin-Konten, Passwort-Manager, Konstruktions-Fileserver und ERP-Zugänge – häufig über gespeicherte Credentials in Browsern und ungepatchte Systeme.
Kartierung von ERP, PDM/CAD-Servern, Mail-Systemen und Produktionssteuerung. Legitime Werkzeuge wie SMB, RDP, AnyDesk erzeugen kaum Alarme.
Ausgewählte Ordner (Kunden, Zeichnungen, Rechnungen, Personal) werden gepackt und über Rclone/FileZilla zu externen Speichern verschoben – oft binnen Stunden.
AV/EDR abschalten, Log-Systeme leeren, Volumenschattenkopien löschen. Ziel: Rücksicherung erschweren.
Teilverschlüsselung wichtiger Dateien, Erpresserbrief mit Countdown, Listung auf der Leak-Seite als Druckmittel gegen das Management.
Vier realistische Szenarien
Zugriff und Kopie ausgewählter Ordner, ohne Verschlüsselung. Produktion läuft weiter, interner Umfang wird geprüft.
Einzelne Fileserver oder das Mail-System betroffen. ERP und Produktionsplanung weitgehend erhalten.
ERP, PDM/CAD, Fileserver, Mail und Backup betroffen. Angebote, Lieferungen und Rechnungen stark verzögert.
SafePay übertreibt Umfang oder Erfolg des Zugriffs – auch das kommt im Ransomware-Umfeld regelmäßig vor.
Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.
Welche Größenordnung ein Vorfall kosten kann
Die realen Kosten sind unbekannt. Eine transparente Szenariorechnung für einen Industriebetrieb mit rund 80 Beschäftigten zeigt aber, wie schnell ein Vorfall die 1-Millionen-Marke reißt:
| Kostenblock | Plausibler Korridor |
|---|---|
| Digitale Forensik & Incident Response | 80.000–160.000 € |
| Neuaufbau Endgeräte, Server, ERP-Anbindungen | 120.000–260.000 € |
| Datenschutzprüfung, Meldungen, Kundenkommunikation | 40.000–90.000 € |
| Recht, Haftungsprüfung, Versicherung | 30.000–70.000 € |
| Produktivitätsverlust Produktion & Vertrieb (Ø 3–4 Wochen) | 300.000–540.000 € |
| Zwischensumme ohne Lösegeld | ≈ 1,12 Mio € |
Nicht enthalten: Konventionalstrafen von OEM-Kunden, Reputationsschäden, langfristige Sicherheitsprojekte, eine mögliche Lösegeldzahlung. BSI rät grundsätzlich von Zahlung ab.
Plausibles IT-Budget eines Zulieferers mit ca. 80 Beschäftigten
Anhaltswerte auf Basis üblicher IT-Kennzahlen (3–5 % Umsatz für IT, 0,5–0,8 % für Security). Bei OT-nahen Umgebungen mit CAD/PDM ist ein höherer Security-Anteil sinnvoll.
Wofür das Security-Budget eingesetzt werden sollte
Entscheidend: MFA auf allen Zugängen (ERP, Mail, VPN, RDP, PDM), unveränderbare Backups mit echten Restore-Tests, MDR/EDR-Überwachung und regelmäßige Awareness-Schulungen für alle Beschäftigten inklusive Werk und Konstruktion.
Was jetzt öffentlich beantwortet werden sollte
Bei personenbezogenen Daten mit Risiko: Art. 33 DSGVO verpflichtet zur Meldung an die Aufsichtsbehörde innerhalb 72 Stunden. Bei hohem Risiko sind Betroffene nach Art. 34 DSGVO zusätzlich zu informieren.
Wasacon-Perspektive: Traditionsbetriebe brauchen moderne Verteidigung
Ein 90 Jahre alter Zuliefererbetrieb wie Jäcklin Industrial hat oft historisch gewachsene IT: gemischte Server-Generationen, Netzwerke ohne saubere Trennung von Office und Werk, ERP-Systeme mit direkten Zugriffen aus der Konstruktion. Eine SafePay-Listung ist kein Beweis für schlechte IT – aber ein Anlass, das Sicherheitsniveau ehrlich zu prüfen.
Konkret heißt das für Industriebetriebe: strukturierte Zugriffs- und Rechtekonzepte mit MFA, unveränderbare Offsite-Backups mit echten Rücksicherungstests und ein sauber segmentiertes Netzwerk zwischen Office, Konstruktion und Produktion.
FAQ zur SafePay-Listung Jäcklin Industrial
Fazit
SafePay behauptet einen Vorfall bei Jäcklin Industrial. Belegt ist die Listung – nicht der forensische Ablauf. Für Kunden, Beschäftigte und Bewerber ist der wichtigste Schritt jetzt: Ruhe bewahren, auf offizielle Kommunikation warten und im Zweifel jede Rechnung mit geänderten Bankdaten telefonisch verifizieren.
Stand: 23. Juli 2026. Die Behauptungen zum möglichen Datenabfluss stammen von SafePay und sind nicht unabhängig bestätigt.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
