SafePay listet LBB Treuhand im Darknet – was bislang bekannt ist
Am 20. Juli 2026 erschien die LBB Treuhand- und Steuerberatungsgesellschaft mbH aus Isny im Allgäu auf der Leak-Seite der Ransomware-Gruppe SafePay. Was belegt ist, wie SafePay Steuer- und Treuhandkanzleien angreift und welches Sicherheitsbudget für eine Kanzlei realistisch wäre.
Belegt ist die Listung – nicht der Angriff
Am 20. Juli 2026 erschien die LBB Treuhand- und Steuerberatungsgesellschaft mbH aus Isny im Allgäu auf der Darknet-Leak-Seite der Ransomware-Gruppe SafePay. Öffentliche Ransomware-Tracker führen den Eintrag mit dem Status „unconfirmed".
Was tatsächlich passiert ist, welche Systeme betroffen sind und ob Mandantendaten abgeflossen sind, ist bislang nicht öffentlich belegt. Eine offizielle Stellungnahme der Kanzlei lag bis Redaktionsschluss nicht vor.
Zahlen, Daten, Fakten: Screenshot der SafePay-Leak-Seite mit Eintrag zur LBB Treuhand am 20.07.2026 – Status im öffentlichen Tracker: nicht bestätigt.
Was belegt ist – und was nicht
| Aussage | Status |
|---|---|
| LBB Treuhand wurde von SafePay gelistet | belegt |
| Listung am 20. Juli 2026 | belegt |
| Status im Ransomware-Tracker | unconfirmed |
| SafePay behauptet Diebstahl interner Dateien | Täterbehauptung |
| Systeme wurden verschlüsselt | nicht öffentlich bestätigt |
| Mandantendaten wurden entwendet | nicht öffentlich bestätigt |
| Lohn- und Gehaltsdaten sind betroffen | nicht bekannt |
| Es existiert eine Lösegeldforderung | wahrscheinlich, nicht bestätigt |
| Ursache (Phishing, VPN, RDP, MFA-Lücke) | nicht bekannt |
Die Erwähnung auf einer Leak-Seite bedeutet nicht automatisch, dass ein erfolgreicher Angriff oder ein Datenabfluss stattgefunden hat.
Warum eine Steuer- und Treuhandkanzlei ein hochwertiges Ziel ist
Treuhand- und Steuerberatungsgesellschaften sind für Ransomware-Gruppen ein besonders lohnendes Ziel. Sie halten in konzentrierter Form Bilanzen, Lohn- und Gehaltsdaten, DATEV-Zugänge, Verträge, Kontoauszüge und Ausweiskopien vieler Mandanten – oft aus verschiedenen Branchen.
Welche Datenkategorien bei einer Kanzlei betroffen sein könnten
Ob im konkreten Fall Daten abgeflossen sind, ist offen. Grundsätzlich verarbeitet eine Steuer- und Treuhandkanzlei folgende Datenarten:
Wer ist SafePay?
SafePay tauchte Ende 2024 erstmals öffentlich auf und entwickelte sich innerhalb weniger Monate zu einer der aktivsten Ransomware-Gruppen mit deutlichem Fokus auf den deutschsprachigen Raum. Anders als klassische Ransomware-as-a-Service-Netzwerke arbeitet SafePay nach eigener Darstellung ohne großes Partnernetzwerk – ein zentral kontrolliertes Team übernimmt Einbruch, Datenentwendung, Verschlüsselung und Verhandlung selbst.
So läuft ein typischer SafePay-Angriff auf eine Kanzlei ab
Für den konkreten Vorfall ist der Angriffsweg unbekannt. Forensische Untersuchungen anderer SafePay-Vorfälle zeigen ein wiederkehrendes Muster:
Bei Kanzleien häufig: Phishing mit gefälschten Rechnungen, kompromittierte VPN-Zugänge, RDP ohne MFA oder ein Passwort-Leak eines Mitarbeitenden.
SafePay sucht Admin-Accounts, Passwort-Manager-Datenbanken und DATEV-Zugänge – oft über gespeicherte Credentials in Browsern und ungepatchte Systeme.
Kartierung von Fileservern, Backups, DATEV-Servern, Mail-Systemen. Legitime Werkzeuge wie RDP, SMB, AnyDesk erzeugen kaum Alarme.
Archive per WinRAR/7-Zip, Transfer per Rclone oder FileZilla zu externen Speichern. Kanzleidaten sind kompakt und wertvoll – der Abfluss dauert oft Stunden, nicht Tage.
AV/EDR abschalten, Log-Systeme leeren, Volumenschattenkopien löschen. Ziel: Wiederherstellung erschweren.
Teilverschlüsselung wichtiger Dateien, Erpresserbrief mit Countdown, Listung auf Leak-Seite als Druckmittel.
Vier realistische Szenarien
Zugriff und Kopie ausgewählter Ordner, ohne Verschlüsselung. Kanzleibetrieb läuft, Datenumfang wird intern geprüft.
Einzelne Fileserver oder Mail-Systeme betroffen. DATEV-Zugang und Kernbetrieb weitgehend erhalten.
Fileserver, Mailsystem, Backup-Server und DATEV-Anbindung betroffen. Mandantenkommunikation und Fristen unter Druck.
SafePay übertreibt Umfang oder Erfolg des Zugriffs. Auch das kommt im Ransomware-Umfeld vor.
Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.
Welche Größenordnung ein Vorfall kosten kann
Die realen Kosten sind unbekannt. Eine transparente Szenariorechnung für eine Kanzlei mit 20–35 Beschäftigten zeigt aber, wie schnell ein Vorfall im hohen sechsstelligen Bereich landet:
| Kostenblock | Plausibler Korridor |
|---|---|
| Digitale Forensik & Incident Response | 60.000–120.000 € |
| Neuaufbau Endgeräte, Server, Konten | 50.000–120.000 € |
| Datenschutzprüfung & Meldungen | 20.000–50.000 € |
| Recht, Kammerkommunikation, Mandanteninfo | 20.000–50.000 € |
| Produktivitätsverlust Kanzleibetrieb | 40.000–120.000 € |
| Zwischensumme ohne Lösegeld | 190.000–460.000 € |
Nicht enthalten: entgangene Umsätze, Fristversäumnisse, Kammersanktionen, langfristige Sicherheitsprojekte, eine mögliche Lösegeldzahlung. BSI rät grundsätzlich von Zahlung ab.
Plausibles IT-Budget einer Kanzlei mit 20–35 Beschäftigten
Anhaltswerte auf Basis üblicher IT-Kennzahlen für Kanzleien (3–5 % Umsatz für IT, 0,5–0,8 % für Security). Bei besonders sensiblen Datenbeständen ist ein höherer Security-Anteil sinnvoll.
Wofür ein Kanzlei-Security-Budget eingesetzt werden sollte
Entscheidend: MFA auf allen Zugängen (DATEV, Mail, VPN, RDP), unveränderbare Backups mit echten Restore-Tests, MDR/EDR-Überwachung und regelmäßige Awareness-Schulungen für alle Beschäftigten.
Was jetzt öffentlich beantwortet werden sollte
Bei personenbezogenen Daten mit Risiko: Art. 33 DSGVO verpflichtet zur Meldung an die Aufsichtsbehörde innerhalb 72 Stunden. Bei hohem Risiko sind Betroffene nach Art. 34 DSGVO zusätzlich zu informieren.
Wasacon-Perspektive: Kanzlei-IT braucht Kanzlei-Schutz
Eine SafePay-Listung ist kein Beweis für schlechte IT. Sie ist aber ein Anlass, das Sicherheitsniveau ehrlich zu prüfen: Wie schnell würde ein unbekannter Anmeldeversuch am DATEV-Server oder ein ausgehender Massentransfer auffallen – nach Minuten, nach zwei Tagen oder erst, wenn der Erpresserbrief auf den Bildschirmen liegt?
Konkret heißt das für Kanzleien im deutschsprachigen Raum: strukturierte Zugriffs- und Rechtekonzepte mit MFA, unveränderbare Offsite-Backups mit echten Rücksicherungstests und ein externer IT-Betrieb mit MDR-Überwachung, Patch- und Änderungsmanagement, Logauswertung und geübten Notfallabläufen.
FAQ zur SafePay-Listung LBB Treuhand
Fazit
SafePay behauptet einen Vorfall bei der LBB Treuhand. Belegt ist die Listung – nicht der forensische Ablauf. Für Mandanten und Beschäftigte ist der wichtigste Schritt jetzt: Ruhe bewahren, auf offizielle Kommunikation warten und im Zweifel jede Rechnung mit geänderten Bankdaten telefonisch verifizieren.
Stand: 22. Juli 2026. Die Behauptungen zum möglichen Datenabfluss stammen von SafePay und sind nicht unabhängig bestätigt.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
