Lebenshilfe Wohnverbund NRW gehackt? SafePay veröffentlicht neuen Darknet-Leak
Die Ransomware-Gruppe SafePay hat die Lebenshilfe Wohnverbund NRW gGmbH aus Wuppertal auf ihrer Darknet-Leak-Seite gelistet. Zeitgleich ist die offizielle Website des Trägers aktuell nicht erreichbar – eine öffentliche Stellungnahme lässt sich derzeit nicht online nachlesen. Countdown läuft – unbestätigte Täter-Behauptung.
Website der Lebenshilfe derzeit nicht erreichbar
Zum Zeitpunkt unserer Recherche war die offizielle Website des Trägers unter lh-wohnverbund-wohnen-nrw.de nicht erreichbar. Eine offizielle Stellungnahme des Trägers lässt sich damit aktuell nicht online nachlesen. Ob der Website-Ausfall unmittelbar mit dem mutmaßlichen Cyberangriff zusammenhängt, ob es sich um eine Vorsichtsmaßnahme, Wartungsarbeiten oder eine andere Ursache handelt, ist derzeit nicht öffentlich kommuniziert. Teile der Organisationsstruktur konnten daher nur über archivierte Inhalte und öffentliche Registerdaten nachvollzogen werden.
Dieser Artikel basiert auf öffentlich zugänglichen Informationen, Handelsregister- und Unternehmensdaten sowie auf einem Eintrag der Darknet-Leak-Seite der Ransomware-Gruppe SafePay. Die dort veröffentlichten Aussagen sind Behauptungen der Täter, keine bestätigten Tatsachen und konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig überprüft werden. Die Erwähnung der Lebenshilfe Wohnverbund NRW gGmbH und der Lebenshilfe Wohnen NRW gGmbH bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat. Eine offizielle Stellungnahme des Trägers oder der Strafverfolgungsbehörden lag zum Redaktionsschluss nicht vor; die Website des Trägers war zudem nicht erreichbar. Alle Angaben zu möglichen Datenkategorien, Auswirkungen, Fristen, Budgets und Sicherheitsmaßnahmen sind Einordnungen, Mutmaßungen bzw. Schätzungen auf Basis öffentlich zugänglicher Drittquellen. Es gilt die Unschuldsvermutung. Wir verlinken bewusst nicht auf die Leak-Seite, geben die Onion-Adresse nicht als klickbaren Link wieder und verbreiten keine mutmaßlich entwendeten Daten.
Der Leak-Eintrag im Detail: Countdown läuft
| Betroffene Domain | lh-wohnverbund-wohnen-nrw.de |
| Gruppe | SafePay |
| Veröffentlichung des Eintrags | 06.07.2026, 19:03 Uhr |
| Countdown (Zeitpunkt Screenshot) | 2 Tage, 23 Std., 24 Min. |
| Aufrufe des Eintrags | 54 |
| Voraussichtlicher Fristablauf | ≈ 09.07.2026 |
| Land | Deutschland 🇩🇪 |
Bemerkenswert ist, wie detailliert SafePay das Opfer beschreibt: Der Eintrag nennt beide Gesellschaften korrekt beim Namen, verortet den Hauptsitz in Wuppertal und beschreibt ein Netzwerk von Wohneinrichtungen und gemeindenahen Diensten an 14 Standorten in Nordrhein-Westfalen – Angaben, die sich mit der öffentlich dokumentierten Struktur des Trägers decken. Die Gruppe hat ihr Ziel offenkundig recherchiert und adressiert bewusst beide juristischen Personen.
Wer ist die Lebenshilfe Wohnverbund NRW? Struktur & Verflechtungen
Hinter dem Namen steht kein einzelnes Unternehmen, sondern ein eng verflochtenes Geflecht gemeinnütziger Gesellschaften unter dem Dach der Lebenshilfe in Nordrhein-Westfalen. Wer die Tragweite eines möglichen Datenabflusses verstehen will, muss diese Struktur kennen.
Lebenshilfe NRW – Zahlen. Daten. Fakten.
Die beiden Gesellschaften betreiben gemeinsam 13 stationäre Wohneinrichtungen und sieben ambulante Dienste für Menschen mit geistiger Behinderung in Nordrhein-Westfalen. Einrichtungen befinden sich u. a. in Dortmund, Köln, Gelsenkirchen, Herten, Arnsberg, Olpe, Siegen, Minden, Netphen, Wenden, Wilnsdorf, Altenbeken, Horneburg und Nettetal.
- Wohnangebote für Erwachsene (stationär und ambulant unterstützt)
- Kinder- und Jugendhilfe (Kinderbüro Konfetti, Westfälische Pflegefamilien)
- Familienunterstützender Dienst (FUD)
- Beratung über die Lebenshilfe Center (Arnsberg, Olpe, Siegen)
- Freizeit- und Ferienangebote
- Multi-Faktor-Authentifizierung – insbesondere für RDP- und VPN-Zugänge
- Kontinuierliches Patch- und Schwachstellenmanagement
- Netzwerksegmentierung (Verwaltung / Betreuung / Backup getrennt)
- Offline- bzw. immutable Backups mit getesteter Recovery
- 24/7-Monitoring bzw. Managed Detection & Response (MDR)
- EDR/XDR auf allen Endpunkten
- Regelmäßige Awareness-Schulungen gegen Phishing
- Incident-Response-Plan und Notfallübungen
Hinweis: Sämtliche Zahlen sind Modellrechnungen und Schätzungen auf Basis allgemein anerkannter Orientierungswerte (BSI IT-Grundschutz, FBI/CISA Ransomware-Empfehlungen). Ob und in welchem Umfang die Lebenshilfe NRW in IT und Cybersecurity investiert hat, ist uns nicht bekannt. Es handelt sich ausdrücklich nicht um eine Aussage über tatsächliche Budgets oder Versäumnisse des Trägers.
So dramatisch stellt sich ein Datenabfluss bei einem sozialen Träger dar
Vereinfachte, dramatisierte Darstellung – kein Beweis, keine Rekonstruktion des konkreten Vorfalls. Sie zeigt, wie bei einem sozialen Träger hochsensible Daten – Gesundheits- und Betreuungsinformationen, Angehörigenkontakte, Personalakten – im Rahmen eines Double-Extortion-Angriffs abfließen könnten. Reputationsschaden, medizinische Daten, persönliche Betroffenendaten – all das steht im Feuer, wenn ein solcher Angriff gelingt.
Welche Daten könnten betroffen sein?
SafePay nennt keine konkreten Datensätze. Sollte es tatsächlich zu einer erfolgreichen Datenexfiltration gekommen sein, könnten – je nach kompromittiertem System – theoretisch folgende Kategorien betroffen sein. Alle Nennungen sind mögliche, nicht bestätigte Szenarien:
Besonders kritisch: In der Behindertenhilfe fallen routinemäßig Daten an, die zu den sensibelsten überhaupt zählen – teils Informationen zu Minderjährigen aus der Kinder- und Jugendhilfe. Ein Leak solcher Daten wäre für die Betroffenen nicht rückholbar.
Wer steckt hinter SafePay?
- Erstmals beobachtet Ende 2024, aggressive Skalierung 2025 – aktuell rund 490 gelistete Opfer in 45 Ländern.
- Nach den USA ist Deutschland mit über 90 gelisteten Opfern das am zweithäufigsten betroffene Land.
- Rund ein Viertel aller erfolgreichen Ransomware-Angriffe in Deutschland 2025 gehen laut aDvens-Report auf SafePay zurück.
- Kein RaaS-Modell: SafePay lehnt Affiliates ab und führt Angriffe mit eigenem Personal durch. Analysten sehen Parallelen zu LockBit im Code.
- Typische Angriffswege: gestohlene RDP-/VPN-Zugangsdaten, Deaktivierung von Endpoint-Schutz, Löschen von Schattenkopien, dann Exfiltration und Verschlüsselung.
- Über 90 % der Opfer sind KMU – zunehmend Gesundheitswesen, öffentliche Verwaltung, Bildung und soziale Träger.
Weitere Wasacon-Analysen zu SafePay: SHW Schmiedetechnik, Flughafen Hahn, DIA179, AWO Berlin Südost.
Was bedeutet das für Betroffene?
Sollte sich der Vorfall bestätigen, könnten insbesondere Bewohnerinnen und Bewohner, Angehörige und gesetzliche Betreuer, Mitarbeitende, Bewerberinnen und Bewerber sowie Kostenträger und Kooperationspartner betroffen sein. Bei einem bestätigten Datenschutzvorfall dieser Größenordnung greifen die Meldepflichten nach Art. 33 und 34 DSGVO – die Einrichtung müsste die zuständige Landesdatenschutzbehörde (LDI NRW) binnen 72 Stunden informieren und bei hohem Risiko auch die Betroffenen selbst benachrichtigen.
- Erhöhte Wachsamkeit bei E-Mails, Anrufen oder Briefen mit Bezug auf die Lebenshilfe (Phishing-Gefahr mit echten Daten)
- Keine Zugangsdaten oder Zahlungsinformationen auf Zuruf herausgeben
- Rechnungs- oder Bankverbindungsänderungen telefonisch über bekannte Rufnummern verifizieren
- Offizielle Mitteilungen des Trägers abwarten – nur direkt über bekannte Telefonnummern nachfragen
- Keine Inhalte aus Leak-Seiten weiterverbreiten
- Bei Betroffenheit als Mitarbeiter*in: Passwörter, die auch privat genutzt wurden, ändern und MFA aktivieren
Einschätzung aus Sicht der Cybersecurity
Der Fall fügt sich in ein besorgniserregendes Muster: Deutschland zählt inzwischen zu den drei am stärksten von Ransomware betroffenen Ländern weltweit, und SafePay hat sich gezielt auf den deutschen Mittelstand und Organisationen mit dünner IT-Decke spezialisiert. Soziale Träger sind dabei doppelt exponiert – sie verarbeiten hochsensible Daten, verfügen aber selten über die Sicherheitsbudgets großer Konzerne.
Fazit
Mit der Veröffentlichung auf der Leak-Seite von SafePay steht die Lebenshilfe Wohnverbund NRW im Fokus eines weiteren mutmaßlichen Ransomware-Vorfalls – und damit ein großer Träger der Eingliederungshilfe in NRW im Visier der derzeit aktivsten Ransomware-Gruppe Deutschlands. Der laufende Countdown auf der Leak-Seite verleiht dem Fall zusätzliche Dringlichkeit: Läuft die Frist voraussichtlich am 9. Juli 2026 ab, droht die Gruppe mit der Veröffentlichung der mutmaßlich entwendeten Daten. Während die Website aktuell nicht erreichbar ist, gibt es bislang keine offizielle Bestätigung, dass tatsächlich Daten entwendet wurden oder Systeme kompromittiert sind.
Wasacon beobachtet die Entwicklung und aktualisiert diesen Beitrag, sobald neue, verifizierbare Informationen vorliegen.
Häufige Fragen zum SafePay-Eintrag zur Lebenshilfe NRW
Wasacon in deiner Region
Ob in Erkelenz, Wegberg, Wassenberg, Hückelhoven, Aachen, Mönchengladbach, Geilenkirchen, Jülich, Düren oder Krefeld – Ransomware-Angriffe nach dem SafePay-Muster treffen soziale Träger, Kliniken, Bildungseinrichtungen und Mittelständler in der gesamten Region. Wasacon unterstützt Organisationen im Kreis Heinsberg und im Rheinland mit Schwachstellenanalyse, EDR/XDR, Backup-Strategie und Incident-Response nach NIS2-Standard.
Mehr aus der Themenwelt SafePay & Ransomware in Deutschland
Weitere Analysen zu SafePay-Listungen deutscher Organisationen und Mittelständler.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
