Mutmaßlicher SafePay-Fall bei Berliner Hausverwaltung: 3.000 Einheiten, 14 Beschäftigte – und die Frage nach dem Preis der IT-Sicherheit

Was über das Unternehmen feststeht

Die M. Mende Grundbesitzverwaltungs GmbH bezeichnet sich als inhabergeführte Immobilienverwaltung mit Sitz am Kurfürstendamm 61 in Berlin. Im Impressum werden die Geschäftsführerinnen Florence-Dominique dal Molin-Mende und Anika Wilwand genannt; im Handelsregister wird die Gesellschaft unter HRB 55182 geführt. Das öffentlich angegebene Stammkapital beträgt 52.000 Euro. Als Gründungsjahr belegt die eigene Chronik 1994 (20-jähriges Jubiläum 2014).

Die rechnerischen 213 Einheiten je Beschäftigtem liegen rund 15,2 % über dem branchenweiten Mittelwert von 184,8 Einheiten/Mitarbeiter (VDIV-Verwalter-Monitor). Das kann für effiziente Abläufe sprechen – bedeutet aber auch: Fällt ein zentrales System aus, sind schnell Hunderte Vorgänge je Arbeitsplatz betroffen.

Warum eine Hausverwaltung ein attraktives Ziel ist

Die Leistungsbeschreibung des Unternehmens nennt unter anderem Mietverträge, Kontobuchungen, Kautionsverwaltung, Betriebskostenabrechnungen, Zahlungseingänge, Eigentümerabrechnungen, Inkassoverfahren, Kündigungen und Zwangsräumungen – hinzu kommen Kontaktdaten von Eigentümern, Mietern, Dienstleistern und Handwerksbetrieben.

Der Screenshot selbst zeigt keine Dateiliste, keine Datenmenge und keine belastbaren Beweisstücke. Der eingeblendete Beschreibungstext greift weitgehend Informationen auf, die bereits öffentlich auf der Unternehmenswebsite stehen – auch das ist kein Beleg für einen Datenabfluss.

Was über SafePay bekannt ist

SafePay wird seit Ende 2024 als finanziell motivierte Ransomware- bzw. Erpressungsoperation beobachtet. Die Gruppe setzt auf doppelte Erpressung – Daten werden mutmaßlich kopiert, Systeme können verschlüsselt und zusätzlich mit Veröffentlichung gedroht werden. Nach einer Untersuchung des deutschen Sicherheitsunternehmens DCSO fokussiert SafePay auf Deutschland und die USA. In einem dort untersuchten Fall lagen 25 Tage zwischen dem ersten VPN-Zugang und den erkennbaren Erkundungsaktivitäten; nach Erreichen weitreichender Rechte erfolgten Datensammlung, Abfluss und Verschlüsselung innerhalb von etwa zwei Tagen.

Solche Zahlen erfassen Veröffentlichungen auf Täterseiten – nicht zwingend bestätigte oder voneinander unabhängige Sicherheitsvorfälle. Typische Einstiege: kompromittierte VPN- oder RDP-Konten, anschließend Nutzung regulärer Administrationsprogramme („Living off the Land").

Wie hoch hätte das IT-Budget sein müssen?

Der VDIV-Verwalter-Monitor nennt für Verwaltungen mit mehr als 3.000 Einheiten durchschnittliche IT-Kosten von 13,84 € je Einheit und Jahr. Für 2026 planten die befragten Verwaltungen im Mittel eine Erhöhung um 15,3 %. Rund 55 % dieses Budgets fließen allein in ERP-Systeme.

Für ein Unternehmen mit 14 Arbeitsplätzen, Homeoffice-Möglichkeiten, Zahlungsverkehr und Daten aus fast 3.000 Einheiten wäre nach einer risikobasierten Bewertung ein laufendes Budget von 85.000 bis 100.000 € pro Jahr plausibel – das entspricht 2,38 bis 2,80 € je Einheit und Monat.

Beispielhaftes Jahresbudget: 90.000 €

Bei Modernisierungsstau kämen einmalig rund 30.000 bis 50.000 € für Bestandsaufnahme, Härtung, Netzwerksegmentierung, neue Backup-Strukturen, Geräteaustausch und Notfalltests hinzu – das erste Jahr läge damit bei ungefähr 115.000 bis 150.000 €.

Modell: Investition seit der Gründung 1994

Da historische Mitarbeiter-, Umsatz- und Bestandszahlen fehlen, kann die notwendige Investition seit 1994 nur als Modell in Preisen von 2026 dargestellt werden. Die Werte beschreiben nicht, was tatsächlich ausgegeben wurde, sondern welche Größenordnung – gemessen am heutigen Preisniveau und Sicherheitsverständnis – plausibel gewesen wäre.

Der historische Durchschnitt liegt deutlich unter dem heutigen Bedarf – IT-Abhängigkeit und Bedrohungslage haben erst in den letzten Jahren stark zugenommen.

Was ein Vorfall wirtschaftlich bedeuten könnte

Internationale Schadensdurchschnitte sind für ein Unternehmen mit 14 Beschäftigten nur begrenzt übertragbar. Sophos ermittelte 2025 weltweit durchschnittliche Wiederherstellungskosten von 1,53 Mio US-Dollar (ohne Lösegeld). Chainalysis kam für 2025 dagegen auf eine wesentlich niedrigere mediane Zahlung von 59.556 US-Dollar. Die Differenz zeigt, wie stark einzelne Großschäden Mittelwerte verzerren.

Schon mehrere Wochen eingeschränkter Zahlungs-, Abrechnungs- oder Kommunikationsfähigkeit könnten einen hohen sechsstelligen wirtschaftlichen Effekt auslösen. Ohne Kenntnis eines tatsächlichen Vorfalls wäre eine konkretere Zahl unseriös.

Meldepflichten und Sofortmaßnahmen

Die 72-Stunden-Frist der DSGVO beginnt nicht mit dem Täter-Countdown, sondern grundsätzlich mit Kenntnis einer meldepflichtigen Verletzung personenbezogener Daten. Die Berliner Datenschutzbehörde weist darauf hin, dass eine Datenpanne grundsätzlich innerhalb von 72 Stunden zu melden ist; bei voraussichtlich hohem Risiko sind Betroffene ohne unangemessene Verzögerung zu informieren.

BSI und BKA raten grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder eine funktionierende Entschlüsselung noch die Löschung kopierter Daten und finanziert weitere Straftaten. Mit 14 Beschäftigten dürfte das Unternehmen nach öffentlich bekannten Daten voraussichtlich nicht unmittelbar unter die größen- und sektorbezogenen NIS-2-Pflichten fallen – diese Einordnung ersetzt keine rechtliche Prüfung.

FAQ zum SafePay-Screenshot gegen Mende

Fazit

SafePay behauptet einen Vorfall. Die Unternehmensgröße und das mögliche Datenrisiko lassen sich beziffern – der Angriff selbst und ein Datenabfluss sind öffentlich bislang nicht unabhängig bestätigt. Ein laufendes IT-Budget von 85.000 bis 100.000 € wäre für die M. Mende Grundbesitzverwaltungs GmbH keine luxuriöse Zusatzleistung, sondern betriebliche Risikovorsorge.

Weder die Nennung auf einer Täterseite noch ein Countdown beweisen, dass ein Unternehmen zu wenig investiert oder einen Angriff fahrlässig ermöglicht hat. Für eine solche Bewertung müssten Angriffsweg, vorhandene Schutzmaßnahmen, Reaktionszeit und tatsächlicher Datenumfang forensisch geklärt werden. Bis dahin bleibt die Formulierung „mutmaßlich" zwingend.