Möbel Mayer gehackt? SafePay listet geschlossenes Möbelhaus im Darknet

Was bislang bekannt ist

Threat-Intelligence-Dienste führen moebelmayer.de aktuell als von SafePay beanspruchtes Opfer. SOCRadar listet die Domain als deutsches SafePay-Ziel aus dem Bereich „Retail & E-Commerce" und kennzeichnet den Status ausdrücklich als „Claimed" – also von der Tätergruppe behauptet. RansomLook registrierte den Eintrag am 27.07.2026 um 20:57 Uhr, RansomFeed erfasste die SafePay-Veröffentlichung bereits um 19:03 Uhr.

Eine Veröffentlichung auf einer Ransomware-Leak-Seite bedeutet zunächst lediglich: Die Täter behaupten, Zugriff auf Systeme oder Daten gehabt zu haben. Sie beweist noch nicht unabhängig, wann der Angriff stattgefunden hat, über welches System SafePay möglicherweise eingedrungen ist, ob Server verschlüsselt wurden, welche Daten kopiert wurden – oder ob die Täter überhaupt erst nach der Geschäftsaufgabe Zugriff erhielten.

Was belegt ist – und was nicht

Eine Erwähnung auf einer Leak-Seite ist zunächst nur eine Behauptung der Täter, kein Beleg für einen erfolgreichen Angriff oder Datenabfluss.

Möbel Mayer – seit 31.12.2025 geschlossen

Das traditionsreiche Möbelhaus Möbel Mayer aus Kempten-Hirschdorf bestand seit 1958. Im September 2025 wurde offiziell bekanntgegeben, dass der Geschäftsbetrieb zum 31. Dezember 2025 geordnet eingestellt wird. Als Gründe wurden die angespannte wirtschaftliche Lage, Probleme im Lieferantennetzwerk und fehlendes Fachpersonal genannt.

Das ehemalige Möbelhaus selbst sprach im Rahmen seines Räumungsverkaufs von mehr als 8.000 Quadratmetern Ausstellungsfläche und einem Warenbestand in Millionenhöhe. Historische Unternehmensinformationen aus 2021 nannten zudem rund 40 Mitarbeiterinnen und Mitarbeiter. Im aktuellen Impressum der Website wird weiterhin die r&s mayer GmbH, Laubener Straße 18, 87439 Kempten-Hirschdorf, HRB 5174 (AG Kempten) geführt.

Geschäftsaufgabe ≠ „GmbH verschwindet am nächsten Tag"

Bei einer GmbH liegt zwischen der Einstellung des operativen Geschäfts und der endgültigen Löschung meist eine Abwicklungsphase. Das GmbH-Gesetz kennt dabei das sogenannte Sperrjahr nach § 73 GmbHG: Vermögen darf grundsätzlich erst ein Jahr nach dem Gläubigeraufruf verteilt werden. Nach § 74 GmbHG müssen Bücher und Schriften nach Beendigung der Liquidation sogar zehn Jahre aufbewahrt werden.

Diese Pflichten bedeuten jedoch nicht, dass alte Server, VPN-Zugänge, Remote-Desktop-Systeme oder Cloud-Umgebungen währenddessen öffentlich erreichbar bleiben müssen. Aufbewahrung und Erreichbarkeit sind zwei völlig verschiedene Dinge. Ein Rechnungsarchiv kann verschlüsselt und vom Internet getrennt gespeichert werden – ein ehemaliger Firmenserver mit alten Benutzerkonten und möglicherweise längst ungepatchter Software muss dafür nicht online bleiben.

Wann fand der Angriff tatsächlich statt? Drei Szenarien

Die Veröffentlichung am 27. Juli 2026 ist nicht automatisch das Datum des Einbruchs. Ransomware-Gruppen veröffentlichen Opfer teils Tage, Wochen oder Monate später auf ihren Leak-Seiten. Es sind mindestens drei Szenarien denkbar:

Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.

Wurden möglicherweise Altdaten ehemaliger Kunden gestohlen?

Bei einem geschlossenen Unternehmen können alte Datenbestände für Cyberkriminelle sogar interessanter sein als die aktuelle Infrastruktur. Ein Möbelhaus dieser Größenordnung dürfte während der letzten Jahre erhebliche personenbezogene Datenmengen verarbeitet haben. Ob SafePay solche Informationen kopiert hat, ist nicht bekannt – die folgenden Kategorien wären typischerweise vorhanden:

IT-Offboarding bei einer Geschäftsaufgabe

Viele Unternehmen investieren erhebliche Ressourcen in die sichere Inbetriebnahme von IT. Deutlich weniger Aufmerksamkeit bekommt der umgekehrte Prozess: das sichere Abschalten einer vollständigen Unternehmens-IT. Spätestens mit dem Ende des operativen Betriebs sollte eine vollständige Bestandsaufnahme stattfinden:

Eine Geschäftsaufgabe braucht ein genauso strukturiertes IT-Projekt wie eine Unternehmensgründung.

SafePay listet am 27. Juli mehrere deutsche Ziele

SafePay veröffentlichte am 27. Juli 2026 innerhalb eines sehr kurzen Zeitraums mehrere deutsche Unternehmen und Organisationen auf einschlägigen Leak-Trackern. Ob diese Fälle technisch miteinander zusammenhängen oder von SafePay lediglich gemeinsam veröffentlicht wurden, ist derzeit nicht bekannt.

Die wichtigsten offenen Fragen

FAQ zur SafePay-Listung Möbel Mayer

Fazit

Der mutmaßliche SafePay-Fall rund um moebelmayer.de gehört zu den ungewöhnlicheren aktuellen Ransomware-Listungen. Möbel Mayer war ein seit 1958 bestehendes Kemptener Traditionsunternehmen mit über 8.000 m² Ausstellungsfläche und historisch rund 40 Beschäftigten. Am 31. Dezember 2025 war Schluss – am 27. Juli 2026 erscheint die Domain auf der Leak-Seite von SafePay.

Fairerweise gilt: Die Veröffentlichung beweist nicht, dass SafePay erst im Juli 2026 eingedrungen ist, und ebenso wenig, dass nach dem 31.12.2025 ein alter Firmenserver offen im Internet stand. Sie macht jedoch deutlich, warum Unternehmen bei einer Geschäftsaufgabe nicht nur über Möbel, Maschinen und Immobilien nachdenken dürfen – sondern auch über ihren digitalen Nachlass. Server, Backups, Konten, Cloud-Systeme und E-Mail-Archive verschwinden nicht automatisch, nur weil an der Eingangstür „geschlossen" steht.

Stand: 29. Juli 2026. Der Beitrag wird aktualisiert, sobald eine belastbare Stellungnahme oder behördliche Einordnung vorliegt. Standort: Kempten-Hirschdorf (Bayern).