Paritätischer NRW gehackt? SafePay listet paritaet-nrw.org im Darknet

Was belegt ist – und was nicht

Eine Erwähnung auf einer Leak-Seite ist zunächst nur eine Behauptung der Täter, kein Beleg für einen erfolgreichen Angriff oder Datenabfluss. Vor einer abschließenden Bewertung sollte der Verband Gelegenheit zur Stellungnahme erhalten.

Wer ist der Paritätische NRW?

Der Paritätische NRW ist einer der großen Wohlfahrtsverbände in Nordrhein-Westfalen. Nach eigenen Angaben bildet der Verband das Dach von rund 3.100 Organisationen mit etwa 7.000 Einrichtungen und Diensten in nahezu allen Bereichen der sozialen Arbeit – von Kitas über Beratungsstellen bis hin zu Pflegediensten. Hinzu kommen fast 900 Untergliederungen bundesweit aktiver Mitgliedsorganisationen.

Unter dem Dach arbeiten nach Verbandsangaben rund 168.000 hauptamtlich Beschäftigte mit mehr als 200.000 Ehrenamtlichen. Rund eine Million Menschen unterstützen paritätische soziale Arbeit über Mitgliedschaften. Der Landesverband selbst sitzt in Wuppertal (Loher Straße 7, 42283) und beschäftigt aktuell 425 Mitarbeitende. Vertreten wird er durch Andrea Büngeler und Christian Woltering.

Wer oder was ist SafePay?

SafePay gilt als Ransomware-Akteur, der mit doppelter Erpressung arbeitet: Daten werden vor einer möglichen Verschlüsselung kopiert, anschließend wird mit Veröffentlichung gedroht. Sicherheitsanalysen beschreiben SafePay als eher zentral geführte Gruppe und nicht als klassisches Ransomware-as-a-Service-Ökosystem.

Acronis berichtete bereits 2025, SafePay habe sich schnell zu einem aktiven Akteur entwickelt und weltweit mehr als 200 Opfer angegriffen. Beobachtet wurden unter anderem Angriffe über RDP- und VPN-Zugänge, gestohlene Zugangsdaten, Rechteausweitung, Deaktivierung von Schutzlösungen und das Löschen von Schattenkopien. Check Point ordnete der Gruppe im ersten Quartal 2025 rund 24 % der öffentlich gemeldeten deutschen Ransomware-Opfer zu.

Quellen: Acronis, Check Point (Q1/2025 Regional Ransomware Report), Bitdefender, Huntress, öffentliche Leak-Site-Auswertungen.

Welche Daten könnten grundsätzlich relevant sein?

Ohne Stellungnahme des Verbands darf nicht behauptet werden, dass bestimmte Daten tatsächlich entwendet wurden. Die öffentlich erkennbare Struktur zeigt jedoch, welche Bereiche bei einem schwerwiegenden Angriff grundsätzlich untersucht werden müssten:

Besonders sensibel wären erbeutete E-Mail-, Rechnungs- oder Beratungsdaten: Kriminelle könnten daraus täuschend echte Nachrichten, gefälschte Bankverbindungen oder Betrugsanweisungen erstellen. Mitgliedsorganisationen und Partner sollten Änderungen von Kontodaten immer über einen zweiten, bereits bekannten Kanal bestätigen. Grundlage: BSI-Top-10 Ransomware-Maßnahmen.

Warum der Fall besonders sensibel wäre

Der Paritätische NRW ist kein gewöhnliches Unternehmen, sondern ein Verband mit engem Bezug zu sozialen Einrichtungen, Beratungsangeboten, Pflege, Kinder- und Jugendhilfe, Selbsthilfe, Migration, Inklusion und vielen weiteren Bereichen. Er versteht sich als Interessenvertretung und Unterstützungsstruktur für Mitgliedsorganisationen – unter anderem durch fachliche, organisatorische und betriebswirtschaftliche Beratung.

Gerade im sozialen Bereich können bereits Metadaten, interne Kommunikation, Mitgliederdaten oder Projektunterlagen sensibel sein. Noch kritischer wären Informationen mit Personenbezug – etwa zu Beschäftigten, Mitgliedsorganisationen, Ansprechpartnern, Förderprojekten, Beratungsstrukturen oder internen Verwaltungsprozessen. Ob solche Daten tatsächlich betroffen sind, ist derzeit nicht belegt.

Vier realistische Szenarien

Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.

Typische SafePay-Angriffswege (nicht auf diesen Fall bezogen)

Für den Paritätischen NRW ist der Angriffsweg unbekannt. Die folgenden Methoden stammen aus anderen untersuchten SafePay-Fällen und sind keine Aussage über den aktuellen Vorgang.

Was hätte angemessene IT-Sicherheit gekostet?

Ohne Kenntnis über Infrastruktur, bestehende Verträge und Schutzmaßnahmen lässt sich nicht beurteilen, wie viel der Landesverband tatsächlich investiert hat. Eine seriöse Kalkulation kann daher nur einen Größenkorridor liefern.

Für einen Verband mit 425 Beschäftigten im Landesverband, tausenden angeschlossenen Organisationen und zentraler Rolle in der sozialen Infrastruktur wäre ein laufendes Cybersicherheitsbudget von rund 250.000–500.000 € pro Jahr plausibel. Hinzu kämen je nach Ausgangslage einmalige Modernisierungskosten von etwa 150.000–350.000 €.

Wirksamkeit von Gegenmaßnahmen (Erfahrungswerte)

Geschätzte Risikoreduktion einzelner Maßnahmen gegen SafePay-typische Angriffsketten – auf Basis dokumentierter Incident-Response-Erfahrungen im deutschen Mittelstand und in Non-Profit-Strukturen. Kein Ersatz für eine individuelle Risikoanalyse.

Was jetzt organisatorisch passieren müsste

Datenschutz: Die 72-Stunden-Frist nach Art. 33 DSGVO beginnt nicht mit dem Leak-Eintrag, sondern mit Kenntnis einer tatsächlichen Schutzverletzung. Bei hohem Risiko zusätzlich Art. 34 DSGVO.

Die wichtigsten offenen Fragen

FAQ zur SafePay-Listung Paritätischer NRW

Fazit

Die SafePay-Listung des Paritätischen NRW ist ernst zu nehmen – wegen Verbandsgröße, tausender angeschlossener Organisationen und der besonderen Sensibilität sozialer Arbeit. Derzeit handelt es sich jedoch weiterhin um eine unbestätigte Täterbehauptung.

Für eine abschließende Bewertung fehlen entscheidende Informationen: Wurden tatsächlich Daten kopiert? Sind interne Systeme ausgefallen? Waren personenbezogene Daten betroffen? Wurden Datenschutzaufsicht und LKA informiert? Bis diese Fragen offiziell beantwortet sind, muss redaktionell konsequent von einer behaupteten Kompromittierung beziehungsweise SafePay-Listung gesprochen werden – nicht von einem zweifelsfrei bestätigten Datenleck.

Stand: 28. Juli 2026. Sämtliche Angaben der Täterseite sind unbestätigt. Kontakt Paritätischer NRW: Loher Straße 7, 42283 Wuppertal · [email protected].