Mutmaßlich gehackt: SafePay setzt Ströbel-Gruppe unter Druck
SafePay listet die Ströbel-Gruppe aus Rothenburg ob der Tauber auf ihrer Leak-Seite. Was bekannt ist, warum die Täterbeschreibung nicht zum Unternehmen passt und wie groß das Risiko für Bau, Immobilien und Verwaltung ist.
Die Ransomware-Gruppe SafePay hat die Ströbel-Gruppe auf ihrer Darknet-Leak-Seite gelistet. Der vorliegende Beitrag beruht auf einem Screenshot der Leak-Seite, öffentlich zugänglichen Unternehmensregisterdaten sowie Branchenkennzahlen. Eine erfolgreiche Datenexfiltration, Verschlüsselung von Systemen oder Kompromittierung von Kundenumgebungen ist bislang nicht unabhängig bestätigt. Eine öffentliche Stellungnahme des Unternehmens war zum Zeitpunkt der Recherche nicht auffindbar.
Traditionsunternehmen im Fadenkreuz einer Ransomware-Gruppe
Die Ströbel-Gruppe zählt in ihrer Region zu den etablierten Unternehmensverbünden aus Hoch- und Tiefbau, Immobilienentwicklung, Hausverwaltung und Objektbetreuung. Sitz der Gruppe ist Rothenburg ob der Tauber, mit einem Standort im Ortsteil Spielbach. Genau dieses klassisch mittelständische Profil trifft nun auf ein modernes Bedrohungsszenario: Auf einer SafePay zugerechneten Darknet-Leak-Seite ist die Gruppe mit ihrer Domain stroebel-gruppe.de gelistet.
Für eine Bau- und Immobiliengruppe ist ein solcher Vorfall besonders unangenehm: Baustellenplanung, Bautagebücher, Nachträge, Kalkulationen, Mieter- und Eigentümerdaten sowie Zahllauf- und Bankdaten liegen typischerweise verteilt in ERP-, Buchhaltungs- und Fileserver-Systemen. Ein Angriff bedroht damit nicht nur die IT, sondern unmittelbar den operativen Betrieb – von der Baustelle bis zur Nebenkostenabrechnung.
Ob und in welchem Umfang tatsächlich Daten abgeflossen sind, ist bis zu einer forensischen Aufarbeitung offen.
Was bisher öffentlich bekannt ist
| Punkt | Aktueller Kenntnisstand |
|---|---|
| Gelistetes Unternehmen (SafePay) | Ströbel-Gruppe / stroebel-gruppe.de |
| Tätergruppe | SafePay (Ransomware-as-a-Service) |
| Listung | SafePay-Leak-Seite, 20. Juli 2026 |
| Reale Gruppe | Ströbel Bau · Ströbel Immobilien · Ströbel Hausverwaltung |
| Sitz | Rothenburg ob der Tauber (Ortsteil Spielbach), 91614 |
| Branche | Hoch- & Tiefbau, Immobilienentwicklung, Verwaltung |
| Umsatz (Ströbel Bau GmbH) | ≈ 17,82 Mio. € (Bilanzsumme, öffentliche Register) |
| Mitarbeiter (Ströbel Bau GmbH) | ≈ 45 |
| Angeblich gestohlene Datenmenge | Nicht veröffentlicht |
| Datenproben / Samples | Öffentlich nicht sichtbar |
| Verschlüsselte Systeme | Nicht bestätigt |
| Offizielle Stellungnahme | Zum Recherchestichtag nicht auffindbar |
Quellen: Screenshot der SafePay-Leak-Seite, öffentliche Bundesanzeiger-/Handelsregisterdaten, Branchendatenbanken. Alle Täterangaben bleiben Behauptungen der Angreifer.
Warum die SafePay-Beschreibung nicht zum Unternehmen passt
Auf der Leak-Seite beschreibt SafePay das Opfer als „Ströbel Verpackungssysteme GmbH & Co. KG" mit Sitz in Langenzenn und Fokus auf Verpackungsmaschinen und industrielle Automation. Die real öffentlich auffindbare Ströbel-Gruppe unter stroebel-gruppe.de sitzt jedoch in Rothenburg ob der Tauber und ist im Bau- und Immobilienbereich tätig.
- • Ströbel Verpackungssysteme GmbH & Co. KG
- • Sitz Langenzenn (Mittelfranken)
- • Verpackungsmaschinen / Automation
- • Angeblich Industriekunden
- • Ströbel Bau · Immobilien · Hausverwaltung
- • Sitz Rothenburg o.d.T. / Spielbach
- • Hoch- & Tiefbau, Objektbetreuung
- • Bilanzsumme ≈ 17,82 Mio. €, ~45 MA
Zwei Erklärungen sind plausibel: Entweder hat SafePay ein anderes Unternehmen unter dem Namen verwechselt und stroebel-gruppe.de irrtümlich als Marker gewählt – oder die Täter beschreiben das Opfer bewusst unscharf, um Recherchen zu erschweren. In beiden Fällen bleibt die Domain der belastbare Anker: stroebel-gruppe.de ist konkret gelistet, unabhängig von der ausschmückenden Beschreibung.
Infografik: mögliche Einstiegsvektoren & sofortige Maßnahmen
So könnte der Angriff abgelaufen sein
Die konkrete Angriffskette der Ströbel-Gruppe ist öffentlich nicht bekannt. SafePay-Fälle folgen jedoch in der Regel einem ähnlichen Muster – Ersteinbruch, Rechteausweitung, Datenexfiltration, Verschlüsselung. Die häufigsten Einstiegsvektoren:
Phishing / Spearphishing
Präparierte Rechnungen, Bewerbungen oder Bauunterlagen als Einstieg in Postfächer der Verwaltung.
Gestohlene Zugangsdaten
Aus Infostealer-Logs und Alt-Leaks stammende Passwörter für M365, VPN oder Fernwartung.
VPN- & Firewall-Zugang
Ungepatchte Appliances, schwache MFA oder exponierte Management-Interfaces als Ersteinbruch.
Fernwartung & RDP
Exponierte RDP-Hosts oder legitime Fernwartungswerkzeuge (RMM/AnyDesk/TeamViewer) als lateraler Weg.
Jetzt handeln – vier Sofortmaßnahmen
Netz trennen
Verdächtige Systeme sofort vom Netz nehmen, Backups isolieren, keine unkoordinierten Neuinstallationen.
Zugänge sichern
Passwörter, MFA, API-Schlüssel und OAuth-Tokens rotieren, aktive Sessions widerrufen.
Kennwörter ändern
Alle privilegierten und geteilten Zugänge (Buchhaltung, Banking, Verwaltung) prompt austauschen.
Behörden melden
LKA Bayern / ZAC, BSI-Meldeportal und – bei personenbezogenen Daten – Aufsichtsbehörde nach DSGVO informieren.
Wichtig: Beweise sichern. Nicht unkoordiniert neu installieren – Logs, Speicherabbilder und Backups sind später für Forensik, Versicherung und ggf. Strafanzeige entscheidend.
Welche Daten in einer Bau- und Immobiliengruppe besonders sensibel sind
Personal- & Bewerberdaten
Ausweiskopien, Verträge, Gehalt, Krankenakten – hochsensibel und meldepflichtig.
Mieter- & Eigentümerdaten
Namen, Adressen, Bankverbindungen, Mietverträge, Nebenkostenabrechnungen.
Bauunterlagen & Kalkulationen
Angebote, Nachträge, LV, Preise, Zeichnungen, Statik – wettbewerbsrelevant.
Finanzen & Banking
Rechnungen, IBAN-Listen, SEPA-Mandate, Zahlläufe – attraktiv für Folgeangriffe.
Backups & Fileserver
Historische Projektarchive, Fotos, Pläne, Verwaltungsordner.
Zugangsdaten & Zertifikate
M365-Konten, VPN, Buchhaltung, Portale von Ämtern und Versorgern.
Wer steckt hinter SafePay?
SafePay wurde Ende 2024 erstmals breiter beobachtet und entwickelte sich innerhalb weniger Monate zu einer international aktiven Ransomware-Gruppe. Bis Mitte 2025 waren bereits mehr als 200 Organisationen auf ihrer Tor-Leak-Seite geführt. Deutschland zählt neben den USA und Großbritannien zu den besonders häufig genannten Zielregionen.
- Daten werden vor der Verschlüsselung kopiert (Double Extortion).
- Anschließend werden Systeme oder Dateien verschlüsselt.
- Das Opfer soll für Wiederherstellung und gegen Veröffentlichung zahlen.
Als Einstieg wurden bei früheren SafePay-Fällen unter anderem manipulierte VPN- und Firewall-Zugänge, gestohlene Zugangsdaten, Remote-Desktop-Verbindungen und legitime Fernwartungswerkzeuge dokumentiert. Für den Abtransport kamen Standardwerkzeuge wie 7-Zip, WinRAR, Rclone und FileZilla zum Einsatz. Diese Muster beschreiben das allgemeine Vorgehen der Gruppe und sind kein Beweis für den konkreten Angriffsweg gegen die Ströbel-Gruppe.
Was solide IT-Sicherheit in dieser Größenordnung kosten würde
Für ein Unternehmen mit rund 17,8 Mio. € Bilanzsumme und einer sensiblen Kombination aus Bau, Immobilien und Verwaltung wäre ein Sicherheits- und Resilienz-Budget von 3 bis 6 % des Umsatzes plausibel – ein realistischer Zielkorridor:
Wie teuer könnte ein Vorfall dieser Art werden?
Studien von Sophos, BSI und Bitkom zeigen: Ransomware-Vorfälle im deutschen Mittelstand kosten typischerweise mehrere Hunderttausend bis wenige Millionen Euro. Für eine Bau-, Immobilien- und Verwaltungs-Gruppe wie Ströbel wäre folgender Schadenskorridor realistisch:
| Kostenposition | Bandbreite |
|---|---|
| Betriebsunterbrechung (7–21 Tage) | 180.000 – 700.000 € |
| IT-Forensik & Incident Response | 80.000 – 250.000 € |
| Wiederherstellung & Neuaufbau | 120.000 – 400.000 € |
| Rechtsberatung, DSGVO, Meldungen | 40.000 – 150.000 € |
| Krisenkommunikation & PR | 20.000 – 80.000 € |
| Reputations- & Folgeschäden | 50.000 – 500.000 € |
| Summe (realistisch) | ≈ 490.000 – 2.080.000 € |
Modellrechnung auf Basis öffentlich verfügbarer Branchenstudien; kein konkreter Bezug zu bereits eingetretenen Schäden bei der Ströbel-Gruppe.
Was Kunden, Mieter und Geschäftspartner jetzt beachten sollten
- Keine Klicks auf unaufgeforderte Mails „im Namen der Ströbel-Gruppe" – insbesondere nicht auf Anhänge oder Links.
- Neue Bankverbindungen, IBAN-Änderungen oder Zahlungsziele grundsätzlich telefonisch über eine bekannte Nummer rückversichern.
- Verdächtige Nachrichten intern melden und die IT/Verwaltung informieren – nicht selbstständig antworten.
- Bei sensiblen Daten (Mietverträge, Bewerbungen, Bauunterlagen) auf spätere Nachforderungen und Betrugsversuche gefasst sein.
- Ausschau nach glaubwürdig wirkendem Phishing halten, das den Fall thematisch aufgreift („aktueller Sicherheitsvorfall").
Fazit: Ein regionaler Traditionsmittelständler trifft auf einen globalen Ransomware-Akteur
Die Listung der Ströbel-Gruppe auf einer SafePay-Leak-Seite ist ein Warnsignal, das weit über einen einzelnen Vorfall hinausreicht. Sie zeigt, wie professionalisierte, international agierende Ransomware-Gruppen inzwischen gezielt regionale mittelständische Bau-, Immobilien- und Verwaltungsgruppen ins Visier nehmen. Ob im konkreten Fall tatsächlich Daten abgeflossen sind oder Systeme verschlüsselt wurden, wird sich in den kommenden Tagen zeigen – bis dahin bleibt die Aussage der Täter eine Behauptung.
Wir wünschen dem Unternehmen und den Beschäftigten eine schnelle und geordnete Aufarbeitung des Vorgangs. Für alle vergleichbaren Mittelständler ist der Fall vor allem eine Erinnerung: IT-Sicherheit ist kein IT-Kostenblock, sondern Bestandteil der Bauplanung, der Verwaltung und der Immobilie selbst.
FAQ zur Ströbel-Listung
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
