Der Countdown läuft: Was hinter dem mutmaßlichen SafePay-Angriff auf TimeTEX steckt
Am 20. Juli 2026 um 18:27 Uhr erschien timetex.de auf der Leak-Seite von SafePay – mit knapp 72-Stunden-Countdown. Was belegt ist, was nicht, wie SafePay vorgeht und welches IT-Budget für einen Lehrerbedarfs-Händler dieser Größe realistisch wäre.
Der Timer ist Teil des Angriffs
Der Timer soll nicht nur ein Unternehmen unter Zeitdruck setzen, sondern einen internen IT-Sicherheitsvorfall in ein öffentliches Spektakel verwandeln. Am 20. Juli 2026 um 18:27 Uhr erschien die Domain timetex.de auf der Leak-Seite der Ransomware-Gruppe SafePay – mit knapp 72-stündigem Countdown und der Behauptung, interne Dateien seien erbeutet worden.
Fest steht: TimeTEX wird von SafePay als Opfer geführt. Nicht fest steht, was technisch tatsächlich passiert ist – kein Datenumfang, keine Zahl betroffener Personen, keine Systemliste, keine Lösegeldhöhe.
Die Zahlen hinter TimeTEX: 70 Mitarbeiter, 4.000 m² Büro & Lager, 4.000+ Produkte, 13,9 Mio € Bilanzsumme 2023, 1,48 Mio € Gewinn 2023 – daraus abgeleitete Modellrechnung: 175.000 € Cyber-Budget bei 650.000–700.000 € Gesamt-IT pro Jahr.
Was belegt ist – und was nicht
Ein öffentlicher Ransomware-Tracker erfasste die Listung am 20. Juli und kennzeichnete den Umfang als „unconfirmed".
| Aussage | Status |
|---|---|
| timetex.de wurde von SafePay gelistet | belegt |
| Veröffentlichung am 20. Juli 2026, 18:27 Uhr | belegt |
| Eintrag enthielt einen Countdown | durch Screenshot belegt |
| SafePay behauptet Diebstahl interner Dateien | Täterbehauptung |
| Systeme von TimeTEX wurden verschlüsselt | nicht öffentlich bestätigt |
| Kunden-/Beschäftigtendaten wurden entwendet | nicht öffentlich bestätigt |
| Zahlungsdaten sind betroffen | nicht bekannt |
| TimeTEX erhielt eine Lösegeldforderung | wahrscheinlich, nicht bestätigt |
| TimeTEX hat bezahlt oder verhandelt | nicht bekannt |
| Ursache: Sicherheitslücke oder falsches Passwort | nicht bekannt |
Bis Redaktionsschluss am 22.07.2026 keine öffentliche Stellungnahme von TimeTEX auffindbar. Der Onlineshop war erreichbar – das ist kein Beweis für eine unbeeinträchtigte interne Infrastruktur.
TimeTEX ist größer, als die Marke vermuten lässt
Hinter timetex.de steht die TimeTEX HERMEDIA Verlag GmbH im niederbayerischen Riedenburg. Familienunternehmen für Lehrerbedarf, Unterrichtsmaterialien, Organisationsprodukte, Spiele und Ausstattung für Bildungseinrichtungen.
Der Footer nennt DE, AT, CH, NL, BE, DK, FR, RO, LT, ES, CZ, LU, SE, PL – dazu ein europäisches Portal. Trusted Shops weist aktuell rund 21.600 Bewertungen aus neun Märkten aus, davon mehr als 3.000 innerhalb der letzten zwölf Monate. Bewertungen sind keine Bestellzahlen, sie zeigen aber deutliche Marktpräsenz.
TimeTEX ist auf ein funktionierendes Zusammenspiel aus Onlineshop, Produktdaten, Warenwirtschaft, Lager, Versand, Buchhaltung und Kundenservice angewiesen. Ein Ausfall der internen IT kann den gesamten Weg von der Bestellung bis zum Paket unterbrechen.
Eine Übernahme vergrößerte Anfang 2026 den Datenschatten
Im Januar 2026 übernahm TimeTEX den zuvor insolventen Spieleverlag HCM Kinzel. Asset-Deal – nach Unternehmensangaben gingen nicht nur Produkte und Warenlager, sondern ausdrücklich auch Kundendaten, Marken und Domains auf TimeTEX über.
Die Übernahme ist kein Beleg für einen Zusammenhang mit dem SafePay-Eintrag – für die Bewertung der möglichen Tragweite aber relevant.
Welche Daten TimeTEX grundsätzlich verarbeitet
Es wäre unseriös zu behaupten, dass SafePay bestimmte Kundendaten gestohlen habe. Aus der öffentlichen Datenschutzerklärung lässt sich aber ableiten, welche Datenarten im Normalbetrieb verarbeitet werden.
Bestelldaten können aus steuerlichen Gründen bis zu 10 Jahre gespeichert werden – ein erfolgreicher Zugriff könnte potenziell auch historische Bestellungen betreffen. Mollie/PayPal reduzieren die Menge vollständig gespeicherter Kreditkartendaten, ändern aber nichts am Risiko für Namen, Adressen, Bestellwerte und Rechnungen.
Wer ist SafePay?
SafePay tauchte Ende 2024 erstmals öffentlich auf und entwickelte sich innerhalb weniger Monate zu einer der aktivsten Ransomware-Gruppen. Anders als klassische Ransomware-as-a-Service-Netzwerke arbeitet SafePay nach eigener Darstellung ohne großes Partnernetzwerk – ein zentral kontrolliertes Team übernimmt Einbruch, Datenentwendung, Verschlüsselung und Verhandlung selbst.
Zahlen basieren überwiegend auf Leak-Site-Veröffentlichungen, nicht auf bestätigten Angriffen – die Konzentration auf deutsche Unternehmen ist trotzdem auffällig.
So läuft ein typischer SafePay-Angriff ab
Für den konkreten TimeTEX-Fall ist der Angriffsweg unbekannt. Forensische Untersuchungen anderer SafePay-Vorfälle zeigen ein wiederkehrendes Muster:
VPN, Firewall, RDP-Gateways. Kompromittierte Passwörter, Fehlkonfigurationen, fehlende MFA. Im NCC-Fall: falsch konfigurierte Fortinet-Firewall ohne effektive MFA.
Suche nach gespeicherten Passwörtern und Domain-Admins. Schwaches oder MFA-loses Admin-Konto = Vollzugriff.
RDP, SMB, ScreenConnect, AnyDesk – legitime Tools, die klassische Malware-Erkennung nicht auslösen.
WinRAR / 7-Zip zum Archivieren, FileZilla / Rclone / bestehende VPN-Tunnel zum Abfluss. Warnsignal: plötzliche Großarchive, ausgehender Traffic in der Nacht.
AV/EDR deaktivieren, Logging und Schattenkopien löschen, Backup-Dienste angreifen.
Oft teilweise Verschlüsselung – schnell und schwer rückgängig zu machen. Erst nachdem Daten kopiert sind.
Zugang über Firewall
Skripte & Erkundung
Passwörter & Dateien
Verteilung der Ransomware
Zeigt, weshalb eine Warnung am nächsten Werktag zu spät sein kann. Kein Beleg für den TimeTEX-Ablauf.
Warum ein erreichbarer Shop Entwarnung vortäuschen kann
Zum Zeitpunkt der Recherche war der Shop online. Daraus lässt sich nur ableiten, dass die öffentliche Webanwendung erreichbar war. Vier Szenarien sind möglich:
Zugriff auf Dateien, aber keine Verschlüsselung. Shop läuft, Unternehmen prüft Datenumfang.
Einzelne Datei-/Verwaltungssysteme betroffen. Shop und Zahlungen laufen, interne Abläufe eingeschränkt.
Warenwirtschaft, Lager, E-Mail, Buchhaltung betroffen. Shop nimmt Bestellungen entgegen, die intern hängen bleiben.
SafePay übertreibt oder erfindet den Erfolg. Auch das kommt im Ransomware-Umfeld vor.
Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.
Die besondere Gefahr für Schulen und Lehrkräfte
TimeTEX verkauft an Privatpersonen, Lehrkräfte, Kindergärten, Schulen und Bildungseinrichtungen. Ein möglicher Datenabfluss hätte daher nicht nur klassische Datenschutzfolgen, sondern könnte glaubwürdige Folgeangriffe ermöglichen:
Keine Aussage darüber, dass entsprechende Daten tatsächlich entwendet wurden – aber Grund, die Klärung der betroffenen Datenkategorien ernst zu nehmen.
Welche Größenordnung ein solcher Vorfall kosten kann
Die realen Kosten für TimeTEX sind unbekannt. Eine transparente Szenariorechnung zeigt aber, wie schnell ein Vorfall bei 70 Beschäftigten mehrere Hunderttausend Euro erreicht:
| Kostenblock | Plausibler Korridor |
|---|---|
| Digitale Forensik & IR | 75.000–150.000 € |
| Neuaufbau Endgeräte, Server, Konten | 80.000–180.000 € |
| Datenschutzprüfung & Analyse | 20.000–60.000 € |
| Recht, Kommunikation, Kundeninfo | 20.000–50.000 € |
| Produktivitätsverlust (50 × 300 € × 5–10 T) | 75.000–150.000 € |
| Zwischensumme ohne Lösegeld/Umsatz | 270.000–590.000 € |
Nicht enthalten: entgangene Deckungsbeiträge, Lieferverzögerungen, Kundenanfragen, Vertragsforderungen, langfristige Sicherheitsprojekte, eine mögliche Lösegeldzahlung. Bitkom 2025: 34 % der zahlenden Unternehmen überwiesen 100 T€ – 500 T€, 12 % zwischen 500 T€ und 1 Mio €. BSI rät grundsätzlich von Zahlung ab.
TimeTEX wäre finanziell nicht schutzlos gewesen
Aus dem veröffentlichten Jahresabschluss 2023 (aufbereitet im Unternehmensprofil Unternehmen24):
Historische Werte – keine Aussage über die Liquidität im Juli 2026. Sie zeigen aber, dass ein Sicherheitsbudget im niedrigen sechsstelligen Bereich wirtschaftlich nicht unrealistisch gewesen wäre.
Was TimeTEX in seine IT hätte investieren müssen
Bei 70 Beschäftigten entstehen feste Mindestkosten für qualifiziertes Personal, Überwachung und Notfallvorsorge – unabhängig davon, ob der Umsatz zehn oder zwanzig Millionen Euro beträgt.
Planungsgröße: 650.000 – 700.000 € Gesamt-IT pro Jahr, davon mindestens 175.000 € für Informationssicherheit.
175.000 € entsprechen rund 11,8 % des Jahresüberschusses 2023 und ca. 2,4 % des damaligen Bankbestands. Zusätzlich plausibel: einmalig 120.000–200.000 € Härtungsbudget für historisch gewachsene Strukturen.
Wofür die 175.000 € eingesetzt werden müssten
Entscheidend ist nicht allein die Höhe, sondern die Verteilung.
Warnsignale, auf die MDR/EDR reagieren sollte: neue Remote-Desktop-Software, ungewöhnliche Admin-Anmeldungen, massenhafte Dateizugriffe, plötzlich erzeugte Archive, Zugriffe auf Backups, große ausgehende Transfers, Versuche AV/EDR abzuschalten.
Die offenen IT-Stellen sind ein auffälliges Signal – kein Beweis
TimeTEX sucht derzeit öffentlich:
Die Ausschreibungen können Expansion, Fluktuation oder gezielten IT-Ausbau bedeuten. Sie beweisen weder eine Unterbesetzung noch einen Zusammenhang mit dem SafePay-Eintrag. Auffällig ist trotzdem: für ein Unternehmen mit 14 Länder-Angeboten, mehreren Marken, eigener Logistik und übernommenen Datenbeständen darf Sicherheitsverantwortung nicht nebenbei zwischen Shopentwicklung und Benutzersupport erledigt werden.
Was TimeTEX jetzt öffentlich beantworten sollte
Bei personenbezogenen Daten mit Risiko: Art. 33 DSGVO verpflichtet grundsätzlich zur Meldung an die Aufsichtsbehörde innerhalb 72 Stunden. Bei hohem Risiko müssen nach Art. 34 zusätzlich die Betroffenen informiert werden.
Wasacon-Perspektive: Der eigentliche Prüfstein kommt nach dem Countdown
Eine SafePay-Listung allein beweist weder schlechte IT noch fahrlässiges Verhalten. Umgekehrt darf ein erreichbarer Shop nicht mit einem beherrschten Vorfall verwechselt werden. Bei doppelter Erpressung kann der äußerlich sichtbare Betrieb weiterlaufen, obwohl die schwierigste Arbeit gerade erst beginnt: Welche Konten wurden benutzt, wie lange waren die Täter im Netz, welche Dateien haben sie geöffnet, haben Daten das Unternehmen verlassen?
Der wichtigste Punkt ist deshalb nicht der SafePay-Countdown. Er ist die Zeit davor: Wie schnell wurde der erste verdächtige Zugriff erkannt – nach Minuten, nach zwei Tagen oder erst, als der Erpresserbrief auf den Bildschirmen lag?
Konkret heißt das: strukturierte Zugriffs- und Rechtekonzepte mit MFA, unveränderbare Offsite-Backups mit echten Rücksicherungstests und ein externer IT-Betrieb mit MDR-Überwachung, Patch- und Änderungsmanagement, Logauswertung und geübten Notfallabläufen.
FAQ zum SafePay-Eintrag gegen TimeTEX
Fazit
SafePay behauptet einen Vorfall bei TimeTEX. Belegt ist die Listung – nicht der forensische Ablauf. Die wirtschaftliche Ausgangslage hätte TimeTEX erlaubt, jährlich einen mittleren sechsstelligen Betrag in seine IT und rund 175.000 € gezielt in Informationssicherheit zu investieren. Ein solches Budget hätte keinen Angriff garantiert verhindert – aber die Chancen deutlich verbessert, einen fremden VPN-Zugang, einen ungewöhnlichen Administrator, eine neue Fernwartungssoftware oder einen massenhaften Datenabtransport zu erkennen, bevor aus einem einzelnen Zugang ein unternehmensweiter Vorfall wird.
Solange TimeTEX keine belastbaren Informationen veröffentlicht, bleibt die entscheidende Lücke nicht technisch, sondern kommunikativ.
Stand: 22. Juli 2026. Die Behauptungen zum möglichen Datenabfluss stammen von SafePay und sind nicht unabhängig bestätigt. Der Beitrag beschreibt bekannte Vorgehensweisen der Tätergruppe und mögliche Auswirkungen, nicht den forensisch festgestellten Ablauf bei TimeTEX.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
