SafePay listet wdk.de im Darknet: Droht ein Datenleck beim Spitzenverband der Kautschukindustrie?
Am 20. Juli 2026 erschien die Domain wdk.de auf der Leak-Seite von SafePay. Der Wirtschaftsverband der deutschen Kautschukindustrie vertritt 226 Mitgliedsorganisationen und rund 70.000 Beschäftigte. Was belegt ist, was nur behauptet – und welches Sicherheitsniveau für einen politisch bedeutsamen Spitzenverband realistisch wäre.
Belegt ist die Listung – nicht der Angriff
Am 20. Juli 2026 tauchte die Domain wdk.de auf der Darknet-Leak-Seite der Ransomware-Gruppe SafePay auf. Ransomware-Tracker wie SOCRadar führen den Eintrag mit dem Status „Claimed" – als Behauptung der Täter, ohne bestätigte Datenmenge oder Dateikategorien.
Der WDK ist kein mittelständischer Betrieb, sondern der Spitzenverband einer Industrie mit rund 70.000 Beschäftigten und ca. 10 Mrd. € Jahresumsatz. Eine öffentliche Stellungnahme lag bis Redaktionsschluss nicht vor; die Verbandswebsite war weiter erreichbar.
Quellen: wdk.de, Lobbyregister beim Deutschen Bundestag (06/2026), SOCRadar (20.07.2026), Dragos, Check Point.
Übersicht: SafePay-Listung wdk.de am 20.07.2026 – Status im öffentlichen Tracker: Claimed / nicht bestätigt. Alle Zahlen: WDK-Jahresabschluss 2025 und Lobbyregister 06/2026.
Was belegt ist – und was nicht
| Aussage | Status |
|---|---|
| wdk.de auf SafePay-Leak-Seite gelistet | belegt |
| Listung am 20.07.2026 | belegt |
| Status im Tracker (SOCRadar) | Claimed / unbestätigt |
| WDK-Website weiterhin erreichbar | belegt (Stand 22.07.2026) |
| SafePay behauptet Datenzugriff | Täterbehauptung |
| Datenmenge / Dateikategorien | nicht öffentlich bekannt |
| Systeme wurden verschlüsselt | nicht bestätigt |
| Mitglieder- oder Zugangsdaten abgeflossen | nicht bestätigt |
| Lösegeldforderung existiert | wahrscheinlich, nicht bestätigt |
| Ursache (Phishing, VPN, RDP, MFA-Lücke) | nicht bekannt |
Die Erwähnung auf einer Leak-Seite bedeutet nicht automatisch, dass ein erfolgreicher Angriff oder ein Datenabfluss stattgefunden hat.
Wer ist der WDK?
Der Wirtschaftsverband der deutschen Kautschukindustrie e. V. (WDK) ist die Spitzenorganisation der deutschen Hersteller von Reifen, technischen Elastomerprodukten und weiteren Erzeugnissen aus Natur- und Synthesekautschuk. Sitz: Frankfurt am Main. Zusätzlich betreibt der Verband ein Hauptstadtbüro in Berlin. Im Präsidium sitzen Vertreter von Michelin, Bridgestone, Pirelli, Goodyear, REMA TIP TOP, Hutchinson und Kraiburg.
Welche Datenkategorien bei einem Spitzenverband besonders sensibel sind
Ob im konkreten Fall Daten abgeflossen sind, ist offen. Grundsätzlich verarbeitet ein Wirtschaftsverband dieser Größe folgende Datenarten:
Wer ist SafePay?
SafePay tauchte Ende 2024 erstmals öffentlich auf. Anders als klassische Ransomware-as-a-Service-Netzwerke arbeitet die Gruppe nach eigener Darstellung ohne großes Partnernetzwerk. Ein zentral kontrolliertes Team übernimmt Einbruch, Datenentwendung, Verschlüsselung und Verhandlung selbst. Dragos beobachtete allein bei Industrieunternehmen einen Anstieg von 13 SafePay-Listungen im Q1/2025 auf 49 im Q2/2025.
So läuft ein typischer SafePay-Angriff auf einen Verband ab
Für den konkreten Vorfall ist der Angriffsweg unbekannt. Forensische Untersuchungen anderer SafePay-Vorfälle zeigen aber ein wiederkehrendes Muster:
Bei Verbänden häufig: Phishing im Namen eines Mitglieds oder einer Behörde, kompromittierte VPN-/Webmail-Zugänge, RDP ohne MFA, Passwort-Leak eines Mitarbeitenden.
SafePay sucht Admin-Konten, Passwort-Manager-Datenbanken und Zugänge zu Mitgliederportal, Dateiablage und Buchhaltung.
Kartierung von Fileservern, Mail-System, Backup, Mitgliederdatenbank und Newsletter-Tools. Legitime Werkzeuge (RDP, SMB, AnyDesk) erzeugen kaum Alarme.
Archivierung (WinRAR/7-Zip), Transfer über Rclone/FileZilla zu externen Speichern. Verbandsdaten sind kompakt und politisch wertvoll.
AV/EDR abschalten, Log-Systeme leeren, Volumenschattenkopien löschen.
Teilverschlüsselung wichtiger Dateien, Erpresserbrief, Countdown auf der Leak-Seite als Druckmittel.
Vier realistische Szenarien
SafePay hat Ordner kopiert, aber nicht verschlüsselt. Verbandsbetrieb läuft, Datenumfang wird intern geprüft.
Einzelne Fileserver oder Mail-Systeme betroffen. Mitgliederbereich und Kernbetrieb weitgehend erhalten.
Fileserver, Mailsystem, Backup und Mitgliederportal betroffen. Politische Kommunikation und Sitzungsvorbereitung unter Druck.
SafePay übertreibt Umfang oder Erfolg des Zugriffs. Auch das kommt im Ransomware-Umfeld regelmäßig vor.
Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.
Die Finanzen des WDK (Jahresabschluss 2025)
| Position | Betrag |
|---|---|
| Mitgliedsbeiträge | 1.861.056 € |
| Reguläre Verbandsaufwendungen | 1.880.736 € |
| Personalaufwendungen | 1.281.240 € |
| Bilanzsumme | 6.783.170 € |
| Bankguthaben | 2.334.807 € |
| Wertpapiere | 4.363.686 € |
| Jahresüberschuss 2025 | 1.284.648 € |
Der hohe Jahresüberschuss entstand größtenteils durch die Auflösung von Pensionsrückstellungen (≈ 1,06 Mio €) und darf nicht mit einem operativen Gewinn verwechselt werden. Quelle: Lobbyregister beim Deutschen Bundestag.
Was der WDK 2025 für IT ausgegeben hat
Achtung: „Datenverarbeitung" enthält ausdrücklich Buchhaltung; „Telekommunikation" umfasst Telefonie und Internetanschluss. Ein eigenständiges, transparent ausgewiesenes Cybersecurity-Budget ist im Jahresabschluss nicht erkennbar. Anteile bezogen auf den regulären Verbandshaushalt von 1.880.736 €.
Welches IT-Sicherheitsbudget wäre angemessen gewesen?
Entscheidend sind nicht die neun Beschäftigten der Geschäftsstelle, sondern die 226 Mitgliedsorganisationen, der geschützte Mitgliederbereich und die politische Kommunikation. Eine redaktionelle Modellrechnung für ein professionelles Sicherheitsniveau:
Plus ca. 15.000–30.000 € einmaliger Aufwand für Bereinigung, Netzsegmentierung und Notfallkonzept. Ein dauerhaftes Budget von 40.000–80.000 € entspräche rund 2,1–4,3 % des regulären Verbandshaushalts – bei einer Bilanzsumme von 6,78 Mio € finanziell darstellbar.
Was jetzt öffentlich beantwortet werden sollte
Bei personenbezogenen Daten mit Risiko: Art. 33 DSGVO verpflichtet zur Meldung an die Aufsichtsbehörde innerhalb 72 Stunden. Bei hohem Risiko sind Betroffene nach Art. 34 DSGVO zusätzlich zu informieren.
Wasacon-Perspektive: Verbände sind Multiplikatoren – und Ziele
Ein Wirtschaftsverband ist für Angreifer wertvoller als ein einzelner Mittelständler: Über ihn lassen sich Kontakte zu hunderten Unternehmen, Ministerien und EU-Institutionen erschließen. Eine SafePay-Listung ist noch kein Beweis für schlechte IT – aber ein guter Anlass, das Sicherheitsniveau ehrlich zu prüfen.
Konkret heißt das für Verbände und ähnlich exponierte Organisationen: strukturierte Zugriffs- und Rechtekonzepte mit MFA, unveränderbare Offsite-Backups mit echten Rücksicherungstests und ein externer IT-Betrieb mit MDR-Überwachung, Patch- und Änderungsmanagement, Logauswertung und geübten Notfallabläufen.
FAQ zur SafePay-Listung wdk.de
Fazit
Der Darknet-Eintrag von SafePay ist für den WDK mehr als ein gewöhnliches IT-Problem. Der Verband bündelt Kontakte, Fachwissen und politische Kommunikation einer Industrie mit rund 70.000 Beschäftigten und 10 Mrd. € Jahresumsatz. Gesichert ist bislang nur die Listung – nicht Verschlüsselung, Datenmenge oder Inhalt eines möglichen Diebstahls.
Gerade deshalb ist jetzt Transparenz gefragt. Für die Mitgliedsunternehmen ist entscheidend, ob Zugangsdaten, Kontaktdaten, vertrauliche Branchenunterlagen oder E-Mail-Kommunikation betroffen sein könnten. Schweigen schützt nicht vor Reputationsschäden – eine schnelle, sachliche, überprüfbare Kommunikation schon.
Stand: 23. Juli 2026. Sämtliche Angaben der Täterseite sind unbestätigt. Öffentliche Quellen: wdk.de, Lobbyregister beim Deutschen Bundestag (06/2026), SOCRadar (20.07.2026), Dragos, Check Point.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
