SafePay listet Horst Weier GmbH aus Bocholt auf seiner Leak-Seite
Ransomware.live registrierte den Eintrag am 27. Juli 2026, 18:59 UTC. Die Täter zeigen einen Countdown, veröffentlichen bislang aber weder eine Lösegeldforderung noch Angaben zu angeblich gestohlenen Daten. Was über das Unternehmen, den möglichen Vorfall und ein angemessenes Sicherheitsbudget bekannt ist.
Belegt ist die Listung – nicht der Angriff
Am 27. Juli 2026 tauchte die Domain weier.org auf der Darknet-Leak-Seite der Ransomware-Gruppe SafePay auf. Hinter der Domain steht die Horst Weier GmbH – Industrievertretungen aus Bocholt, nicht das ähnlich benannte Unternehmen Weier Antriebe und Energietechnik aus Eutin. Ransomware.live erfasste den Eintrag um 18:59 UTC / 20:59 MESZ.
Belegt ist ausschließlich der Eintrag mit Countdown. Es gibt keine bekannte Lösegeldsumme, keine Datenprobe, keine bestätigte Verschlüsselung und keine öffentliche Stellungnahme des Unternehmens. Für einen Mittelständler dieses Profils wäre ein IT-Sicherheitsbudget von 40–70 Tsd. € im Erstjahr und danach 20–35 Tsd. € pro Jahr branchenüblich.
Quelle: ransomware.live (SafePay-Gruppenseite, öffentliche Beobachtung, Stand 27.07.2026). Ø 38 Tage sind der gruppenweite Durchschnitt zwischen mutmaßlichem Angriff und öffentlicher Nennung.
Rekonstruierter Publish-Countdown auf Basis des ransomware.live-Eintrags vom 27.07.2026, 18:59 UTC (~72 Stunden bis geplanter Veröffentlichung).
Was belegt ist – und was nicht
| Aussage | Status |
|---|---|
| weier.org auf SafePay-Leak-Seite gelistet | belegt (27.07.2026, 18:59 UTC) |
| Countdown auf Täterseite | belegt (~3 Tage bei Erfassung) |
| Datenmenge / Datenarten | nicht öffentlich |
| Beispieldateien / Datenprobe | keine erkennbar |
| Lösegeldforderung | nicht öffentlich |
| Verschlüsselung bestätigt | nein |
| Datenabfluss bestätigt | nein |
| Angriffsmethode | unbekannt |
| Öffentliche Stellungnahme Horst Weier GmbH | keine (Stand 27.07.2026) |
| Bestätigung durch Behörden / zweite Quelle | nicht bekannt |
Eine Erwähnung auf einer Leak-Seite ist zunächst nur eine Behauptung der Täter, kein Beleg für einen erfolgreichen Angriff oder Datenabfluss. Vor einer Veröffentlichung sollte die Horst Weier GmbH Gelegenheit zur Stellungnahme erhalten.
Kennzahlen zur Horst Weier GmbH
Beschäftigte: Mitte der Kompass-Klasse „10–19“ · Ansprechpartner: Website-Ansprechpartnerseite · Ausstellung: Selbstdarstellung Sanitärausstellung.
Stammkapital 243.100 €, Handelsregister Amtsgericht Coesfeld HRB 8145. USt-ID DE811545510. Für einen belastbaren Jahresumsatz gibt es öffentlich keine belegte Zahl – reine Umsatzschätzungen aus Beschäftigtenzahl oder Stammkapital wären unseriös.
Wer oder was ist SafePay?
SafePay trat nach Analysen verschiedener Sicherheitsunternehmen im Herbst 2024 erstmals sichtbar auf. Anders als klassische Ransomware-as-a-Service-Angebote wird die Schadsoftware nicht breit an unabhängige Partner vermietet. Forscher (Huntress, Bitdefender, Blackpoint Cyber) beschreiben SafePay als relativ geschlossene Operation, bei der ein Kernteam Zugang, Ausbreitung, Datenabzug, Verschlüsselung und Erpressung selbst organisiert. Dateiendung: .safepay. Ransom-Note: readme_safepay.txt. Technisch bestehen Überschneidungen mit geleaktem LockBit-Code – daraus folgt aber keine organisatorische Verbindung.
Deutschland gehört nach verschiedenen Analysen zu den häufiger betroffenen Ländern. Wiederkehrende Ziele: mittelständische Produktion, Bau, Dienstleistungen, Gesundheit.
Typische SafePay-Angriffswege (nicht auf diesen Fall bezogen)
Für die Horst Weier GmbH ist der Angriffsweg unbekannt. Die folgenden Methoden stammen aus anderen untersuchten SafePay-Fällen und sind ausdrücklich keine Aussage über den aktuellen Vorgang. Öffentliche DNS-Daten zeigen, dass der E-Mail-Verkehr von weier.org über Microsoft 365 läuft – ein üblicher Standard, der die Absicherung von Identitäten, MFA und Administratorkonten besonders relevant macht.
Wiederverwendete Passwörter, Info-Stealer-Logs, Credential-Stuffing – häufigster SafePay-Einstieg.
Offen erreichbare VPN- oder RDP-Gateways bleiben ein Standard-Türöffner in KMU-Netzen.
SafePay-Affiliates nutzen E-Mail-Bombardement + Fake-IT-Anrufe / Teams-Chats für Fernwartungs-Trojaner.
Firewall-, VPN- und Mail-Gateways mit bekannten CVEs sind bevorzugte Ziele.
PsExec, SMB-Freigaben, Windows-Bordmittel – oft ohne EDR-Erkennung im Mittelstand.
WinRAR-Bundle + Rclone / FileZilla zu Cloud-Speichern, danach Verschlüsselung und Löschung der Schattenkopien.
Vier realistische Szenarien
SafePay hat Ordner kopiert, aber nicht verschlüsselt. Betrieb läuft weitgehend, Prüfung intern.
Einzelne Fileserver, Warenwirtschaft oder Mail betroffen. Lager und Auslieferung teilweise erhalten.
ERP, Warenwirtschaft, E-Mail (M365) und Logistikprozesse betroffen. Bestellungen und Rechnungen unter Druck.
Eintrag beruht auf veralteten, fremden oder falsch zugeordneten Daten – kommt bei SafePay vereinzelt vor.
Welches Szenario zutrifft, lässt sich derzeit nicht öffentlich bestimmen.
Welche Datenkategorien theoretisch betroffen sein könnten
SafePay hat für weier.org bislang keine konkreten Datenkategorien veröffentlicht. Aus dem Geschäftsmodell einer Full-Service-Industrievertretung mit Lager, Innen- und Außendienst ergeben sich lediglich mögliche Risikobereiche:
Besonders kritisch wären erbeutete E-Mail- und Rechnungsdaten: Kriminelle könnten daraus täuschend echte Nachrichten, gefälschte Bankverbindungen oder betrügerische Zahlungsanweisungen erstellen. Geschäftspartner sollten Änderungen von Kontodaten immer über einen zweiten, bereits bekannten Kanal bestätigen. Grundlage: BSI-Top-10 Ransomware-Maßnahmen.
Was ein angemessenes IT-Sicherheitsprogramm kosten würde
Für ein Unternehmen mit rund 10–19 Beschäftigten, 15–25 verwalteten Endgeräten, Microsoft 365, Lager- und Logistikprozessen sowie möglichen Server-, NAS- und Fernzugriffskomponenten ergibt sich folgendes belastbares Planungsmodell. Die Werte sind branchenüblich und keine Aussage darüber, was Weier tatsächlich investiert hat.
| Schutzbereich | Einführung | Jahresbetrieb |
|---|---|---|
| Risikoanalyse, Basishärtung, Notfall-/Wiederanlaufplan | 4.000–7.000 € | 1.500–3.000 € |
| Microsoft-365- und Identitätsschutz, MFA, Admin-Trennung, Cloud-Backup | 3.000–5.000 € | 3.000–5.000 € |
| EDR + betreute Angriffserkennung (15–25 Endgeräte) | 1.000–2.000 € | 4.000–7.000 € |
| Managed Firewall, VPN-Härtung, Segmentierung, Patch-/Schwachstellenmanagement | 4.000–8.000 € | 3.000–5.000 € |
| Unveränderbare Backups (Server, NAS, M365) inkl. Wiederherstellungstests | 5.000–10.000 € | 3.000–6.000 € |
| Schulungen, Übungen gegen Fake-IT-Support, externer Sicherheitstest | 1.000–2.000 € | 5.000–9.000 € |
| Gesamt | 18.000–34.000 € | 19.500–35.000 € / Jahr |
Erstjahr enthält Einmalaufwand (Härtung, Migration, Erstschulungen). Ab Folgejahr laufender Betrieb. Bei bereits modernisierter Cloud-Umgebung: eher unteres Band; bei Altservern, mehreren Standorten und komplexer Warenwirtschaft: eher oberes Band.
| Hypothetischer Jahresumsatz | 1 % | 3 % |
|---|---|---|
| 2 Mio. € | 20.000 € | 60.000 € |
| 5 Mio. € | 50.000 € | 150.000 € |
| 10 Mio. € | 100.000 € | 300.000 € |
Blackpoint Cyber berichtet in einer SafePay-Analyse, dass Forderungen der Gruppe teils mit 1–3 % des Jahresumsatzes kalkuliert werden. Für Weier ist weder eine Forderung noch der dafür angesetzte Umsatz bekannt.
Wirksamkeit von Gegenmaßnahmen (Erfahrungswerte)
Geschätzte Risikoreduktion einzelner Maßnahmen gegen SafePay-typische Angriffsketten – auf Basis dokumentierter Incident-Response-Erfahrungen im deutschen Mittelstand. Kein Ersatz für eine individuelle Risikoanalyse.
Was jetzt organisatorisch passieren müsste
Keine vorschnelle Neuinstallation. Protokolle, RAM- und Datenträgerabbilder sichern.
Sperrung und Rotation aller Admin-, VPN- und M365-Konten. Prüfung auf ungewöhnliche Anmeldungen.
Verdächtige Server, Endgeräte und Fernwartungen aus Produktivnetz nehmen.
Backup-Ziel vom Produktivnetz trennen, Rücksicherung testen, Historie prüfen.
Weiterleitungsregeln, Einwilligungen für Fremd-Apps, Enterprise-Applications-Zugriffe prüfen.
Interne + externe Kommunikation für Beschäftigte, Kunden, Lieferanten, Versicherer, Aufsicht.
Datenschutz: Die 72-Stunden-Frist nach Art. 33 DSGVO beginnt nicht mit dem Leak-Eintrag, sondern mit Kenntnis einer tatsächlichen Schutzverletzung. Bei hohem Risiko zusätzlich Art. 34 DSGVO.
Die wichtigsten offenen Fragen
Wasacon-Perspektive: Warum kleine Industrievertretungen ins Fadenkreuz geraten
SafePay bevorzugt Unternehmen, deren Betrieb an wenigen zentralen Systemen hängt: E-Mail, Warenwirtschaft, Lager und Auslieferung. Genau dieses Profil beschreiben Industrievertretungen mit eigenem Lager, eigenen Lkw und wöchentlichen Touren. Fällt Microsoft 365 aus, stehen Bestellungen und Rechnungen. Fällt das Warenwirtschaftssystem aus, laufen Auslieferungen ins Leere.
Konkret heißt das: phishingresistente MFA, Admin-Trennung und Härtung von Microsoft 365, unveränderbare Backups mit echten Rücksicherungstests und ein externer IT-Betrieb mit 24/7-MDR, Patch- und Änderungsmanagement.
FAQ zur SafePay-Listung Horst Weier GmbH
Fazit
Die Nennung von weier.org auf der SafePay-Seite ist real und durch ransomware.live dokumentiert. Mehr lässt sich derzeit nicht zweifelsfrei sagen. Es gibt keine öffentlich erkennbare Datenprobe, keine genannte Datenmenge, keine Lösegeldsumme und keine Bestätigung durch das Unternehmen oder eine Ermittlungsbehörde.
Für die Horst Weier GmbH ist der Vorgang dennoch ernst: Als Industrievertretung mit Lager, eigener Logistik, Außendienst und engen Beziehungen zu Herstellern, Großhändlern und Installationsbetrieben hängt sie stark von E-Mail, Auftragsdaten und verlässlichen Lieferprozessen ab. Bis technische oder behördliche Informationen vorliegen, muss die korrekte Formulierung lauten: SafePay behauptet einen Angriff auf die Horst Weier GmbH – bestätigt ist bislang lediglich die Veröffentlichung dieser Behauptung.
Stand: 27. Juli 2026. Sämtliche Angaben der Täterseite sind unbestätigt. Quellen: ransomware.live (SafePay-Gruppen- und Detailseite), Handelsregister (Amtsgericht Coesfeld HRB 8145), Unternehmenswebsite weier.org, CompanyHouse, OpenRegister, BSI, Huntress, Bitdefender, Blackpoint Cyber.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
