Eine neue gemeinsame Warnung von CISA, FBI, USSS und internationalen Partnern beschreibt die Vorgehensweise der SafePay-Ransomware-Gruppe. Sie ist vor allem deshalb relevant, weil kein exotischer Erstzugriff nötig ist: kompromittierte Zugangsdaten, nicht geschlossene Lücken an exponierten Systemen und Phishing reichen als Einstieg.
Die eigentliche Lehre ist größer als eine einzelne Schadsoftware. Wer Identitäten, externe Zugänge, Adminrechte und Wiederherstellung getrennt absichert, nimmt Angreifern die Möglichkeit, aus einem Vorfall eine organisationsweite Erpressung zu machen.
- Aktuelle Behördenwarnung: Die Advisory
AA26-293Awurde am 20. Oktober veröffentlicht. Sie stützt sich auf Ermittlungsdaten bis August 2026 und nennt SafePay als eine der aktivsten Ransomware-Gruppen des Jahres. - Kein einzelner Einstieg: Beobachtet wurden unter anderem gestohlene oder erratene Passwörter, Phishing und die Ausnutzung bekannter Schwachstellen an extern erreichbaren Systemen.
- Legitime Werkzeuge im Missbrauch: Nach einem Einstieg nutzen die Täter unter anderem PsExec, WinRM, RDP und übliche Adminfunktionen für Bewegung, Datensammlung und Vorbereitung der Verschlüsselung.
- Wiederherstellung ist ein Angriffsziel: Die Advisory beschreibt auch das Löschen oder Deaktivieren von Backups. Offline, unveränderbare und regelmäßig getestete Sicherungen sind deshalb Teil der Prävention.
- Priorisierung statt Aktionismus: Zuerst externe Systeme und KEVs, dann MFA und privilegierte Konten, anschließend Backup- und Erkennungslücken prüfen.
Warum diese Warnung jetzt relevant ist
Die beteiligten Behörden berichten von ungefähr 600 betroffenen Organisationen seit August 2024, darunter Unternehmen und kritische Infrastrukturen in Nord- und Südamerika, Europa sowie Australien. An der gemeinsamen Warnung beteiligt ist neben US-Behörden und britischen Partnern auch das Landeskriminalamt Rheinland-Pfalz. Damit liegt kein allgemeiner Trendbericht vor, sondern ein auf Ermittlungs- und Vorfallsdaten basierender Hinweis für Verteidiger.
SafePay steht exemplarisch für Ransomware-Operationen, die mehrere Schutzlücken hintereinander ausnutzen. Ein öffentlich erreichbarer Dienst, eine kompromittierte Identität oder eine erfolgreiche Phishing-Anmeldung muss noch nicht zum Totalausfall führen. Kritisch wird es, wenn dieses erste Ereignis unbemerkt bleibt, ein Konto zu viele Rechte besitzt und Backups ohne zusätzliche Schutzschicht erreichbar sind.
Die beobachtete Angriffskette: vom Zugang zur Erpressung
Für den Erstzugriff nennt die Advisory kompromittierte Zugangsdaten, Password Guessing und Brute-Force-Angriffe, Phishing sowie die Ausnutzung bekannter Schwachstellen. Besonders im Fokus stehen internet-exponierte Systeme und VPN-Zugänge. Das ist ein klarer Grund, die eigene Angriffsfläche nicht nur in einem jährlichen Audit, sondern laufend zu kennen.
Nach dem Einstieg versuchen die Täter, sich festzusetzen und ihre Reichweite zu vergrößern. Sie übernehmen bestehende Konten oder legen neue an. Für die seitliche Bewegung kommen häufig legitime Werkzeuge zum Einsatz: etwa PsExec, WinRM und RDP. Solche Werkzeuge sind nicht per se verdächtig. Auffällig wird ihr Einsatz, wenn Zielsystem, Uhrzeit, Quellkonto oder Befehlsfolge nicht zum normalen Betriebsbild passen.
Vor der Verschlüsselung stehen laut Advisory Datensammlung und -abfluss. Gleichzeitig versuchen die Angreifer, Sicherheitssoftware zu beeinträchtigen und die Wiederherstellung zu erschweren. Dazu können sie etwa Sicherungen angreifen oder Backup-Infrastruktur zurücksetzen. Der Schaden besteht daher oft nicht allein aus verschlüsselten Dateien, sondern aus dem Verlust von Vertraulichkeit, Verfügbarkeit und einer belastbaren Rückfalloption.
Die fünf Schutzprioritäten für diese Woche
- Exponierte Systeme und KEVs zuerst abgleichen. Inventarisieren Sie VPNs, Firewalls, Fernzugriffe, Management-Oberflächen und weitere extern erreichbare Dienste. Prüfen Sie diese gegen den CISA-KEV-Katalog und die jeweiligen Herstellerhinweise. Für aktiv ausgenutzte Lücken zählt neben dem Patch auch eine forensische Ersteinschätzung.
- MFA an den entscheidenden Zugängen durchsetzen. Besonders Webmail, VPNs, Admin-Konten und Zugänge zu kritischen Systemen brauchen einen zweiten Faktor. MFA ersetzt kein Patchen, begrenzt aber den Wert abgeflossener Passwörter deutlich.
- Privilegien und Fernzugriff begrenzen. Prüfen Sie ungenutzte Konten, neue oder unbekannte Admin-Konten und dauerhafte Hochberechtigungen. Separate Administrationskonten, zeitlich begrenzte Rechte und klar erlaubte Fernzugriffswege verringern die Bewegungsfreiheit nach einem Erstzugriff.
- Wiederherstellung messbar machen. Offline- und unveränderbare Backups schützen erst dann zuverlässig, wenn sie vollständig, verschlüsselt und mit realistischen Wiederherstellungstests belegt sind. Bewahren Sie nicht nur Daten, sondern auch die Dokumentation und Zugangsdaten für eine geordnete Wiederinbetriebnahme geschützt auf.
- Seitliche Bewegung sichtbar machen. Netzwerk- und Endpoint-Telemetrie sollten ungewöhnliche Verbindungen zwischen Clients, Servern und Administrationssystemen erkennbar machen. Besonders wertvoll sind nachvollziehbare Logs zu Kontoänderungen, RDP, WinRM, PsExec, Remote-Management-Tools und Backup-Verwaltung.
Warnsignale richtig einordnen
Einzelne Indikatoren beweisen noch keinen SafePay-Vorfall. Eine neue lokale Admin-Identität, ein ungewohntes Remote-Tool oder ein fehlgeschlagener Backup-Job können einen legitimen Anlass haben. Treffen mehrere Signale in kurzer Zeit zusammen, sollte jedoch ein klarer Untersuchungsablauf starten: etwa neue oder reaktivierte Konten, ungewöhnliche Anmeldungsmuster, unerwartete Administrator-Sitzungen, Bewegungen zwischen Systemen oder Änderungen an Backup- und Sicherheitswerkzeugen.
Kontext ist wichtiger als eine starre IoC-Liste.
Die Behörden stellen zur Advisory maschinenlesbare Indicators of Compromise bereit. Für den Betrieb sind diese ein sinnvoller Jagd- und Filterinput. Sie ersetzen aber nicht die Analyse von Verhalten, Konten, Berechtigungen und Netzpfaden im eigenen Umfeld.
Bei einem konkreten Verdacht: zuerst eindämmen, dann sauber aufklären
Wenn Hinweise auf einen laufenden Zugriff vorliegen, sollten potenziell betroffene Systeme nach dem bestehenden Incident-Response-Plan isoliert oder quarantänisiert werden. Parallel muss die Untersuchung ausreichend Beweise sichern: relevante Logs, Anmelde- und Prozessdaten, Netzwerkverbindungen sowie Änderungen an Konten, Konfigurationen und Backups. Eine überstürzte Bereinigung kann Spuren zerstören und verdeckte Zugänge übersehen.
Danach folgt die Reichweitenanalyse: Welche Geräte und Identitäten sind betroffen? Welche Berechtigungen und Systeme konnten erreicht werden? Wurden Daten gesammelt oder übertragen? Erst mit diesem Bild lässt sich eine nachhaltige Bereinigung planen – inklusive Zugangsdatenrotation, Überprüfung neuer Persistenzmechanismen und einer kontrollierten Wiederherstellung. Bei einem tatsächlichen Incident sollten Organisationen ihren Incident-Response-Partner, zuständige Behörden und gegebenenfalls rechtliche Stellen frühzeitig einbinden.