Security · 26. Oktober 2026

SafePay-Ransomware zielt auf VPN-Lücken und zerstört Backups gezielt

CISA und FBI warnen vor SafePay: Die Gruppe nutzt bekannte VPN-Lücken und zerstört gezielt Backups im Mittelstand.

Christian Lohse · CEO & Founder

SafePay kommt selten über eine unbekannte Schwachstelle ins Netz – meistens reicht eine ungepatchte VPN-Lücke oder ein gestohlenes Passwort. Der eigentliche Schaden entsteht danach: Die Gruppe löscht gezielt Backups, bevor sie verschlüsselt, und maximiert so den Druck zur Lösegeldzahlung. Genau hier liegt der Punkt, an dem viele Unternehmen ihre Abwehr falsch priorisieren.

Das Wichtigste in Kürze

CISA, FBI, der US Secret Service und internationale Partner haben am 20. Oktober 2026 eine gemeinsame Warnung zur Ransomware-Gruppe SafePay veröffentlicht, am Folgetag per Pressemitteilung zusammengefasst.
Nach Behördenangaben hat SafePay bislang etwa 600 Organisationen in Amerika, Europa und Australien getroffen.
Der Erstzugang läuft überwiegend über kompromittierte Zugangsdaten und bekannte, längst gepatchte Schwachstellen in VPNs, Firewalls und Veeam-Backup-Systemen – nicht über neu entdeckte Lücken.
Ein zentrales Element der Angriffe ist die gezielte Zerstörung von Backups, etwa durch Löschen von Schattenkopien oder Zurücksetzen von NAS-Systemen auf Werkseinstellungen.
Wer seine externen Zugänge nicht patcht und seine Backups nicht isoliert, bietet SafePay zwei offene Türen gleichzeitig.

SafePay nutzt bekannte VPN-Lücken, keine Zero-Days

Die gemeinsame Warnung der Behörden, dokumentiert in der Advisory AA26-293A, listet konkrete Schwachstellen, die SafePay-Akteure ausnutzen: unter anderem CVE-2020-3259 und CVE-2023-20269 im Cisco-ASA/Firepower-Umfeld sowie CVE-2023-27532 und CVE-2024-40711 in Veeam Backup & Replication. Keine dieser Lücken ist neu – alle sind seit Monaten oder Jahren bekannt und in Patches geschlossen. Nach Angaben der Advisory kombiniert die Gruppe diese technischen Schwachstellen mit kompromittierten Zugangsdaten, Brute-Force-Versuchen und Phishing als gleichwertige Einfallswege.

Das ist die typische Fehleinschätzung in vielen IT-Abteilungen: Man rüstet gegen unbekannte Angriffe, während die bekannte Lücke im Edge-Gerät seit dem letzten Quartalsupdate offen ist. Betroffen sind alle Unternehmen mit internetexponierten VPN-, Firewall- oder Backup-Managementsystemen – unabhängig von Branche oder Größe. Die Advisory nennt für die USA betroffene Sektoren, macht aber keine belastbare Aussage zu einem besonderen Schwerpunkt im deutschsprachigen Raum. Das bedeutet nicht Entwarnung, sondern nur, dass die Angriffsfläche überall dieselbe ist: ungepatchte, extern erreichbare Geräte.

Auffällig ist laut Advisory auch die Nutzung des VPN-Anbieters Mullvad im Umfeld der Angriffe. Das ist kein Beweis für eine Kompromittierung, aber ein Prüfhinweis, den Sicherheitsteams in ihre Log-Analyse aufnehmen sollten.

Der eigentliche Hebel: Backups werden gezielt zerstört

Der Teil der Advisory, der in der öffentlichen Diskussion oft untergeht, betrifft das Vorgehen gegen Backups. SafePay stoppt laut Behördenbeschreibung den Windows-Volume-Shadow-Copy-Dienst, löscht Schattenkopien und setzt NAS-Systeme mit Backup-Daten auf Werkseinstellungen zurück. Reuters und BleepingComputer ordnen diese Taktik als zentrales Element der Kampagne ein, nicht als Nebenschauplatz.

Daraus folgt ein wichtiger Punkt für die Architektur: Eine zweite Kopie auf einem dauerhaft erreichbaren NAS ist kein echter Schutz. Wenn ein kompromittiertes Domänen- oder NAS-Administratorkonto die Backup-Freigabe erreichen und löschen kann, ist die Kopie im Ernstfall wertlos. Widerstandsfähig sind nur Architekturen mit mindestens einer offline oder logisch getrennten, unveränderbaren (immutable) Kopie, eigenen administrativen Identitäten für die Backup-Infrastruktur und einer Netzwerksegmentierung, die verhindert, dass ein kompromittiertes Benutzerkonto überhaupt Schreibzugriff auf das Backup-System hat.

Was jetzt zu tun ist:

Heute: Alle internetexponierten VPN-, Firewall- und Backup-Systeme inventarisieren und gegen die in der Advisory genannten CVEs sowie den CISA-KEV-Katalog prüfen; MFA-Lücken bei VPN- und Administratorkonten identifizieren.
Diese Woche: Testen, ob ein kompromittiertes Domänenadministrator-Konto Schattenkopien löschen, Backup-Jobs ändern oder NAS-Werkseinstellungen auslösen kann. Ist das möglich, fehlt die Isolation der Backup-Infrastruktur. Phishing-resistente MFA für privilegierte und externe Zugänge priorisieren.
Mittelfristig: Mindestens eine offline oder unveränderbare Backup-Kopie etablieren, Backup-Netz segmentieren, Wiederherstellung regelmäßig testen und dokumentieren, Monitoring-Regeln für VSS-Stopp und NAS-Resets einrichten, IOC-Daten aus der Advisory in SIEM und EDR einspielen.

Wer unter NIS2 fällt, sollte zusätzlich im Einzelfall rechtlich prüfen lassen, ob ein vergleichbarer Vorfall meldepflichtig wäre; eine erste grobe Einschätzung liefert die NIS2-Ersteinschätzung.

Einordnung aus Sicht von jalotiqo

Wir halten SafePay für ein Thema, das im Mittelstand eher unterschätzt wird, weil die Schlagzeile „600 Opfer weltweit“ abstrakt bleibt und die genutzten Schwachstellen nicht neu klingen. Genau das ist der Denkfehler: Bekannte, gepatchte Lücken sind kein Grund zur Entspannung, sondern der Beweis, dass viele Unternehmen mit Patchen schlicht zu langsam sind. Die eine Konsequenz, die wir für entscheidend halten, lautet: Backup-Sicherheit ist keine Lagerfrage, sondern eine Zugriffsfrage. Es reicht nicht, Daten zu kopieren – entscheidend ist, wer diese Kopie löschen oder überschreiben kann. An erster Stelle würden wir deshalb nicht neue Werkzeuge beschaffen, sondern mit Bordmitteln testen, ob ein kompromittiertes Administratorkonto heute Zugriff auf die Backup-Infrastruktur hätte. Bewusst noch nicht angehen würden wir in dieser Phase komplexe neue Erkennungsprojekte – die Priorität liegt auf Patchstand, Kontotrennung und einem echten Wiederherstellungstest. Ein dokumentierter Wiederherstellungstest erzeugt ohnehin einen Nachweis; in jalotiqo ONE entsteht dieser Nachweis direkt aus dem Testlauf, statt ihn zusätzlich von Hand für Audits zu pflegen.