Eine gemeinsame Warnmeldung von CISA, dem FBI und Partnern besagt, dass SafePay-Ransomware mehr als 600 Opfer getroffen hat – und der Einstieg ist oft schmerzhaft gewöhnlich. Laut der Warnung nutzt die Gruppe SafePay-Ransomware gestohlene VPN-Zugangsdaten, um sich einfach anzumelden, und sie exploitet zudem zwei Schwachstellen aus dem Jahr 2024 in Veeam- und SonicWall-Geräten. Die Kernaussage ist einfach: Ein VPN-Gateway ist nur so sicher wie seine Anmeldungen und seine Firmware. ## Was die SafePay-Warnmeldung aussagt Die von CISA, dem FBI und Partnerbehörden herausgegebene Warnmeldung berichtet, dass SafePay-Ransomware über 600 Opfer kompromittiert hat. Zwei anfängliche Zugangswege stechen hervor: gültige VPN-Zugangsdaten, die Angreifer anderswo erlangt haben, und zwei Schwachstellen aus dem Jahr 2024, die Veeam- und SonicWall-Produkte betreffen. Das Quellmaterial ist knapp, daher werden hier einige Details nicht behandelt, wie etwa die spezifischen CVE-Identifikatoren oder die vollständige Liste der betroffenen Sektoren. Administratoren sollten die ursprüngliche Warnmeldung direkt lesen, um die technischen Indikatoren und die Liste der Gegenmaßnahmen zu erhalten. Was die Zusammenfassung jedoch deutlich macht, ist das Muster: Angreifer verlassen sich nicht auf exotische Techniken. Sie nutzen Zugänge, die entweder geleakt oder ungepatcht geblieben sind. ## Wie gestohlene VPN-Anmeldungen und Edge-Schwachstellen die Tür öffnen Ein VPN soll ein kontrollierter Eingang zu einem privaten Netzwerk sein. Wenn ein Angreifer einen gültigen Benutzernamen und ein gültiges Passwort besitzt, öffnet sich dieser Eingang für ihn genauso wie für einen Mitarbeiter. Für das VPN sieht eine gestohlene Anmeldung wie eine legitime Sitzung aus, weshalb dieser Weg ohne zusätzliche Prüfungen schwer zu erkennen ist. Gestohlene Zugangsdaten stammen tendenziell aus früheren Datenlecks, Phishing oder der Wiederverwendung von Passwörtern über Dienste hinweg. Wenn ein Mitarbeiter dasselbe Passwort für ein Arbeits-VPN und ein persönliches Konto verwendet, das später geleakt wird, benötigt der Angreifer überhaupt keinen technischen Exploit. Der zweite Weg sind ungepatchte Edge-Geräte. Firewalls, VPN-Appliances und Backup-Software sitzen an der Grenze oder im Herzen eines Netzwerks, sodass eine Schwachstelle in ihnen Angreifern einen starken Fußpunkt verschaffen kann. Die Warnmeldung verweist auf zwei Schwachstellen aus dem Jahr 2024, eine in Veeam und eine in SonicWall-Geräten. Die Tatsache, dass Schwachstellen aus 2024 noch immer ausgenutzt werden, ist bedeutsam: Sie deutet darauf hin, dass Fixes existieren, aber nicht immer angewendet werden. Zusammen zeigen diese Wege, warum Perimeter-Tools dieselbe Aufmerksamkeit benötigen wie jedes andere kritische System. Ein VPN schützt den Datenverkehr nur, wenn der Zugang zu ihm geschützt ist, und die Appliance selbst muss aktuell gehalten werden. ## Schritte zur Härtung des VPN-Zugangs und von Edge-Geräten Nichts des Folgenden ist exotisch, und das meiste davon deckt sich mit den Schwachstellen, die in der Warnmeldung beschrieben werden. - **Multi-Faktor-Authentifizierung bei jeder VPN-Anmeldung verlangen.** Ein gestohlenes Passwort allein sollte nicht ausreichen, um hineinzukommen. - **SonicWall- und Veeam-Produkte zeitnah patchen.** Prüfen Sie, ob die Fixes aus 2024 tatsächlich installiert wurden und nicht nur geplant sind. - **Auf Passwort-Wiederverwendung achten.** Vergleichen Sie Mitarbeiter-Zugangsdaten mit bekannten Leak-Daten und erzwingen Sie Zurücksetzungen, wo eine Exposition festgestellt wird. - **VPN-Protokolle auf ungewöhnliche Aktivitäten prüfen.** Anmeldungen zu ungewöhnlichen Zeiten, von unerwarteten Standorten oder von Konten, die normalerweise inaktiv sind, verdienen eine genauere Betrachtung. - **Veraltete Konten entfernen.** Ehemalige Mitarbeiter und ungenutzte Contractor-Anmeldungen sind leichte Ziele. - **Backups schützen.** Veeam ist Backup-Software, sodass eine Kompromittierung dort die Wiederherstellung untergraben kann. Halten Sie Kopien isoliert und testen Sie Wiederherstellungen. ## Was die Zahl von 600 Opfern für Organisationen und Nutzer bedeutet Für Organisationen ist die Zahl von über 600 Opfern eine Erinnerung daran, dass Ransomware-Gruppen skalieren, indem sie wiederholen, was funktioniert. Wenn eine einzige schwache Anmeldung oder eine alte ungepatchte Appliance ausreicht, dann ist grundlegende Hygiene eine der wirksamsten verfügbaren Verteidigungen – und eine der günstigsten. Für einzelne Nutzer, einschließlich Personen, die sich mit einem Arbeits-VPN verbinden oder einen Consumer-VPN-Dienst nutzen, betrifft die Lehre die Zugangsdaten. Verwenden Sie ein einzigartiges Passwort für jedes Konto, aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, und ändern Sie Passwörter umgehend, wenn ein von Ihnen genutzter Dienst eine Sicherheitsverletzung meldet. Mitarbeiter sind Teil der Verteidigung, da ihre Anmeldungen genau das sind, worauf Angreifer es abgesehen haben. Es hilft auch, sich daran zu erinnern, was nach einer Netzwerkkompromittierung geschieht. Ransomware-Betreiber erhöhen oft den Druck durch Erpressungsforderungen und Drohungen, Daten zu veröffentlichen. Die [ATB-Erpressungsgeschichte](/en/atb-hit-by-datasuckers-400k-demand-7-9m-affected), in der eine Gruppe namens DataSuckers Berichten zufolge 400.000 US-Dollar forderte und 7,9 Millionen Menschen betroffen sein sollen, zeigt, wie sich dieser Druck entfaltet, sobald Angreifer Zugang erlangt haben. ## Was das für Sie bedeutet Wenn Sie IT-Systeme verwalten, behandeln Sie Ihr VPN-Gateway und Ihre Backup-Software als hochpriorisierte Assets. Prüfen Sie, wer sich anmelden kann, bestätigen Sie, dass Multi-Faktor-Authentifizierung erzwungen wird, und verifizieren Sie, dass SonicWall- und Veeam-Updates vorhanden sind. Wenn Sie ein Alltagsnutzer sind, sichern Sie Ihre eigenen Konten: einzigartige Passwörter, MFA und schnelles Handeln nach jeder Sicherheitsbenachrichtigung. ## Wichtigste Erkenntnisse Die Warnung vor gestohlenen VPN-Zugangsdaten durch SafePay-Ransomware ist ein Aufruf, die Grundlagen in Ordnung zu bringen. Erzwingen Sie MFA bei allen VPN-Anmeldungen, patchen Sie SonicWall- und Veeam-Geräte ohne Verzögerung und überwachen Sie auf wiederverwendete oder geleakte Zugangsdaten. Angreifer, die sich einfach anmelden können, müssen nicht einbrechen – machen Sie ihnen das Anmelden deutlich schwerer.