Veröffentlicht am 11.07.2026
Am 4. Juli 2026 tauchte ein prominenter Name auf einer Darknet-Leak-Seite auf: die Deutsche Bank. Die Ransomware-Gruppe „Unsafe“ listete Deutschlands größtes Kreditinstitut als neues Opfer und veröffentlichte Screenshots von Datenbankexporten als Beweismaterial. Nach Angaben der Angreifer wurden 5,5 Gigabyte Daten erbeutet – darunter E-Mail-Adressen, Passwort-Hashes, physische Adressen und interne Datenbankeinträge von Mitarbeitern.
Auch wenn dieser Vorfall auf den ersten Blick nur ein Großkonzern-Problem zu sein scheint: Für kleine und mittlere Unternehmen (KMU) steckt hier eine wichtige Lehre. Denn der Angriff traf nicht die Bank-IT direkt, sondern einen externen Dienstleister – genau die Art von Lieferkettenangriff, die zunehmend auch mittelständische Betriebe trifft. Und gestohlene Mitarbeiterdaten können als Munition für Phishing-Wellen und Passwort-Angriffe gegen jedes beliebige Unternehmen genutzt werden.
Die Ransomware-Gruppe Unsafe stellte am 4. Juli 2026 die Deutsche Bank auf ihren Opfer-Blog im Darknet. Als „Beweis“ veröffentlichten die Angreifer Screenshots, die Terminal-Ausgaben und SQL-Datenbankabfragen zeigen (SQL ist die Standardsprache, mit der Datenbanken abgefragt werden). Diese Exporte stammen laut den Angreifern aus internen Systemen.
Sicherheitsforscher des Portals Cybernews, das zuerst über den Vorfall berichtete, analysierten die veröffentlichten Stichproben. Sie enthalten nach deren Angaben:
Wichtig für die Einordnung: Ob auch Kundendaten betroffen sind, lässt sich anhand der veröffentlichten Stichproben nicht feststellen. Die Cybernews-Forscher formulierten es so:
„Anhand der verfügbaren Stichproben lässt sich nicht feststellen, ob Kundendaten vom mutmaßlichen Einbruch betroffen sind.“ (Cybernews-Sicherheitsforscher)
Am 8. Juli 2026 bestätigte die Deutsche Bank gegenüber Cybernews einen Sicherheitsvorfall – allerdings nicht in den eigenen Systemen, sondern bei einem externen Dienstleister in Deutschland, der eine Marketing- und Incentive-Plattform für Vertriebspartner betreibt. In der Stellungnahme heißt es (sinngemäß aus dem Englischen übersetzt):
„Wir wurden über einen Cybersicherheitsvorfall bei einem externen Dienstleister in Deutschland informiert, der eine Marketing- und Incentive-Plattform für Vertriebspartner betreibt. Es gibt keine Hinweise darauf, dass interne Systeme oder Netzwerke der Deutschen Bank betroffen waren oder sind. Es gibt auch keine Belege für einen unbefugten Zugriff auf das Netzwerk der Deutschen Bank.“ (Sprecher der Deutschen Bank)
Die Untersuchung gemeinsam mit dem betroffenen Dienstleister läuft weiter. Ein Patch oder eine CVE-Kennung (eine standardisierte Nummer für eine bekannte Sicherheitslücke) existiert bislang nicht.
Unsafe ist eine Ransomware-Gruppe, die nach dem Ransomware-as-a-Service-Modell (RaaS) operiert. Das bedeutet: Die Kerngruppe stellt die Schadsoftware und die technische Infrastruktur bereit, während sogenannte Affiliates (Partner) die eigentlichen Angriffe durchführen und im Gegenzug einen Anteil des Lösegelds behalten. Dieses Modell ist besonders gefährlich, weil es auch technisch weniger versierten Kriminellen ermöglicht, professionelle Angriffe zu fahren – auch gegen kleinere Ziele.
Die Gruppe setzt auf doppelte Erpressung (Double Extortion): Erst werden Daten heimlich kopiert (exfiltriert), dann werden die Systeme verschlüsselt. Das Opfer wird gleich zweifach unter Druck gesetzt – einerseits durch den Verlust der eigenen Daten, andererseits durch die Drohung, die gestohlenen Daten öffentlich zu machen.
Der Threat-Intelligence-Dienstleister SocRadar beschreibt die Vorgehensweise so:
„Unsafe Ransomware nutzt Zero-Day-Schwachstellen in verschiedener Software, um Sicherheitsmechanismen zu umgehen. Die Gruppe setzt eine Vielzahl von Schadprogrammen ein, darunter GandCrab und Emotet. Sobald sie Zugang erlangt haben, deaktiviert Unsafe Sicherheitsmaßnahmen und entfernt Spuren von kompromittierten Systemen.“ (SocRadar)
Zur Erklärung: Eine Zero-Day-Schwachstelle ist eine Sicherheitslücke, für die es noch keinen Patch gibt – der Hersteller hatte „null Tage“ Zeit, sie zu schließen. Emotet ist ein berüchtigter Banking-Trojaner, der oft als Einfallstor dient, um weitere Schadsoftware nachzuladen. GandCrab ist eine bekannte Ransomware-Familie.
Unsafe wurde erstmals im Dezember 2022 gesichtet, war 2024 und 2025 weitgehend inaktiv und ist 2026 aggressiv zurückgekehrt. Zu den bekannten Zielregionen zählen die USA, Deutschland, die Schweiz und Frankreich.
Die Deutsche Bank ist kein Unbekannter bei solchen Vorfällen. Bereits 2023 war sie vom MOVEit-Hack der Cl0p-Gruppe betroffen – auch damals über einen Dienstleister, den Anbieter Majorel Germany, wodurch Kundendaten Tausender Bankkunden erbeutet wurden. Das Muster wiederholt sich: Nicht die schwer gesicherte Kern-IT, sondern die schwächeren Glieder in der Lieferkette werden zum Einfallstor.
Direkt betroffen sind zunächst Mitarbeiter der Deutschen Bank und deren Vertriebspartner, deren Daten auf der kompromittierten Plattform gespeichert waren. Für KMU besteht ein mittelbares Risiko. So gehen Sie vor:
Unabhängig davon, ob Sie direkt betroffen sind – dieser Vorfall ist ein guter Anlass, die eigene Sicherheit zu überprüfen. Die folgenden Schritte sind für jedes KMU sinnvoll:
Dieser Fall ist auch datenschutzrechtlich lehrreich. Nach Art. 33 DSGVO müssen Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, an die zuständige Aufsichtsbehörde melden – sofern ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Da hier Mitarbeiterdaten wie E-Mail-Adressen, Passwort-Hashes und Adressen betroffen sind, ist eine Meldepflicht sehr wahrscheinlich gegeben.
Bei hohem Risiko müssen nach Art. 34 DSGVO zusätzlich die betroffenen Personen direkt informiert werden. Für KMU besonders relevant: Wer als Auftragsverarbeiter (also als Dienstleister) tätig ist, muss seinen Auftraggeber nach Art. 33 Abs. 2 DSGVO unverzüglich informieren. Die Meldung muss unter anderem die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl betroffener Personen, die Kontaktdaten des Datenschutzbeauftragten sowie die ergriffenen Maßnahmen enthalten.
Art. 32 DSGVO verpflichtet zu geeigneten technischen und organisatorischen Maßnahmen (TOM). Unzureichende Sicherheit kann teuer werden: Bußgelder reichen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4) bzw. bei schweren Verstößen bis zu 20 Mio. Euro oder 4 % (Art. 83 Abs. 5). Zur Einordnung: Vodafone Deutschland erhielt im Juni 2025 ein Bußgeld von 45 Mio. Euro wegen unzureichenden Datenschutzes. Deutsche Datenschutzbehörden verhängten 2025 mindestens 249 Bußgelder mit einer Gesamtsumme von 46,9 Mio. Euro.
Merken Sie sich: Selbst wenn der eigentliche Datenschutzverstoß durch einen Dritten verursacht wurde, kann eine verspätete oder unterlassene Meldung zu eigenen Bußgeldern führen. Die 72-Stunden-Uhr tickt für Sie.
Die Cybernews-Forscher warnen vor den konkreten Missbrauchsmöglichkeiten:
„Die gestohlenen Daten könnten für Phishing-Angriffe auf Mitarbeiter, das Knacken von Passwörtern oder als Grundlage für weitere Kompromittierungen missbraucht werden.“ (Cybernews-Sicherheitsforscher)
Das Kernrisiko für KMU: Nutzen Ihre Mitarbeiter dasselbe Passwort für mehrere Dienste (Password Reuse), können aus einem fremden Leak geknackte Passwörter auch Ihre Konten gefährden – bekannt als Credential Stuffing. Und die Zahlen zeigen, wie real die Bedrohung ist:
Der mutmaßliche Datendiebstahl bei der Deutschen Bank zeigt einmal mehr: Selbst hochgesicherte Konzerne sind über ihre Dienstleister verwundbar. Für KMU ist das doppelt relevant – erstens, weil Sie selbst oft ein solcher Dienstleister für größere Kunden sind, und zweitens, weil gestohlene Daten aus Vorfällen wie diesem als Grundlage für Angriffe auf Ihr Unternehmen dienen können.
Warten Sie nicht auf offizielle Bestätigungen. Ändern Sie Passwörter, aktivieren Sie MFA, prüfen Sie Ihre Backups und schauen Sie sich Ihre Lieferkette genau an. Und stellen Sie sicher, dass Ihr Team die 72-Stunden-Meldepflicht der DSGVO kennt – denn im Ernstfall entscheiden Stunden über Bußgelder in erheblicher Höhe.
Stand der Recherche: 11. Juli 2026. Die Untersuchung zwischen der Deutschen Bank und dem betroffenen Dienstleister läuft weiter. Ein Patch oder eine CVE-Kennung existiert nicht. Wir aktualisieren diesen Artikel, sobald neue Informationen vorliegen.