Update: über 42.000 Betroffene Ingram Micro meldet Ransomware-Angriff

Anbieter zum Thema

Fsas Technologies GmbH

Nachdem ein Ransomware-Angriff den Distributor Ingram Micro eine Woche lang lahmlegte, wurden nun die Auswirkungen beziffert. Hinter dem Angriff steckte die Gruppe „SafePay“, die 2025 zu den bedrohlichsten Ransomware-Akteuren gehörte.

Am Morgen des 3. Julis 2025 ging bei Ingram Micro plötzlich nichts mehr: die Webseiten und Partner­portale waren offline, Kunden konnten keine Bestellungen mehr aufgeben. Am 5. Juli gab der Distributor dann bekannt, Ransomware auf seinen internen Systemen entdeckt zu haben. Als Reaktion schaltete Ingram Micro die betroffenen Systeme sofort ab und imple­men­tier­te weitere Maßnahmen zur Schadensbegrenzung. Außerdem leitete das Unternehmen zusammen mit IT-Sicherheitsexperten eine Untersuchung ein und informierte die Straf­ver­folgungsbehörden.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2025

Über 42.000 Betroffene

Eine Woche lang wurde die Logistik des Unternehmens durch den Vorfall lahmgelegt. Nun wurde bekannt, dass auch sensible Daten gestohlen wurden. Wie Ingram Micro in einer Pflicht­mitteilung an die US-Behörden bestätigte, sind mehr als 42.000 Menschen betroffen. Die Täter sollen Informationen von aktuellen und ehemaligen Mitarbeitern sowie von Bewerbern erlangt haben. Dieser Meldung zufolge fand der Ransomware-Befall zwischen dem 2. und 3. Juli 2025 statt und wurde erst am 26. Dezember 2025 erkannt. Neben personenbezogenen Daten wie Namen und Kontaktdaten wurden auch Geburtsdaten, Personalausweisnummern und Sozialversicherungsnummern offengelegt. Darüber hinaus konnten die Akteure Dokumente aus Bewerbungsprozessen und Mitarbeiterbeurteilungen gestohlen. Der IT-Distributor be­schäftigt weltweit rund 23.500 Mitarbeiter.

Bekannt zu dem Angriff hat sich kurz nach Bekanntwerden die Ransomware-Gruppe „SafePay“. Sie stellte im August 2025 ein Ultimatum an Ingram Micro: Lösegeld bezahlen oder zusehen, wie 3,5 Terabyte angeblich gestohlener Unternehmensdaten veröffentlicht werden. Ob der Dis­tri­bu­tor das Lösegeld bezahlt hat, ist nicht bekannt.

Bitkom Wirtschaftsschutz-Studie 2025

Finanzieller Schaden für deutsche Wirtschaft steigt um 22,6 Milliarden

Kunden und Mitarbeiter blieben zuerst uninformiert

In einem Reddit-Threat vom 3. Juli 2025 tauschen sich Kunden und Mitarbeitende von Ingram Micro über den Vorfall aus. Zum damaligen Zeitpunkt gab es weder ein offizielles Statement noch Informationen für Kunden. Ein Mitarbeiter kommentierte am 4. Juli, dass das interne System, über das die Einheiten für Apple-Geräte in den verschiedenen Bereichen des Werks verarbeitet und überwacht werden, ausgefallen sei.

Ratschläge für eine effiziente Verständigung im Notfall

Mangelhafte Krisenkommunikation gefährdet Mitarbeiter

Mehrtägiger Ausfall

Auch am 5. Juli 2025 habe der IT-Ausfall bei Ingram Micro Bleeping Computer zufolge weiter angedauert. Hinter dem Ausfall stecke die Ransomware-Gruppe „SafePay“, die in diesem Jahr zu den gefähr­lichsten Ransomware-Akteuren gehört. Die Mitarbeiter des Distributors hätten auf ihren Gerä­ten Lösegeldforderungen der Gruppe vorgefunden, ob tatsächlich Geräte und Daten ver­schlüs­selt wurden, ist unklar. Bleeping Computer zufolge hätten die Angreifer vermutlich über die Global­Protect-VPN-Plattform auf das interne Systeme von Ingram Micro zugegriffen. Nachdem der Sicherheitsvorfall entdeckt wurde, seien Mitarbeiter an verschiedenen Stand­orten auf­ge­for­dert worden, von zu Hause aus zu arbeiten, jedoch die VPN-Plattform nicht zu nutzen. Auch die KI-gestützte Vertriebsplattform Xvantage und die Lizenz­be­reit­stel­lungs­platt­form Impulse seien von dem Ausfall betroffen gewesen.

Das offizielle Statement von Ingram Micro wurde am 5. Juli veröffentlicht. Darin heißt es: „Ingram Micro arbeitet mit Hochdruck an der Wiederherstellung der betroffenen Systeme, da­mit Bestellungen bearbeitet und ausgeliefert werden können. Das Unternehmen entschuldigt sich für etwaige Störungen, die durch dieses Problem bei seinen Kunden, Lieferanten und anderen entstehen.“

1. Halbjahr 2025

Die Top Malware in Deutschland

Wer steckt hinter SafePay?

SafePay ist eine noch recht junge Ransomware, die erstmals im September 2024 entdeckt wurde. Seitdem hat sie sich Cybersecurity-Analysten zufolge zu einer der aktivsten und gefähr­lichsten Malware weltweit entwickelt. Dem „State of Cybersecurity Report“ von Check Point zufolge war SafePay im November 2024 an fünf Prozent der gemeldeten Sicherheits­vorfälle beteiligt. Im ersten Quartal 2025 habe es 77 öffentlich bekannte SafePay-Opfer gegeben, was das Schadprogramm zur neunthäufigsten Ransomware-Variante mache.

Einer der bekanntesten Vorfälle ist der Ransomware-Angriff auf das britische Telematik­unternehmen Microlise. Im Oktober 2024 gab das Unternehmen bekannt, Ziel einer Cyber­attacke geworden zu sein, im November folgte die Behauptung von SafePay, 1,2 Terabyte an Daten gestohlen zu haben. Die Gruppe forderte eine Zahlung des Lösegelds innerhalb von 24 Stunden. Bisher gibt es den Forschern zufolge nur wenige Informationen über die SafePay. Allerdings zeichne sich die Ransomware durch ihre enorm schnelle Verschlüsselungszeit aus. Die Angriffe würden in der Regel in weniger als 24 Stunden ablaufen – vom Einbruch in interne Systeme bis zum Einsatz der Ransomware. Die Ransomware-Binärdatei weise Ähnlichkeiten mit einer Version der LockBit-Ransomware aus dem Jahr 2022 auf. Allerdings enthalte SafePay auch Elemente, die von Gruppen wie ALPHV und INC Ransom verwendet würden.

Zu den Opfern von SafePay würden neben Privatunternehmen auf der öffentliche Sektor ge­hören. Hauptsächlich würden Unternehmen in den USA, Großbritannien und Deutschland angegriffen aus unterschiedlichen Branchen. Teilweise habe es in den USA und Deutschland Angriffswellen mit mehr als zehn Attacken pro Tag gegeben. Im ersten Quartal 2025 haben Check Point zufolge 24 Prozent aller gemeldeten Ransomware-Opfer in Deutschland mit SafePay im Zusammenhang gestanden. Dies sei der höchste Prozentsatz für eine einzelne Ransomware-Gruppe in einem Land, den der Security-Anbieter jemals verzeichnet habe. Dies deute darauf hin, dass SafePay in diesem Jahr möglichst schnell in Deutschland Fuß fassen wolle.

Ransomware

Fasana stellt Insolvenzantrag nach Cyberangriff

(ID:50473855)