Hackerbande erpresst die Region: Cyberangriff auf Flughafen Hahn – auch Caritas Koblenz auf der Liste

Koblenz/Lautzenhausen. Eine international agierende Hackerbande hat offenbar mehrere Ziele in Rheinland-Pfalz ins Visier genommen. Bestätigt ist ein Cyberangriff auf den Flughafen Hahn im Hunsrück: Die Täter drangen in die IT-Systeme ein, stahlen Daten und erpressten den Airport – inzwischen tauchten die erbeuteten Daten im Darknet auf. Auf derselben Darknet-Seite der Erpressergruppe "SafePay" ist zudem der Caritasverband Koblenz als Opfer gelistet. Der Flugbetrieb am Hahn war zu keinem Zeitpunkt betroffen.

Bekennerschreiben liegt NeuwiedFM vor

Hinter den Angriffen steckt nach Erkenntnissen der Ermittler die weltweit aktive Erpressergruppe "SafePay". NeuwiedFM liegt der Eintrag vor, mit dem die Bande den Flughafen Hahn auf ihrer Darknet-Seite als Opfer präsentiert. Datiert ist er auf den 6. Juli. Darin drohte die Gruppe mit einem Countdown, die erbeuteten Daten zu veröffentlichen, sollte sich niemand vom Flughafen bei ihr melden.

SafePay geht dabei nach einem Muster vor, das unter Kriminellen "doppelte Erpressung" heißt: Die Angreifer verschlüsseln die Daten ihres Opfers – und kopieren sie zusätzlich vorher. Zahlt das Opfer kein Lösegeld, drohen sie damit, die gestohlenen Informationen zu veröffentlichen.

Daten des Flughafens inzwischen veröffentlicht

Und genau das ist am Hahn offenbar passiert: Nach Angaben der Generalstaatsanwaltschaft Koblenz wurden die erbeuteten Daten inzwischen tatsächlich auf der Leak-Seite der Bande veröffentlicht. Das gilt als deutlicher Hinweis darauf, dass der Flughafen der Lösegeldforderung nicht nachgekommen ist – bei SafePay ist die Veröffentlichung üblicherweise die Konsequenz einer verweigerten oder gescheiterten Zahlung.

Offen ist allerdings, welche Daten genau betroffen sind. Weder die Ermittler noch der Flughafen haben mitgeteilt, ob es sich etwa um Mitarbeiter-, Geschäfts- oder Kundendaten handelt – und in welchem Umfang. Auch der Bekennereintrag der Bande selbst nennt dazu keine Einzelheiten. Der Flughafen hält sich bedeckt: Man sprach von einem "Sicherheitsvorfall" und verwies auf den engen Austausch mit den zuständigen Behörden. Neben der Generalstaatsanwaltschaft Koblenz ermittelt auch das Landeskriminalamt Rheinland-Pfalz; die Aufarbeitung läuft.

Steht auch die Caritas Koblenz auf der Liste?

Der Angriff auf den Hahn ist offenbar kein Einzelfall in der Region. Am selben 6. Juli listete "SafePay" gleich mehrere neue Opfer auf ihrer Leak-Seite – darunter auch den Caritasverband Koblenz. Die Bande behauptet damit, ebenfalls in dessen Systeme eingedrungen zu sein und Daten erbeutet zu haben.

Anders als beim Flughafen Hahn ist dieser Fall bislang aber nicht offiziell bestätigt: Er beruht allein auf dem Eintrag der Hackergruppe. Eine Stellungnahme des Caritasverbands liegt nicht vor, ebenso wenig eine Bestätigung der Ermittlungsbehörden. Ob tatsächlich Daten abgeflossen sind, welche das wären und ob sie veröffentlicht wurden, ist offen. NeuwiedFM hat den Caritasverband um eine Stellungnahme gebeten.

Sollte sich der Angriff bestätigen, wäre er besonders sensibel: Die Caritas arbeitet mit hochvertraulichen Daten von Menschen in schwierigen Lebenslagen – etwa in der Sucht- und Schuldnerberatung, der Migrations- und Flüchtlingshilfe sowie der Pflege. Der 1918 gegründete Verband ist der größte Wohlfahrtsverband der Region, beschäftigt rund 500 Menschen in mehr als 50 Einrichtungen und ist mit einzelnen Diensten auch im Landkreis Neuwied aktiv.

Was Betroffene jetzt beachten sollten

Weil am Hahn eine Veröffentlichung von Daten bestätigt ist, ist für mögliche Betroffene – etwa Mitarbeitende oder Geschäftspartner – trotz der unklaren Datenlage Vorsicht ratsam. Nach solchen Datenlecks versuchen Kriminelle häufig, erbeutete Informationen für Betrugsmaschen zu nutzen, etwa für täuschend echte Phishing-Mails. Wer in Kontakt mit den betroffenen Einrichtungen steht, sollte auf offizielle Hinweise achten, bei verdächtigen Nachrichten misstrauisch sein und – wo möglich – Passwörter ändern und die Zwei-Faktor-Anmeldung aktivieren.

Flughäfen und Einrichtungen zunehmend im Visier

Der Fall reiht sich in eine wachsende Zahl von Cyberangriffen ein. Erst im September 2025 hatte ein Angriff auf einen IT-Dienstleister mehrere große europäische Flughäfen – darunter Berlin, Brüssel und London-Heathrow – tagelang lahmgelegt. Fachleute warnen seit Längerem, dass kritische Infrastruktur und soziale Einrichtungen immer häufiger ins Visier von Ransomware-Banden geraten. "SafePay" gehört dabei zu den derzeit aktivsten Erpresserbanden weltweit; in Deutschland war die Gruppe zuletzt für einen erheblichen Teil aller bekannten Ransomware-Angriffe verantwortlich. Sicherheitsforscher vermuten sie in Osteuropa.

Der Flughafen Hahn, hervorgegangen aus einem früheren US-Militärflugplatz, gehört zu den größten Frachtflughäfen Deutschlands und ist ein wichtiger Standort für Billigflieger. Seit der Übernahme durch die Triwo-Gruppe 2023 hatte sich der Airport wirtschaftlich erholt – der Cyberangriff ist nun ein herber Rückschlag. Dass innerhalb weniger Tage gleich mehrere Ziele in Rheinland-Pfalz betroffen sein könnten, zeigt, wie sehr auch Einrichtungen in der Region ins Visier solcher Banden geraten.