# Vorfall-Lagebild: Safepay veröffentlicht Daten von ARA Lyss und Manno

Von Max Gilg · 27.10.2026 · 5 Min. Lesezeit

Kurz gesagt: Erstmeldung zu „Safepay veröffentlicht Daten von ARA Lyss und Manno“: was bekannt ist, was offen ist und was wahrscheinlich passiert ist.
Vorfall-Lagebild · Erstmeldung · Stand 27.10.2026 13:50

[Bild: Infografik: Safepay trifft ARA Lyss und Gemeinde Manno]

So viel ist belegt: rund 34 % der Fragen lassen sich mit Quellen beantworten, 28 % nur mit Vermutungen, 38 % sind offen.

Laut inside-it.ch (27.10.2026) hat die Ransomware-Gruppe Safepay Daten der Berner Abwasserreinigung ARA-Region Lyss-Limpachtal und der Tessiner Gemeinde Manno veröffentlicht. Seit dem 15.09. bekennt sie sich zu acht Angriffen in der Schweiz. Manno hat den Angriff bestätigt (Verschlüsselung Anfang August, Wiederherstellung aus Backups in Stunden). Für die ARA gibt es bisher nur den Eintrag auf der Leak-Seite und keine Stellungnahme des Betreibers. Ob die Leittechnik betroffen ist, weiß öffentlich niemand.

## 1. Was ist passiert, und warum?

- Belegt: Safepay hat laut inside-it.ch Daten einer Tessiner Gemeinde und einer Berner Abwasserreinigungsanlage veröffentlicht, nach Darstellung des Mediums darunter hochsensible Informationen (Quelle (https://www.inside-it.ch/kritische-schweizer-infrastrukturen-attackiert-20261027)).

- Belegt: Ransomware.live führt ara-lyss.ch seit dem 15.09.2026 (19:29 UTC) als Safepay-Opfer (Quelle (https://ransomware.live/id/YXJhLWx5c3MuY2hAc2FmZXBheQ==)).

- Belegt: Manno bestätigt: Anfang August wurde ein Teil der Gemeindeserver angegriffen und verschlüsselt. Die Gemeinde hat Meldung erstattet und Strafanzeige gegen Unbekannt eingereicht (Quelle (https://www.inside-it.ch/tessiner-gemeinde-wird-opfer-von-cyberkriminellen-20260929)).

- Belegt: Safepay betreibt laut CISA/FBI Double Extortion, also Datendiebstahl und Verschlüsselung. Die Gruppe kommt vor allem über gestohlene oder erratene Zugangsdaten, VPN-Zugänge und Schwachstellen in Edge-Geräten herein (Quelle (https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a)).

- Vermutlich: Bei der ARA gab es tatsächlich einen Einbruch in die IT mit Datenabfluss (zu 75 % sicher). Safepay listet in der Regel echte Opfer, und die Daten sind laut inside-it.ch inzwischen veröffentlicht. Eine Bestätigung des Betreibers fehlt aber.

- Vermutlich: Das Motiv ist finanziell (Erpressung) und nicht Sabotage (zu 85 % sicher). Safepay ist laut CISA eine klassische Erpressergruppe. Dass die Daten veröffentlicht wurden, deutet darauf hin, dass nicht bezahlt wurde.

- Offen: Ob die ARA den Angriff bestätigt

- Offen: Wann genau bei der ARA eingedrungen wurde

- Offen: Wie die Angreifer hereingekommen sind

- Offen: Welche Daten der ARA veröffentlicht wurden

## 2. Was ist die Auswirkung?

- Belegt: In Manno waren Daten und Betrieb dank Backups innerhalb von Stunden wiederhergestellt. Die Gemeinde warnt die Bevölkerung vor betrügerischen Zahlungsaufforderungen (Quelle (https://www.inside-it.ch/tessiner-gemeinde-wird-opfer-von-cyberkriminellen-20260929)).

- Belegt: Die ARA Lyss ist auf 85 000 Einwohnerwerte ausgelegt und reinigt Abwasser aus Gemeinden der Kantone Bern und Solothurn (Quelle (https://www.prolewa.ch/de/projekte/laufende-projekte/ara-lyss)).

- Vermutlich: Die Abwasserreinigung lief ohne Unterbruch weiter (zu 70 % sicher). Es gibt keine Berichte über Störungen oder Gewässerverschmutzung seit September. Eine Kläranlage lässt sich notfalls auch von Hand fahren.

- Vermutlich: Die Hauptauswirkung ist der Datenabfluss, also Folgerisiken wie Phishing oder Betrug mit den veröffentlichten Daten (zu 65 % sicher). Die Täter haben die Daten veröffentlicht. Manno warnt schon vor Betrugsversuchen.

- Offen: Ob die Abwasserreinigung je gestört war

- Offen: Welche Personendaten (Mitarbeitende, Kunden, Gemeinden) betroffen sind

- Offen: Ob Pläne oder Netzwerkdokumentation der Anlage veröffentlicht wurden

## 3. Wie lange dauert es digital (Wiederherstellung IT)?

- Belegt: Manno hat den Betrieb mit vorhandenen Backups innerhalb von Stunden wiederhergestellt (Quelle (https://www.inside-it.ch/tessiner-gemeinde-wird-opfer-von-cyberkriminellen-20260929)).

- Vermutlich: Die IT der ARA läuft sechs Wochen nach dem Leak-Eintrag wieder normal (zu 70 % sicher). Der Eintrag ist vom 15.09., und seitdem gab es keine öffentlichen Ausfallmeldungen. Kleinere Betreiber mit Backups sind meist in Tagen bis wenigen Wochen wieder arbeitsfähig.

- Offen: Ob bei der ARA überhaupt verschlüsselt wurde

- Offen: Wie der IT-Stand der ARA heute ist

## 4. Ist in der Anlage etwas kaputt, das lange dauert?

- Vermutlich: Mechanische oder verfahrenstechnische Schäden an der Anlage sind entstanden (zu 10 % sicher). Safepay zielt auf Daten und Windows-Systeme, nicht auf Prozesse. Es gibt keine Hinweise auf Betriebsstörungen.

- Vermutlich: Systeme wie die Leitstellen-PCs waren vorübergehend betroffen (zu 25 % sicher). Bei Ransomware sind Windows-basierte Bedienplätze manchmal mitbetroffen. Dafür gibt es hier aber keinen Beleg.

- Offen: Ob die Leittechnik oder die Steuerungen der ARA betroffen waren

- Offen: Wie die Leittechnik von der Büro-IT getrennt ist

[Bild: Diagramm: Öffentlich erreichbare OT-Protokolle in der Schweiz (Quelle: Shodan (aggregiert))]

## 5. Wie viele solcher Ziele gibt es?

- Belegt: Safepay bekennt sich seit dem 15.09. zu acht Angriffen in der Schweiz, darunter Bio-Strath und DD Automation (Quelle (https://www.inside-it.ch/kritische-schweizer-infrastrukturen-attackiert-20261027)).

- Belegt: Laut CISA/FBI hat Safepay seit August 2024 mindestens 600 Organisationen in mehreren KRITIS-Sektoren angegriffen (Quelle (https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a)).

- Belegt: Das BACS hat einen eigenen IKT-Minimalstandard für Abwasser veröffentlicht. Er behandelt unter anderem Ransomware-Befall und Manipulation von Prozessdaten (Quelle (https://ncsc.admin.ch/dam/ncsc/de/dokumente/infos-unternehmen/ikt-minimalstandards/IKT-Minimalstandard-Abwasser-DE.pdf.download.pdf/IKT-Minimalstandard-Abwasser-DE.pdf)).

- Belegt: Shodan (aggregiert): OT-Protokolle öffentlich erreichbar in Schweiz: 53057 gesamt (DNP3 16316, ProConOS 14889, EtherNet/IP 14649, Modbus 1976, Siemens S7 623, OPC UA 410).

- Vermutlich: Viele kleine ARA mit wenigen Mitarbeitenden haben keine eigene IT-Sicherheit und hängen an einem externen IT-Dienstleister (zu 70 % sicher). Die Struktur ist typisch für Zweckverbände. Der simulierte Angriff auf eine Zürcher ARA mit 5 Angestellten (Aqua & Gas 2022) zeigt das gleiche Muster.

- Offen: Eine verlässliche Zahl kommunaler ARA in der Schweiz habe ich in dieser Recherche nicht geprüft

## 6. Kann das wieder passieren?

- Belegt: CISA/FBI empfehlen MFA, eingeschränkte Admin-Rechte gegen Lateral Movement und schnelles Patchen von VPNs, Firewalls und anderen Edge-Geräten (Quelle (https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a)).

- Belegt: Bei einer simulierten Social-Engineering-Attacke auf eine Zürcher ARA kam der Tester an Prozessleitsystem und Server heran. Entdeckt wurde das erst nach zehn Tagen (Quelle (https://www.aquaetgas.ch/wasser/abwasser/20220829_ag9_simulierter-cyberangriff-auf-ara/)).

- Vermutlich: Weitere Schweizer Gemeinden oder Versorger tauchen in den nächsten Wochen bei Safepay oder anderen Gruppen auf (zu 75 % sicher). Acht Safepay-Opfer in rund sechs Wochen in der Schweiz. Die Gruppe ist hochaktiv.

- Offen: Welche Maßnahmen die ARA nach dem Vorfall ergriffen hat

## Vergleichsfälle

- Simulierter Social-Engineering-Angriff auf eine ARA in der Region Zürich (30 000 Einwohner, 5 Angestellte) (2022): Der Tester kam per Telefontrick an Prozessleitsystem und Server, ein WLAN-Passwort war in Minuten erraten. Kleine ARA sind verwundbar, lassen sich aber mit wenig Aufwand deutlich besser absichern. (Quelle (https://www.aquaetgas.ch/wasser/abwasser/20220829_ag9_simulierter-cyberangriff-auf-ara/))

- Stadtwerke Landsberg (Bayern), zentrale IT verschlüsselt (2026): Laut Betreiber liefen Strom und Wasser weiter. Das zeigt, was es bringt, die Betriebstechnik von der Büro-IT zu trennen. (Quelle (https://therecord.media/cyberattack-bavaria-germany-utility))

- Gemeinde Manno (TI), Teil desselben Safepay-Clusters (2026): Getestete Backups brachten den Betrieb in Stunden zurück, gegen den Datenabfluss halfen sie nicht. (Quelle (https://www.inside-it.ch/tessiner-gemeinde-wird-opfer-von-cyberkriminellen-20260929))

[Bild: Schema: So arbeitet Safepay: Double Extortion]

## Quellen

- https://www.inside-it.ch/kritische-schweizer-infrastrukturen-attackiert-20261027

- https://ransomware.live/id/YXJhLWx5c3MuY2hAc2FmZXBheQ==

- https://www.inside-it.ch/tessiner-gemeinde-wird-opfer-von-cyberkriminellen-20260929

- https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a

- https://www.prolewa.ch/de/projekte/laufende-projekte/ara-lyss

- https://ncsc.admin.ch/dam/ncsc/de/dokumente/infos-unternehmen/ikt-minimalstandards/IKT-Minimalstandard-Abwasser-DE.pdf.download.pdf/IKT-Minimalstandard-Abwasser-DE.pdf

- https://www.aquaetgas.ch/wasser/abwasser/20220829_ag9_simulierter-cyberangriff-auf-ara/

- https://ransomware.live/id/bWFubm8uY2hAc2FmZXBheQ==

- https://therecord.media/cyberattack-bavaria-germany-utility

Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder (/vorfaelle/).

Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene.

[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Für Redaktionen ordnet er Angriffe kurzfristig ein. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 27.10.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-safepay-veroeffentlicht-daten-von-ara-lyss-und-manno.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-safepay-veroeffentlicht-daten-von-ara-lyss-und-manno.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-safepay-veroeffentlicht-daten-von-ara-lyss-und-manno.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-safepay-veroeffentlicht-daten-von-ara-lyss-und-manno.html&text=Vorfall-Lagebild%3A%20Safepay%20ver%C3%B6ffentlicht%20Daten%20von%20ARA%20Lyss%20und%E2%80%A6)WhatsApp (https://wa.me/?text=Vorfall-Lagebild%3A%20Safepay%20ver%C3%B6ffentlicht%20Daten%20von%20ARA%20Lyss%20und%E2%80%A6%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-safepay-veroeffentlicht-daten-von-ara-lyss-und-manno.html)E-Mail (mailto:?subject=Vorfall-Lagebild%3A%20Safepay%20ver%C3%B6ffentlicht%20Daten%20von%20ARA%20Lyss%20und%E2%80%A6&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-safepay-veroeffentlicht-daten-von-ara-lyss-und-manno.html)