Sicherheitsvorfall bei FTAPI: Was bekannt ist und was Sie jetzt tun sollten

Die FTAPI Software GmbH hat einen Ransomware-Angriff auf einen internen Server bestätigt. Die FTAPI-Plattform und die Daten, die Sie darüber austauschen, sind nach Angaben des Herstellers nicht betroffen. Abgeflossen sind aber Rechnungen, Angebote und Bestellungen, und genau dieses Material macht gefälschte Zahlungsaufforderungen in den kommenden Wochen wahrscheinlich.

Was ist passiert?

Stand: 1. Oktober 2026. Wir aktualisieren diesen Beitrag, sobald neue Informationen vorliegen. Grundlage sind die Kundeninformationen von FTAPI vom 21. und 30. September 2026 sowie die Berichterstattung von heise online, Borns IT- und Windows-Blog und security-incidents.de.

Am 14. September 2026 hat FTAPI festgestellt, dass Unbefugte Zugang zu einem einzelnen, lokal betriebenen internen Server erlangt und dort Ransomware eingesetzt haben. Auf diesem Server und dem angebundenen Netzwerkspeicher liefen interne Dienste für die Büro-IT sowie lokale Test- und Laborumgebungen für die Entwicklung, beide ohne Kundendaten. Dazu kamen ein Archiv mit der E-Mail-Korrespondenz ehemaliger FTAPI-Mitarbeitender und ein Dateiserver für die Ablage im lokalen Büronetzwerk. Aus diesen beiden Systemen sind Daten abgeflossen.

Hinter dem Angriff steht nach übereinstimmenden Medienberichten die Ransomware-Gruppe „The Gentlemen". Sie hat FTAPI am 25. September auf ihrer Leak-Seite im Darknet gelistet, ohne Art oder Menge der Daten zu nennen. Seit dem 28. September berichten Fachmedien über den Vorfall. Wie die Angreifer auf den Server gelangt sind, hat FTAPI bislang nicht offengelegt.

Die Reichweite ist erheblich: Laut heise online nutzen mehr als 2.000 Unternehmen und über eine Million Anwenderinnen und Anwender aus Verwaltung, Gesundheitswesen und Industrie die Plattform des Münchner Anbieters.

Was nicht betroffen ist

Die gute Nachricht zuerst. FTAPI trennt nach eigenen Angaben interne Systeme und die Systeme, auf denen Kundendaten liegen, grundsätzlich voneinander.

Die forensische Untersuchung der FTAPI-Kundensysteme ist abgeschlossen und hat keine Hinweise auf eine Kompromittierung ergeben. Der Betrieb der Plattform war zu keinem Zeitpunkt eingeschränkt. Für Sie heißt das: An Ihrer FTAPI-Instanz und an Ihrer täglichen Nutzung ändert sich nichts.

Welche Daten abgeflossen sind

Betroffen sind zwei Bestände, die sehr unterschiedlich zu bewerten sind. Der Dateiserver ist das eigentliche Risiko, das E-Mail-Archiv ist nach heutigem Stand verschlüsselt.

Interner Dateiserver

FTAPI liegt eine Liste der betroffenen Dateinamen vor. Die Dateien selbst werden derzeit auf neuer Hardware wiederhergestellt, die Einordnung beruht also bislang auf Metadaten.

Ein Teil der Dateien hat keinen Kundenbezug, etwa Marketingmaterial und Release-Dokumentation. Die Dateien mit Kundenbezug sind fast ausschließlich Ausgangsrechnungen sowie Angebote und Bestellungen. Sie enthalten Stammdaten, Kontaktdaten und Vertragsdaten. Die Bestände stammen nach aktuellem Stand fast ausschließlich aus den Jahren 2018 bis 2020, das betroffene Rechnungsarchiv wurde Anfang 2021 stillgelegt.

E-Mail-Archiv

Das Archiv enthält die Korrespondenz ehemaliger FTAPI-Mitarbeitender und war zum Zeitpunkt des Zugriffs mit AES-256 verschlüsselt. Hinweise auf eine Kompromittierung des Schlüsselmaterials gibt es bislang nicht, das wird weiter untersucht. Inhalte und Anhänge sind nach heutigem Stand nicht lesbar.

Offen ist noch, ob auch Metadaten wie Absender, Empfänger, Betreff und Datum durch die Verschlüsselung geschützt sind. FTAPI geht davon aus, dass auch Korrespondenz von Kunden mit ehemaligen Mitarbeitenden in diesem Archiv enthalten ist.

Sind Daten Ihres Hauses konkret betroffen?

Wenn Sie von FTAPI keine individuelle Nachricht zu konkreten Daten erhalten haben, hat FTAPI nach der bisherigen Dateiliste keine kritischen Dokumente zu Ihrem Unternehmen gefunden, abgesehen von historischen kaufmännischen Unterlagen wie Rechnungen und Angeboten. FTAPI hat zugesagt, betroffene Kunden direkt zu benachrichtigen, sobald kritische Inhalte festgestellt werden. Die Untersuchung ist noch nicht abgeschlossen.

Angekündigte Veröffentlichung

Die Angreifer erhöhen den Druck öffentlich. Sie haben auf ihrer Leak-Seite eine Veröffentlichung der Daten für Anfang Oktober angekündigt, heise online berichtete am 29. September von einem Countdown von etwa fünf Tagen.

Bis zum 30. September wurden nach Angaben von FTAPI keine Daten veröffentlicht. FTAPI beobachtet die einschlägigen Plattformen und will eine mögliche Veröffentlichung analysieren.

Was FTAPI unternommen hat

FTAPI hat unmittelbar nach der Erkennung ein externes Team für IT-Forensik und IT-Sicherheit hinzugezogen. Die weiteren Maßnahmen im Überblick:

• Isolierung aller betroffenen Systeme mit Einzeluntersuchung, ergänzend Prüfung aller Systeme, die mit ihnen in Verbindung standen
• Wiederherstellung auf neuer Hardware, der bisherige lokale Server wird nicht weiter betrieben
• vorsorglicher Austausch aller internen Kennwörter, Schlüssel und Zertifikate, auf den internen Systemen ebenso wie auf den Kundensystemen
• Zurücksetzen der Administrationszugänge, Deaktivierung von Test- und Servicekonten, verstärkte Überwachung
• Meldung an das Bayerische Landesamt für Datenschutzaufsicht und an das BSI sowie Strafanzeige

Was jetzt zu tun ist

Die Plattform ist sicher, Ihre Prozesse rund um FTAPI sind es nicht automatisch. Diese fünf Schritte empfehlen wir allen FTAPI-Kunden.

1. Interne Stellen informieren

Geben Sie den Vorfall an Ihre Verantwortlichen für Informationssicherheit und Datenschutz weiter, falls das noch nicht geschehen ist, und dokumentieren Sie deren Bewertung.

FTAPI ist für die abgeflossenen Daten selbst Verantwortlicher im Sinne der DSGVO. Die Daten, die FTAPI in Ihrem Auftrag nach Art. 28 DSGVO verarbeitet, also alles, was Sie über die Plattform übertragen, sind nicht betroffen. FTAPI geht deshalb nicht davon aus, dass auf Ihrer Seite eine Meldung nach Art. 33 Abs. 1 DSGVO erforderlich ist. Die Entscheidung darüber liegt bei Ihnen und Ihrem Datenschutzbeauftragten.

2. Buchhaltung und Einkauf sensibilisieren

Das ist der wichtigste Punkt. Rechnungen, Angebote und Bestellungen mit Kontakt- und Vertragsdaten sind genau das Material, mit dem sich glaubwürdige Betrugsversuche bauen lassen: gefälschte Rechnungen, angebliche Änderungen der Bankverbindung, Rückfragen mit echten Vorgangsdaten. Auch wenn die Unterlagen einige Jahre alt sind, gilt für die kommenden Wochen:

• Änderungen von Bankverbindungen nur nach telefonischer Rückbestätigung über eine Ihnen bereits bekannte Rufnummer, nie über Kontaktdaten aus der Nachricht selbst
• FTAPI wird Sie nach eigener Aussage niemals per E-Mail um die Änderung einer Bankverbindung bitten
• offizielle Mitteilungen von FTAPI kommen ausschließlich über die Ihnen bekannten Ansprechpartner und Kanäle
• ungewöhnliche E-Mails, Anrufe oder Zahlungsaufforderungen im Namen von FTAPI vor jeder Reaktion direkt bei FTAPI oder bei uns prüfen

3. Eigene Korrespondenz vorsorglich sichten

Prüfen Sie, ob Ihre E-Mail-Korrespondenz mit FTAPI-Mitarbeitenden sensible Inhalte enthält, etwa Zugangsdaten, Konfigurationsdetails oder vertrauliche Anhänge. Sind Sie unsicher, nennen Sie FTAPI die betreffenden Nachrichten. FTAPI prüft dann, ob sie im Archiv enthalten sind. Zugangsdaten, die jemals per E-Mail ausgetauscht wurden, sollten Sie unabhängig davon ändern.

4. Brute-Force-Hinweise richtig einordnen

FTAPI-Instanzen melden abgewehrte Brute-Force-Versuche standardmäßig, diese Meldungen treten regelmäßig auf. Einen Zusammenhang mit dem aktuellen Vorfall sieht FTAPI nach derzeitigem Stand nicht. Wenn Sie eine solche Meldung nicht einordnen können, sprechen Sie uns an.

5. Verteiler prüfen

Einzelne Kunden haben die erste FTAPI-Information vom 21. September nicht erhalten, weil E-Mail-Domänen nicht korrekt in den Verteiler übernommen wurden. FTAPI hat das Mailingsystem nach eigenen Angaben geprüft und korrigiert. Wenn Sie die Informationen vom 21. und 30. September nicht erhalten haben oder weitere Empfänger aufnehmen möchten, senden Sie die Adressen an datenschutz@ftapi.com.

Wie es weitergeht

Belastbare Ergebnisse stehen noch aus. FTAPI rechnet mit den nächsten Erkenntnissen in der zweiten Oktoberhälfte. Sollte sich herausstellen, dass Schlüsselmaterial des E-Mail-Archivs kompromittiert wurde, will FTAPI die betroffenen Mails auswerten und Kunden über die betroffenen Kategorien und Inhalte informieren. Wir verfolgen die Entwicklung und aktualisieren diesen Beitrag.

Fragen zu den betroffenen Daten beantwortet FTAPI direkt unter datenschutz@ftapi.com. Anfragen dort bearbeiten der CTO, der Informationssicherheitsbeauftragte und der CEO von FTAPI persönlich.

Unterstützung durch enthus

Für FTAPI-Kunden von enthus sind wir der direkte Ansprechpartner zu diesem Vorfall. Wir prüfen mit Ihnen verdächtige Nachrichten und Zahlungsaufforderungen im Namen von FTAPI, ordnen Brute-Force-Meldungen Ihrer Instanz ein und unterstützen beim Austausch von Zugangsdaten, die per E-Mail übertragen wurden.

Sprechen Sie uns an, sobald eine Nachricht im Namen von FTAPI Zweifel weckt. Wir helfen bei der Prüfung, bevor jemand reagiert.

Jetzt Kontakt aufnehmen →

← Alle Beiträge