Holcim, der Baustoffkonzern mit Sitz in Zug, hat einen Cyberangriff und einen Datendiebstahl bestätigt, wie das IT-Magazin ICTjournal am 4. November 2026 berichtet. Die Ransomware-Gruppe Emperador behauptet, 360 Gigabyte (GB) an Daten erbeutet zu haben, und droht mit deren Veröffentlichung. Holcim versichert, dass Produktion und Lieferungen nicht betroffen sind. Um welche Daten es sich handelt, ist nicht bekannt.

Cyberangriff auf Holcim: was bestätigt ist, was behauptet wird

Zwei Seiten äussern sich, und ihre Aussagen haben nicht das gleiche Gewicht. ICTjournal stützt sich auf Informationen von Inside IT, einem Fachmedium, das bei Holcim nachgefragt hat. Der Konzern bestätigt dort, einen «unbefugten und begrenzten Zugriff» auf seine Daten festgestellt zu haben, ebenso einen Diebstahl von Informationen. Welche, sagt er nicht.

Holcim erklärt zudem, dass der Angriff weder seine industriellen Steuerungssysteme noch seine Produktionsstandorte noch seine Logistiknetze getroffen habe. Die Geschäftstätigkeit und die Lieferungen an die Kunden laufen laut dem Konzern ohne Einschränkungen weiter. Sobald der Vorfall entdeckt wurde, ergriffen seine Sicherheitsteams Massnahmen, um ihn einzudämmen, und leiteten eine Untersuchung ein.

Das Volumen von 360 GB und die Drohung mit der Veröffentlichung stammen dagegen von den Angreifern. Keine der verfügbaren Quellen hat diese Angaben überprüft.

ElementStatusWer es behauptet
Unbefugter und begrenzter Zugriff auf DatenBestätigtHolcim, befragt von Inside IT
Diebstahl von InformationenBestätigt, ohne DetailsHolcim, befragt von Inside IT
Produktion, Standorte und Logistik verschontBehauptetHolcim
Diebstahl von 360 GB DatenReklamiertEmperador
Drohung mit VeröffentlichungReklamiertEmperador
Rund 80 Angriffe seit AugustBerichtet, nicht überprüftInside IT
LösegeldforderungUnbekanntKeine Informationen

Die Geschäftstätigkeit, die Holcim als unversehrt bezeichnet, fällt stark ins Gewicht. Der von Miljan Gutovic geführte Konzern erzielte allein im dritten Quartal 2026 einen Umsatz von 4,66 Milliarden Franken, wie aus seinen am 23. Oktober 2026 veröffentlichten und von der Agentur AWP verbreiteten Ergebnissen hervorgeht.

Wie funktioniert die doppelte Erpressung?

Emperador gehört zur Familie der Ransomware-Gruppen. Laut Inside IT, zitiert von ICTjournal, sollen ihre Betreiber erst seit August aktiv sein, aber bereits rund 80 Angriffe verübt haben. Diese Zahlen stammen vom Medium, nicht von einer Behörde.

Solche Gruppen setzen oft auf doppelte Erpressung, erinnert ICTjournal. Sie stehlen Daten und verschlüsseln gleichzeitig die Systeme des Opfers. Danach verlangen sie ein Lösegeld, sowohl für die Entschlüsselung der Systeme als auch dafür, die erbeuteten Informationen nicht preiszugeben.

Die Drohung mit der Veröffentlichung ist das wichtigste Druckmittel. Die Bundesanwaltschaft, das Bundesamt für Polizei (fedpol) und das Bundesamt für Cybersicherheit (BACS) haben dies in einer Mitteilung vom 16. Oktober 2025 beschrieben, die in unserem Ratgeber zu Ransomware im Unternehmen aufgegriffen wird. Wird das Lösegeld nicht innerhalb der gesetzten Frist bezahlt, werden die Daten auf einer Leak-Seite im Darknet veröffentlicht.

Holcim erwähnt keine Verschlüsselung seiner Systeme. Der Konzern spricht von einem Zugriff auf seine Daten und einem Diebstahl, nicht von einer Blockade seiner Geschäftstätigkeit. Laut ICTjournal lässt sich anhand der vorliegenden Informationen nicht sagen, ob ein Lösegeld gefordert wurde.

Eine Behauptung von Hackern ist kein Beweis. Bei der Welle von reklamierten Datenlecks in Frankreich am 17. Oktober 2026 waren die meisten angekündigten Zahlen noch unbestätigt. Unsere Einschätzung: Ein Volumen von 360 GB sagt für sich allein nichts über den Inhalt der Dateien oder die betroffenen Personen aus.

Muss Holcim den Cyberangriff dem BACS melden?

Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen einen Cyberangriff innerhalb von 24 Stunden nach seiner Entdeckung dem BACS melden. Das hat der Bundesrat am 7. März 2025 beschlossen, wie aus seiner Mitteilung hervorgeht. Die Meldungen sollen es dem BACS ermöglichen, das Opfer zu unterstützen und andere Betreiberinnen frühzeitig zu warnen.

Die Seite «Wer muss melden?» des BACS nennt mehrere meldepflichtige Kategorien. Dazu gehören namentlich Unternehmen der Energie- und Trinkwasserversorgung, Transportunternehmen sowie kantonale und kommunale Behörden. Die vollständige Liste findet sich in Artikel 74b des Informationssicherheitsgesetzes (ISG). Die Cybersicherheitsverordnung (CSV) regelt die Ausnahmen.

Baustoffe gehören nicht zu den Beispielen, die das BACS nennt. Holcim hat nicht gesagt, ob eine seiner Gesellschaften der Meldepflicht unterliegt und ob es den Angriff dem Amt gemeldet hat. Unsere Einschätzung: Ohne diese Angaben lässt sich weder behaupten, dass der Konzern zur Meldung verpflichtet war, noch, dass er es nicht war.

Es gibt auch Meldungen ausserhalb dieser Pflicht. Ein Unternehmen, das keine kritische Infrastruktur betreibt, kann einen Angriff freiwillig und ohne vorgeschriebene Frist dem BACS melden. Eine Verletzung der Datensicherheit, die ein hohes Risiko für die betroffenen Personen mit sich bringt, ist gemäss Artikel 24 des Datenschutzgesetzes dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu melden. Unser Ratgeber zum Aufbau eines Notfallplans für Cyberangriffe beschreibt diese Schritte im Detail.

Ransomware im Unternehmen: die Lage in der Schweiz im Jahr 2026

Die Zahl der Ransomware-Angriffe bleibt in der Schweiz stabil. Laut der Mitteilung des BACS vom 24. August 2026 zu seinem Halbjahresbericht stagnierte sie im ersten Halbjahr 2026 bei 79. Das Amt beobachtet eine deutliche Diversifizierung und Fragmentierung der Ransomware-Familien.

Die Meldepflicht liefert inzwischen regelmässige Zahlen. Im ersten Halbjahr 2026 erhielt das BACS 200 Meldungen von kritischen Infrastrukturen. Der öffentliche Sektor (19,4 %) und der Sektor Informatik und Telekommunikation (18,6 %) stellen den grössten Anteil. Datenabflüsse machen 12,7 % der gemeldeten Angriffe aus, gleich viel wie Angriffe auf die Verfügbarkeit von Diensten (DDoS).

Das System hat bereits im ersten Jahr an Umfang gewonnen. Die Mitteilung des Bundes vom 30. März 2026 zählte seit dem Inkrafttreten 325 Pflichtmeldungen, davon 145 im zweiten Halbjahr 2025.

Holcim reiht sich in eine Serie von Datendiebstählen in der Schweiz in diesem Herbst ein. Ende September 2026 wurden Daten der Pensionskasse der Stadt Zürich bei einem externen Softwaredienstleister gestohlen. Am 23. Oktober 2026 eröffnete der EDÖB eine Untersuchung gegen PK Softech, den Softwarelieferanten mehrerer Pensionskassen. Der Angriff auf dessen Infrastruktur führte unter anderem zu einem Datenleck bei Publica, der Pensionskasse des Bundes. Diese Fälle wurden keiner Ransomware-Gruppe zugeordnet.

Der Kanton Waadt hat seine Meldungen öffentlich gemacht. Nach dem Cyberangriff auf den Kanton Waadt, der am 31. Oktober 2026 bekannt gegeben wurde, meldete er den Vorfall dem BACS und seiner Datenschutzbehörde. Weitere Schweizer Fälle finden sich in unserer Rubrik Bedrohungen und Cyberangriffe.

Worauf sollten Kunden und Lieferanten von Holcim achten?

Solange Holcim die Art der Daten nicht präzisiert, weiss niemand, wer betroffen ist. Die jüngsten Schweizer Fälle zeigen jedoch ein wiederkehrendes Risiko. Nach den Datendiebstählen bei den Pensionskassen und beim Kanton Waadt wies 2clics bereits darauf hin, dass ein Datenleck eine betrügerische Nachricht glaubwürdiger machen kann.

Unsere Einschätzung: Kunden oder Lieferanten von Holcim tun gut daran, eine ungewöhnliche Nachricht, die sich auf den Konzern beruft, mit Vorsicht zu behandeln. Der Kanton Waadt gab seinen Nutzerinnen und Nutzern einfache Hinweise: nie das eigene Passwort weitergeben, bei dringenden oder ungewöhnlichen Nachrichten misstrauisch sein, jede verdächtige Nachricht melden.

Was noch nicht bekannt ist

  • Die Art der gestohlenen Daten: Holcim hat sie nicht präzisiert, und das Volumen von 360 GB wird von niemandem ausser Emperador bestätigt.
  • Eine allfällige Lösegeldforderung: Anhand der vorliegenden Informationen lässt sich nicht sagen, ob eine solche gestellt wurde.
  • Die Meldungen an die Behörden: Holcim hat nicht gesagt, ob es den Angriff dem BACS oder dem EDÖB gemeldet hat.

Quellen