Eine Ransomware (Erpressungssoftware) verschlüsselt die Daten eines Unternehmens, oft nachdem sie diese kopiert hat, und verlangt dann ein Lösegeld für ihre Freigabe. In der Schweiz erhielt das Bundesamt für Cybersicherheit (BACS) 57 solche Meldungen im zweiten Halbjahr 2025, wie aus seinem Halbjahresbericht vom 30. März 2026 hervorgeht. Bei einem Angriff empfiehlt das Amt, die betroffenen Systeme sofort zu isolieren, Strafanzeige zu erstatten und nicht zu zahlen.

Wie funktioniert ein Ransomware-Angriff?

Gemäss der Seite «Ransomware» des BACS verschlüsselt diese Schadsoftware die Dateien des infizierten Computers, aber auch jene der damit verbundenen Netzlaufwerke. Die Täter verlangen anschliessend ein Lösegeld, um den Zugang zu den Daten wiederherzustellen. Der Schaden wird beträchtlich, wenn auch die Sicherungskopien betroffen sind, präzisiert das Amt.

Die Blockade geht oft mit einer Erpressung mit gestohlenen Daten einher. Die gemeinsame Medienmitteilung der Bundesanwaltschaft (BA), des Bundesamts für Polizei (fedpol) und des BACS vom 16. Oktober 2025 beschreibt diese «doppelte Erpressung» am Beispiel der Gruppe Akira. Die Angreifer kopieren zuerst die Daten des Opfers und verschlüsseln sie dann. Wird das Lösegeld nicht innerhalb der gesetzten Frist bezahlt, veröffentlichen sie die Daten auf einer im Darknet gehosteten Leak-Seite, DLS (Data Leak Site) genannt. Die Zahlung wird in Kryptowährung verlangt, meist in Bitcoin. In der Zwischenzeit bleibt das Netzwerk des Unternehmens ganz oder teilweise blockiert.

Eine von Angreifern veröffentlichte Behauptung ist allerdings noch kein Beweis: Bei der Welle angeblicher Datenlecks in Frankreich am 17. Oktober 2026 mussten die meisten angekündigten Zahlen noch bestätigt werden. Auch zielen nicht alle Cyberangriffe auf ein Lösegeld ab. Beim Cyberangriff auf Beyond Gravity, das Raumfahrtunternehmen des Bundes, besteht ein Spionageverdacht, den niemand offiziell bestätigt.

Wo dringen die Angreifer ins Unternehmen ein?

Die häufigsten Einfallstore sind bekannt. Laut der Medienmitteilung vom 16. Oktober 2025 handelt es sich meist um nicht aktualisierte Systeme und schlecht geschützte Fernzugänge. Im Visier stehen das virtuelle private Netzwerk (VPN) und das Remote-Desktop-Protokoll (RDP), wenn sie keine Zwei-Faktor-Authentifizierung verlangen. Die Seite «Ransomware» des BACS nennt zusätzlich E-Mails mit schädlichen Anhängen.

Bekannte, aber nicht behobene Schwachstellen fallen stark ins Gewicht. Der Halbjahresbericht 2025/2 des BACS hält fest, dass eine 2024 entdeckte Schwachstelle in Geräten des Herstellers SonicWall Akira geholfen hat. Nicht alle betroffenen Nutzer hatten die Anweisungen des Herstellers zum Schutz befolgt.

Das Risiko kommt auch über Lieferanten, stellt derselbe Bericht fest, der Angriffe auf die Software-Lieferkette verzeichnet. Ein datiertes Beispiel, ohne erwiesenen Zusammenhang mit einer Ransomware: Ende September 2026 wurden Daten der Zürcher Pensionskasse bei einem Softwarelieferanten gestohlen. Und man muss nicht gezielt ausgewählt werden, um betroffen zu sein: Die Doorway-Kampagne gegen Router, die im Oktober 2026 von der Firma CloudSEK aufgedeckt wurde, suchte automatisch nach verwundbaren Geräten.

Wie viele Schweizer Unternehmen sind betroffen?

Die offiziellen Zahlen erfassen nur die gemeldeten Fälle. Im zweiten Halbjahr 2025 wurden dem BACS laut dem Halbjahresbericht 2025/2 direkt 57 Vorfälle im Zusammenhang mit Ransomware gemeldet, freiwillig oder im Rahmen der Meldepflicht. Akira, bereits im ersten Halbjahr die Nummer eins in der Schweiz, hat seine Position dabei noch ausgebaut.

Das KMU-Portal des Bundes, kmu.admin.ch, nennt für denselben Zeitraum 79 Vorfälle, gegenüber 47 ein Jahr zuvor. Es schreibt im zweiten Halbjahr 2025 Akira 26 bekannte Angriffe zu, gegenüber 7 im ersten. Die beiden Publikationen erklären die Differenz zwischen ihren Zählungen nicht.

Eine einzige Gruppe zeigt das Ausmass des Phänomens. Laut der Medienmitteilung vom 16. Oktober 2025 wurden rund 200 Unternehmen in der Schweiz Opfer von Akira, mit einem Schaden von mehreren Millionen Franken. Die Behörden gehen von nicht gemeldeten Fällen aus: Aus Sorge um ihren Ruf zahlen manche Opfer oder verzichten auf eine Anzeige.

Auch KMU sind betroffen. Laut der Studie «Cybersicherheit in KMU 2026», durchgeführt von der Mobiliar mit digitalswitzerland und unterstützt vom BACS, wurden 7 % der Schweizer KMU bereits Opfer einer Erpressung, also rund 45'000 Unternehmen. Einige wenige haben ein Lösegeld bezahlt. Die Erpressung trifft vor allem die grösseren KMU sowie die Industrie und das Baugewerbe.

Kennzahlen

  • 57 dem BACS im zweiten Halbjahr 2025 direkt gemeldete Ransomware-Vorfälle.
  • Rund 200 Schweizer Unternehmen als Opfer der Gruppe Akira, laut der Medienmitteilung vom 16. Oktober 2025.
  • 4 bis 5 Fälle im Zusammenhang mit Akira pro Woche, laut den Behörden ein Rekord in der Schweiz.
  • 7 % der Schweizer KMU bereits Opfer einer Erpressung, also rund 45'000 Unternehmen.
  • 9 % der von kritischen Infrastrukturen im zweiten Halbjahr 2025 gemeldeten Cyberangriffe waren Ransomware-Angriffe.
  • 24 Stunden, um dem BACS einen Cyberangriff zu melden, für Betreiber kritischer Infrastrukturen.

Was ist in den ersten Stunden zu tun?

Das Dringendste ist, den Angriff vom übrigen Netzwerk abzuschneiden. Die Seite «Ransomware – was tun?» des BACS verlangt, infizierte Systeme sofort vom Netz zu trennen: das Netzwerkkabel ziehen und die WLAN-Adapter deaktivieren. Die Medienmitteilung vom 16. Oktober 2025 empfiehlt zusätzlich, alle Internetverbindungen zu sperren, einschliesslich E-Mail, Fernzugängen und VPN zwischen Standorten.

Die nächsten Schritte sollen die Verluste begrenzen und das Eindringen nachvollziehbar machen:

  • die Backups unverzüglich prüfen und in Sicherheit bringen;
  • die betroffenen Systeme anhand der Logdateien (Logs) und der Metadaten der verschlüsselten Dateien ermitteln und diese Logs aufbewahren;
  • die in den Logs gefundenen URL- und IP-Adressen der Angreifer auf der Firewall oder dem Proxyserver sperren;
  • früh über eine forensische Analyse entscheiden und Arbeitsspeicher sowie Festplatten vor jedem Neustart kopieren;
  • die Systeme von einem vertrauenswürdigen Datenträger neu installieren und erst danach die Daten wiederherstellen.

Oberstes Ziel ist laut BACS, den Infektionsweg zu finden, um eine erneute Infektion zu verhindern. Fehlen intern die Kompetenzen, rät es, ein spezialisiertes Unternehmen beizuziehen. Das Amt leistet nur Unterstützung: Die Bewältigung eines Vorfalls liegt bei der betroffenen Organisation, erklärte Roman Hüssy, Co-Leiter seines GovCERT, gegenüber dem Magazin PME. Erreichbar ist es über ein Formular oder über seine Pikettlinie, 24 Stunden am Tag.

Soll man das Lösegeld bezahlen?

Das BACS rät vom Zahlen ab. Es gibt keine Garantie, dass die Kriminellen die Daten nach der Zahlung nicht trotzdem veröffentlichen oder anderweitig daraus Profit schlagen, erinnert seine Seite «was tun?». Jede erfolgreiche Erpressung ermutigt zudem die Täter und finanziert die Weiterentwicklung der Angriffe. Ein Unternehmen, das dennoch eine Zahlung in Betracht zieht, sollte dies zuerst mit der Kantonspolizei besprechen, empfiehlt das Amt.

Wen informieren, und innert welcher Frist?

Mehrere Meldungen können parallel nötig sein. Die Tabelle fasst jene zusammen, die das BACS aufführt.

EmpfängerWer betroffen istFrist
Kantonspolizei am SitzJedes betroffene Unternehmen: Strafanzeige in jedem Fall empfohlenVon Beginn an, vor allem wenn eine forensische Analyse geplant ist
Bundesamt für CybersicherheitBetreiber kritischer Infrastrukturen, Pflicht in Kraft seit dem 1. April 202524 Stunden nach der Entdeckung, 14 Tage zur Ergänzung
Bundesamt für CybersicherheitÜbrige Unternehmen, freiwillige MeldungKeine vorgeschriebene Frist
Eidgenössischer Datenschutz- und ÖffentlichkeitsbeauftragterVerletzung der Datensicherheit mit hohem Risiko für die betroffenen Personen (Art. 24 des Datenschutzgesetzes)So rasch als möglich

Die Meldepflicht wurde vom Bundesrat am 7. März 2025 beschlossen. Seit ihrem Inkrafttreten hat das BACS 325 Pflichtmeldungen erhalten, davon 145 im zweiten Halbjahr 2025, laut der Medienmitteilung des Bundes vom 30. März 2026. Was die Anzeige betrifft, erinnern BA, fedpol und BACS daran, dass sie die Ermittlungsansätze vervielfacht.

Lassen sich die Daten ohne Zahlung zurückholen?

Manchmal ja. Laut BACS ist eine vollständige oder teilweise Wiederherstellung auch ohne Backup in mehreren Fällen möglich:

  • die Ransomware hat die Schattenkopien (Shadow Copies) von Windows nicht gelöscht;
  • es gibt Snapshots virtueller Maschinen oder frühere Dateiversionen in einem Cloud-Dienst;
  • gelöschte Dateien lassen sich durch eine forensische Analyse wiederherstellen;
  • die Verschlüsselung weist Fehler auf, oder der Entschlüsselungsschlüssel ist bereits bekannt.

Die Website NoMoreRansom.org, ein Projekt der niederländischen Polizei und von Europol, an dem sich der Bund beteiligt, stellt bereits bekannte Schlüssel bereit. Das BACS rät zudem, die verschlüsselten Daten aufzubewahren, falls später eine Entschlüsselungslösung verfügbar wird.

Wie senkt ein KMU das Risiko?

Die meisten dieser Angriffe liessen sich vermeiden, schätzen BA, fedpol und BACS. Ihre Medienmitteilung nennt zwei Massnahmen: Updates installieren und Fernzugänge mit einer Zwei-Faktor-Authentifizierung schützen. Auf seiner Seite «Basisschutz» ergänzt das BACS die technische Liste:

  • die IT-Umgebung erfassen;
  • die Daten sichern;
  • Sicherheitsupdates installieren;
  • Virenschutz und Firewalls einsetzen;
  • Fernzugänge absichern;
  • Netzwerke segmentieren.

Für das Amt ist Cybersicherheit eine Aufgabe der Geschäftsleitung, nicht allein der Informatikabteilung. Es nennt zudem die Sensibilisierung der Mitarbeitenden, das Kontinuitätsmanagement und klare Verantwortlichkeiten gegenüber Dienstleistern.

Das Backup bleibt die konkreteste Schwachstelle. Laut der Studie «Cybersicherheit in KMU 2026» sichern neun von zehn KMU ihre Daten, aber nur ein Viertel testet regelmässig deren Wiederherstellung. Unsere Einschätzung: Gegenüber einer Ransomware, die auch die Kopien zu erreichen versucht, bleibt ein nie wiederhergestelltes Backup ein ungeprüftes Versprechen. Weitere Schweizer Fälle finden sich in unserer Rubrik Bedrohungen und Cyberangriffe.

Was noch unklar ist

  • Die tatsächliche Zahl der Angriffe: Ausserhalb der kritischen Infrastrukturen bleibt die Meldung freiwillig, und die Behörden gehen von nicht gemeldeten Fällen aus.
  • Die Höhe der in der Schweiz bezahlten Lösegelder: Weder die Medienmitteilung des BACS vom 30. März 2026 noch die KMU-Studie beziffern sie.

Quellen