Ransomware: Was tun, wenn die Dateien eines Unternehmens verschlüsselt sind und eine Lösegeldforderung erscheint? Laut dem Bundesamt für Cybersicherheit (BACS) müssen zuerst die betroffenen Geräte vom Netz getrennt werden; danach gilt es, die Backups in Sicherheit zu bringen, die Spuren des Angriffs zu sichern, Anzeige zu erstatten und die gesetzlich vorgesehenen Meldungen zu machen.

Dieser Leitfaden begleitet die Reaktion Schritt für Schritt. Wie der Angriff funktioniert, über welche Einfallstore er erfolgt und welche Schweizer Zahlen vorliegen, behandelt unser Dossier zu Ransomware im Unternehmen.

Der Grundsatz, den das BACS auf seiner Seite «Ransomware – was tun?» formuliert, passt in einen Satz: ruhig bleiben und überlegt handeln. Oberstes Ziel ist nicht, so schnell wie möglich wieder hochzufahren, sondern den Infektionsweg aufzudecken und eine erneute Infektion zu verhindern.

Was ist der erste Schritt bei einer Lösegeldforderung?

Isolieren. Das BACS verlangt, die infizierten Systeme sofort vom Netz zu trennen: das Netzwerkkabel aus dem Computer ziehen und allfällige Drahtlosadapter deaktivieren.

Die gemeinsame Medienmitteilung der Bundesanwaltschaft (BA), des Bundesamts für Polizei (fedpol) und des BACS vom 16. Oktober 2025 geht weiter. Bei einem Vorfall empfiehlt sie, zuerst sämtliche Internetverbindungen zu sperren: Web, E-Mail, Fernzugriffe und virtuelle private Netzwerke (VPN) zwischen Standorten.

Zweite Priorität: die Backups. Dieselbe Mitteilung verlangt, sie sofort zu überprüfen und zu sichern.

Dritter Schritt: die richtigen Personen aufbieten. Der Leitfaden «IT-Notfallmanagement» des Versicherers Helvetia rät, alle erforderlichen internen Ansprechpersonen zu kontaktieren und die Benutzerinnen und Benutzer zu befragen, was sie getan und beobachtet haben. Er empfiehlt zudem, einen ausgedruckten Notfallplan bereitzuhalten: Während eines Angriffs kann das IT-System unzugänglich sein, und mit ihm die Kontaktliste.

Warum darf man die Geräte weder löschen noch neu starten?

Weil die Spuren des Angriffs zugleich Beweismittel sind. Das BACS empfiehlt, Arbeitsspeicher und Festplatten vor jedem Reparaturversuch oder Neustart von einer Fachperson sichern zu lassen. Laut dem Bundesamt machen solche Eingriffe die forensische Analyse, also die technische Untersuchung des Eindringens, danach nahezu unmöglich.

Die Logdateien (Logs) sind das Rohmaterial dieser Untersuchung. Sie zeigen, welche Systeme betroffen sind, etwa anhand der Zugriffe auf Netzlaufwerke. Jene der Mailserver, der Proxyserver und der Firewalls verraten die URL- und IP-Adressen der Angreifer. Das BACS rät, diese Adressen auf der Firewall oder dem Proxy zu sperren und die Logdateien aufzubewahren.

Der Entscheid über eine forensische Analyse fällt früh. Er ist vor allem wichtig, wenn das Unternehmen Anzeige erstatten will: Das BACS empfiehlt dann, die Strafverfolgungsbehörden von Anfang an zu informieren und die nächsten Schritte mit ihnen zu besprechen. Fehlen interne Kompetenzen, rät es, eine spezialisierte Firma beizuziehen.

Letzter Reflex: die verschlüsselten Daten nicht wegwerfen. Die Behörden haben im Rahmen ihrer Ermittlungen manchmal Schlüssel erlangt, erinnert das BACS; aufbewahrte verschlüsselte Dateien lassen sich später womöglich entschlüsseln. Helvetia ergänzt, die Fakten zum Vorfall laufend zu dokumentieren.

Wen informieren, und innert welcher Frist?

Mehrere Meldungen laufen parallel, jede mit ihrer eigenen Logik. Die Tabelle fasst jene zusammen, die das BACS, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) und der Leitfaden von Helvetia nennen.

EmpfängerWarumWann
Kantonspolizei am FirmensitzStrafanzeige; von BA, fedpol und BACS in jedem Fall empfohlenFrüh, vor jeder Massnahme zum Lösegeld
BACS, Betreiberinnen kritischer InfrastrukturenMeldepflicht in Kraft seit dem 1. April 202524 Stunden nach der Entdeckung, 14 Tage für die Ergänzung
BACS, übrige UnternehmenFreiwillige MeldungKeine vorgeschriebene Frist
EDÖBVerletzung der Datensicherheit mit hohem Risiko für die betroffenen Personen (Art. 24 des Datenschutzgesetzes)So rasch als möglich
CyberversichererInformation von Helvetia empfohlen; der Versicherer kann ein Netzwerk von Fachleuten bereitstellenAb dem Vorfall, sofern ein Vertrag besteht

Bei einer kritischen Infrastruktur ist die Frage der Meldung rasch entschieden. Laut dem BACS muss ein Cyberangriff namentlich dann gemeldet werden, wenn er mit Erpressung, Drohung oder Nötigung einhergeht. Unsere Einschätzung: Ransomware erfüllt dieses Kriterium naturgemäss. Meldepflichtig sind unter anderem Unternehmen aus Energie, Trinkwasser und Verkehr sowie kantonale und kommunale Behörden; das Gesetz sieht bei Unterlassung Bussen vor.

Beim Datenschutz gilt ein anderes Kriterium. Das Gesetz spricht von einer Verletzung der Datensicherheit, wenn Personendaten verloren gehen, gelöscht, vernichtet, verändert oder Unbefugten zugänglich gemacht werden, erinnert der am 23. April 2025 aktualisierte Leitfaden des EDÖB. Die Meldung erfolgt über sein Online-Formular DataBreach, das eine Bestätigung ausstellt. Derselbe Artikel 24 regelt die Information der betroffenen Personen.

Die Anzeige schliesslich ist keine Formalität. Opfer, die aus Sorge um ihren Ruf darauf verzichten, entziehen den Ermittlungen Spuren, betonen BA, fedpol und BACS. Ein datiertes Beispiel: Im November 2026 hat das medizinische Zentrum Gleis D in Chur Anzeige erstattet und den Vorfall dem BACS und dem EDÖB gemeldet, wie unser Artikel zum Cyberangriff in Chur bei Gleis D festhielt.

Was sagt man Mitarbeitenden, Kundschaft und Medien?

Wenig, aber rasch und korrekt. Auf seiner Seite «Cyberangriff – wie kommunizieren?» stellt das BACS zwei Reihenfolgeregeln auf: intern vor extern, und die Kanäle des Unternehmens vor den Medien. Vor jeder öffentlichen Mitteilung müssen alle betroffenen Personen die Fakten und eine gemeinsame offizielle Version kennen.

Der Zeitpunkt der Offenlegung will abgewogen sein. Das BACS empfiehlt, zwei Punkte zu prüfen: Behindert die Veröffentlichung die polizeilichen Ermittlungen und die forensische Analyse? Sind die Informationen überprüft? Grundsätzlich zieht das Bundesamt eine rasche, proaktive und transparente Kommunikation einer geheim gehaltenen Krise vor.

Das Bundesamt gliedert die Kommunikation in drei Phasen: die Bekanntgabe des Angriffs, seine Bewältigung und seinen Abschluss. Zusammen mit den Kantonen Zürich und Waadt hat es am 8. März 2024 Word-Vorlagen für jede Phase eines Ransomware-Angriffs veröffentlicht, in einer Version für Unternehmen, sowie eine Vorlage mit Fragen und Antworten für die Medien. Der Kanton Waadt veröffentlicht zusätzlich Merkblätter für Ransomware, eines für die Benutzerinnen und Benutzer, eines für die Technikerinnen und Techniker.

Bestätigtes von Behauptetem zu unterscheiden, verhindert, dass man sich die Darstellung diktieren lässt. Beim Cyberangriff auf Holcim im November 2026 bestätigte der Zuger Konzern einen begrenzten Zugriff und einen Datendiebstahl; das Volumen von 360 GB stammte hingegen von den Hackern. Auch die Kundschaft verdient eine Warnung: Gleis D hat seine Patientinnen und Patienten vor möglichen Betrugsversuchen gewarnt. Helvetia bietet eine Briefvorlage an die Kundschaft nach einem nachgewiesenen Cyberangriff an.

Wie bereitet man den Entscheid über das Lösegeld vor?

Indem man zuerst alle anderen Wege prüft. Dieser Leitfaden vertieft die Debatte über die Zahlung nicht; er hält sich an die offizielle Haltung. Das BACS rät von einer Zahlung ab: Nichts garantiert, dass die Kriminellen die Daten nicht veröffentlichen, und jede erfolgreiche Erpressung finanziert neue Angriffe. Das Bundesamt empfiehlt eindringlich, vor jeder in Betracht gezogenen Zahlung mit der Kantonspolizei zu sprechen.

Laut dem BACS gibt es selbst ohne Backup mehrere Wege zur Wiederherstellung. Eine Entschlüsselung ist manchmal möglich, wenn:

  • die Ransomware die Schattenkopien (shadow copies) von Windows nicht verschlüsselt oder gelöscht hat;
  • Snapshots virtueller Maschinen oder frühere Dateiversionen in einem Clouddienst vorhanden sind;
  • gelöschte Dateien durch eine forensische Analyse wiederhergestellt werden können;
  • die Verschlüsselung Fehler aufweist oder der Schlüssel bereits bekannt ist.

Für den letzten Fall verweist das BACS auf die Website No More Ransom, ein Projekt der niederländischen Polizei und von Europol, an dem sich der Bund beteiligt. Sie hilft, die Schadsoftware zu identifizieren, und bietet bereits bekannte Schlüssel an.

Wann kann der Betrieb wieder aufgenommen werden?

Nach der Neuinstallation, nicht vorher. Das BACS hält es für notwendig, die infizierten Systeme vor der Wiederherstellung der Daten neu zu installieren, mit einem Betriebssystem von einem vertrauenswürdigen Datenträger.

Die Wiederaufnahme schliesst den Vorfall nicht ab. Helvetia rät, die durch den Angriff aufgedeckten Lücken zu schliessen, Netzwerk und Systeme genau zu überwachen, um einen erneuten Versuch zu erkennen, und danach Regeln und Prozesse zu überprüfen. Unsere Einschätzung: Diese Nachbereitung ist auch der Moment, den fehlenden Notfallplan zu schreiben.

Kennzahlen

  • 24 Stunden: Meldefrist an das BACS für Betreiberinnen kritischer Infrastrukturen, danach 14 Tage für die Ergänzung.
  • 1. April 2025: Inkrafttreten der Meldepflicht, vom Bundesrat am 7. März 2025 beschlossen.
  • Rund 200 Schweizer Unternehmen wurden allein von der Gruppe Akira angegriffen, laut der Medienmitteilung vom 16. Oktober 2025.
  • 4 bis 5 Fälle im Zusammenhang mit Akira pro Woche, laut den Behörden ein Rekord in der Schweiz.
  • 3 Phasen der Krisenkommunikation, mit Vorlagen, die das BACS am 8. März 2024 veröffentlicht hat.

Weitere Schweizer Fälle finden sich in unserer Rubrik Bedrohungen und Cyberangriffe.

Quellen