Ransomware-Lösegeld in der Schweiz: Wer zahlt, wer nicht – und was das für Ihr Unternehmen bedeutet

54 Prozent der Schweizer Unternehmen die von Ransomware betroffen sind, zahlen das Lösegeld, also mehr als die Hälfte, wie der Sophos Report „State of Ransomware 2025″ schwarz auf weiss zeigt, womit die Schweiz sogar über dem internationalen Durchschnitt von 50 Prozent liegt. Gleichzeitig sagt das BACS: nicht zahlen. Freitagabend, Systeme verschlüsselt, Backups womöglich hin, Kunden warten am Montag auf Lieferungen, und zwischen der offiziellen Empfehlung und dem was Unternehmen in der Praxis tun klafft eine Lücke über die selten offen geredet wird, weil die meisten Zahlungen schlicht unsichtbar bleiben.

Wer bezahlt hat

RUAG (2025): Im Herbst 2025 erwischte es die US-Tochtergesellschaft des Schweizer Rüstungskonzerns. Die Ransomware-Gruppe Akira verschlüsselte 24 GB an Mitarbeiterdaten: Sozialversicherungsnummern, Ausweiskopien, Führerscheine, Telefonnummern und Adressen. RUAG bezahlte einen „tiefen sechsstelligen Betrag“, wie Verwaltungsratspräsident Jürg Rötheli gegenüber SRF bestätigte.

Der Fall schlug politisch hohe Wellen, denn das VBS wurde vor der Zahlung nicht informiert und die Zahlung widersprach den BACS-Empfehlungen direkt. Eine VBS-Überprüfung kam zum Schluss dass keine Gesetze verletzt wurden, aber die NZZ und andere Medien stellten die naheliegende Frage, ob ein bundesnaher Betrieb Cyberkriminelle finanzieren darf. Die Optik war jedenfalls nicht ideal.

Comparis (2021): Am 7. Juli 2021 traf die Ransomware-Gruppe Grief das Vergleichsportal, und Comparis bestritt zunächst Lösegeld gezahlt zu haben. Rund drei Wochen später wurde die Zahlung dann doch bestätigt. Die Angreifer hatten 400’000 Dollar in Kryptowährung gefordert; ob der volle Betrag floss bleibt unklar. Comparis begründete die Zahlung damit, „betrieblich essenzielle Dateien in einem Teilbereich“ entschlüsseln zu müssen die anders nicht wiederherstellbar gewesen wären. Die Zahlung lief in Absprache mit der Kantonspolizei Zürich.

Die stille Mehrheit: RUAG und Comparis sind die Fälle die man kennt, aber laut dem Sophos Report zahlen 54 Prozent der betroffenen Schweizer Unternehmen. Davon verhandeln 65 Prozent erfolgreich und drücken den Preis im Schnitt um ca. 24 Prozent, was geschickter ist als der internationale Durchschnitt. Die mittleren Wiederherstellungskosten liegen bei rund einer Million Dollar, und die meisten dieser Fälle werden nie öffentlich bekannt: keine Schlagzeilen, keine Diskussionen, einfach stille Überweisungen in Kryptowährung.

Wer nicht bezahlt hat

Stadler Rail (2026): Mitte Juli 2026 forderte die Ransomware-Gruppe Everest 12,3 Millionen Dollar (rund 10 Millionen Franken) vom Ostschweizer Schienenfahrzeughersteller. Stadler weigerte sich und erstattete Strafanzeige, woraufhin die Angreifer ein 201 GB grosses FTP-Archiv mit über 271’000 Dateien veröffentlichten: technische Dokumentation, Konfigurationsdaten und CCTV-Aufnahmen. Der Angriff lief allerdings über die Filesharing-Plattform eines Zulieferers und nicht über Stadlers eigene IT, weshalb Produktion und Betrieb nicht betroffen waren.

Bernina (2023): Mein Lieblingsbeispiel. Am 5. April 2023 traf ALPHV/BlackCat den Thurgauer Nähmaschinenhersteller mit einer Forderung von 1,3 Millionen Dollar. Berninas Antwort war eine demonstrative Überweisung von zehn Dollar, kein Tippfehler, als bewusste Provokation um Zeit für die Systemwiederherstellung zu gewinnen. Die Angreifer hatten über 200 GB (415’000 Dateien) gestohlen und mehr als 30 Volumes verschlüsselt sowie Tapes und NAS gelöscht, und trotzdem schaffte es Bernina den Betrieb eigenständig wiederherzustellen. 10 Dollar statt 1,3 Millionen.

Xplain (2023): Ende Mai 2023 traf die Ransomware-Gruppe Play den Berner IT-Dienstleister der Software für Bundesbehörden entwickelt. Xplain zahlte nicht, in Absprache mit den Strafverfolgungsbehörden und dem NCSC, und am 14. Juni veröffentlichten die Angreifer rund 900 GB gestohlener Daten im Darknet. Über 9’000 Datenobjekte der Bundesverwaltung waren betroffen, darunter Daten des Bundesamts für Polizei (fedpol) und der Eidgenössischen Zollverwaltung, wobei mehr als die Hälfte sensible Informationen enthielt. Der Fall führte zu einer umfassenden Aufarbeitung durch den Eidgenössischen Datenschutzbeauftragten.

NZZ und CH Media (2023): Am 24. März 2023 schlug ebenfalls Play zu, diesmal beim grössten Qualitätsmedienhaus der Schweiz und dessen Partner CH Media. Die Redaktionen zahlten nicht, die Angreifer veröffentlichten rund 500 GB gestohlener Daten darunter Gehaltslisten und Mitarbeiterdaten, und die E-Paper und gedruckten Zeitungen erschienen tagelang in reduziertem Umfang. Dass ausgerechnet Medienhäuser betroffen waren sorgte dafür dass dieser Fall besonders sichtbar wurde.

Gemeinde Rolle VD (2021): Die Waadtländer Gemeinde wurde von Vice Society angegriffen und 32 GB sensibler Daten von rund 5’000 Einwohnern landeten im Darknet, darunter etwa 4’000 Dateien und 65 Mitarbeiter-Mailboxen. Die Gemeinde stand aber nicht wegen der Nichtzahlung in der Kritik, sondern weil sie den Angriff erst nach fast einem Monat öffentlich kommunizierte, was in der Cybersecurity-Welt eine Ewigkeit ist.

Groupe 3R (2025 und 2026): Die Westschweizer Radiologiepraxis-Gruppe wurde innerhalb eines Jahres zweimal von Ransomware getroffen, im April 2025 und erneut am 30. April 2026. Beide Male verweigerte Groupe 3R die Zahlung und erstattete Strafanzeige. Beim ersten Angriff wurden medizinische und administrative Daten gestohlen, beim zweiten mussten Untersuchungen verschoben werden aber es gab keine Hinweise auf eine Datenveröffentlichung. Zweimal in zwölf Monaten zeigt allerdings auch dass Nichtzahlung allein keine Prävention ist.

Rechtslage

Lösegeldzahlungen an Ransomware-Gruppen sind in der Schweiz nicht explizit verboten, denn es gibt keine Strafnorm die allein auf die Zahlung eines Lösegelds abstellt. Klingt erstmal beruhigend, ist es aber nicht ganz, weil indirekt mehrere Bestimmungen des Strafgesetzbuches relevant werden können: Art. 260ter (Unterstützung einer kriminellen Organisation), Art. 260quinquies (Terrorismusfinanzierung), Art. 305 (Begünstigung) und Art. 305bis (Geldwäscherei). In der Praxis wird das direkt betroffene Opfer selten bestraft da der nötige Vorsatz in der Regel fehlt, aber die Sorgfaltspflicht des Verwaltungsrats (Art. 717 OR) greift trotzdem: eine ungenügend dokumentierte oder nicht sorgfältig geprüfte Entscheidung über eine Lösegeldzahlung kann zu persönlicher Haftung führen, was viele übersehen. Die Anwaltskanzlei HÄRTING und PwC Schweiz haben diese Thematik im Detail aufgearbeitet.

Auf internationaler Ebene hat sich die Schweiz im November 2023 dem Counter Ransomware Initiative (CRI) Pledge angeschlossen, bei dem sich 50 Mitgliedstaaten verpflichteten dass ihre Regierungen keine Lösegelder zahlen. Allerdings ist die Verpflichtung politisch und nicht rechtlich bindend, und ein generelles Zahlungsverbot wie es Grossbritannien für den öffentlichen Sektor und kritische Infrastrukturen plant gibt es in der Schweiz nicht.

BACS-Empfehlung

Die Position des BACS (ehemals NCSC) ist seit Jahren klar: nicht zahlen. Lösegeldzahlungen finanzieren kriminelle Strukturen, bieten keinerlei Garantie für die Datenwiederherstellung und können Folgeangriffe provozieren, weshalb in jedem Fall Strafanzeige erstattet werden sollte.

Seit dem 1. April 2025 kommt noch etwas dazu: Betreiber kritischer Infrastrukturen müssen Cyberangriffe dem BACS innerhalb von 24 Stunden melden, und seit dem 1. Oktober 2025 drohen bei Nichtmeldung Bussen bis zu 100’000 Franken.

Das BACS hat die Empfehlungen in einem ausführlichen Leitfaden zusammengefasst, und der Bundesrat hat einen eigenen Bericht zu Massnahmen gegen Ransomware-Angriffe veröffentlicht. Lektüre die sich lohnt, auch wenn man hofft sie nie zu brauchen..

Versicherung

Ob eine Cyber-Versicherung Lösegeldzahlungen abdeckt hängt davon ab wen man fragt, denn die Landschaft in der Schweiz ist erstaunlich zersplittert:

  • AXA Schweiz: bietet Deckung für Lösegeldzahlungen als Zusatzbaustein auf ausdrücklichen Kundenwunsch an.
  • Baloise: rät grundsätzlich von Zahlungen ab und betrachtet sie im Schadenfall als „allerletztes Mittel“.
  • Mobiliar: schliesst die Deckung von Lösegeldzahlungen explizit aus.
  • Zurich: deckt Ransomware-Angriffe ab, wobei die Details je nach Police variieren.

Was praktisch alle Policen hingegen abdecken: IT-Forensik, Datenwiederherstellung, Betriebsunterbrechungskosten, Haftpflicht aus Datenschutzverletzungen und Krisenmanagement. Die Deckung entfällt bei Sanktionsverstössen oder Gesetzesverletzungen, was bei Zahlungen an sanktionierte Gruppen durchaus relevant werden kann. Eine Übersicht bietet der Schweizerische Versicherungsverband (SVV).

Ransomware-Statistik Schweiz

Die BACS-Halbjahresberichte zeigen den Trend:

  • 1. Halbjahr 2024: 44 gemeldete Ransomware-Vorfälle
  • 2. Halbjahr 2024: 47 Vorfälle
  • 1. Halbjahr 2025: 57 Vorfälle
  • 2. Halbjahr 2025: 79 Vorfälle (+59 Prozent gegenüber dem Vorhalbjahr)
  • 1. Halbjahr 2026: 72 Vorfälle

Die dominierende Gruppe in der Schweiz ist derzeit Akira, die laut 20 Minuten rund 200 Schweizer Unternehmen innerhalb von 18 Monaten angegriffen hat. Die Schäden bewegen sich schweizweit im mehrstelligen Millionenbereich und die Bundesanwaltschaft eröffnete im April 2024 ein Strafverfahren. Weitere aktive Gruppen mit Schweizer Opfern: Play (Xplain, NZZ), ALPHV/BlackCat (Bernina, Swissport), Sarcoma (Radix Health Foundation) und Everest (Stadler Rail).

Die FINMA verzeichnet im Finanzsektor einen Anstieg der Cyber-Risiko-Meldungen um 30 Prozent gegenüber dem Vorjahr und benennt Play, Akira und Lockbit 3.0 als die grössten Bedrohungen für den Schweizer Finanzplatz.

Zahlen oder nicht

Die Entscheidung fällt unter extremem Zeitdruck, typischerweise fünf bis sieben Tage, und in unserer Erfahrung aus Incident-Response-Einsätzen sehen wir immer wieder dasselbe Muster: wer erst im Ernstfall über die Zahlung nachdenkt trifft schlechtere Entscheidungen.

Gegen die Zahlung spricht: sie finanziert kriminelle Strukturen und motiviert weitere Angriffe, es gibt keinerlei Garantie dass die Entschlüsselung funktioniert oder dass gestohlene Daten nicht trotzdem veröffentlicht werden, wer einmal zahlt signalisiert Zahlungsbereitschaft und landet mit höherer Wahrscheinlichkeit wieder im Fadenkreuz, und dazu kommen indirekte rechtliche Risiken (Geldwäscherei, Terrorismusfinanzierung, VR-Haftung) sowie der Reputationsschaden wenn die Zahlung öffentlich wird.

Für die Zahlung spricht manchmal die nackte Realität: schnellere Wiederherstellung wenn Backups zerstört wurden, Geschäftskontinuität wenn kritische Systeme betroffen sind (z.B. Spitäler oder Produktionsanlagen), und der Schutz sensibler Daten vor Veröffentlichung, wobei bei Double Extortion selbst eine Zahlung keine Garantie bietet.

Die entscheidende Frage: hat die Organisation funktionsfähige, offline gespeicherte, unveränderbare Backups? Wenn ja ist die Zahlung in den meisten Fällen unnötig, und wenn nein diktieren die Kriminellen die Bedingungen.

Empfohlenes Vorgehen im Ernstfall:

  1. Incident-Response-Plan aktivieren, der muss vor dem Angriff existieren und getestet sein
  2. Strafanzeige erstatten und Vorfall dem BACS melden
  3. Forensische Analyse: Umfang der Kompromittierung bestimmen
  4. Spezialisierte Verhandler einschalten wenn eine Zahlung erwogen wird; niemals direkt mit den Angreifern kommunizieren
  5. Rechtliche Beratung einholen: Sanktionsprüfung, strafrechtliche Risiken, VR-Haftung
  6. Entscheidung dokumentieren, weil jede Entscheidung ob für oder gegen die Zahlung nachvollziehbar begründet sein muss (Sorgfaltspflicht)

Prävention

Die beste Verhandlungsposition gegen Ransomware ist eine in der keine Verhandlung nötig ist, aber dafür muss man vorher investieren.

Offline-Backups nach der 3-2-1-Regel. Drei Kopien, auf zwei verschiedenen Medientypen, eine davon physisch getrennt und unveränderbar (immutable). In unseren Penetration Tests sehen wir erschreckend oft Backups die vom gleichen Netzwerk aus erreichbar sind wie die Produktionssysteme. Ransomware-Gruppen wie Gunra zerstören gezielt Backups auf primären und Disaster-Recovery-Systemen, und ein Backup das der Angreifer erreichen kann ist kein Backup sondern eine Illusion.

Netzwerksegmentierung. Die meisten Ransomware-Angriffe beginnen mit einem einzelnen Einstiegspunkt und breiten sich dann seitlich durchs Netzwerk aus, und Segmentierung begrenzt den Schaden auf den kompromittierten Bereich. Stellen Sie sich Ihr Netzwerk wie ein Schiff vor: ohne Schotten läuft ein Leck das ganze Schiff voll, mit Schotten bleibt der Schaden begrenzt.

MFA auf allen externen Zugängen. VPN-Gateways, administrative Interfaces, Cloud-Dienste. Standard-Zugangsdaten auf Netzwerkgeräten sind nach wie vor ein häufiger Einstiegspunkt (ja, „admin/admin“ kommt immer noch vor).

Patch Management. Fortinet-Schwachstellen (CVE-2024-55591, CVE-2025-24472), SharePoint-Lücken, VPN-Appliances: die dokumentierten Einstiegspunkte der letzten Monate waren allesamt bekannte Schwachstellen mit verfügbaren Patches. Das Zeitfenster zwischen Veröffentlichung und Ausnutzung beträgt teilweise nur noch Tage…

Mitarbeitersensibilisierung. Phishing bleibt einer der häufigsten Angriffswege, und regelmässige realitätsnahe Schulungen sind nötig, nicht einmal jährlich als Pflichtübung die alle genervt durchklicken.

Incident-Response-Plan. Getestet, nicht nur geschrieben. Jährliche Tabletop-Übungen mit dem Szenario „Ransomware am Freitagabend“ zeigen schnell wo die echten Lücken liegen. Wir haben noch keinen ersten Test erlebt bei dem nicht mindestens eine unangenehme Überraschung aufkam…

Sie fragen sich wie gut Ihre Organisation auf einen Ransomware-Angriff vorbereitet ist? Wir helfen bei der Einschätzung: von Backup-Strategien über Penetration Testing und Netzwerksegmentierung bis hin zu Incident-Response-Plänen die auch um 22 Uhr am Freitag noch funktionieren. Melden Sie sich bei uns.

Quellen:

Autor: Andriu Isenring CISSP