Vorfälle · 28 Einträge · Stand 4. September 2026

Was passiert ist – und ob eine Prüfung geholfen hätte

Dokumentierte Cybervorfälle in der Schweiz seit 2016 sowie internationale Ereignisse, die für Schweizer Organisationen relevant sind. Jeder Eintrag verlinkt auf die Originalberichte – und trägt unsere ehrliche Einschätzung, ob die Komplett-Prüfung den Vorfall verhindert hätte.

So bewerten wir

Ja

Der Angriffsweg ist bekannt und liegt vollständig im Prüfumfang der Komplett-Prüfung. Der Befund wäre als kritisch markiert und mit Behebungsanleitung im Dossier gestanden.

Wahrscheinlich

Der genaue Angriffsweg wurde nicht publiziert, aber die Tätergruppe nutzt dokumentiert Einstiege, die im Prüfumfang liegen.

Teilweise

Die Prüfung hätte das Risiko sichtbar gemacht oder die Auswirkung begrenzt, den Vorfall aber nicht sicher verhindert – etwa bei Phishing oder DDoS.

Nein

Eine punktuelle Prüfung hätte diesen Vorfall nicht verhindert. Wir sagen das offen, statt Schutz zu versprechen, den ein Check nicht leisten kann.

Unklar

Die Betroffenen haben den Angriffsweg nicht veröffentlicht. Ohne diese Information wäre jede Aussage Spekulation.

Von 28 Vorfällen bewerten wir 3 mit «Ja», 1 mit «Wahrscheinlich», 7 mit «Teilweise», 2 mit «Nein» und 15 mit «Unklar». Die hohe Zahl an «Unklar» ist Absicht: Die meisten Betroffenen publizieren den Angriffsweg nie – und wir raten nicht.

Behörden & Verwaltung

Kanton Graubünden: Cyberangriff auf einen SharePoint-Server – Websites für Notfall-Update offline

Einen Tag nach der Meldung des Bundesamts für Informatik stellt das IT-Sicherheitsteam des Kantons einen Angriff auf einen eigenen SharePoint-Server fest – die Umgebung der Verwaltungswebsite. Ab 19 Uhr wird ein Notfall-Sicherheitsupdate eingespielt; die kantonalen Websites sind mehrere Stunden nicht erreichbar. ePortal und Fachanwendungen sind nicht betroffen; nach ersten Analysen sind keine Konten kompromittiert und keine Daten abgeflossen.

Angriffsweg Aus dem Internet erreichbare On-Premises-SharePoint-Server. Microsoft hatte am 14. Juli 2026 Updates für aktiv ausgenutzte Schwachstellen veröffentlicht, darunter CVE-2026-58644 (CVSS 9.8, Codeausführung ohne Anmeldung).

Hätte Suisse Guard das verhindert? Ja

Ein aus dem Internet erreichbarer SharePoint mit ausstehenden Sicherheitsupdates ist ein Standardbefund unserer Aussenprüfung. Drei Wochen nach Veröffentlichung der Updates wäre er als kritisch markiert gewesen – mit Frist «sofort».

Behörden & VerwaltungLiechtenstein

Liechtenstein: Register der wirtschaftlich Berechtigten kopiert – 31'000 Rechtsträger betroffen

In der Nacht auf den 30. Juli verschafft sich ein unbekannter Täter Zugang zum streng geschützten Verzeichnis wirtschaftlich berechtigter Personen (VwbP) des Amts für Justiz und kopiert Daten zu rund 31'000 Rechtsträgern: Namen, Staatsangehörigkeit und Wohnsitzland der Personen hinter Gesellschaften, Stiftungen und Trusts. Die Regierung setzt einen Krisenstab ein; Lösegeldforderungen gab es keine, im Darknet tauchte das Verzeichnis nicht auf.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Der Angriffsweg ist nicht öffentlich. Für Schweizer Behörden relevant: Dasselbe Registerprinzip kommt mit dem Transparenzregister auch hierzulande.

Behörden & Verwaltung

Bundesamt für Informatik (BIT): 200 Konten über SharePoint-Schwachstellen kompromittiert

Am 28. Juli entdecken Sicherheitsverantwortliche Anomalien auf den SharePoint-Servern des BIT in den Rechenzentren des Bundes. Rund 200 Benutzer- und technische Konten wurden kompromittiert. Der Zugriff für bundesexterne Personen via Internet wird gesperrt, betroffene Passwörter werden zurückgesetzt.

Angriffsweg Von Microsoft Mitte Juli 2026 publizierte SharePoint-Schwachstellen, darunter CVE-2026-58644 (CVSS 9.8, Codeausführung ohne Anmeldung, seit dem 16. Juli im CISA-Katalog aktiv ausgenutzter Lücken). Die Sicherheitsupdates waren seit dem Patch-Dienstag vom 14. Juli verfügbar.

Hätte Suisse Guard das verhindert? Wahrscheinlich

Exponierte SharePoint-Server und offene Patches gehören zu den ersten Dingen, die wir prüfen; zwei Wochen nach dem Microsoft-Update wäre das ein kritischer Befund gewesen. Falls die Ausnutzung bereits vor dem Patch begann, hätte eine Prüfung die Exposition gezeigt, die Lücke selbst aber nicht kennen können.

Kanzleien & TreuhandBehörden & Verwaltung

Treuhandfirma im Kanton Waadt: 222 GB Daten von Gemeinden, Unternehmen und Privatpersonen im Darknet

Nach dem Angriff vom 30. Juni 2026 und einem abgelaufenen Ultimatum publiziert die Gruppe BravoX am 23. Juli rund 222 Gigabyte: über 100'000 Dokumente mit Steuerunterlagen, Buchhaltungen und Bankauszügen. Betroffen sind 15 Waadtländer Gemeinden, Unternehmen und Privatpersonen – darunter ein Staatsrat. Die Firma zahlte kein Lösegeld, erstattete Anzeige und informierte Datenschutzbehörde und BACS.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Der Angriffsweg beim Treuhänder wurde nicht veröffentlicht. Oneconsult beschreibt für einen analysierten BravoX-Fall kompromittierte VPN-Zugangsdaten als Einstieg – ein Standardbefund unserer Prüfung, aber ohne Bestätigung für diesen Fall bleibt es «unklar». Für die 15 Gemeinden zeigt der Fall, dass das Risiko beim Dienstleister sitzt – deshalb prüfen wir auf Wunsch auch Lieferanten.

Kanzleien & Treuhand

Anwaltskanzlei im Kanton Zürich: Angriff der Ransomware-Gruppe «Deadlock»

Eine Zürcher Kanzlei bestätigt Mitte Juli einen Cyberangriff auf ihre Systeme. Verantwortlich zeichnet die in der Schweiz bislang kaum bekannte Gruppe Deadlock. Die Kanzlei reagierte nach eigenen Angaben rasch und schildert ihren Umgang mit dem Vorfall öffentlich.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Ohne publizierten Angriffsweg keine Aussage. Für Kanzleien bleibt die Lehre: Mandatsdaten sind Erpressungsgut erster Güte.

Behörden & Verwaltung

Gemeinde Matten bei Interlaken: Ransomware-Angriff auf die Gemeindeverwaltung

Am Wochenende vom 14./15. März 2026 wird die ICT-Infrastruktur der Gemeindeverwaltung angegriffen. Einzelne Daten werden verschlüsselt, können aber vollständig wiederhergestellt werden; nach aktuellem Kenntnisstand wurden keine Daten entwendet, der Betrieb bleibt aufrecht. Bislang wurden keine Daten der Gemeinde veröffentlicht; die Anzeige erging gegen Unbekannt.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Angriffsweg und Täterschaft sind nicht publiziert. Dass die verschlüsselten Daten vollständig wiederhergestellt werden konnten, zeigt, was funktionierende Backups wert sind – ein Punkt, den wir im Dossier belegen lassen.

Software-Lieferanten

Soreco AG (Schwerzenbach ZH): Business-Software-Hersteller erpresst – 118 GB angeblich entwendet

Die Gruppe BravoX reklamiert im Darknet einen Angriff auf den Zürcher Hersteller von Finanz- und Dokumentenmanagement-Software und will 118,2 Gigabyte Daten exfiltriert haben. Soreco lehnt Lösegeldzahlungen ab; die Auswirkungen auf den Betrieb seien minimal.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg. Für Kunden von Softwareanbietern gilt: Wer beim Lieferanten liegt, hängt an dessen Sicherheit.

Kanzleien & Treuhand

Treuhandunternehmen im Kanton Glarus: Angriff der Gruppe BravoX

Im März 2026 reklamiert BravoX einen Angriff auf ein Glarner Treuhandunternehmen – der zweite Schweizer Fall der Gruppe nach Soreco, vor der Waadtländer Treuhandfirma im Sommer. Bis zum 23. Juli 2026 hatte BravoX 21 Opfer publiziert, drei davon aus der Schweiz.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg.

International / KIKI-bezogenInternational

Erste KI-orchestrierte Spionagekampagne: Ein KI-Agent führt 80–90 % des Angriffs autonom aus

Mitte September 2025 entdeckt Anthropic eine chinesische staatsnahe Gruppe (GTG-1002), die Claude Code als Agentensystem gegen rund 30 Ziele einsetzt: Tech-Konzerne, Finanzinstitute, Chemieunternehmen, Behörden. Die KI übernimmt Aufklärung, Exploit-Entwicklung, Credential-Diebstahl und Datenexfiltration weitgehend selbständig; einzelne Einbrüche gelingen. Das Modell wurde getäuscht, es arbeite für eine Sicherheitsfirma.

Angriffsweg Automatisierte Schwachstellen-Aufklärung und -Ausnutzung gegen exponierte Systeme, orchestriert durch ein KI-Modell.

Hätte Suisse Guard das verhindert? Teilweise

Die KI nutzte bekannte Schwachstellenklassen gegen erreichbare Systeme – genau das, was eine Prüfung sichtbar macht. Gegen einen staatlichen Akteur mit Zeit und Budget ist eine geschlossene Aussenfläche jedoch nur die erste Hürde.

Unternehmen & Industrie

BACS-Warnung: Rund 200 Schweizer Unternehmen Opfer der Ransomware-Gruppe Akira

Bundesanwaltschaft, fedpol und BACS melden vier bis fünf Akira-Fälle pro Woche – ein Rekord für die Schweiz. Die Täter stehlen Daten, verschlüsseln Systeme und erpressen doppelt. Der Schaden im Inland beläuft sich auf mehrere Millionen Franken, weltweit auf Hunderte Millionen Dollar. Seit April 2024 läuft ein Strafverfahren gegen Unbekannt.

Angriffsweg Ungepatchte Systeme sowie VPN- und RDP-Fernzugänge, die nicht durch Zwei-Faktor-Authentifizierung geschützt sind (Angabe BACS).

Hätte Suisse Guard das verhindert? Ja

Fernzugänge ohne MFA, offene RDP-Ports und ungepatchte Randsysteme sind Kernbefunde jeder Aussenprüfung. Wer sie vor dem Angriff schliesst, nimmt Akira den bevorzugten Einstieg.

International / KIKI-bezogenInternational

HexStrike-AI: Täter wollen Citrix-NetScaler-Lücke innert Stunden mit KI-Agenten ausgenutzt haben

Innert Stunden nach der Offenlegung von CVE-2025-7775 (Codeausführung ohne Anmeldung auf Citrix NetScaler) am 26. August 2025 beobachtet Check Point in Untergrundforen Diskussionen über den Einsatz des KI-Frameworks HexStrike-AI, das über 150 spezialisierte Agenten zum Scannen, Ausnutzen und Festsetzen steuert. Die Täter behaupten, die Ausnutzungszeit sinke von Tagen auf unter zehn Minuten; ob HexStrike-AI tatsächlich zum Einsatz kam, ist nicht bestätigt. Am 2. September sind laut Shadowserver noch rund 8'000 NetScaler-Endpunkte verwundbar – eine Woche zuvor waren es 28'000.

Angriffsweg Ungepatchte, aus dem Internet erreichbare Citrix NetScaler ADC/Gateway-Appliances.

Hätte Suisse Guard das verhindert? Ja

Eine exponierte, verwundbare NetScaler-Appliance ist ein kritischer Befund – und der Grund, weshalb die Behebungsfrist bei kritischen Lücken «sofort» heisst, nicht 30 Tage. Ob mit oder ohne KI: 28'000 exponierte Systeme eine Woche nach dem Patch sind das eigentliche Problem.

International / KIKI-bezogenInternational

«Vibe Hacking»: Ein Einzeltäter greift mit KI-Unterstützung mindestens 17 Organisationen an und erpresst sie mit gestohlenen Daten

Anthropics Bedrohungsbericht vom August 2025 dokumentiert einen Kriminellen, der mit Claude Code Aufklärung, Credential-Diebstahl, Netzwerkeinbrüche und Datenexfiltration gegen Behörden, Gesundheitseinrichtungen und religiöse Organisationen automatisierte – inklusive Scans von VPN-Endpunkten und selbst geschriebener Schadsoftware. Der Bericht beschreibt zudem den Verkauf KI-generierter Ransomware durch einen Täter mit nur rudimentären Programmierkenntnissen.

Angriffsweg KI-gestützte Aufklärung und Ausnutzung exponierter Dienste (u.a. VPN-Endpunkte) sowie gestohlener Zugangsdaten.

Hätte Suisse Guard das verhindert? Teilweise

Exponierte VPN-Endpunkte und wiederverwendete Zugangsdaten hätten im Dossier gestanden. Ob das jede der 17 betroffenen Organisationen geschützt hätte, lässt sich ohne Details nicht sagen.

Spitäler & GesundheitBehörden & Verwaltung

Stiftung Radix: Ransomware-Gruppe Sarcoma publiziert 1,3 Terabyte – auch Daten der Bundesverwaltung

Die Stiftung für Gesundheitsförderung mit Bundesämtern als Kunden wird am 16. Juni 2025 verschlüsselt und bestohlen. Nach abgelaufenem Ultimatum stellen die Täter die Daten ins Darknet: Sie behaupteten, rund 2 Terabyte erbeutet zu haben; publiziert wurden laut Auswertung von SRF Data 1,3 Terabyte – einer der mutmasslich grössten Datenabflüsse einer Schweizer Gesundheitsorganisation. Auf Systeme der Bundesverwaltung hatten die Angreifer zu keinem Zeitpunkt Zugriff, weil Radix keinen solchen hatte.

Angriffsweg Laut Angaben der Stiftung Radix nutzten die Angreifer eine bis dahin unbekannte Zero-Day-Schwachstelle; weitere Details wurden nicht publiziert.

Hätte Suisse Guard das verhindert? Nein

Eine bis dahin unbekannte Lücke findet auch eine Prüfung nicht – wir sagen das offen. Was sie leistet: zeigen, welche Systeme überhaupt aus dem Internet erreichbar sind, und die Ausbreitung nach einem Einbruch begrenzen. Für Bundes- und Patientendaten beim Dienstleister ist das der entscheidende Unterschied.

Software-LieferantenSpitäler & Gesundheit

Cistec (Klinikinformationssystem KISIM): Ransomware beim Software-Hersteller der Spitäler

In der Nacht vom 12. Februar 2025 sind die an das Active Directory angebundenen internen Dienste (u.a. Exchange) des Zürcher KIS-Herstellers von einem Ransomware-Angriff betroffen. Cistec fährt alle Systeme herunter, informiert Kantonspolizei, EDÖB und GovCERT und baut die Umgebung neu auf. Kundensysteme und Patientendaten seien nicht betroffen, weil keine Patientendaten bei Cistec gespeichert würden.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg.

Spitäler & Gesundheit

NTC-Bericht: Über 40 Schwachstellen in den Klinikinformationssystemen Schweizer Spitäler

Das Nationale Testinstitut für Cybersicherheit prüft drei in der Schweiz weit verbreitete beziehungsweise für Schweizer Spitäler zentrale Klinikinformationssysteme (KISIM von Cistec, inesKIS und Epic) in mehreren Spitälern und findet über 40 mittlere bis schwere Sicherheitsprobleme, drei davon der höchsten Kritikalität. Mehrere Schwachstellen waren so leicht auszunutzen, dass die Tester innerhalb weniger Stunden nach Testbeginn die vollständige Kontrolle über das KIS und die darin enthaltenen Patientendaten erlangten.

Angriffsweg Grundlegende Schwächen der Software-Architektur, fehlende oder fehlerhaft umgesetzte Verschlüsselung, Lücken in Umsystemen sowie mangelnde Trennung von Test- und Produktivumgebung.

Hätte Suisse Guard das verhindert? Teilweise

Ein reiner Aussencheck sieht das KIS nicht. Mit dem erweiterten Prüfumfang (interne Systeme) sind das exakt die Befundtypen, die wir liefern – für Spitäler ist die Erweiterung deshalb unsere Standardempfehlung.

Spitäler & Gesundheit

Praxisgruppe Vidymed (Lausanne, Épalinges): Cyberangriff legt vier Ärztezentren lahm

Der Angriff vom 7. Dezember 2024 blockiert sämtliche IT-Systeme, Patientendossiers und Agenden der vier Zentren mit rund 90 Ärztinnen und Ärzten. Über einen Monat lang arbeitet das Personal auf Papier; mit Hilfe des Kantons wird eine Anlaufstelle für die psychische Belastung der Ärzteschaft eingerichtet. Ob Ransomware im Spiel war oder Lösegeld floss, sagt Vidymed nicht; Hinweise auf veröffentlichte Daten gab es keine, der Grossteil der Daten konnte wiederhergestellt werden.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg.

Behörden & Verwaltung

Ukraine-Konferenz Bürgenstock: DDoS-Welle gegen Bundes-Websites und beteiligte Organisationen

Pro-russische Hacktivisten (NoName057(16)) überlasten ab dem 13. Juni 2024 Websites der Bundesverwaltung und konferenzbeteiligter Organisationen; die Website des Bürgenstock Resorts ist zeitweise nicht erreichbar, der Zoll arbeitet mit Notfallverfahren. Die Störungen bleiben laut BACS «im Rahmen der Toleranz»; die Angriffe dauern über das Konferenzende hinaus an und treffen danach auch IT-Systeme der Kantone Nidwalden und Obwalden. Dieselbe Gruppe hatte Schweizer Behörden bereits im Juni 2023 und Januar 2024 attackiert.

Angriffsweg Volumetrische DDoS-Angriffe auf öffentlich erreichbare Websites.

Hätte Suisse Guard das verhindert? Teilweise

Einen DDoS-Angriff verhindert keine Prüfung. Sie zeigt aber, ob Website und Formulare ohne Schutzschicht (CDN, Rate-Limits, Fallback) exponiert sind – und damit, wie hart ein Ausfall trifft.

Software-LieferantenBehörden & Verwaltung

Concevis AG (Basel): Alle Server verschlüsselt – ältere Betriebsdaten der Bundesverwaltung gestohlen

Am Wochenende des 4./5. November 2023 dringen Täter in die Server des Basler Software-Dienstleisters ein, verschlüsseln sämtliche Server und stehlen umfangreiche Daten – darunter mutmasslich ältere, operative Daten der Bundesverwaltung. Zu den Concevis-Kunden zählen laut NCSC das Bundesamt für Bevölkerungsschutz, das Bundesamt für Raumentwicklung, das Bundesamt für Statistik, das Bundesamt für Zivilluftfahrt, die Eidgenössische Steuerverwaltung und das Kommando Ausbildung. Concevis zahlt kein Lösegeld; die Täter drohen daraufhin mit der Veröffentlichung im Darknet. Eine bestätigte Publikation der Daten wurde nicht bekannt.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg – der zweite Bundes-Lieferant innert sechs Monaten.

Software-LieferantenBehörden & Verwaltung

Xplain AG: Ransomware-Gruppe Play publiziert 1,3 Millionen Objekte – darunter 9'040 der Bundesverwaltung

Der Berner Lieferant von Polizei- und Justizsoftware wird im Mai 2023 angegriffen; am 14. Juni stellt Play das gesamte Datenpaket – rund 1,3 Millionen Objekte – ins Darknet. Die Datenanalyse des BACS ordnet 9'040 Objekte der Bundesverwaltung zu, 95 Prozent davon dem EJPD; 5'182 enthalten sensitive Inhalte wie Personendaten, technische oder klassifizierte Informationen und Passwörter. Der EDÖB stellt fest, dass Xplain keine angemessenen Massnahmen zur Datensicherheit umgesetzt und Personendaten trotz vertraglicher Löschpflicht behalten hatte – und dass fedpol und BAZG nicht klar geregelt hatten, unter welchen Bedingungen ihre Daten im Rahmen von Supportleistungen auf Xplain-Servern liegen dürfen; die übertragene Datenmenge von rund 900 Gigabyte sei unverhältnismässig gewesen.

Angriffsweg Nicht abschliessend publiziert. Der EDÖB nennt ungenügende Sicherheitsmassnahmen beim Lieferanten sowie Daten des Bundes, die im Rahmen von Supportleistungen ohne klare Regeln in die Umgebung von Xplain gelangten.

Hätte Suisse Guard das verhindert? Teilweise

Eine Lieferantenprüfung hätte Xplains exponierte Systeme und Sicherheitsvorkehrungen bewertet. Die Kernursache – Produktivdaten des Bundes in der Umgebung des Lieferanten – ist organisatorisch; sie wird nur sichtbar, wenn Datenflüsse Teil der Prüfung sind, wie in unserem Dossier.

Spitäler & Gesundheit

Spitalverband H+: Sämtliche Server nach breit angelegtem Angriff abgeschaltet

In der Nacht auf Montag, 20. Juni 2022, wird der Verband der Schweizer Spitäler Ziel eines Angriffs, der laut H+ mehrere Organisationen traf, darunter Institutionen des Gesundheitswesens. Alle Server werden vorsorglich abgeschaltet, ein Krisenstab eingesetzt; der Datenserver bleibt für die polizeiliche Untersuchung gesperrt. Ob Daten des Verbands abhandenkamen, war zunächst unklar; auf Daten der Mitgliedspitäler habe der Angriff keinen Einfluss.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg.

Unternehmen & Industrie

Swissport: Ransomware (BlackCat/ALPHV) stört die Bodenabfertigung in Zürich – 1,6 Terabyte Daten zum Verkauf angeboten

Der Angriff vom 3. Februar 2022, 6 Uhr früh, legt Planungs-, Dispositions- und Einsatzplansysteme lahm; am Flughafen Zürich verspäten sich 16 Flüge von Swiss und Edelweiss. Swissport nimmt die betroffene Infrastruktur vom Netz und hält den Betrieb mit manuellen Ersatzprozessen aufrecht. Die Gruppe BlackCat (ALPHV) publiziert später Muster – Passkopien, interne Memos, Bewerberdaten – und bietet 1,6 Terabyte zum Verkauf an.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg.

Behörden & Verwaltung

Gemeinde Montreux: Cyberangriff – Verwaltung vom Netz des Kantons getrennt

Am Sonntag, 10. Oktober 2021, wird der Angriff auf die Gemeindeverwaltung erkannt; die Täter waren laut der Sicherheitsvereinigung ASR vermutlich bereits ein bis zwei Wochen im Netz. Montreux trennt seine Systeme vom Netz des Kantons Waadt, setzt einen Krisenstab ein und erstattet Anzeige; die Verwaltung arbeitet vorübergehend ohne WLAN und Internet. Ob Daten verschlüsselt oder gestohlen wurden, wird untersucht.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg.

Unternehmen & Industrie

Comparis: Ransomware-Gruppe Grief – Website tagelang offline, Lösegeld bezahlt

Am 7. Juli 2021 verschlüsselt die Gruppe Grief Daten des Vergleichsdienstes und fordert 400'000 US-Dollar; die Website ist über 24 Stunden offline. Comparis bestreitet zunächst jede Zahlung, bestätigt Ende Juli aber eine «Einigung mit den Erpressern», um betrieblich wichtige Dateien zu entschlüsseln. Die Täter hatten Zugriff auf Kundendaten der Gruppe, darunter der Schwesterfirmen Optimatis und Credaris.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg.

Behörden & Verwaltung

Gemeinde Rolle VD: Verwaltungsdaten von rund 5'000 Einwohnern im Darknet

Die Gruppe Vice Society dringt in der Nacht auf den 30. Mai 2021 ins Netz der Gemeindeverwaltung ein und publiziert ab Mitte Juni Gigabytes an Daten: AHV-Nummern, Steuerdaten, Aufenthaltsbewilligungen, Schulzeugnisse, Angaben zu Kindern mit Covid-19. Die Gemeinde spricht zunächst von einem «kleineren Angriff» und räumt erst nach Medienberichten Ende August ein, die Schwere unterschätzt zu haben.

Angriffsweg Nicht bestätigt. Medien vermuteten eine Windows-Schwachstelle (PrintNightmare).

Hätte Suisse Guard das verhindert? Unklar

Ohne bestätigten Angriffsweg keine Aussage. Wäre es die vermutete ungepatchte Windows-Lücke auf einem exponierten System gewesen, gehörte sie zu den häufigsten kritischen Befunden unserer Prüfungen – und wäre innert Tagen behebbar gewesen.

Spitäler & Gesundheit

Hirslanden-Gruppe: Trickbot per E-Mail-Anhang – sechs Tage bis zur Wiederherstellung aus Backups

Am 21. Juli 2020 gelangt die Schadsoftware Trickbot über ein Makro in einem E-Mail-Anhang in die Systeme der Privatklinikgruppe und verschlüsselt einen Teil der zentralen Dateiablage – administrative Dokumente, keine Patientendossiers. Die Wiederherstellung aus Sicherungskopien dauert sechs Tage; die Patientenversorgung sei nie gefährdet gewesen, eine Lösegeldforderung ging nicht ein, Daten flossen laut Hirslanden keine ab. Bekannt wird der Vorfall erst im November durch Recherchen der NZZ.

Angriffsweg Schadsoftware (Trickbot) über ein Makro in einem E-Mail-Anhang.

Hätte Suisse Guard das verhindert? Teilweise

Wir prüfen Mail-Sicherheit (SPF, DKIM, DMARC, Anhang- und Makro-Richtlinien) und die Segmentierung dahinter. Den Klick selbst verhindert keine Prüfung – die Ausbreitung danach lässt sich begrenzen.

Unternehmen & Industrie

Stadler Rail: Nefilim-Ransomware, 6 Mio. Dollar Lösegeldforderung, Dokumente publiziert

Anfang Mai 2020 dringen Täter in Stadlers IT-Netz ein; das Unternehmen macht den Angriff am 7. Mai öffentlich. Die Erpresser fordern 6 Millionen US-Dollar in Bitcoin und behaupten, 10'000 Dokumente (4 GB) erbeutet zu haben. Stadler verweigert jede Zahlung und tritt nicht in Verhandlungen ein; ab Juni veröffentlichen die Täter die Dokumente in Tranchen – darunter Kredit- und Bankverträge sowie eine Steuervereinbarung mit dem Kanton Thurgau.

Angriffsweg Nicht publiziert.

Hätte Suisse Guard das verhindert? Unklar

Kein publizierter Angriffsweg.

Spitäler & Gesundheit

Spital Wetzikon: Emotet über Word-Makro – Medizingeräte vorsorglich isoliert

Mitte Oktober 2019 bringt eine gefälschte E-Mail, die wie interne Kommunikation aussieht, den Trojaner Emotet ins Spital; einzelne Medizingeräte werden vorübergehend vom Netz getrennt. Dieselbe Welle trifft das Spital Limmattal, das Zentrallabor Zürich und mindestens drei weitere Gesundheitsinstitutionen. Patientendaten werden nicht verschlüsselt; die Spitäler Wetzikon und Limmattal beziffern die Kosten für Abwehr und neue Schutzmassnahmen gegenüber der SRF-«Rundschau» auf rund 300'000 Franken.

Angriffsweg Phishing-E-Mail mit Word-Dokument und aktiviertem Makro.

Hätte Suisse Guard das verhindert? Teilweise

Makro-Richtlinien, Mail-Filter und Segmentierung sind Prüfpunkte; der Klick eines Mitarbeitenden ist es nicht.

Unternehmen & Industrie

RUAG: Staatliche Spionage mit Turla – 23 Gigabyte über Monate abgeflossen

Anfang 2016 wird beim bundeseigenen Rüstungskonzern eine Infektion entdeckt, die mindestens seit September 2014 aktiv war – frühere Logdaten fehlen. Die Angreifer bewegen sich mit Schadsoftware der Turla-Familie geduldig durchs Netz und exfiltrieren gemäss Proxy-Logs 23 Gigabyte; über deren Inhalt lässt sich laut MELANI keine Aussage machen. Turla wird in der Fachwelt russischen Stellen zugeordnet; der Bundesrat bestätigt keine Urheberschaft.

Angriffsweg Gezielte Spionage (APT) mit langfristiger Persistenz; Details im technischen Bericht von MELANI/GovCERT.

Hätte Suisse Guard das verhindert? Nein

Eine punktuelle Sicherheitsprüfung stoppt keine staatliche Spionageoperation mit jahrelanger Persistenz. Dagegen helfen kontinuierliche Überwachung und Netzwerksegmentierung – wir sagen das offen.

Ergänzungen

Ein Vorfall fehlt?

Wir nehmen dokumentierte Vorfälle auf, für die eine öffentliche, zitierfähige Quelle existiert – Medienberichte, Behördenmitteilungen, Bekanntgaben der Betroffenen. Hinweise nehmen wir gerne entgegen; Betroffene können ihre eigene Einordnung beisteuern, wir kennzeichnen sie als solche.

Hinweis senden

Kriterien für die Aufnahme

  • Betroffene Organisation in der Schweiz oder Liechtenstein – oder ein internationales Ereignis mit direkter Bedeutung für Schweizer Organisationen
  • Mindestens eine öffentliche Quelle mit Datum
  • Angriffsweg nur dann genannt, wenn publiziert; sonst «Nicht publiziert»
  • Bewertung nach der Skala oben, begründet in ein bis drei Sätzen