Vorfälle · 33 öffentlich dokumentierte Angriffe · Januar 2016 bis August 2026 · Stand 5. September 2026

Cyberangriffe in der Schweiz: Chronik und Einschätzung

Dokumentierte Cybervorfälle in der Schweiz seit 2016 sowie internationale Ereignisse mit Bedeutung für Schweizer Organisationen. Jeder Eintrag verweist auf die Originalberichte und trägt unsere Einschätzung, ob die Bedrohungsanalyse den Vorfall verhindert oder entschärft hätte.

So bewerten wir

Ja

Der Angriffsweg ist publiziert und gehört zu den Prüfbereichen der Bedrohungsanalyse: exponierte Dienste, ungepatchte Systeme, Fernzugänge ohne Mehrfaktor-Authentifizierung, geleakte Zugangsdaten oder Fehlkonfigurationen.

Ja, nach Einstiegsmuster

Der konkrete Angriffsweg wurde nicht publiziert. Die Tätergruppe oder die Angriffsart arbeitet aber dokumentiert über Einstiege, die zu den Prüfbereichen gehören; die Belege stehen im Eintrag.

Teilweise

Der Einstieg selbst lag ausserhalb des Prüfumfangs, etwa ein E-Mail-Anhang oder eine bis dahin unbekannte Lücke. Die Bedrohungsanalyse hätte Ausbreitung und Schaden begrenzt, den Angriff aber nicht verhindert.

Nicht beurteilbar

Zu Art und Weg des Angriffs ist nichts bekannt. Wir bewerten nicht ohne Grundlage.

Von den 33 dokumentierten Angriffen aus dem Zeitraum Januar 2016 bis August 2026 lag bei 27 der Einstieg im Prüfumfang der Bedrohungsanalyse (11 mit publiziertem Angriffsweg, 16 nach belegtem Einstiegsmuster); bei 6 lag er ausserhalb, der Schaden wäre begrenzt worden. Aufgenommen ist jeder Angriff auf eine Organisation in der Schweiz (29) oder in Liechtenstein (1), dazu 3 internationale Ereignisse mit direkter Bedeutung für Schweizer Organisationen, belegt mit mindestens einer öffentlichen Quelle und Datum. Das ist keine repräsentative Stichprobe der Lage in der Schweiz, sondern die Sammlung der Fälle, die wir belegen können; die Auswahl sagt nichts über die Häufigkeit einzelner Einstiege aus.

Behörden & Verwaltung

Gemeinde Martigny-Combe VS: E-Mail-System kompromittiert, Betrugsnachrichten an Kontakte der Gemeinde

Am 18. August 2026 verschaffen sich Unbekannte Zugang zum E-Mail-System der Gemeindeverwaltung und versenden darüber eine betrügerische Nachricht an Kontakte der Gemeinde. Die Gemeinde warnt vor Phishing und Identitätsmissbrauch, weil Personendaten eingesehen worden sein könnten. Es ist nach Vétroz im April der zweite Angriff auf eine Walliser Gemeinde innert weniger Monate.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Übernommene Mail-Konten laufen über Zugangsdaten ohne MFA; geleakte Konten und Mail-Schutz prüfen wir.

Ein übernommenes Mail-Konto setzt in der Regel gestohlene oder erratene Zugangsdaten ohne zweiten Faktor voraus. Die Aussenprüfung erfasst geleakte Konten der Gemeinde im Darknet, den MFA-Stand von Webmail und Microsoft 365 sowie SPF, DKIM und DMARC, die den Missbrauch der Absenderadresse erschweren. Welche Schwäche hier genutzt wurde, hat die Gemeinde nicht publiziert.

Behörden & Verwaltung

Kanton Graubünden: Cyberangriff auf einen SharePoint-Server – Websites für Notfall-Update offline

Einen Tag nach der Meldung des Bundesamts für Informatik stellt das IT-Sicherheitsteam des Kantons einen Angriff auf einen eigenen SharePoint-Server fest – die Umgebung der Verwaltungswebsite. Ab 19 Uhr wird ein Notfall-Sicherheitsupdate eingespielt; die kantonalen Websites sind mehrere Stunden nicht erreichbar. ePortal und Fachanwendungen sind nicht betroffen; nach ersten Analysen sind keine Konten kompromittiert und keine Daten abgeflossen.

Angriffsweg Aus dem Internet erreichbare On-Premises-SharePoint-Server. Microsoft hatte am 14. Juli 2026 Updates für aktiv ausgenutzte Schwachstellen veröffentlicht, darunter CVE-2026-58644 (CVSS 9.8, Codeausführung ohne Anmeldung).

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Exponierter SharePoint ohne die seit dem 14. Juli verfügbaren Updates: Standardbefund der Aussenprüfung, Frist «sofort».

Der Angriff traf einen aus dem Internet erreichbaren SharePoint-Server, auf dem die Sicherheitsupdates vom 14. Juli drei Wochen später noch nicht eingespielt waren; die Standeskanzlei kündigte das ausserordentliche Update erst für den Abend des 5. August an. Diesen Befund liefert die Aussenprüfung: exponierter Dienst erkannt, Versionsstand gegen CVE-2026-58644 und den CISA-Katalog abgeglichen, Einstufung «kritisch» mit Behebungsfrist sofort. Ein vor dem Angriff eingespieltes Update hätte diesen Weg geschlossen und den kantonalen Websites die stundenlange Nichterreichbarkeit erspart.

Behörden & VerwaltungLiechtenstein

Liechtenstein: Register der wirtschaftlich Berechtigten kopiert – 31'000 Rechtsträger betroffen

In der Nacht auf den 30. Juli verschafft sich ein unbekannter Täter Zugang zum streng geschützten Verzeichnis wirtschaftlich berechtigter Personen (VwbP) des Amts für Justiz und kopiert Daten zu rund 31'000 Rechtsträgern: Namen, Staatsangehörigkeit und Wohnsitzland der Personen hinter Gesellschaften, Stiftungen und Trusts. Die Regierung setzt einen Krisenstab ein; Lösegeldforderungen gab es keine, im Darknet tauchte das Verzeichnis nicht auf.

Angriffsweg Nach ersten Erkenntnissen der Regierung diente das öffentliche Erfassungsportal des Registers als Einfallstor: Die Täterschaft richtete sich dort einen Zugang ein und las die Einträge in Einzelabfragen aus. Welche Schwäche genutzt wurde, ist nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Das öffentliche Erfassungsportal ist laut Regierung das Einfallstor; öffentliche Portale mit Personendaten sind ein Kernbereich der Aussenprüfung.

Nach ersten Erkenntnissen der Liechtensteiner Regierung war das mögliche Einfallstor das öffentliche Erfassungsportal des Registers: Die Täterschaft richtete sich dort einen Zugang ein und las über Stunden rund 31'000 Einträge in Einzelabfragen aus, ohne dass eine Warnung ausgelöst wurde. Ein aus dem Internet erreichbares Portal mit Zugang zu Personendaten gehört in die Aussenprüfung und wird dort gegen die OWASP Top 10 getestet: Zugriffskontrolle je Datensatz, Massenabfragen, Registrierung und Anmeldung. Welche Schwäche genau ausgenutzt wurde, ist nicht publiziert; die Regierung spricht von einem Angriff auf hohem technischem Niveau.

Behörden & Verwaltung

Bundesamt für Informatik (BIT): 200 Konten über SharePoint-Schwachstellen kompromittiert

Am 28. Juli entdecken Sicherheitsverantwortliche Anomalien auf den SharePoint-Servern des BIT in den Rechenzentren des Bundes. Rund 200 Benutzer- und technische Konten wurden kompromittiert. Der Zugriff für bundesexterne Personen via Internet wird gesperrt, betroffene Passwörter werden zurückgesetzt.

Angriffsweg Von Microsoft Mitte Juli 2026 publizierte SharePoint-Schwachstellen, darunter CVE-2026-58644 (CVSS 9.8, Codeausführung ohne Anmeldung, seit dem 16. Juli im CISA-Katalog aktiv ausgenutzter Lücken). Die Sicherheitsupdates waren seit dem Patch-Dienstag vom 14. Juli verfügbar.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Exponierte SharePoint-Server mit ausstehenden Updates erkennt die Aussenprüfung und stuft sie als kritisch ein.

Das BIT führt den Angriff selbst mutmasslich auf die Mitte Juli publizierten SharePoint-Schwachstellen zurück; die Server waren für bundesexterne Nutzer aus dem Internet erreichbar, die Auffälligkeiten fielen zwei Wochen nach dem Patch-Dienstag auf, und die Schwachstellen wurden laut Medienmitteilung erst nach der Entdeckung geschlossen. Die Aussenprüfung hätte den exponierten SharePoint samt Versionsstand gegen den CISA-Katalog abgeglichen, in dem CVE-2026-58644 seit dem 16. Juli steht, und das ausstehende Update als kritisch mit Frist «sofort» ausgewiesen. Sollte der Einstieg schon vor dem 14. Juli erfolgt sein, hätte die Prüfung die Exposition gezeigt, die damals unbekannte Lücke aber nicht.

Kanzleien & TreuhandBehörden & Verwaltung

Treuhandfirma im Kanton Waadt: 222 GB Daten von Gemeinden, Unternehmen und Privatpersonen im Darknet

Nach dem Angriff vom 30. Juni 2026 und einem abgelaufenen Ultimatum publiziert die Gruppe BravoX am 23. Juli rund 222 Gigabyte: über 100'000 Dokumente mit Steuerunterlagen, Buchhaltungen und Bankauszügen. Betroffen sind 15 Waadtländer Gemeinden, Unternehmen und Privatpersonen – darunter ein Staatsrat. Die Firma zahlte kein Lösegeld, erstattete Anzeige und informierte Datenschutzbehörde und BACS.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

BravoX steigt laut Oneconsult und InfoGuard über SSL-VPN-Zugänge ohne MFA ein; die Lieferantenprüfung erfasst den Treuhänder.

Der Einstieg beim Treuhänder ist nicht publiziert, doch zwei Schweizer Incident-Response-Teams beschreiben für BravoX denselben Weg: Oneconsult sah kompromittierte VPN-Zugangsdaten, InfoGuard ein SSL-VPN ohne Mehrfaktor-Authentifizierung und ein sehr schwaches Passwort, danach RDP im flachen Netz und Datenabfluss per Rclone. Fernzugänge ohne MFA und geleakte Zugangsdaten gehören zu den ersten Befunden der Aussenprüfung. Für die 15 Gemeinden hätte eine Lieferantenprüfung diesen Dienstleister erfasst, bei dem ihre Steuer- und Buchhaltungsdaten lagen; 222 Gigabyte im Darknet zeigen, dass das Risiko beim Dienstleister sitzt.

Kanzleien & Treuhand

Anwaltskanzlei im Kanton Zürich: Angriff der Ransomware-Gruppe «Deadlock»

Eine Zürcher Kanzlei bestätigt Mitte Juli einen Cyberangriff auf ihre Systeme. Verantwortlich zeichnet die in der Schweiz bislang kaum bekannte Gruppe Deadlock. Die Kanzlei reagierte nach eigenen Angaben rasch und schildert ihren Umgang mit dem Vorfall öffentlich.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Deadlock-Affiliates dringen dokumentiert über VPN ohne MFA, erratene Passwörter und ungepatchte Randsysteme ein; alles im Prüfumfang.

Der Angriffsweg bei der Kanzlei ist nicht publiziert. Deadlock ist international aber beschrieben: Incident-Response-Berichte nennen den Einstieg über kompromittierte gültige Konten, und Microsoft ordnet die Ausrollung Affiliates aus dem Lynx- und INC-Umfeld zu, die über VPN-Zugänge ohne Mehrfaktor-Authentifizierung, erratene Passwörter und ungepatchte Randsysteme wie Citrix eindringen. Bei einer Kanzlei prüfen wir zuerst diese Stellen: Fernzugänge und deren MFA-Stand, Versionsstände exponierter Geräte, geleakte Zugangsdaten im Darknet.

Behörden & Verwaltung

Gemeinde Vétroz VS: Akira legt die Verwaltung lahm, zehn Tage Papierbetrieb

Am 12. April 2026 legt ein Ransomware-Angriff, mutmasslich der Gruppe Akira, die Informatik der Walliser Gemeinde Vétroz vollständig lahm; Datenbanken und Fachanwendungen sind nicht erreichbar, die Verwaltung arbeitet mit Papier und Bleistift. Zehn Tage später sind Schalter, Einwohnerkontrolle, Baubewilligungen und Fachanwendungen wieder in Betrieb; Daten von rund zwei Arbeitstagen gingen verloren, der Verbleib der Daten ist ungewiss.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Akira steigt laut BACS über Fernzugänge ohne MFA und ungepatchte Systeme ein; beides prüfen wir zuerst.

Der Angriffsweg wurde nicht publiziert. Für Akira benennt das BACS den Einstieg aus den Schweizer Fällen: ungepatchte Systeme sowie VPN- und RDP-Fernzugänge ohne Zwei-Faktor-Authentifizierung. Die Aussenprüfung einer Gemeinde erfasst diese Fernzugänge, ihren MFA-Stand und die Versionsstände exponierter Systeme.

Behörden & Verwaltung

Gemeinde Matten bei Interlaken: Ransomware-Angriff auf die Gemeindeverwaltung

Am Wochenende vom 14./15. März 2026 wird die ICT-Infrastruktur der Gemeindeverwaltung angegriffen. Einzelne Daten werden verschlüsselt, können aber vollständig wiederhergestellt werden; nach aktuellem Kenntnisstand wurden keine Daten entwendet, der Betrieb bleibt aufrecht. Bislang wurden keine Daten der Gemeinde veröffentlicht; die Anzeige erging gegen Unbekannt.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Gemeinden werden laut BACS überwiegend über Fernzugänge ohne MFA und ungepatchte Systeme angegriffen; beides prüfen wir zuerst.

Angriffsweg und Täterschaft hat die Gemeinde nicht publiziert; Inside IT rechnet den Fall in seiner Halbjahresbilanz mutmasslich Akira zu, und für Akira nennt das BACS als Einstieg ungepatchte Systeme sowie VPN- und RDP-Fernzugänge ohne Zwei-Faktor-Authentifizierung. Gemeindeverwaltungen werden laut BACS überwiegend über solche Fernzugänge angegriffen; die Aussenprüfung hätte die Fernzugänge der Verwaltung, deren MFA-Stand und die Versionsstände der Randsysteme geprüft. Dass die verschlüsselten Daten vollständig wiederhergestellt werden konnten, zeigt den Wert funktionierender Backups, die wir im Dossier belegen lassen.

Software-Lieferanten

Soreco AG (Schwerzenbach ZH): Business-Software-Hersteller erpresst – 118 GB angeblich entwendet

Die Gruppe BravoX reklamiert im Darknet einen Angriff auf den Zürcher Hersteller von Finanz- und Dokumentenmanagement-Software und will 118,2 Gigabyte Daten exfiltriert haben. Soreco lehnt Lösegeldzahlungen ab; die Auswirkungen auf den Betrieb seien minimal.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Gleicher dokumentierter Einstieg der Gruppe über VPN ohne MFA; die Lieferantenprüfung erfasst Softwareanbieter.

Soreco hat den Einstieg nicht publiziert. Für BravoX dokumentieren Oneconsult und InfoGuard aus analysierten Fällen aber denselben Weg: kompromittierte Zugangsdaten für ein SSL-VPN ohne Mehrfaktor-Authentifizierung, in einem Fall mit sehr schwachem Passwort. Aus dem Internet erreichbare Fernzugänge, fehlende MFA und im Darknet gehandelte Zugangsdaten sind Kernpunkte unserer Aussenprüfung; für Kunden eines Softwareanbieters erfasst die Lieferantenprüfung dieselben Punkte beim Hersteller.

Kanzleien & Treuhand

Treuhandunternehmen im Kanton Glarus: Angriff der Gruppe BravoX

Im März 2026 reklamiert BravoX einen Angriff auf ein Glarner Treuhandunternehmen – der zweite Schweizer Fall der Gruppe nach Soreco, vor der Waadtländer Treuhandfirma im Sommer. Bis zum 23. Juli 2026 hatte BravoX 21 Opfer publiziert, drei davon aus der Schweiz.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

BravoX nutzt dokumentiert SSL-VPN-Zugänge ohne MFA und kompromittierte Zugangsdaten: Kernpunkte der Aussenprüfung.

Zum Einstieg bei der Glarner Firma ist nichts publiziert; BravoX nutzt aber laut den Analysen von Oneconsult und InfoGuard Labs kompromittierte VPN-Zugangsdaten und SSL-VPNs ohne Mehrfaktor-Authentifizierung als Erstzugang, anschliessend RDP im internen Netz. Die Aussenprüfung hätte die Fernzugänge des Treuhänders, deren MFA-Stand und geleakte Zugangsdaten im Darknet geprüft, also die Stellen, an denen diese Gruppe dokumentiert ansetzt. Treuhänder verwalten Steuer- und Bankunterlagen ihrer Mandanten, der Schaden landet darum bei Dritten.

International / KIKI-bezogenInternational

Erste KI-orchestrierte Spionagekampagne: Ein KI-Agent führt 80–90 % des Angriffs autonom aus

Mitte September 2025 entdeckt Anthropic eine chinesische staatsnahe Gruppe (GTG-1002), die Claude Code als Agentensystem gegen rund 30 Ziele einsetzt: Tech-Konzerne, Finanzinstitute, Chemieunternehmen, Behörden. Die KI übernimmt Aufklärung, Exploit-Entwicklung, Credential-Diebstahl und Datenexfiltration weitgehend selbständig; einzelne Einbrüche gelingen. Das Modell wurde getäuscht, es arbeite für eine Sicherheitsfirma.

Angriffsweg Automatisierte Schwachstellen-Aufklärung und -Ausnutzung gegen exponierte Systeme, orchestriert durch ein KI-Modell.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Der Bericht nennt den Einstieg: Schwachstellen in exponierten Diensten und abgegriffene Zugangsdaten; beides prüfen wir zuerst.

Anthropics Bericht beschreibt den Ablauf: Die KI kartiert die aus dem Internet sichtbare Infrastruktur der Ziele, findet Schwachstellen wie SSRF in exponierten Diensten, baut dafür Exploits und greift danach Zugangsdaten ab; eingesetzt wurden überwiegend frei verfügbare Pentest-Werkzeuge, keine eigene Schadsoftware. Exponierte Dienste, Versionsstände, Web-Anwendungen nach OWASP Top 10 und geleakte Zugangsdaten sind die Fläche, die wir prüfen und mit Frist schliessen lassen. Welche Lücken bei den wenigen erfolgreichen Einbrüchen konkret ausgenutzt wurden, ist nicht publiziert; der staatliche Hintergrund ändert am Einstiegsmuster nichts.

Unternehmen & Industrie

BACS-Warnung: Rund 200 Schweizer Unternehmen Opfer der Ransomware-Gruppe Akira

Bundesanwaltschaft, fedpol und BACS melden vier bis fünf Akira-Fälle pro Woche – ein Rekord für die Schweiz. Die Täter stehlen Daten, verschlüsseln Systeme und erpressen doppelt. Der Schaden im Inland beläuft sich auf mehrere Millionen Franken, weltweit auf Hunderte Millionen Dollar. Seit April 2024 läuft ein Strafverfahren gegen Unbekannt.

Angriffsweg Ungepatchte Systeme sowie VPN- und RDP-Fernzugänge, die nicht durch Zwei-Faktor-Authentifizierung geschützt sind (Angabe BACS).

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Das BACS nennt den Einstieg: ungepatchte Systeme sowie VPN- und RDP-Zugänge ohne Zwei-Faktor-Authentifizierung.

Das BACS benennt den Einstieg selbst: nicht aktualisierte Systeme sowie VPN- und RDP-Fernzugänge ohne Zwei-Faktor-Authentifizierung. Damit beginnt unsere Aussenprüfung: aus dem Internet erreichbare Fernzugänge und deren Versionsstände (bei Akira vor allem bekannte Lücken in SonicWall- und Cisco-VPN-Geräten), fehlende MFA, offene RDP-Ports und geleakte Zugangsdaten, jeweils mit Behebungsfrist. Wer diese Befunde vor dem Angriff schliesst, nimmt Akira den dokumentierten Standardweg.

International / KIKI-bezogenInternational

HexStrike-AI: Täter wollen Citrix-NetScaler-Lücke innert Stunden mit KI-Agenten ausgenutzt haben

Innert Stunden nach der Offenlegung von CVE-2025-7775 (Codeausführung ohne Anmeldung auf Citrix NetScaler) am 26. August 2025 beobachtet Check Point in Untergrundforen Diskussionen über den Einsatz des KI-Frameworks HexStrike-AI, das über 150 spezialisierte Agenten zum Scannen, Ausnutzen und Festsetzen steuert. Die Täter behaupten, die Ausnutzungszeit sinke von Tagen auf unter zehn Minuten; ob HexStrike-AI tatsächlich zum Einsatz kam, ist nicht bestätigt. Am 2. September sind laut Shadowserver noch rund 8'000 NetScaler-Endpunkte verwundbar – eine Woche zuvor waren es 28'000.

Angriffsweg Ungepatchte, aus dem Internet erreichbare Citrix NetScaler ADC/Gateway-Appliances.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Ein exponierter NetScaler ohne Update ist ein kritischer Befund mit Frist «sofort».

Eine aus dem Internet erreichbare NetScaler-Appliance mit ausstehendem Update ist ein kritischer Befund mit Frist «sofort»; CISA nahm CVE-2025-7775 am 26. August 2025, dem Tag der Offenlegung, in den KEV-Katalog auf. Wer vor diesem Tag getroffen wurde, war Zero-Day-Opfer; die Welle danach, um die es bei HexStrike-AI geht, zielte auf Systeme, die eine Woche nach dem Patch noch ungepatcht im Netz standen, laut Shadowserver 28'000. KI verkürzt nur die Zeit bis zum Angriff; der Weg bleibt derselbe, exponierter Dienst und alter Versionsstand, und deshalb heisst die Behebungsfrist bei kritischen Lücken nicht 30 Tage, sondern sofort.

International / KIKI-bezogenInternational

«Vibe Hacking»: Ein Einzeltäter greift mit KI-Unterstützung mindestens 17 Organisationen an und erpresst sie mit gestohlenen Daten

Anthropics Bedrohungsbericht vom August 2025 dokumentiert einen Kriminellen, der mit Claude Code Aufklärung, Credential-Diebstahl, Netzwerkeinbrüche und Datenexfiltration gegen Behörden, Gesundheitseinrichtungen und religiöse Organisationen automatisierte – inklusive Scans von VPN-Endpunkten und selbst geschriebener Schadsoftware. Der Bericht beschreibt zudem den Verkauf KI-generierter Ransomware durch einen Täter mit nur rudimentären Programmierkenntnissen.

Angriffsweg KI-gestützte Aufklärung und Ausnutzung exponierter Dienste (u.a. VPN-Endpunkte) sowie gestohlener Zugangsdaten.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Der Bericht nennt den Einstieg: Scans exponierter VPN-Endpunkte auf verwundbare Versionen; exponierte Fernzugänge und Softwarestände sind Kernbefunde.

Der Bericht beschreibt den Einstieg: Der Täter liess tausende VPN-Endpunkte auf verwundbare Versionen scannen, wählte die Ziele opportunistisch nach den Treffern aus und kam über kompromittierte VPN-Zugänge und Passwort-Spraying gegen das Active Directory hinein. Exponierte VPN-Gateways mit ausstehenden Updates, Fernzugänge ohne Mehrfaktor-Authentifizierung und geleakte Zugangsdaten sind Kernbefunde unserer Aussenprüfung. Für die einzelnen 17 Organisationen ist der Weg nicht publiziert, das Muster aber eindeutig.

Spitäler & GesundheitBehörden & Verwaltung

Stiftung Radix: Ransomware-Gruppe Sarcoma publiziert 1,3 Terabyte – auch Daten der Bundesverwaltung

Die Stiftung für Gesundheitsförderung mit Bundesämtern als Kunden wird am 16. Juni 2025 verschlüsselt und bestohlen. Nach abgelaufenem Ultimatum stellen die Täter die Daten ins Darknet: Sie behaupteten, rund 2 Terabyte erbeutet zu haben; publiziert wurden laut Auswertung von SRF Data 1,3 Terabyte – einer der mutmasslich grössten Datenabflüsse einer Schweizer Gesundheitsorganisation. Auf Systeme der Bundesverwaltung hatten die Angreifer zu keinem Zeitpunkt Zugriff, weil Radix keinen solchen hatte.

Angriffsweg Laut Angaben der Stiftung Radix nutzten die Angreifer eine bis dahin unbekannte Zero-Day-Schwachstelle; weitere Details wurden nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Teilweise Einstieg ausserhalb, Schaden begrenzbar

Der Zero-Day-Einstieg lag ausserhalb; exponierte Systeme, Klartext-Passwörter und Datentrennung hätten wir geprüft.

Radix nennt als Einstieg eine bis dahin unbekannte Sicherheitslücke; diesen Teil findet auch eine Prüfung nicht, er lag ausserhalb. Im Umfang lag der Rest: welche Systeme aus dem Internet erreichbar und auf welchem Stand sind (Sarcoma nutzt laut Analysen von Sicherheitsfirmen sonst Phishing, bekannte Lücken in exponierten Diensten und schlecht gesicherte RDP-Zugänge), wie Zugangsdaten gehalten werden (SRF nennt Passwörter im Klartext in einem Word-Dokument) und ob sensible Datenbestände getrennt und verschlüsselt sind. Bei 1,3 Terabyte abgeflossener Gesundheits- und Bundesdaten entscheidet diese Begrenzung von Ausbreitung und Schaden.

Software-LieferantenSpitäler & Gesundheit

Cistec (Klinikinformationssystem KISIM): Ransomware beim Software-Hersteller der Spitäler

In der Nacht vom 12. Februar 2025 sind die an das Active Directory angebundenen internen Dienste (u.a. Exchange) des Zürcher KIS-Herstellers von einem Ransomware-Angriff betroffen. Cistec fährt alle Systeme herunter, informiert Kantonspolizei, EDÖB und GovCERT und baut die Umgebung neu auf. Kundensysteme und Patientendaten seien nicht betroffen, weil keine Patientendaten bei Cistec gespeichert würden.

Angriffsweg Laut Cistec (Inside IT, März 2025) nutzten die Angreifer eine Schwachstelle in einer Netzwerk-Komponente und gelangten so ins interne Netz; welche Komponente betroffen war, ist nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Einstieg über eine Schwachstelle in einer Netzwerk-Komponente: Versionsstände exponierter Geräte sind Kern der Aussenprüfung.

Die Erstmeldung nennt keinen Einstieg; Inside IT berichtete im März 2025 mit Angaben von Cistec, die Angreifer hätten eine Schwachstelle in einer Netzwerk-Komponente ausgenutzt, seien so ins interne Netz gelangt und hätten von dort automatisierte Scans und Login-Versuche gegen Spitalsysteme gefahren, die Cistec per VPN wartete. Exponierte Netzwerkgeräte und deren Versionsstände sowie Fernwartungszugänge und ihre Absicherung sind Kernpunkte unserer Aussenprüfung; für Spitäler erfasst die Lieferantenprüfung dasselbe beim KIS-Hersteller. Welche Komponente betroffen war und ob die Lücke damals bereits bekannt war, ist nicht publiziert.

Spitäler & Gesundheit

NTC-Bericht: Über 40 Schwachstellen in den Klinikinformationssystemen Schweizer Spitäler

Das Nationale Testinstitut für Cybersicherheit prüft drei in der Schweiz weit verbreitete beziehungsweise für Schweizer Spitäler zentrale Klinikinformationssysteme (KISIM von Cistec, inesKIS und Epic) in mehreren Spitälern und findet über 40 mittlere bis schwere Sicherheitsprobleme, drei davon der höchsten Kritikalität. Mehrere Schwachstellen waren so leicht auszunutzen, dass die Tester innerhalb weniger Stunden nach Testbeginn die vollständige Kontrolle über das KIS und die darin enthaltenen Patientendaten erlangten.

Angriffsweg Grundlegende Schwächen der Software-Architektur, fehlende oder fehlerhaft umgesetzte Verschlüsselung, Lücken in Umsystemen sowie mangelnde Trennung von Test- und Produktivumgebung.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Teilweise Einstieg ausserhalb, Schaden begrenzbar

KIS sind interne Systeme; die interne Erweiterung deckt Verschlüsselung, Umsysteme und Trennung ab, die Architektur bleibt Sache des Herstellers.

Der reine Aussencheck sieht ein KIS nicht, es ist ein internes System. Mit der internen Erweiterung sind unverschlüsselte Kommunikation zwischen Systemen, verwundbare Umsysteme und fehlende Trennung von Test- und Produktivumgebung die Befunde, die wir liefern; das NTC selbst schreibt, viele der Schwachstellen fielen bei üblichen Sicherheitsprüfungen unmittelbar auf. Ausserhalb liegen die grundlegenden Architekturprobleme der Software, die nur der Hersteller und laut NTC erst über Jahre beheben kann; die Lieferantenprüfung macht sie sichtbar, schliesst sie aber nicht.

Spitäler & Gesundheit

Praxisgruppe Vidymed (Lausanne, Épalinges): Cyberangriff legt vier Ärztezentren lahm

Der Angriff vom 7. Dezember 2024 blockiert sämtliche IT-Systeme, Patientendossiers und Agenden der vier Zentren mit rund 90 Ärztinnen und Ärzten. Über einen Monat lang arbeitet das Personal auf Papier; mit Hilfe des Kantons wird eine Anlaufstelle für die psychische Belastung der Ärzteschaft eingerichtet. Ob Ransomware im Spiel war oder Lösegeld floss, sagt Vidymed nicht; Hinweise auf veröffentlichte Daten gab es keine, der Grossteil der Daten konnte wiederhergestellt werden.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Bei KMU führen Fernzugänge ohne MFA und ungepatchte Systeme die Statistik an; beides prüfen wir zuerst.

Vidymed hat weder Einstieg noch Täterschaft publiziert und spricht von einem Einbruch in die IT-Systeme, der alle vier Zentren stilllegte. Für die jüngste Ransomware-Welle gegen Schweizer Firmen nennt das BACS Fernzugänge ohne Mehrfaktor-Authentifizierung und ungepatchte Systeme als Einstieg, Sophos führt 79 Prozent der Fälle auf kompromittierte Identitäten zurück; das prüfen wir zuerst, dazu Sicherungskopien und ihre Wiederherstellbarkeit, die hier über einen Monat brauchte. Ein Einstieg über eine Phishing-Mail läge ausserhalb; publiziert ist dazu nichts.

Behörden & Verwaltung

Ukraine-Konferenz Bürgenstock: DDoS-Welle gegen Bundes-Websites und beteiligte Organisationen

Pro-russische Hacktivisten (NoName057(16)) überlasten ab dem 13. Juni 2024 Websites der Bundesverwaltung und konferenzbeteiligter Organisationen; die Website des Bürgenstock Resorts ist zeitweise nicht erreichbar, der Zoll arbeitet mit Notfallverfahren. Die Störungen bleiben laut BACS «im Rahmen der Toleranz»; die Angriffe dauern über das Konferenzende hinaus an und treffen danach auch IT-Systeme der Kantone Nidwalden und Obwalden. Dieselbe Gruppe hatte Schweizer Behörden bereits im Juni 2023 und Januar 2024 attackiert.

Angriffsweg Volumetrische DDoS-Angriffe auf öffentlich erreichbare Websites.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Teilweise Einstieg ausserhalb, Schaden begrenzbar

DDoS selbst verhindert keine Prüfung; ob Websites ohne Schutzschicht direkt erreichbar sind, schon.

Den DDoS-Angriff selbst verhindert keine Prüfung; dieser Teil lag ausserhalb. Geprüft hätten wir, ob Websites und Formulare ohne vorgelagerte Schutzschicht (CDN, Web Application Firewall, Rate-Limits) direkt erreichbar sind, ob die Ursprungsadresse hinter dem Schutz im DNS sichtbar bleibt und ob kritische Verfahren wie beim Zoll dieselbe Infrastruktur teilen wie die öffentliche Website. Diese Befunde entscheiden, ob eine Welle von NoName057(16) im Rahmen der Toleranz bleibt oder Notfallverfahren erzwingt.

Software-LieferantenBehörden & Verwaltung

Concevis AG (Basel): Alle Server verschlüsselt – ältere Betriebsdaten der Bundesverwaltung gestohlen

Am Wochenende des 4./5. November 2023 dringen Täter in die Server des Basler Software-Dienstleisters ein, verschlüsseln sämtliche Server und stehlen umfangreiche Daten – darunter mutmasslich ältere, operative Daten der Bundesverwaltung. Zu den Concevis-Kunden zählen laut NCSC das Bundesamt für Bevölkerungsschutz, das Bundesamt für Raumentwicklung, das Bundesamt für Statistik, das Bundesamt für Zivilluftfahrt, die Eidgenössische Steuerverwaltung und das Kommando Ausbildung. Concevis zahlt kein Lösegeld; die Täter drohen daraufhin mit der Veröffentlichung im Darknet. Ende November berichteten Medien über im Darknet aufgetauchte Datenfragmente; Concevis hatte dazu zunächst keine eigenen Erkenntnisse.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Phobos-Betreiber dringen laut CISA über offene RDP-Zugänge mit erratenen Passwörtern ein; die Lieferantenprüfung erfasst den Dienstleister.

Concevis und der Bund haben den Angriffsweg nicht publiziert; Medien berichteten später von der Ransomware Phobos, deren Betreiber laut CISA über automatisch gescannte, aus dem Internet erreichbare RDP-Zugänge mit erratenen Passwörtern oder über Phishing eindringen. Die Aussenprüfung hätte bei einem Software-KMU mit Kundendaten des Bundes diese Fläche erfasst: offene Fernzugänge, fehlende Mehrfaktor-Authentifizierung, Versionsstände der exponierten Systeme und im Darknet gehandelte Zugangsdaten. Für die betroffenen Bundesämter hätte die Lieferantenprüfung Concevis als Dienstleister mit Zugang zu Betriebsdaten einbezogen.

Software-LieferantenBehörden & Verwaltung

Xplain AG: Ransomware-Gruppe Play publiziert 1,3 Millionen Objekte – darunter 9'040 der Bundesverwaltung

Der Berner Lieferant von Polizei- und Justizsoftware wird im Mai 2023 angegriffen; am 14. Juni stellt Play das gesamte Datenpaket – rund 1,3 Millionen Objekte – ins Darknet. Die Datenanalyse des BACS ordnet 9'040 Objekte der Bundesverwaltung zu, 95 Prozent davon dem EJPD; 5'182 enthalten sensitive Inhalte wie Personendaten, technische oder klassifizierte Informationen und Passwörter. Der EDÖB stellt fest, dass Xplain keine angemessenen Massnahmen zur Datensicherheit umgesetzt und Personendaten trotz vertraglicher Löschpflicht behalten hatte – und dass fedpol und BAZG nicht klar geregelt hatten, unter welchen Bedingungen ihre Daten im Rahmen von Supportleistungen auf Xplain-Servern liegen dürfen; die übertragene Datenmenge von rund 900 Gigabyte sei unverhältnismässig gewesen.

Angriffsweg Nicht abschliessend publiziert. Der EDÖB nennt ungenügende Sicherheitsmassnahmen beim Lieferanten sowie Daten des Bundes, die im Rahmen von Supportleistungen ohne klare Regeln in die Umgebung von Xplain gelangten.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Play steigt laut CISA über gestohlene Zugangsdaten, RDP/VPN und ungepatchte Systeme ein; alles im Umfang der Lieferantenprüfung.

Bund und Xplain haben den Angriffsweg nicht abschliessend publiziert; Play verschafft sich den Erstzugang laut der CISA-Analyse über gestohlene Zugangsdaten, aus dem Internet erreichbare RDP- und VPN-Zugänge sowie ungepatchte Fortinet- und Exchange-Systeme, alles im Prüfumfang. Eine Lieferantenprüfung hätte Xplains Aussenfläche und Fernzugänge bewertet, und der EDÖB bestätigte nachträglich ungenügende Sicherheitsmassnahmen beim Lieferanten. Dass produktive Daten des Bundes ohne klare Regeln in der Support-Umgebung lagen, ist ein organisatorischer Befund, den die Lieferantenprüfung als Datenfluss ausweist, aber nicht allein verhindert hätte.

Unternehmen & IndustrieBehörden & Verwaltung

Fast 3'000 Schweizer Exchange-Server ungepatcht: Das NCSC verschickt 2'000 eingeschriebene Briefe

Im November 2022 warnt das NCSC vor fast 3'000 Schweizer Exchange-Servern ohne Patch gegen die seit September bekannte Lücke ProxyNotShell. Im Dezember verschickt es 2'000 eingeschriebene Briefe an die Sicherheitsverantwortlichen der betroffenen Unternehmen; im Februar 2023 sind noch 660 Server verwundbar.

Angriffsweg Aus dem Internet erreichbare Exchange-Server ohne Sicherheitsupdate. Solche Lücken werden laut NCSC aktiv genutzt, um Unternehmen zu infiltrieren und mit Ransomware zu verschlüsseln.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Ein ungepatchter, exponierter Exchange-Server ist ein Kernbefund der Aussenprüfung, Frist «sofort».

Der Versionsstand jedes aus dem Internet erreichbaren Exchange-Servers gehört zur Aufnahme der Angriffsfläche; ProxyNotShell stand im CISA-Katalog aktiv ausgenutzter Lücken. Jeder dieser Betreiber hätte den Befund als kritisch mit Frist «sofort» im Dossier gehabt, Monate vor dem Einschreiben des NCSC.

Spitäler & Gesundheit

Spitalverband H+: Sämtliche Server nach breit angelegtem Angriff abgeschaltet

In der Nacht auf Montag, 20. Juni 2022, wird der Verband der Schweizer Spitäler Ziel eines Angriffs, der laut H+ mehrere Organisationen traf, darunter Institutionen des Gesundheitswesens. Alle Server werden vorsorglich abgeschaltet, ein Krisenstab eingesetzt; der Datenserver bleibt für die polizeiliche Untersuchung gesperrt. Ob Daten des Verbands abhandenkamen, war zunächst unklar; auf Daten der Mitgliedspitäler habe der Angriff keinen Einfluss.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Breite Angriffe laufen über gescannte Schwachstellen und Zugangsdaten; die Aussenprüfung eines Verbands erfasst diese Fläche.

H+ beschrieb einen breit angelegten Angriff, der gleichzeitig mehrere Organisationen traf; Tätergruppe und Angriffsweg wurden nie publiziert. Solche Angriffe laufen in der Regel über automatisiert gescannte Schwachstellen in exponierten Diensten, kompromittierte Zugangsdaten oder einen gemeinsamen Dienstleister, und das BACS nennt für die jüngste Ransomware-Welle gegen Schweizer Firmen Fernzugänge ohne Mehrfaktor-Authentifizierung und ungepatchte Systeme als Einstieg; alle drei Wege liegen im Prüfumfang, der letzte über die Lieferantenprüfung. Die Aussenprüfung hätte die überschaubare Angriffsfläche eines Verbands erfasst: exponierte Dienste und Versionsstände, Fernzugänge ohne Mehrfaktor-Authentifizierung, geleakte Konten und die Mail-Sicherheit; ein Einstieg über einen E-Mail-Anhang läge ausserhalb, publiziert ist dazu nichts.

Unternehmen & Industrie

Swissport: Ransomware (BlackCat/ALPHV) stört die Bodenabfertigung in Zürich – 1,6 Terabyte Daten zum Verkauf angeboten

Der Angriff vom 3. Februar 2022, 6 Uhr früh, legt Planungs-, Dispositions- und Einsatzplansysteme lahm; am Flughafen Zürich verspäten sich 16 Flüge von Swiss und Edelweiss. Swissport nimmt die betroffene Infrastruktur vom Netz und hält den Betrieb mit manuellen Ersatzprozessen aufrecht. Die Gruppe BlackCat (ALPHV) publiziert später Muster – Passkopien, interne Memos, Bewerberdaten – und bietet 1,6 Terabyte zum Verkauf an.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

BlackCat-Partner nutzten 2022 ungepatchte Exchange-Server und Fernzugänge mit gestohlenen Zugangsdaten; beides prüfen wir.

Swissport hat den Einstieg nicht publiziert. BlackCat-Partner drangen 2022 dokumentiert über ungepatchte Exchange-Server und über aus dem Internet erreichbare Fernzugänge mit gestohlenen Zugangsdaten ein; Microsoft und das FBI beschrieben beides als die üblichen Einstiegspunkte der Gruppe. Bei einem weltweit tätigen Konzern hätte die Aussenprüfung diese Fläche inventarisiert: Exchange- und VPN-Versionsstände, RDP-Zugänge ohne Mehrfaktor-Authentifizierung und im Darknet gehandelte Swissport-Konten.

Behörden & Verwaltung

Gemeinde Montreux: Cyberangriff – Verwaltung vom Netz des Kantons getrennt

Am Sonntag, 10. Oktober 2021, wird der Angriff auf die Gemeindeverwaltung erkannt; die Täter waren laut der Sicherheitsvereinigung ASR vermutlich bereits ein bis zwei Wochen im Netz. Montreux trennt seine Systeme vom Netz des Kantons Waadt, setzt einen Krisenstab ein und erstattet Anzeige; die Verwaltung arbeitet vorübergehend ohne WLAN und Internet. Betroffen sind auch Villeneuve und teilweise Veytaux, deren Informatik Montreux betreibt. Die Gemeinde bestätigte später eine Verschlüsselung durch Ransomware.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Gemeinden werden überwiegend über Fernzugänge ohne MFA und ungepatchte Systeme angegriffen; diese Fläche erfasst die Aussenprüfung.

Weder Tätergruppe noch Einstieg wurden publiziert; die Gemeinde, die auch die IT von Villeneuve und Veytaux betrieb, bestätigte später eine Verschlüsselung durch Ransomware. Das BACS dokumentiert für Gemeinden Fernzugänge ohne Mehrfaktor-Authentifizierung und ungepatchte, aus dem Internet erreichbare Systeme als vorherrschende Einstiege. Die Aussenprüfung hätte diese Fläche der Verwaltung erfasst: RDP- und VPN-Zugänge, Versionsstände exponierter Dienste, geleakte Konten der Gemeinde und die Mail-Sicherheit.

Unternehmen & Industrie

Comparis: Ransomware-Gruppe Grief – Website tagelang offline, Lösegeld bezahlt

Am 7. Juli 2021 verschlüsselt die Gruppe Grief Daten des Vergleichsdienstes und fordert 400'000 US-Dollar; die Website ist über 24 Stunden offline. Comparis bestreitet zunächst jede Zahlung, bestätigt Ende Juli aber eine «Einigung mit den Erpressern», um betrieblich wichtige Dateien zu entschlüsseln. Die Täter hatten Zugriff auf Kundendaten der Gruppe, darunter der Schwesterfirmen Optimatis und Credaris.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Grief/DoppelPaymer arbeitet mit RDP-Brute-Force und gestohlenen Zugangsdaten; exponierte Fernzugänge und geleakte Konten prüfen wir.

Comparis nannte den Einstieg aus Sicherheitsgründen nicht. Grief, die Nachfolgerin von DoppelPaymer, verbreitet sich dokumentiert über Dridex-Phishing; Microsoft fand in DoppelPaymer-Netzen aber ebenso regelmässig Spuren von RDP-Brute-Force und Diebstahl von Zugangsdaten. Die Aussenprüfung hätte exponierte Fernzugänge, fehlende Mehrfaktor-Authentifizierung, im Darknet gehandelte Konten der Comparis-Gruppe und die Mail-Abwehr geprüft, darunter auch verwaiste Zugänge früherer Dienstleister.

Behörden & Verwaltung

Gemeinde Rolle VD: Verwaltungsdaten von rund 5'000 Einwohnern im Darknet

Die Gruppe Vice Society dringt in der Nacht auf den 30. Mai 2021 ins Netz der Gemeindeverwaltung ein und publiziert ab Mitte Juni Gigabytes an Daten: AHV-Nummern, Steuerdaten, Aufenthaltsbewilligungen, Schulzeugnisse, Angaben zu Kindern mit Covid-19. Die Gemeinde spricht zunächst von einem «kleineren Angriff» und räumt erst nach Medienberichten Ende August ein, die Schwere unterschätzt zu haben.

Angriffsweg Nicht bestätigt. Medien vermuteten eine Windows-Schwachstelle (PrintNightmare).

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Vice Society steigt laut CISA über kompromittierte Zugangsdaten und exponierte Schwachstellen ein; beides im Prüfumfang.

Die in Medien vermutete PrintNightmare-Lücke wurde erst nach dem Angriff vom 30. Mai 2021 öffentlich und dient Vice Society laut CISA zur Rechteausweitung, nicht zum Einstieg. Den Erstzugang verschafft sich die Gruppe dokumentiert über kompromittierte Zugangsdaten und Schwachstellen in aus dem Internet erreichbaren Systemen, beides im Prüfumfang. Die Aussenprüfung einer Gemeinde hätte exponierte Dienste und ihre Versionsstände, Fernzugänge ohne Mehrfaktor-Authentifizierung und im Darknet geleakte Konten der Verwaltung erfasst.

Unternehmen & IndustrieBehörden & Verwaltung

ProxyLogon: rund 2'500 verwundbare Exchange-Server in der Schweiz, ein Jahr später mahnt das NCSC per Einschreiben

Nach Bekanntwerden der Exchange-Lücken (ProxyLogon) im März 2021 sind in der Schweiz rund 2'500 Server anfällig. Ein Jahr später schreibt das NCSC über 130 Unternehmen und Gemeinden per Einschreiben an, deren Server noch immer verwundbar sind. Die Lücken werden laut NCSC aktiv genutzt, um Unternehmen zu infiltrieren, mit Ransomware zu verschlüsseln, Schadsoftware zu versenden oder Kryptowährung zu schürfen.

Angriffsweg Exponierte Exchange-Server ohne Sicherheitsupdates.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Exponierter Exchange-Server ohne Update: kritischer Befund mit Frist «sofort».

Ein aus dem Internet erreichbarer Exchange-Server mit ausstehendem Sicherheitsupdate ist der Standardfall eines kritischen Befunds: Dienst erkannt, Versionsstand gegen den CISA-Katalog abgeglichen, Behebungsfrist «sofort». Die über 130 angeschriebenen Organisationen hätten diesen Befund ein Jahr früher im Dossier gehabt.

Spitäler & Gesundheit

Hirslanden-Gruppe: Trickbot per E-Mail-Anhang – sechs Tage bis zur Wiederherstellung aus Backups

Am 21. Juli 2020 gelangt die Schadsoftware Trickbot über ein Makro in einem E-Mail-Anhang in die Systeme der Privatklinikgruppe und verschlüsselt einen Teil der zentralen Dateiablage – administrative Dokumente, keine Patientendossiers. Die Wiederherstellung aus Sicherungskopien dauert sechs Tage; die Patientenversorgung sei nie gefährdet gewesen, eine Lösegeldforderung ging nicht ein, Daten flossen laut Hirslanden keine ab. Bekannt wird der Vorfall erst im November durch Recherchen der NZZ.

Angriffsweg Schadsoftware (Trickbot) über ein Makro in einem E-Mail-Anhang.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Teilweise Einstieg ausserhalb, Schaden begrenzbar

Der Einstieg per E-Mail-Makro lag ausserhalb; Mail-Sicherheit, Segmentierung und Backups hätten wir geprüft.

Trickbot kam 2020 in der Regel über Office-Anhänge mit Makro; die Prüfung der Mail-Sicherheit hätte gezeigt, ob solche Anhänge am Gateway blockiert werden und ob SPF, DKIM und DMARC gesetzt sind. Den Klick eines Mitarbeitenden verhindert keine Prüfung. Mit der internen Erweiterung wären Segmentierung, Berechtigungen auf der zentralen Dateiablage und die Wiederherstellbarkeit der Backups geprüft worden; dass die Täter laut Netzwoche bis ins Zentrum des Netzes kamen, ist der Teil, der sich begrenzen lässt.

Unternehmen & Industrie

Stadler Rail: Nefilim-Ransomware, 6 Mio. Dollar Lösegeldforderung, Dokumente publiziert

Anfang Mai 2020 dringen Täter in Stadlers IT-Netz ein; das Unternehmen macht den Angriff am 7. Mai öffentlich. Die Erpresser fordern 6 Millionen US-Dollar in Bitcoin und behaupten, 10'000 Dokumente (4 GB) erbeutet zu haben. Stadler verweigert jede Zahlung und tritt nicht in Verhandlungen ein; ab Juni veröffentlichen die Täter die Dokumente in Tranchen – darunter Kredit- und Bankverträge sowie eine Steuervereinbarung mit dem Kanton Thurgau.

Angriffsweg Nicht publiziert.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Einstiegsmuster belegt

Nefilim stieg laut Trend Micro über exponierte RDP-Zugänge und ungepatchte Citrix-Appliances ein; beides prüfen wir.

Stadler hat den Angriffsweg nie publiziert. Die Gruppe hinter Nefilim ist aber gut dokumentiert: Trend Micro beschreibt als Einstieg exponierte RDP-Zugänge mit schwachen oder erbeuteten Zugangsdaten und ungepatchte Citrix-ADC-Appliances (CVE-2019-19781), im Frühjahr 2020 die zwei häufigsten Wege dieser Gruppe. Diese Punkte prüfen wir: offene RDP-Ports, Fernzugänge ohne Mehrfaktor-Authentifizierung, Citrix-Versionsstände und geleakte Zugangsdaten im Darknet.

Spitäler & Gesundheit

Spital Wetzikon: Emotet über Word-Makro – Medizingeräte vorsorglich isoliert

Mitte Oktober 2019 bringt eine gefälschte E-Mail, die wie interne Kommunikation aussieht, den Trojaner Emotet ins Spital; einzelne Medizingeräte werden vorübergehend vom Netz getrennt. Dieselbe Welle trifft das Spital Limmattal, das Zentrallabor Zürich und mindestens drei weitere Gesundheitsinstitutionen. Patientendaten werden nicht verschlüsselt; die Spitäler Wetzikon und Limmattal beziffern die Kosten für Abwehr und neue Schutzmassnahmen gegenüber der SRF-«Rundschau» auf rund 300'000 Franken.

Angriffsweg Phishing-E-Mail mit Word-Dokument und aktiviertem Makro.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Teilweise Einstieg ausserhalb, Schaden begrenzbar

Der Klick auf das Makro lag ausserhalb; Mail-Filter, Absenderschutz und Netztrennung hätten wir geprüft.

Emotet kam als Word-Anhang mit Makro, getarnt als Nachricht von Bekannten oder Kollegen; den Klick verhindert keine Prüfung. Im Umfang liegen die Mail-Sicherheit, also Makro- und Anhangsfilter am Gateway sowie SPF, DKIM und DMARC gegen gefälschte Absender, und mit der internen Erweiterung die Segmentierung, insbesondere ob Medizingeräte vom Büronetz getrennt sind. Dieselbe Welle traf mehrere weitere Gesundheitsinstitutionen; die 300'000 Franken für Abwehr und neue Schutzmassnahmen sind die Posten, die ein Dossier vorher benennt.

Spitäler & Gesundheit

Patientendaten offen im Netz: zwei Schweizer Bildarchive mit 197'000 Aufnahmen ohne Zugangsschutz

Greenbone Networks findet weltweit 590 ungeschützte Bildarchivsysteme (PACS) mit 24,5 Millionen Datensätzen; in der Schweiz sind zwei Systeme mit 1'500 Patientendatensätzen und 197'000 Bildern betroffen. Teils sind Röntgen- und Mammografiebilder samt Namen, Geburtsdatum und behandelndem Arzt ohne Passwort abrufbar. MELANI informiert die betroffenen Organisationen.

Angriffsweg Aus dem Internet erreichbare Bildarchivsysteme ohne Zugangsschutz.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Ja Angriffsweg publiziert

Offene Systeme mit Patientendaten fallen bei der Aufnahme der Angriffsfläche sofort auf.

Ein aus dem Internet erreichbares medizinisches Archiv ohne Anmeldung ist ein kritischer Befund, der bei der Aufnahme der Angriffsfläche innert Stunden auffällt. Die Behebung ist einfach: den Zugang schliessen oder hinter VPN und Authentisierung legen.

Unternehmen & Industrie

RUAG: Staatliche Spionage mit Turla – 23 Gigabyte über Monate abgeflossen

Anfang 2016 wird beim bundeseigenen Rüstungskonzern eine Infektion entdeckt, die mindestens seit September 2014 aktiv war – frühere Logdaten fehlen. Die Angreifer bewegen sich mit Schadsoftware der Turla-Familie geduldig durchs Netz und exfiltrieren gemäss Proxy-Logs 23 Gigabyte; über deren Inhalt lässt sich laut MELANI keine Aussage machen. Turla wird in der Fachwelt russischen Stellen zugeordnet; der Bundesrat bestätigt keine Urheberschaft.

Angriffsweg Gezielte Spionage (APT) mit langfristiger Persistenz; Details im technischen Bericht von MELANI/GovCERT.

Quellen
Hätte die Bedrohungsanalyse diesen Einstieg geprüft? Teilweise Einstieg ausserhalb, Schaden begrenzbar

Spear-Phishing lag ausserhalb; Segmentierung, privilegierte Konten und Proxy-Überwachung gehören zur internen Prüfung.

Den Einstieg konnte MELANI nicht mehr bestimmen, weil Logdaten nur bis September 2014 zurückreichen; Turla arbeitet typischerweise mit Spear-Phishing und präparierten Websites, beides ausserhalb unseres Umfangs. Was der Bericht danach dokumentiert, liegt in der internen Prüfung: Die Täter bewegten sich mit Standardwerkzeugen wie Mimikatz, psexec und dsquery über das Active Directory und schleusten rund 23 Gigabyte über Monate durch den Proxy nach aussen. MELANI empfiehlt im Bericht Netzsegmentierung, Zwei-Faktor-Authentifizierung für privilegierte AD-Konten, Server nur mit Whitelist nach aussen, Proxy-Protokollierung und Makrosperre; das sind die Punkte der internen Prüfung, und sie hätten die Ausbreitung erschwert und den Abfluss früher sichtbar gemacht.

Ergänzungen

Ein Vorfall fehlt?

Wir nehmen dokumentierte Vorfälle auf, für die eine öffentliche, zitierfähige Quelle existiert: Medienberichte, Behördenmitteilungen, Bekanntgaben der Betroffenen. Hinweise nehmen wir gerne entgegen. Betroffene können ihre eigene Einordnung beisteuern; wir kennzeichnen sie als solche.

Hinweis senden

Kriterien für die Aufnahme

  • Betroffene Organisation in der Schweiz oder in Liechtenstein, oder ein internationales Ereignis mit direkter Bedeutung für Schweizer Organisationen
  • Mindestens eine öffentliche Quelle mit Datum
  • Angriffsweg nur dann genannt, wenn publiziert; sonst «Nicht publiziert»
  • Bewertung nach der Skala oben, begründet in zwei bis drei Sätzen