Thought Leadership
Der Schweizer Rüstungskonzern Ruag hat entgegen der Empfehlung des Bundes Lösegeld an eine Ransomware-Bande gezahlt. Eine Untersuchung des Verteidigungsdepartements kommt nun zu dem Schluss, dass dies rechtlich zulässig war.
Der schweizerische, bundeseigene Rüstungskonzern Ruag hat nach einem Cyberangriff auf eine seiner US-Tochterfirmen Lösegeld an die Ransomware-Gruppe Akira gezahlt, entgegen der ausdrücklichen Empfehlung der eidgenössischen Behörden. Eine Überprüfung durch das Schweizer Verteidigungsdepartement VBS kommt nun zu dem Schluss, dass das Unternehmen dabei keine Gesetze verletzt hat. Das berichtet SRF.
Angriff auf US-Tochter im Herbst 2025
Ziel des Angriffs war im Herbst 2025 eine Tochtergesellschaft der Schweizer Ruag-Gruppe im US-Bundesstaat Virginia. Die Angreifer der Gruppe Akira verschafften sich Zugriff auf die IT-Systeme des Unternehmens und erbeuteten dabei Daten. Anschließend folgte das aus zahlreichen anderen Ransomware-Fällen bekannte Muster: Die Hacker drohten mit einer Veröffentlichung der gestohlenen Daten im Darknet, sollte kein Lösegeld gezahlt werden.
Zahlung trotz Empfehlung des Bundes
Brisant an dem Fall ist, dass der Schweizer Bund als Eigner der Ruag generell davon abrät, auf Lösegeldforderungen von Cyberkriminellen einzugehen. Die Ruag entschied sich dennoch zur Zahlung. Konzernchef Jürg Rötheli bezifferte die Summe gegenüber Radio SRF nicht genau, sprach aber von einem „kleinen Betrag“, der „gering“ ausgefallen sei.
Das VBS hat den Vorfall und den Umgang des Unternehmens damit im Anschluss geprüft. Ergebnis der Untersuchung: Der Ruag ist keine Rechtsverletzung vorzuwerfen. Als privatrechtliche Aktiengesellschaft habe das Unternehmen die Zahlung nach US-Recht auf Konformität geprüft und im Rahmen seiner unternehmerischen Verantwortung entschieden. Eine gesonderte Zustimmung des Bundes als Eigentümer sei für diesen Schritt nicht notwendig gewesen.
Kritik an fehlender Abstimmung mit dem Bund
Ganz ohne Kritik kommt die Ruag in dem Bericht dennoch nicht davon. Das VBS bemängelt, dass eine koordinierte Information des Bundes im Vorfeld der Zahlung angemessen gewesen wäre. Aus Sicht des Departements hat das Unternehmen politische Auswirkungen, mögliche Reputationsschäden sowie weitere übergeordnete Interessen bei seiner Entscheidung nicht ausreichend einbezogen.
Konsequenzen für die IT-Sicherheit
Als Reaktion auf den Vorfall soll die Ruag nun gemeinsam mit dem Bundesamt für Cybersicherheit ihre Schutzmaßnahmen und internen Prozesse überarbeiten. Ziel ist es, ähnliche Situationen künftig zu vermeiden. Zusätzlich soll im Rahmen dieser Zusammenarbeit bewertet werden, ob der Konzern insgesamt ausreichend gegen Cyberangriffe abgesichert ist.
(red)
