Auf den Punkt: Der Schweizer Rüstungskonzern Ruag zahlte trotz gegenteiliger Bundesempfehlung Lösegeld an die Ransomware-Gruppe Akira, was das Verteidigungsdepartement VBS als rechtlich zulässig, aber unzureichend mit dem Bund abgestimmt einstuft.
Der Schweizer Rüstungskonzern Ruag hat nach einem Ransomware-Angriff auf eine US-Tochterfirma Lösegeld an die Gruppe Akira gezahlt, obwohl der Bund als Eigner generell von solchen Zahlungen abrät. Eine Überprüfung des Verteidigungsdepartements VBS kommt zu dem Schluss, dass die Zahlung rechtlich zulässig war.
Im Herbst 2025 griff die Ransomware-Gruppe Akira eine Tochtergesellschaft der Ruag-Gruppe im US-Bundesstaat Virginia an. Die Angreifer verschafften sich Zugang zu den IT-Systemen des Unternehmens und exfiltrierten Daten. Anschließend drohten sie mit einer Veröffentlichung der erbeuteten Daten im Darknet, sollte kein Lösegeld gezahlt werden – ein Vorgehen, das dem etablierten Muster von Ransomware-as-a-Service-Gruppen entspricht. Konzernchef Jürg Rötheli bestätigte gegenüber Radio SRF die Zahlung eines nach eigenen Angaben „kleinen“ und „geringen“ Betrags, ohne eine konkrete Summe zu nennen.
Bemerkenswert an dem Fall ist der Widerspruch zur Empfehlung des Schweizer Bundes, der als Eigner der Ruag generell von Lösegeldzahlungen an Cyberkriminelle abrät. Die anschließende Prüfung durch das Verteidigungsdepartement VBS ergab dennoch, dass dem Unternehmen keine Rechtsverletzung vorzuwerfen ist. Als privatrechtliche Aktiengesellschaft habe Ruag die Zahlung eigenständig auf Konformität mit US-Recht geprüft und im Rahmen ihrer unternehmerischen Verantwortung entschieden. Eine gesonderte Zustimmung des Bundes sei dafür nicht erforderlich gewesen.
Für Sicherheitsverantwortliche in Unternehmen mit staatlicher Beteiligung oder kritischer Infrastruktur zeigt der Fall ein rechtliches Spannungsfeld auf: Auch wenn Zahlungen an Ransomware-Gruppen rechtlich zulässig sein können, bewertet der Eigner sie nicht automatisch als angemessen. Das VBS kritisiert in seinem Bericht, dass eine koordinierte Information des Bundes im Vorfeld der Zahlung angemessen gewesen wäre. Aus Sicht des Departements hat Ruag politische Auswirkungen, mögliche Reputationsschäden und übergeordnete Interessen bei der Entscheidung nicht ausreichend berücksichtigt.
Als Konsequenz aus dem Vorfall soll Ruag gemeinsam mit dem Bundesamt für Cybersicherheit ihre Schutzmaßnahmen und internen Prozesse überarbeiten, um vergleichbare Situationen künftig zu vermeiden. Im Rahmen dieser Zusammenarbeit soll zudem bewertet werden, ob der Konzern insgesamt ausreichend gegen Cyberangriffe abgesichert ist. Für CISOs in vergleichbaren Konstellationen unterstreicht der Fall die Notwendigkeit klarer Eskalations- und Kommunikationswege mit Eigentümern oder Aufsichtsbehörden, bevor über Lösegeldzahlungen entschieden wird.
Quelle: www.it-daily.net · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.