Was ist passiert?
Der Schweizer Rüstungskonzern RUAG hat nach einem Cyberangriff auf seine US-Tochter Mecanex USA offenbar Lösegeld an die Cybergang Akira gezahlt. Der Datendiebstahl erfolgte Anfang November 2025, der Schweizer Rundfunk SRF ordnet den Einbruch der US-Tochter RUAG LLC zu. Die Täter veröffentlichten die Erpressung auf ihrer Darknet-Seite und gaben an, rund 24 GByte an Daten kopiert zu haben.
RUAG-Verwaltungsratspräsident Jürg Rötheli räumte die Zahlung in der SRF-Sendung Samstagsrundschau ein: „Wir haben bezahlt, einen kleinen Betrag, glücklicherweise, und haben alle Daten zurückerhalten“, sagte er. Die Lösegeldforderungen sollen sich demnach auf niedrigere sechsstellige Beträge belaufen haben.
Die Details
Nach Angaben der Angreifer enthielten die entwendeten Daten Sozialversicherungsnummern, Ausweise, Führerscheine, Telefonnummern, Adressen und weitere persönliche Informationen von Angestellten. Zusätzlich sollen auch geheime militärische Informationen sowie Verträge und Anleitungen zum Umgang mit Sprengstoffen betroffen sein.
Rötheli erklärte, dass die Lösegeldzahlung intern abgesprochen gewesen sei – mit unternehmensinternen Gremien. Zudem sei eine Beratung mit US-Rechtsexperten erfolgt. Das Schweizer Verteidigungsministerium VBS (Eidgenössisches Departement für Verteidigung, Bevölkerungsschutz und Sport) wollte die Zahlung nicht kommentieren, gab jedoch an, im Vorfeld nicht informiert worden zu sein.
Die Cybergang Akira nutzt eine eigene Ransomware und verschlüsselt weiterhin Daten ihrer Opfer, statt sich – wie viele andere Gruppen – nur auf den Datendiebstahl und die Erpressung mit Nicht-Veröffentlichung zu beschränken. Zuletzt fiel die Gruppe Ende 2025 auf, als sie ihre Ransomware trotz aktivierter Mehr-Faktor-Authentifizierung auf SonicWall-Firewalls einschleuste. Seitdem scheint sich Akira eher auf kleinere Unternehmen zu konzentrieren und tritt weniger auffällig in Erscheinung.
Einordnung
Der Fall widerspricht der gängigen Empfehlung von IT-Sicherheitsexperten sowie der Schweizer Behörden für Cybersicherheit, in solchen Fällen kein Lösegeld zu zahlen. Auch in Deutschland raten die zuständigen Behörden nachdrücklich davon ab. Bereits 2022 hatten IT-Sicherheitsexperten aus Bildung und Wirtschaft in einem offenen Brief sogar konkrete Maßnahmen gegen Lösegeldzahlungen von Opfern gefordert – ein Schreiben, das damals viel Aufmerksamkeit erhielt.
Der SVP-Nationalrat und IT-Unternehmer Mauro Tuena ordnete gegenüber dem SRF ein, dass die Gruppe Akira nun wisse, dass der Schweizer Bund bereit sei, Lösegeld zu zahlen – ein aus seiner Sicht verheerendes Signal. RUAG entgegnete dem, die Entscheidung sei richtig gewesen, da alle Daten zurückerhalten und Schäden minimiert werden konnten.
Dieser Widerspruch zwischen offizieller Empfehlung und tatsächlichem Verhalten eines Bundesunternehmens verdeutlicht das Dilemma, in dem sich Betroffene solcher Angriffe befinden: Einerseits soll das Geschäftsmodell der Erpresser nicht durch Zahlungen gestärkt werden, andererseits stehen Unternehmen unter erheblichem Druck, sensible Daten – insbesondere mit Bezug zu militärischen Informationen – nicht öffentlich werden zu lassen.
Praxis-Tipps
- Unternehmen sollten sich unabhängig von der akuten Drucksituation im Vorfeld mit den offiziellen Empfehlungen der Cybersicherheitsbehörden auseinandersetzen und interne Entscheidungsprozesse für den Ernstfall festlegen.
- Eine frühzeitige Einbindung von Aufsichtsgremien und – wie im Fall RUAG geschehen – rechtlicher Beratung kann helfen, Entscheidungen im Krisenfall nachvollziehbar zu dokumentieren.
- Insbesondere Unternehmen mit sensiblen oder sicherheitsrelevanten Daten sollten prüfen, inwieweit vorgelagerte Sicherheitsmaßnahmen wie Mehr-Faktor-Authentifizierung ausreichend gehärtet sind – der Fall der SonicWall-Firewalls zeigt, dass Akira auch etablierte Schutzmechanismen umgehen kann.
- Eine transparente Kommunikation mit übergeordneten Stellen, etwa Ministerien oder Aufsichtsbehörden, sollte auch bei internen Entscheidungswegen sichergestellt sein, um Vertrauensverluste wie im Fall des nicht informierten VBS zu vermeiden.
Ausblick
Der Fall RUAG dürfte die Debatte um den Umgang mit Lösegeldforderungen neu befeuern, insbesondere da es sich um ein Unternehmen mit Bezug zum Schweizer Bund handelt. Die Aussage von Nationalrat Tuena, wonach Akira nun wisse, dass der Bund zahlungsbereit sei, deutet darauf hin, dass ähnliche Angriffe auf staatsnahe oder sicherheitsrelevante Institutionen künftig nicht unwahrscheinlicher werden.
Gleichzeitig zeigt das Verhalten der Gruppe Akira, die zuletzt vermehrt kleinere Unternehmen ins Visier genommen hat, dass sich die Bedrohungslage für Organisationen unterschiedlicher Größenordnung weiterhin verschärft. Details zu weiteren möglichen Konsequenzen für RUAG oder etwaigen behördlichen Reaktionen sind derzeit noch nicht bekannt.
