Kurz gesagt: Am 16. Oktober 2025 warnten die Bundesanwaltschaft, das Bundesamt für Polizei (fedpol) und das Bundesamt für Cybersicherheit (BACS) gemeinsam vor der Ransomware-Gruppe Akira. Laut den Behörden wurden rund 200 Unternehmen in der Schweiz Opfer, der Schaden beläuft sich in der Schweiz auf mehrere Millionen Franken. Mit vier bis fünf Fällen pro Woche sprechen die Behörden von einem Rekord für die Schweiz.
Das Wichtigste in Kürze
- Datum: gemeinsame Mitteilung vom 16. Oktober 2025; die Angriffe im Strafverfahren fanden zwischen Mai 2023 und September 2025 statt (Quelle: BACS-Mitteilung).
- Betroffene: rund 200 Unternehmen in der Schweiz; Namen nennen die Behörden keine (Quelle: BACS-Mitteilung).
- Angriffsart: Ransomware mit doppelter Erpressung: Daten werden zuerst gestohlen, dann verschlüsselt (Quelle: BACS-Mitteilung).
- Schaden: mehrere Millionen Franken in der Schweiz, mehrere hundert Millionen Dollar weltweit (Quelle: BACS-Mitteilung).
- Häufigkeit: vier bis fünf Fälle pro Woche, ein Rekord für die Schweiz (Quelle: BACS-Mitteilung).
- Strafverfahren: Die Bundesanwaltschaft ermittelt seit April 2024 gegen Unbekannt (Quelle: BACS-Mitteilung).
Was ist bestätigt?
Akira trat laut den Behörden erstmals im März 2023 in Erscheinung. Die Gruppe nutzt eigens entwickelte Software und eine IT-Infrastruktur, die über mehrere Länder verteilt ist. Sie wendet die sogenannte doppelte Erpressung an: Zuerst stiehlt sie Daten, dann verschlüsselt sie diese. Wird das Lösegeld nicht fristgerecht bezahlt, veröffentlicht sie die Daten auf ihrer Darknet-Seite (Data Leak Site). Bezahlt wird meist in Bitcoin.
Die Bundesanwaltschaft führt seit April 2024 ein Strafverfahren gegen Unbekannt wegen unbefugter Datenbeschaffung (Art. 143 StGB), Datenbeschädigung (Art. 144bis StGB) sowie Erpressung und hilfsweise versuchter Erpressung (Art. 156 StGB, Art. 22 i.V.m. Art. 156 StGB). Sie hat mehrere kantonale Verfahren zu ähnlichen Angriffen übernommen. fedpol koordiniert die Ermittlungen mit dem BACS und mit Behörden weiterer betroffener Länder.
Die Behörden gehen von einer hohen Dunkelziffer aus, weil Opfer aus Sorge um ihren Ruf Lösegeld zahlen oder auf eine Strafanzeige verzichten. Laut der Mitteilung lassen sich viele Angriffe verhindern, wenn veraltete Systeme aktualisiert und Fernzugriffe wie VPN und RDP mit Zwei-Faktor-Authentifizierung geschützt werden.
Was ist nicht bekannt?
- Wer betroffen ist: Die Behörden nennen keine Firmennamen und keine Aufteilung nach Branche oder Unternehmensgrösse. Wie viele der rund 200 Opfer KMU sind, ist nicht veröffentlicht.
- Schaden pro Fall: Es gibt keine offiziellen Angaben zu Schäden, Lösegeldforderungen oder Ausfallzeiten einzelner Unternehmen.
- Zahlungen: Wie viele Opfer Lösegeld bezahlt haben, ist nicht bekannt.
- Versicherung: Ob und wie Cyberversicherungen in diesen Fällen geleistet haben, ist nicht dokumentiert.
- Aktueller Stand: Diese Fallstudie stützt sich auf die Mitteilung vom 16. Oktober 2025. Spätere Entwicklungen im Strafverfahren sind hier nicht berücksichtigt.
Einordnung für die Cyberversicherung
Aus der Angriffswelle lässt sich keine Deckungszusage ableiten. Je nach Vertrag können unter anderem Incident Response und IT-Forensik, Rechts- und Datenschutzberatung, Datenwiederherstellung, Betriebsunterbrechung, Kosten für die Benachrichtigung Betroffener oder Krisenkommunikation relevante Bausteine sein. Ob und in welchem Umfang eine Leistung besteht, hängt insbesondere vom Vertragswortlaut, von Sublimiten und Ausschlüssen, von vereinbarten Sicherheitsobliegenheiten und vom konkreten Schadenprozess ab.
Die Behörden raten ausdrücklich davon ab, Lösegeld zu zahlen. Wie ein Vertrag mit Erpressungsfällen umgeht, ist im Wortlaut zu prüfen. Zudem können Sicherheitsanforderungen wie Zwei-Faktor-Authentifizierung für Fernzugriffe oder regelmässige Updates Teil der vertraglichen Obliegenheiten sein.
Lehren für Schweizer KMU
- Fernzugriffe absichern: VPN- und RDP-Zugänge nur mit Zwei-Faktor-Authentifizierung betreiben und nicht benötigte Zugänge schliessen.
- Systeme aktuell halten: Updates für Firewalls, VPN-Geräte, Server und Clients zeitnah einspielen; veraltete Systeme ersetzen oder isolieren.
- Backups prüfen: Sicherungen regelmässig wiederherstellen und mindestens eine Kopie getrennt vom Netzwerk aufbewahren.
- Sofortmassnahmen festlegen: Im Notfallplan festhalten, wer alle Internetverbindungen (Web, E-Mail, Fernzugriff, Site-to-Site-VPN) trennt, die Backups sichert und infizierte Systeme physisch vom Netz nimmt.
- Behörden kontaktieren: Vor jeder Reaktion auf eine Lösegeldforderung die Behörden kontaktieren und in jedem Fall Strafanzeige erstatten.
- Datenabfluss einplanen: Bei doppelter Erpressung hilft ein Backup nicht gegen die Veröffentlichung gestohlener Daten. Wissen Sie, wo welche Kunden- und Personendaten liegen.
- Police prüfen: Klären Sie, welche Bausteine Ihre Cyberversicherung enthält, welche Obliegenheiten gelten und wen Sie im Schadenfall zuerst anrufen.