Eine internationale Operation hat am 30. September 2026 Teile der IT-Infrastruktur der Ransomware-Gruppe KillSec zerschlagen. An der koordinierten Aktion waren auch das Bundesamt für Polizei (fedpol) und die Bundesanwaltschaft beteiligt. Drei Personen wurden festgenommen, zudem stellten die Behörden mindestens 110 Terabyte gestohlener Daten sicher.
Ermittlungen nach Angriffen auf Schweizer Unternehmen
Die Bundesanwaltschaft führt seit Juli 2025 ein Strafverfahren gegen Unbekannt im Zusammenhang mit Ransomware-Angriffen der Gruppe KillSec beziehungsweise KillSecurity. Zwischen Oktober 2023 und Juni 2025 soll die Gruppe mehrere Schweizer Unternehmen angegriffen haben.
Untersucht werden unter anderem mögliche Delikte wegen unbefugter Datenbeschaffung, unbefugten Eindringens in Datenverarbeitungssysteme, Datenbeschädigung und Erpressung. Für alle Verfahrensbeteiligten gilt die Unschuldsvermutung.
Bei Ransomware-Angriffen verschaffen sich Täter unbefugt Zugang zu IT-Systemen, stehlen Daten und verschlüsseln anschliessend Server. Für die Herausgabe eines Entschlüsselungscodes wird meist Lösegeld verlangt. KillSec soll dabei auch auf die sogenannte doppelte Erpressung gesetzt haben: Neben der Verschlüsselung drohen die Täter mit der Veröffentlichung gestohlener Daten.
Drei Festnahmen und acht Hausdurchsuchungen
Die internationale Untersuchung wurde von Europol und Eurojust koordiniert. Neben der Schweiz waren Behörden aus weiteren Ländern beteiligt.
Am 30. September erfolgte schliesslich die koordinierte Abschaltaktion. In Spanien, Griechenland, dem Vereinigten Königreich und Rumänien wurden insgesamt acht Hausdurchsuchungen durchgeführt. Dabei beschlagnahmten die Behörden unter anderem fünf Server, auf denen Daten von Opfern gespeichert worden sein sollen.
Nach Angaben der beteiligten Behörden konnten mindestens 110 Terabyte gestohlener Daten sichergestellt werden. Zudem wurden drei Personen festgenommen.
Fedpol analysierte Infrastruktur des Netzwerks
Den Interventionen gingen umfangreiche Ermittlungen voraus. Fedpol arbeitete dabei unter der Leitung der Bundesanwaltschaft eng mit den Kantonspolizeien und dem Bundesamt für Cybersicherheit (BACS) zusammen.
Die Ermittler analysierten Informationen über die Vorgehensweise des Netzwerks und koordinierten den Informationsaustausch mit den internationalen Partnern. Die Sicherstellung von Servern und Daten soll nicht nur die weitere Tätigkeit des Netzwerks erschweren, sondern auch zusätzliche Beweismittel für die laufenden Ermittlungen liefern.
Ermittlungen gegen Cyberkriminelle gehen weiter
Trotz der internationalen Aktion setzen fedpol und die Bundesanwaltschaft ihre Ermittlungen fort. Ziel ist es, weitere mutmasslich beteiligte Personen zu identifizieren und strafrechtlich zu verfolgen. Bei Verdächtigen im Ausland kann unter bestimmten Voraussetzungen auch eine Auslieferung an die Schweiz angestrebt werden.
Die Bundesanwaltschaft macht derzeit wegen des laufenden Strafverfahrens keine weiteren Angaben. Gleichzeitig ruft das BACS Unternehmen, Behörden und Privatpersonen dazu auf, Cyberangriffe den zuständigen Stellen zu melden und Strafanzeige zu erstatten. Solche Meldungen können die Ermittlungen unterstützen und dazu beitragen, weitere Angriffe und kriminelle Strukturen aufzudecken.
