Der bundeseigene Rüstungskonzern Ruag hat nach einem Cyberangriff auf eine US-Tochter mit der Zahlung eines Lösegelds rechtlich korrekt gehandelt. Eine Untersuchung des Eidgenössischen Departements für Verteidigung, Bevölkerungsschutz und Sport (VBS) sieht jedoch Verbesserungsbedarf bei der Kommunikation mit dem Bund.
Hackergruppe Akira griff Ruag-Tochter in den USA an
Die Ruag MRO hat nach einem Angriff der Hackergruppe Akira im Herbst 2025 ein Lösegeld bezahlt. Ziel des Angriffs war die Tochtergesellschaft LLC im US-Bundesstaat Virginia. Dabei wurden Daten aus den IT-Systemen des Unternehmens entwendet.
Die Angreifer drohten anschliessend damit, die gestohlenen Informationen im Darknet zu veröffentlichen, und forderten eine Lösegeldzahlung. Die Ruag entschied sich schliesslich für eine Zahlung, obwohl der Bund grundsätzlich empfiehlt, keine Lösegelder an Cyberkriminelle zu entrichten.
Das VBS hat den Cyberangriff sowie den Umgang des Unternehmens mit der Situation überprüft. Gemäss den Ergebnissen der Untersuchung hat die Ruag MRO keine Rechtsverletzung begangen.
🚨 Breaking News direkt aufs Smartphone
Verpasse keine Eilmeldung mehr – jetzt den imTicker WhatsApp-Kanal abonnieren:
👉 imTicker auf WhatsApp abonnieren
Keine Zustimmung des Bundes notwendig
Laut VBS handelte die Ruag MRO als privatrechtliche Aktiengesellschaft innerhalb ihrer unternehmerischen Verantwortung. Das Unternehmen habe die rechtlichen Voraussetzungen nach US-Recht geprüft und die Zahlung entsprechend bewertet.
Eine Zustimmung des Bundes als Eigentümer sei deshalb nicht erforderlich gewesen. Die Untersuchung kommt damit zum Schluss, dass die Lösegeldzahlung rechtlich zulässig war.
Gleichzeitig hält das VBS fest, dass eine frühzeitigere und koordiniertere Information gegenüber dem Bund sinnvoll gewesen wäre. Politische und reputationsbezogene Auswirkungen sowie übergeordnete Interessen seien in der damaligen Situation nicht ausreichend berücksichtigt worden.
Prozesse für Cybersicherheit sollen verbessert werden
Um ähnliche Fälle künftig besser bewältigen zu können, will die Ruag MRO gemeinsam mit dem Bundesamt für Cybersicherheit (BACS) die bestehenden Sicherheitsmassnahmen und internen Abläufe überprüfen.
Dabei soll auch untersucht werden, ob der Konzern insgesamt ausreichend gegen Cyberangriffe geschützt ist und ob die Krisenprozesse angepasst werden müssen.
Ruag-Verwaltungsratspräsident Jürg Rötheli erklärte gegenüber Radio SRF, das Unternehmen habe damals einen «kleinen Betrag» bezahlt. Eine genaue Summe nannte er nicht, bezeichnete sie jedoch als gering.
Cyberangriffe auf Unternehmen und Behörden haben in den vergangenen Jahren weltweit zugenommen. Besonders betroffen sind Organisationen mit sensiblen Daten oder kritischer Infrastruktur, darunter auch Unternehmen aus dem Rüstungs- und Technologiebereich.
