RUAG zahlt – und das BACS hatte abgeraten: Eine teure Lektion über Lösegeld

Es ist eine der unbequemsten Entscheidungen in der IT-Sicherheit: Die eigenen Daten sind verschlüsselt, die Erpresser fordern Lösegeld – zahlen oder nicht? Beim Schweizer Rüstungskonzern RUAG fiel die Entscheidung auf «zahlen». Und zwar, wie jetzt öffentlich wurde, gegen die ausdrückliche Empfehlung des Bundesamts für Cybersicherheit (BACS). Ein Fall, an dem sich gut zeigen lässt, warum diese Empfehlung existiert – und warum die eigentliche Antwort lange vor dem Erpresserbrief gegeben wird.

Was passiert ist

Betroffen war die US-Tochter Ruag LLC im Gliedstaat Virginia. Die Ransomware-Gruppe Akira veröffentlichte den Angriff Anfang November 2025 im Darknet und beanspruchte ein rund 24 Gigabyte grosses Datenpaket – mit Mitarbeiterdaten, vertraulichen militärischen Informationen, Verträgen, Sozialversicherungsnummern und Pässen. Die gezahlte Summe wurde nicht offiziell beziffert; Medien sprechen von einem tiefen sechsstelligen Betrag, der Verwaltungsratspräsident von einem «kleinen Betrag». Der Bundesrat kündigte Mitte Juni 2026 eine Aufarbeitung durch das VBS an, aus der Politik kommen Forderungen nach einer unabhängigen Untersuchung und sogar nach einem formellen Zahlungsverbot.

Warum das BACS vom Zahlen abrät

Die Empfehlung, kein Lösegeld zu zahlen, ist kein moralischer Fingerzeig, sondern nüchternes Kalkül:

• Du finanzierst das nächste Opfer. Jede Zahlung macht das Geschäftsmodell Ransomware profitabler und finanziert die Werkzeuge für den nächsten Angriff.
• Du kaufst keine Garantie. Ein Entschlüsselungs-Schlüssel funktioniert nicht immer vollständig, und ob die Angreifer die kopierten Daten wirklich löschen, weisst Du nie. Oft tauchen sie trotz Zahlung später doch auf.
• Du markierst Dich als zahlungsbereit. Wer einmal zahlt, steht auf einer Liste – und wird zum bevorzugten Ziel für die nächste Runde.

Die eigentliche Lektion: Resilienz schlägt Lösegeld

Das Unbequeme an der Zahlen-oder-nicht-Frage ist: Wer sie sich überhaupt stellen muss, hat den entscheidenden Kampf schon verloren. Das Ziel ist, gar nicht erst in diese Lage zu geraten. Und das ist machbar – mit Vorbereitung statt Verhandlung:

• Offline- und Air-Gap-Backups: Sicherungen, die physisch oder logisch vom Netz getrennt sind, kann eine Ransomware nicht mitverschlüsseln. Sie sind der Unterschied zwischen «wir spielen zurück» und «wir verhandeln».
• Wiederherstellung testen, nicht nur sichern: Ein Backup, das noch nie zurückgespielt wurde, ist eine Hoffnung, kein Plan. Der Ernstfall ist der falsche Moment für die erste Probe.
• Netzsegmentierung: Wer sein Netz unterteilt, sorgt dafür, dass ein kompromittierter Rechner nicht gleich den ganzen Betrieb mitreisst.
• Daten klassifizieren: Auch mit perfektem Backup bleibt der Abfluss sensibler Daten ein Problem. Verschlüsselung und strenge Zugriffsrechte begrenzen, was im Ernstfall überhaupt abfliessen kann.

Genau auf diese Resilienz zielt unser Ansatz bei der UCC Pro: getrennte, getestete Sicherungen und ein Datensicherungs-Konzept, das den Ernstfall einkalkuliert – damit die Frage nach dem Lösegeld gar nicht erst aufkommt.

Fazit

Der RUAG-Fall ist deshalb so lehrreich, weil er einen grossen, gut ausgestatteten Konzern trifft – und trotzdem in der Zahlungsfalle endet. Lösegeld ist nie die Lösung, sondern das Eingeständnis, dass die Vorbereitung gefehlt hat. Für jeden Betrieb, vom KMU bis zum Konzern, lautet die Konsequenz gleich: Investiere in Backups, Tests und Segmentierung, solange Du die Wahl hast. Im Moment des Erpresserbriefs hast Du sie nicht mehr.

Quellen: inside-it.ch, «Bundesrat will Lösegeldzahlung durch RUAG aufarbeiten» (16.06.2026); Netzwoche, Bericht zur Lösegeldzahlung der RUAG-Tochter (08.06.2026).