Ransomware Schweiz – Halbzeit Mai 2026: Drei bestätigte Fälle, vier Gruppen, ein klares Muster

Stand 18. Mai 2026 zählen unsere Auswertungen 203 Schweizer Opfer seit Beginn des Trackings. Allein in der ersten Maihälfte 2026 kamen drei neue, öffentlich bestätigte Fälle dazu – verteilt auf drei unterschiedliche Gruppen. Damit setzt sich der Trend aus dem April 2026 (sieben Schweizer Opfer) ungebrochen fort.

Die drei Fälle der ersten Maihälfte 2026

1. DEVO-Tech AG (Bremgarten, AG) – Thegentlemen, Leak 18.05.2026 - Unternehmen: Schweizer Familien-Ingenieurbüro im Kanton Aargau, spezialisiert auf Sondermaschinenbau, Vorrichtungsbau und Automatisierung für die Industrie (Medizintechnik, Uhren, Automotive-Zulieferer). - Datenumfang im Leak: CAD-Konstruktionsdaten, Stücklisten, Lieferantenkorrespondenz, Angebote und interne Projektordner – klassisches IP-Exfiltrations-Set einer Engineering-Firma. - Gruppe & Vektor: Thegentlemen, neue RaaS-Gruppe aktiv seit Ende 2025. Bevorzugter Initial-Access laut bisherigen Opferanalysen: zugekaufte Zugänge bei Initial Access Brokern (RDP, exponierte VPN-Login-Portale, OAuth-Phishing auf Microsoft-365-Konten). - Erpressungslogik: Double Extortion mit kurzem Verhandlungsfenster (typisch 5–10 Tage). Lösegeldforderungen bei vergleichbaren KMU-Opfern: USD 150 000 – 2 Mio. - Side-Effect: Die geleakten CAD- und Lieferantendaten setzen Auftraggeber von DEVO-Tech direkt unter NIS2-/Lieferkettenrisiko – ein Paradebeispiel für [Lieferantenmonitoring](/lieferantenmonitoring).

2. Réseau Radiologique Romand (3R), Westschweiz – Akira, Listung 08.05.2026 (Daten bislang nur angedroht) - Unternehmen: Verbund radiologischer Praxen in der Romandie mit mehreren Standorten (u.a. Region Lausanne/Genf). Tägliches Patientenaufkommen im vierstelligen Bereich, eng vernetzt mit Spitälern und niedergelassenen Ärzten. - Status: Auf der Akira-Leakseite gelistet mit der Ankündigung "We will upload 48gb of corporate data soon" – noch keine Veröffentlichung, sondern laufende Erpressung in der Verhandlungsphase. Angekündigt: detaillierte Mitarbeiter-Personaldaten (Pässe, Führerscheine, IDs), Patientendaten (Telefonnummern, Adressen, medizinische Informationen), Zahlungsdaten und NDAs. - Gruppe & Vektor: Akira (aktiv seit März 2023, 2024 weltweit Top-3 der Leak-Volumina laut CISA AA24-109A). Initial Access typischerweise über ungepatchte SSL-VPN-Gateways ohne MFA (Cisco ASA, SonicWall – CVE-2024-40766). Zeit von Login bis Verschlüsselung im Schnitt 23 Stunden. - Erpressungslogik: Lösegeldforderungen 2024–2026 in Healthcare-Fällen: USD 500 000 – 8 Mio., bei sensiblen Patientendaten oft am oberen Ende, da Reputations- und DSG-Druck maximal ist. Die öffentliche Listung mit Volumenangabe ist klassischer Druckaufbau vor der eigentlichen Veröffentlichung. - Side-Effect: Direkter Bezug zum revidierten Schweizer Datenschutzgesetz (revDSG): Meldepflicht an den EDÖB binnen "so rasch als möglich" (Art. 24 revDSG), zusätzlich potenzielle GDPR-Relevanz für Westschweizer Patientinnen aus dem EU-Grenzraum.

3. Laclinic-Montreux – Qilin, Leak 06.05.2026 - Unternehmen: Internationale Privatklinik am Genfersee, Schwerpunkt Plastische und Rekonstruktive Chirurgie, vermögende internationale Klientel (CH, F, Naher Osten, Russland). - Datenumfang im Leak: Patientenakten, prä- und postoperative Fotos, Identitätsdokumente, Korrespondenz – ein für Reputations-Erpressung extrem brisanter Datensatz. - Gruppe & Vektor: Qilin (RaaS, aktiv seit 2022, international bekannt durch den Angriff auf Synnovis/NHS London im Juni 2024, der mehrere Spitalsoperationen lahmlegte). Initial Access typischerweise via Spear Phishing, gestohlene VPN-Credentials und Exploit-Ketten gegen Edge-Geräte. - Erpressungslogik: Qilin-Forderungen 2024–2026: USD 1–50 Mio., aggressive Veröffentlichungstaktik bei Nichtzahlung, gezielte Medienansprache. - Side-Effect: Innerhalb von nur 48 Stunden traf es mit 3R und Laclinic zwei Schweizer Healthcare-Anbieter – ein deutliches Signal, dass das Schweizer Gesundheitswesen aktiv und systematisch ins Visier genommen wird.

Die Gruppen im Profil

Akira – aktivste Gruppe gegen die Schweiz 2026 - Herkunft: Russischsprachiger Untergrund; technische Überschneidungen zu Conti-Alumni dokumentiert (CISA Advisory AA24-109A, April 2024). - Aktivität CH: 2024 unter den Top-3-Gruppen weltweit (CISA/FBI), 2026 alleine in CH bestätigt: 3R, Mabetex, INP Schweiz, Hauri AG, Huber, weitere. - Angriffsvektor: Ungepatchte SSL-VPN-Gateways (Cisco ASA, SonicWall, Fortinet) ohne MFA; Ausnutzung von CVE-2024-40766 (SonicWall) und CVE-2023-20269 (Cisco). - Lösegeldforderung: Nach eigenen Verhandlungs- und Leaksite-Auswertungen typisch 200.000 – 8 Mio. USD, im DACH-Mittelstand häufig 6- bis niedriger 7-stelliger Euro-Bereich.

Qilin (alias Agenda) – die "Doppel-Erpresser" gegen Spitäler - Herkunft: Russischsprachiges RaaS-Programm, aktiv seit 2022. - Aktivität CH: 2026 mehrere CH-Opfer (Laclinic-Montreux, Muller Technology, Gericke); international bekannt durch den Angriff auf Synnovis (NHS London, Juni 2024), der mehrere Spitaloperationen lahmlegte. - Angriffsvektor: Spear-Phishing, gestohlene VPN-Credentials, gelegentlich CVE-Ausnutzung in Citrix und VMware ESXi. - Lösegeldforderung: 1 – 50 Mio. USD; die Forderung an Synnovis lag laut Bloomberg bei rund 50 Mio. USD.

Thegentlemen – neue, aggressive Gruppe - Herkunft: Erstmals von Trend Micro im August/September 2025 dokumentiert. Bisher keine offizielle CISA/ENISA-Attribution; das hohe Opferaufkommen ohne Vorgeschichte deutet laut Trend Micro auf ein Rebranding erfahrener Operatoren oder einen finanzstarken Neueinsteiger hin. - Aktivität: Bislang Opfer in mindestens 17 Ländern, Branchenschwerpunkte Manufacturing, Bau, Healthcare und Versicherungen; CH-Bezug: DEVO-Tech (18.05.2026) und MUST Informatique (Februar 2026). - Angriffsvektor: In dokumentierten Fällen Einstieg über exponierte FortiGate-/Edge-Geräte und kompromittierte Credentials; danach Defense Evasion via signierter Treiber (ThrottleBlood.sys, Tools wie All.exe / Allpatch2.exe), Privilegieneskalation per PowerRun.exe, Lateral Movement mit PsExec, GPO-Manipulation, Persistenz via AnyDesk, Exfiltration verschlüsselt über WinSCP. - Lösegeldforderung: Bandbreite noch unklar; beobachtete Forderungen im KMU-/Mittelstand zwischen 150.000 und 2 Mio. USD.

Was diese Halbzeit-Bilanz für Schweizer Unternehmen bedeutet

1. Mittelstand ist Hauptziel. Alle drei Mai-Opfer haben einen typischen Schweizer KMU- bis Mittelstandsprofil – keine Großkonzerne. 2. Healthcare bleibt unter Beschuss. Zwei der drei Fälle betreffen den medizinischen Sektor. ENISA-Threat-Landscape 2024 bestätigt: Gesundheitswesen ist EU-weit zweithäufigste Zielbranche. 3. VPN- und Edge-Geräte sind das offene Tor. Akira, Qilin und die meisten DACH-Wellen 2026 starten am ungepatchten Perimeter.

Eine vollständige Analyse der parallel laufenden Clop-Torrent-Welle und ihrer Auswirkungen auf die Schweiz finden Sie im [separaten Artikel: Clop BitTorrent-Welle – mehrere Petabyte Daten treffen die Schweiz](/news/clop-torrent-petabyte-schweiz-2026).

Halbzeit Mai 2026 zeigt klar: Die Schweiz ist kein Ausnahmefall mehr, sondern fester Bestandteil der europäischen Ransomware-Landkarte. Die Frage ist nicht, ob der nächste Schweizer Mittelständler auf einem Leak-Portal landet, sondern welcher.

Quellen: Eigene Darknet- und Leaksite-Auswertungen (Stand 18.05.2026), CISA Advisory AA24-109A (Akira), ENISA Threat Landscape 2024, Bloomberg und BBC News (Synnovis/Qilin, Juni 2024).