Produktion, IT und Beratung: Diese Branchen trifft es am härtesten
Manufacturing, Technology und Professional Services sind laut ransomware.live (Stand 19. August 2026) die am häufigsten von Ransomware betroffenen Branchen der Schweiz, mit 21, 17 und 17 dokumentierten Fällen in den letzten zwölf Monaten. Diese Sektoren verwalten wertvolle Konstruktionsdaten, Kundenzugänge und vertrauliche Mandate, die für Erpressergruppen wie Akira oder Qilin wirksame Druckmittel darstellen. Betriebe dieser Branchen benötigen getestete Backups und kontinuierliche Überwachung, um Schäden zu begrenzen.
Die Meldestatistik des Bundesamts für Cybersicherheit für Woche 33/2026 verzeichnet 1'093 Meldungen, angeführt von Phishing, Abofallen und Spam. Ergänzend dazu dokumentiert die Plattform ransomware.live für die Schweiz 234 Ransomware-Opfer insgesamt, davon 95 in den letzten zwölf Monaten. Drei Branchen liegen dabei klar vorne: Manufacturing mit 21, Technology mit 17 und Professional Services ebenfalls mit 17 dokumentierten Fällen. Die Gründe dafür unterscheiden sich je nach Sektor deutlich.
Welche Branchen sind in der Schweiz am häufigsten von Ransomware betroffen?
Laut ransomware.live führen in den vergangenen zwölf Monaten (Stand 19. August 2026) Manufacturing mit 21 Fällen, Technology mit 17 Fällen und Professional Services ebenfalls mit 17 Fällen die Rangliste der Schweizer Ransomware-Opfer an.
Healthcare folgt mit 8 Fällen und Retail & E-Commerce mit 7 Fällen mit deutlichem Abstand dahinter, ebenfalls laut ransomware.live für die letzten zwölf Monate. Insgesamt weist die Plattform für die Schweiz 234 dokumentierte Opfer seit Beginn der Erfassung aus, davon 31 allein in den letzten 90 Tagen. Diese Beschleunigung deutet darauf hin, dass Erpressungsangriffe in der Schweiz nicht abklingen, sondern sich auf bestimmte Wirtschaftszweige konzentrieren.
Die wöchentliche Meldestatistik des Bundesamts für Cybersicherheit zeigt für Woche 33/2026 mit 1'093 Meldungen ein paralleles Bild der allgemeinen Bedrohungslage, wenn auch mit anderem Schwerpunkt: Phishing, Abofallen und Spam dominieren dort die Zahlen. Ransomware-Vorfälle laufen technisch oft über denselben Erstzugang, etwa einen erfolgreichen Phishing-Versuch, bevor die eigentliche Verschlüsselung folgt. Wer beide Auswertungen gemeinsam liest, erkennt den Weg vom ersten Klick bis zur Betriebsunterbrechung.
Warum geraten Manufacturing-Betriebe besonders häufig ins Visier von Erpressern?
Weil ein Produktionsstillstand für Manufacturing-Unternehmen unmittelbar und sichtbar teuer wird, steigt die Bereitschaft, ein Lösegeld zu zahlen, und genau darauf setzen Angreifer.
Viele Fertigungsbetriebe verbinden klassische Büro-IT mit Steuerungssystemen, die oft älter und schwerer zu patchen sind. Ein Ausfall der Produktionslinie wirkt sich sofort auf Liefertermine und Vertragsstrafen aus, was den Druck auf die Geschäftsleitung erhöht. Tätergruppen wählen ihre Ziele gezielt danach aus, wie schnell ein Betrieb zahlen muss, um den Schaden zu begrenzen.
Just-in-time-Lieferketten verschärfen diese Dynamik zusätzlich, weil ein Stillstand bei einem Zulieferer innerhalb weniger Tage auf mehrere nachgelagerte Betriebe durchschlagen kann. Betriebe, die ihre Produktionssteuerung technisch von den Bürosystemen trennen und ihre Serverinfrastruktur in einem überwachten Virtual Data Center statt auf veralteter Hardware vor Ort betreiben, verkürzen die Zeit bis zur Wiederherstellung. Diese Trennung verhindert, dass eine kompromittierte Werkshalle automatisch das gesamte Firmennetz lahmlegt.
Warum sind Technology-Unternehmen und IT-Dienstleister so oft von Ransomware betroffen?
IT-Dienstleister und Technology-Unternehmen verwalten oft den Zugang zu vielen Kundensystemen gleichzeitig, weshalb ein einziger erfolgreicher Angriff Angreifern Zugriff auf zahlreiche nachgelagerte Firmen verschafft.
Ein kompromittierter Managed-Service-Provider oder Softwareanbieter multipliziert den Schaden, weil Zugangsdaten, Wartungszugänge oder Software-Updates gleich mehrere Kunden betreffen. Diese Hebelwirkung macht Technology-Unternehmen zu einem effizienteren Ziel als ein einzelnes Produktionsunternehmen mit begrenzter Kundenzahl. Laut ransomware.live verzeichnet die Branche Technology in den letzten zwölf Monaten 17 Fälle in der Schweiz, gleichauf mit Professional Services.
Hinzu kommt, dass Technology-Unternehmen selbst oft komplexe, gewachsene IT-Landschaften betreiben, in denen einzelne Systeme nicht mehr durchgängig überwacht werden. Wer Kundenzugänge, Quellcode und Betriebsgeheimnisse verwaltet, wird zusätzlich durch die Drohung interessant, gestohlene Daten zu veröffentlichen, statt nur Systeme zu verschlüsseln.
Warum trifft es auch Professional Services wie Beratungen, Kanzleien und Treuhandbüros?
Professional-Services-Betriebe verwalten vertrauliche Mandatsunterlagen, Verträge und Finanzdaten ihrer Kunden, deren Veröffentlichung für die Erpressung mindestens so wirksam ist wie eine reine Verschlüsselung der Systeme.
Bei doppelter Erpressung drohen Angreifer nicht nur mit dem Verlust des Zugriffs, sondern auch mit der Veröffentlichung gestohlener Mandatsdaten, was für Kanzleien und Treuhandbüros ein zusätzliches Reputationsrisiko gegenüber den eigenen Kunden bedeutet. Laut ransomware.live wurden in der Schweiz in den letzten zwölf Monaten 17 Fälle in Professional Services dokumentiert, exakt gleich viele wie in Technology. Kleinere Beratungsbüros verfügen oft über weniger dedizierte IT-Sicherheitsressourcen als grössere Industriebetriebe, was Angreifern den Erstzugang erleichtert.
Der Erstzugang gelingt in vielen dokumentierten Fällen über gezieltes Phishing gegen einzelne Mitarbeitende, nicht über technische Schwachstellen. Eine strukturierte Sensibilisierung der Mitarbeitenden für Cybersicherheit reduziert diese Angriffsfläche, weil sie den Menschen als erste Verteidigungslinie stärkt, bevor eine Schadsoftware überhaupt ins Netzwerk gelangt.
Welche Tätergruppen stecken hinter den Ransomware-Angriffen in der Schweiz?
Laut ransomware.live war die Gruppe Akira mit 16 dokumentierten Schweizer Fällen in den letzten zwölf Monaten am aktivsten, gefolgt von Qilin mit 10, DragonForce mit 6, TheGentlemen mit 5 und Payload mit 4 Fällen.
Diese Gruppen arbeiten überwiegend nach dem Modell Ransomware-as-a-Service, bei dem die eigentliche Schadsoftware von einem kleinen Kernteam bereitgestellt und von wechselnden Partnern gegen Gewinnbeteiligung eingesetzt wird. Das erklärt, weshalb dieselben Gruppennamen branchenübergreifend auftauchen, von Manufacturing über Technology bis Professional Services. Für betroffene Betriebe spielt es meist eine untergeordnete Rolle, welche Gruppe konkret hinter einem Angriff steht, weil sich Vorgehen und Erpressungsmuster stark ähneln.
Relevanter als der Gruppenname ist für Schweizer KMU die Frage, wie früh ein Eindringen erkannt wird, bevor eine Verschlüsselung überhaupt beginnt. Kontinuierliches Monitoring von Servern und Endgeräten verkürzt das Zeitfenster, in dem sich Angreifer nach dem Erstzugang unbemerkt im Netzwerk bewegen können.
Was können Betriebe aus Manufacturing, Technology und Professional Services jetzt konkret tun?
Betriebe dieser drei Branchen sollten als ersten Schritt prüfen, ob ihre Backups tatsächlich isoliert von den Produktivsystemen liegen und regelmässig auf Wiederherstellbarkeit getestet werden, weil genau das über die Schadenshöhe im Ernstfall entscheidet.
Ein Backup, das im selben Netzwerk wie die Produktivsysteme liegt, wird bei einem Ransomware-Angriff häufig mitverschlüsselt und verliert damit seinen Zweck als Absicherung. Die IT-Verantwortung eines Betriebs erkennt den Erfolg einer Backup-Strategie daran, dass eine vollständige Wiederherstellung im Testlauf innerhalb einer definierten Zeitspanne gelingt, nicht daran, dass eine Sicherung existiert.
Eine georedundante Sicherung mit getesteter Wiederherstellung reduziert das Risiko, dass ein einzelner Vorfall zum Totalausfall wird, unabhängig davon, welche Tätergruppe angreift. Als zweiten Schritt lohnt sich eine Bestandsaufnahme, welche Systeme extern erreichbar sind und wie schnell ein Sicherheitsvorfall überhaupt bemerkt würde. Diese beiden Massnahmen zusammen, getestetes Backup und Erkennung, entscheiden in der Praxis darüber, ob ein Ransomware-Angriff ein Wochenende oder mehrere Wochen Ausfall bedeutet.
Häufige Fragen
Welche Branchen sind in der Schweiz am häufigsten von Ransomware betroffen?
Laut ransomware.live (Stand 19. August 2026) führen in der Schweiz die Branchen Manufacturing mit 21 dokumentierten Fällen, Technology mit 17 Fällen und Professional Services ebenfalls mit 17 Fällen die Rangliste der Ransomware-Opfer der letzten zwölf Monate an. Healthcare und Retail & E-Commerce folgen mit deutlichem Abstand mit 8 beziehungsweise 7 Fällen.
Warum werden Produktionsbetriebe so oft Opfer von Ransomware-Angriffen?
Produktionsbetriebe verbinden oft ältere, schwer zu patchende Steuerungssysteme mit klassischer Büro-IT. Ein Stillstand der Fertigung wirkt sich sofort auf Liefertermine und Vertragsstrafen aus, was den Druck erhöht, ein Lösegeld rasch zu bezahlen. Just-in-time-Lieferketten verschärfen diese Dynamik zusätzlich, da ein Ausfall bei einem Zulieferer schnell mehrere nachgelagerte Betriebe betrifft.
Welche Ransomware-Gruppen sind in der Schweiz am aktivsten?
Laut ransomware.live war in der Schweiz in den letzten zwölf Monaten (Stand 19. August 2026) die Gruppe Akira mit 16 dokumentierten Fällen am aktivsten, gefolgt von Qilin mit 10, DragonForce mit 6, TheGentlemen mit 5 und Payload mit 4 Fällen. Diese Gruppen arbeiten meist nach dem Modell Ransomware-as-a-Service.
Wie können sich Schweizer KMU vor Ransomware schützen?
Zentral sind isolierte, regelmässig getestete Backups, die im Ernstfall eine vollständige Wiederherstellung innerhalb definierter Fristen ermöglichen, sowie kontinuierliches Monitoring von Servern und Endgeräten, um Angriffe früh zu erkennen. Ergänzend reduziert eine strukturierte Sensibilisierung der Mitarbeitenden für Phishing die Wahrscheinlichkeit eines erfolgreichen Erstzugangs deutlich.
Was ist doppelte Erpressung bei Ransomware-Angriffen?
Bei doppelter Erpressung verschlüsseln Angreifer nicht nur die Systeme eines Unternehmens, sondern kopieren zuvor vertrauliche Daten wie Mandatsunterlagen oder Kundendaten. Zahlt das Opfer nicht, drohen sie zusätzlich mit der Veröffentlichung dieser Daten, was insbesondere für Beratungen, Kanzleien und Treuhandbüros ein erhebliches Reputationsrisiko gegenüber ihren eigenen Kunden darstellt.
Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung fachlich geprüft und freigegeben. Die inhaltliche Verantwortung liegt bei n'cloud.swiss AG.