Das Sicherheitsunternehmen Risikomonitor hat zusammen mit der Konferenz Swiss Cyber Storm die öffentliche Infrastruktur der Schweizer .ch-Domainzone mit bekannten Ransomware-Fällen abgeglichen. Die Zahlen wurden gestern veröffentlicht.
Der erste Befund
Von 131 zuordenbaren Schweizer Ransomware-Opfern hatten 80,2 Prozent Firmen-Mailadressen in bekannten Datenlecks. Bei allen untersuchten Schweizer Firmen-Websites lag der Anteil bei 16,3 Prozent.
Noch deutlicher wird es gestaffelt:
Ransomware-Opfer je 10 000 Firmen
ohne Adressen in Datenlecks 0,8
mit mindestens 200 geleakten Adressen 543,5
Insgesamt fand die Untersuchung rund 237 000 .ch-Domains, deren Adressen in Lecks auftauchen. 160 Schweizer Unternehmen weisen demnach ein Risikoprofil auf, das dem der bekannt gewordenen Opfer entspricht.
Der zweite Befund, der wichtiger ist
Dieselbe Untersuchung hat auch die technische Sicherheit angesehen — bekannte Schwachstellen auf Websites, offene Serverzugänge.
Die Ransomware-Opfer wiesen davon nicht mehr auf als andere Unternehmen.
Als Beispiel nennt die Studie den Kanton Uri: Dort ist der Anteil von Websites mit bekannten Sicherheitslücken besonders hoch — und es wurde kein einziger öffentlicher Ransomware-Fall zugeordnet.
Das kehrt die übliche Erzählung um. Normalerweise lautet sie: Lücken schliessen, dann sinkt das Risiko. Die Studie sagt: Genau diese Lücken unterscheiden die Opfer nicht von den Verschonten. Was sie unterscheidet, sind kompromittierte Zugangsdaten.
Bemerkenswert ist das auch, weil es von einer Firma kommt, die Schwachstellenscans verkaufen könnte. Die Studie betont ausdrücklich, dass Lücken damit nicht unwichtig werden — nur dass sie allein das Risiko nicht erklären.
Was man aus den Zahlen nicht machen sollte
Hier ist Vorsicht angebracht, und die Studie selbst mahnt sie an: Sie liefert keinen kausalen Beweis. Beobachtet wurde ein Zusammenhang, keine Ursache.
Dazu kommt ein naheliegender Störfaktor, den die Untersuchung nicht ausräumt: die Firmengrösse. Ein Betrieb mit 500 Mitarbeitenden hat mehr Mailadressen, die in Lecks landen können — und er ist gleichzeitig ein attraktiveres Ziel für Erpresser, weil mehr zu holen ist. Beides könnte denselben Zusammenhang erzeugen, ohne dass das eine das andere verursacht.
Der Sprung von 0,8 auf 543,5 bleibt trotzdem bemerkenswert. Er ist nur kein Beweis, sondern ein Hinweis darauf, wo man nachsehen sollte.
Wie die Adressen überhaupt in Lecks geraten
Als Erklärung nennt Risikomonitor Schatten-IT — Dienste, die Mitarbeitende nutzen, ohne dass jemand im Betrieb davon weiss.
Das klingt nach Heimlichkeit, ist aber meist das Gegenteil. Jemand braucht schnell ein Werkzeug, um eine PDF-Datei zu verkleinern, Bilder zuzuschneiden, einen Text zu übersetzen, eine Umfrage zu machen. Die Anmeldung geht mit der Geschäftsadresse, weil das die Adresse ist, die man bei der Arbeit benutzt. Dreissig Sekunden, Problem gelöst, nie wieder daran gedacht.
Zwei Jahre später wird dieser Dienst gehackt. Die Adresse und das Passwort landen in einer Sammlung, die im Umlauf ist.
Und dann kommt der Teil, der wirklich zählt: Wenn dasselbe Passwort auch anderswo verwendet wurde — beim Mailkonto, beim Fernzugang, beim Kundenportal —, öffnet ein einziges gehacktes Werkzeug mehrere Türen. Genau diesen Mechanismus haben wir bei den 5941 Passwortdateien aus dem Berliner Datenleck beschrieben.
Drei Dinge, die sich diese Woche erledigen lassen
Für die eigene Domain nachsehen. Dienste wie Have I Been Pwned zeigen für eine Domain an, welche Adressen in bekannten Lecks stehen. Für die eigene Domain ist das kostenlos, es braucht nur einen Nachweis, dass man sie kontrolliert. Das Ergebnis ist unangenehm und nützlich zugleich.
Die Mitarbeitenden fragen — ohne Vorwurf. Die Frage lautet nicht «wer hat heimlich etwas installiert», sondern: «Welche Online-Werkzeuge benutzt ihr, die ich vielleicht nicht kenne?» Die Antworten kommen bereitwillig, wenn klar ist, dass niemand Ärger bekommt. Meist ist die Liste länger als erwartet und enthält zwei oder drei Dienste, die man gern ersetzen würde.
Das eine Passwort trennen. Wenn aus der Übung nur ein Punkt übrig bleibt, dann dieser: Das Passwort des Mailkontos darf nirgendwo sonst verwendet werden. Das Mailkonto ist der Generalschlüssel — wer es hat, setzt überall sonst das Passwort zurück.
Und die Zahl, die dabei fast untergeht
Bis Mitte Oktober 2026 wurden in der Schweiz 62 öffentlich zugeordnete Ransomware-Fälle erfasst. Das sind nur die, die bekannt wurden — Betriebe, die zahlen und schweigen, tauchen in keiner Statistik auf.
Wenn Sie wissen wollen, welche Ihrer Adressen in Lecks stehen und was daran hängt: Das sehen wir mit Ihnen durch.