Am 11. August veröffentlichte die Fachpresse eine Auswertung des Sicherheitsanbieters Bitdefender: 35 Schweizer Ransomware-Opfer im ersten Halbjahr 2026, weltweit 4'641 Fälle gegenüber 4'381 im Vorjahreszeitraum. Die Schweiz liegt damit auf Rang 20 — zwischen Deutschland mit 176 Fällen auf Rang 4 und Österreich mit 29 auf Rang 25.
35 Fälle in sechs Monaten. Das klingt beherrschbar, fast beruhigend. Und genau darin liegt das Problem.
Was diese Zahl zählt — und was nicht
Die Auswertung nennt ihre Methode selbst, deutlich und im Text: Es sind keine behördlich bestätigte Statistik, sondern Fälle, bei denen sich die Täter öffentlich zur Urheberschaft bekannt haben. Gezählt wird also nicht, wer angegriffen wurde, sondern wer auf einer Leak-Seite als Opfer ausgestellt wurde.
Diese Unterscheidung ist keine Spitzfindigkeit, sondern das Geschäftsmodell. Eine Leak-Seite ist Druckmittel: Wer zahlt, bevor die Frist abläuft, erscheint dort nie. Wer verhandelt und sich einigt, verschwindet wieder. Und wer so klein ist, dass eine öffentliche Ausstellung keinen Druck erzeugt, ist als Aushängeschild wertlos — verschlüsselt wird er trotzdem.
Die Zahl misst also nicht die Angriffe, sondern die gescheiterten Erpressungen. Sie ist eine Untergrenze.
Die zweite Zählung sieht anders aus
Das Bundesamt für Cybersicherheit zählt nicht Leak-Seiten, sondern Meldungen. Für das zweite Halbjahr 2025 nennt sein Halbjahresbericht 29'006 freiwillige Meldungen und 145 meldepflichtige Cybervorfälle, darunter 57 Ransomware-Vorfälle.
Diese 57 sind nicht die Fortsetzung der 35 — die Zeiträume sind verschieden, das eine ist das zweite Halbjahr 2025, das andere das erste Halbjahr 2026. Man darf sie nicht gegeneinander aufrechnen, und wir tun es hier ausdrücklich nicht. Interessant ist etwas anderes: Die beiden Zählweisen kommen bei ähnlicher Grössenordnung auf sehr unterschiedliche Wege. Die eine sieht nur, wer ausgestellt wurde. Die andere sieht nur, wer gemeldet hat.
Und melden muss ein KMU nicht. Die Meldepflicht gilt für Betreiber kritischer Infrastrukturen. Für den Treuhänder mit sechs Angestellten, den Malerbetrieb, die Arztpraxis gilt sie nicht — wie wir in der Bedrohungslage 2026 beschrieben haben. Ein KMU, das zahlt und schweigt, kommt in keiner der beiden Statistiken vor.
Eine Randnotiz zur Vorsicht mit Zahlen
Bei der Recherche zu diesem Beitrag fanden wir in mehreren Publikationen die Angabe, das BACS habe im zweiten Halbjahr 2025 «knapp 80» Ransomware-Vorfälle registriert, ein Plus von 59 Prozent. Der amtliche Halbjahresbericht nennt für diesen Zeitraum 57. Wir schreiben hier die amtliche Zahl.
Das ist kein Vorwurf an die Kolleginnen und Kollegen — solche Verschiebungen entstehen, wenn Zahlen aus Zusammenfassungen weitergegeben werden statt aus dem Bericht. Es ist aber ein guter Grund, bei Statistiken zur Bedrohungslage einmal auf die Quelle zu schauen, bevor man eine Investitionsentscheidung darauf stützt.
Wer angegriffen wurde
Die Verteilung ist aufschlussreicher als die Gesamtzahl. In der Schweiz traf es Produktion und Gesundheitswesen mit je sieben Fällen am häufigsten, und in jedem Monat des Halbjahres gab es mindestens vier Angriffe, im März elf. Es ist also kein Ausschlag, sondern ein Grundrauschen.
Der bekannteste Schweizer Fall des Halbjahres ist der Angriff auf die Gemeinde Matten im März 2026, zugeschrieben der Gruppe Akira. Dieselbe Gruppe war laut BACS schon im ersten Halbjahr 2025 in der Schweiz führend und hat ihre Aktivität danach noch gesteigert. Weltweit am aktivsten waren Qilin, The Gentlemen und Akira.
Der für KMU wichtigste Satz steht in der Auswertung selbst: Die Gruppen erweitern das Spektrum ihrer Opfer und greifen zunehmend auch kleine und mittlere Unternehmen an. Das ist die logische Folge der Ökonomie: Grosse Ziele sind besser verteidigt und ziehen Strafverfolgung an. Viele kleine Ziele mit schwacher Verteidigung ergeben in der Summe mehr Ertrag bei geringerem Risiko.
Was daraus folgt
Wenn die sichtbaren Zahlen systematisch zu klein sind, taugen sie nicht als Entscheidungsgrundlage — weder in die eine noch in die andere Richtung. Was bleibt, sind die Massnahmen, die unabhängig von der Statistik wirken:
Spielen Sie ein Backup zurück, nicht nur an. Ransomware ist der Fall, in dem sich entscheidet, ob Ihre Sicherung eine Sicherung war. Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung. Und es muss so liegen, dass ein Angreifer mit Administratorrechten es nicht mitverschlüsseln kann.
Zweiter Faktor auf allen Zugängen, besonders auf Fernzugriffen und Verwaltungsoberflächen. Bei den meisten dieser Fälle steht am Anfang kein spektakulärer Einbruch, sondern ein gültiges Passwort.
Rechnen Sie mit der Zeit vor der Verschlüsselung. Zwischen dem ersten Zugriff und dem Verschlüsseln liegen in der Regel Tage bis Wochen, in denen sich jemand umsieht, Rechte ausweitet und Daten abzieht. Diese Zeit ist Ihre einzige Chance, und sie nützt nur, wenn jemand hinsieht — darum geht es beim Erkennen von Angriffen im laufenden Betrieb.
Und wenn es passiert ist: Verschlüsselte Daten sind das Symptom, nicht der Vorfall. Wer nur wiederherstellt, ohne den Zugangsweg zu finden, wird ein zweites Mal besucht. Genau dort setzt eine Hack- & Malware-Bereinigung an.
Für Websites und Server in unserer Betreuung gehören getestete Sicherungen, Aktualisierungen und Überwachung zum Vertrag statt zur Hoffnung — geregelt im Wartungsvertrag mit Monitoring.