Achzg Prozänt vo de Opfer sind vorher glekt gsi
Eine Auswertung der ganzen .ch-Zone findet einen klaren Zusammenhang: Firmen, deren Adressen in Datenlecks auftauchen, werden massiv häufiger Opfer von Ransomware. Der Weg dorthin führt über private Dienste
Es gibt in der Cybersicherheit viele Behauptungen und wenig Messungen. Diese hier ist eine Messung, und sie hat ein unangenehm klares Ergebnis.
Das Sicherheitsunternehmen Risikomonitor hat zusammen mit der Konferenz Swiss Cyber Storm die öffentliche Infrastruktur der gesamten Schweizer .ch-Zone erfasst und mit den öffentlich bekannten Ransomware-Fällen abgeglichen. Die Frage dahinter: Lässt sich vorher erkennen, wen es trifft?
Die Zahlen
131 Schweizer Ransomware-Opfer liessen sich eindeutig einer Firma zuordnen. Von diesen hatten 80,2 Prozent zuvor Firmenadressen in bekannten Datenlecks. Im Vergleich dazu: Über alle untersuchten Schweizer Firmenwebsites hinweg lag dieser Anteil bei 16,3 Prozent.
Noch deutlicher wird es, wenn man es als Risiko ausdrückt:
| Ausgangslage | Ransomware-Opfer pro 10’000 Firmen |
|---|---|
| Keine Adressen in Datenlecks | 0,8 |
| Mindestens 200 geleakte Adressen | 543,5 |
Das ist der Unterschied zwischen einer von 12’500 und etwa jeder achtzehnten Firma.
Dazu der Rahmen: Rund 237’000 .ch-Domains tauchen mit Adressen in Datenlecks auf. Die Zahl der gemeldeten Ransomware-Fälle in der Schweiz liegt 2026 bis Mitte Oktober bei 62, nach 41 im ganzen Vorjahr. Und die Autoren haben 160 Schweizer Unternehmen gefunden, deren Risikoprofil dem der bekannten Opfer entspricht.
Der Weg, über den es passiert
Der Mechanismus ist banal und deshalb so wirksam.
Eine Mitarbeiterin meldet sich mit der Geschäftsadresse bei einem Dienst an, der nichts mit der Arbeit zu tun hat. Dieser Dienst wird irgendwann gehackt. Die Adresse landet in einem Datensatz, oft samt Passwort. Und dieses Passwort wird anderswo noch verwendet.
Die Studie führt auf, wo Schweizer Geschäftsadressen auftauchen: 42’668 bei Dropbox, 28’557 bei Dating- und Erotikdiensten, 10’687 auf Gaming-Plattformen.
Manuel Löw-Beer, CEO von Risikomonitor, sagt dazu einen Satz, den jede Geschäftsleitung lesen sollte:
«Immer mehr Regeln und Hürden heben zwar das Sicherheitsniveau im Haus. Aber je unkomfortabler die offiziellen Systeme werden, desto mehr Schatten-IT entsteht.»
Das ist die eigentliche Pointe. Schatten-IT ist kein Disziplinproblem. Sie ist eine Reaktion auf Werkzeuge, die den Leuten im Weg stehen.
Der Gegenbefund, der genauso wichtig ist
Zwischen Schwachstellen auf den Servern und Ransomware fanden die Autoren keinen Zusammenhang. Die Opfer waren technisch nicht schlechter aufgestellt als andere Firmen.
Das räumt mit einer verbreiteten Vorstellung auf. Es ist nicht primär die ungepatchte Software, über die man hereinkommt. Es ist der Zugang, den jemand freiwillig irgendwo hinterlassen hat.
Wo KI ins Bild kommt, und wo nicht
Hier bin ich ehrlich, weil dieser Blog über KI schreibt und die Versuchung gross wäre.
Die Studie erwähnt KI mit keinem Wort. Sie misst Datenlecks und Ransomware, nicht Werkzeuge. Wer daraus eine KI-Geschichte macht, erfindet etwas dazu.
Was sich dagegen ohne Übertreibung sagen lässt: Die Kategorie «Dienst, bei dem sich jemand mit der Geschäftsadresse anmeldet, ohne dass es jemand weiss» ist in den letzten zwei Jahren um eine grosse Gruppe gewachsen, nämlich um KI-Werkzeuge. Chatbots, Transkriptionsdienste, Bildgeneratoren, Übersetzer. Die meisten davon sind kostenlos, brauchen nur eine E-Mail-Adresse und werden ausprobiert, ohne jemanden zu fragen.
Ob diese Dienste überdurchschnittlich oft gehackt werden, weiss niemand. Dass sie dieselbe Schwachstelle bedienen, ist offensichtlich. Und dass viele Betriebe gar nicht wissen, welche davon im Einsatz sind, haben wir im Beitrag zu den unbestellten KI-Abos an einem anderen Beispiel beschrieben.
Vier Dinge, die sich an einem Nachmittag erledigen lassen
1. Prüfen, was über die eigene Domain im Umlauf ist. Es gibt Dienste, die kostenlos anzeigen, ob Adressen einer Domain in bekannten Lecks auftauchen. Das ist die Kennzahl, um die es in dieser Studie geht, und sie ist für den eigenen Betrieb in fünf Minuten abrufbar.
2. Eine Liste machen, bei welchen Diensten die Firmenadresse hinterlegt ist. Nicht als Kontrolle, sondern als Inventar. Fragen Sie das Team offen und ohne Konsequenzen, sonst bekommen Sie keine ehrlichen Antworten.
3. Die Wiederverwendung von Passwörtern brechen. Das ist der einzige Schritt, der den Mechanismus wirklich unterbricht. Ein Passwortmanager für alle und Zwei-Faktor-Authentisierung auf E-Mail und Buchhaltung bringen mehr als jede weitere Richtlinie.
4. Fragen, warum jemand ausweichen musste. Wenn drei Leute Dropbox nutzen, obwohl es eine Firmenlösung gibt, ist die Firmenlösung das Problem. Das ist unbequemer als eine Weisung, aber es wirkt.
Für den Ernstfall selbst, also Rückrufregel, Codewort und Meldeweg auf einer halben Seite, steht die Vorlage im Beitrag zu den KI-gestützten Angriffen auf Schweizer KMU.
Was an der Studie einzuordnen ist
Es ist eine Korrelation, kein Beweis im Einzelfall. Das sagen die Autoren selbst. Dass vier von fünf Opfern vorher in einem Leck standen, beweist nicht, dass genau dieses Leck den Angriff ermöglichte.
Die Fallzahlen stammen von den Tätern. Die 62 Fälle beruhen auf öffentlich bekannten Angaben der Angreifer, also auf deren Leak-Seiten. Firmen, die bezahlen und schweigen, tauchen dort nicht auf. Die wahre Zahl liegt höher, und zwar unbekannt viel höher.
Risikomonitor verkauft Sicherheitsleistungen. Die Firma misst ein Problem, das sie auch adressiert. Das macht die Daten nicht falsch, gehört aber dazu.
Die Zuordnung von Lecks zu Firmen ist nicht offengelegt. Wie genau aus einer geleakten Adresse ein Firmeneintrag wurde, steht nicht in der Berichterstattung.
Die Studie wird an der Swiss Cyber Storm vom 20. Oktober in Bern vorgestellt, also morgen.
Der Satz zum Mitnehmen
Die Frage ist nicht, ob Ihre Server gepatcht sind. Sie ist, bei wie vielen fremden Diensten die Adresse @ihrefirma.ch hinterlegt ist, und ob dort überall ein anderes Passwort steht.
Quellen
- Inside IT, «Schatten-IT wird zum Risikofaktor für Schweizer Unternehmen», 13. Oktober 2026: inside-it.ch
- Netzwoche, «Schatten-IT zieht Cyberkriminelle an», 14. Oktober 2026: netzwoche.ch
- Swiss Cyber Storm 2026, 20. Oktober, Bern: swisscyberstorm.com
