Lösegeldzahlung des Rüstungskonzerns Ruag war rechtlich korrekt, sagt der Bund
Der bundeseigene Rüstungskonzern Ruag hat mit der Zahlung eines Lösegelds an eine Hackergruppe rechtlich korrekt gehandelt. Dies, obschon sich der Konzern nicht an die Empfehlungen des Bundes, keine Lösegelder zu bezahlen, gehalten hat, wie das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) am Dienstag mitteilte.
Die Ransomware-Bande Akira hatte im Herbst 2025 die IT-Systeme der Ruag-Tochter LLC im US-Bundesstaat Virginia angegriffen. Dabei wurden Daten aus den Systemen der Tochtergesellschaft entwendet. Anschliessend drohten die Angreifer mit deren Veröffentlichung im Darknet und forderten Lösegeld.
Das VBS hat nun den Cyberangriff und den Umgang des Unternehmens damit überprüft. Das Fazit: Die Ruag MRO habe sich keiner Rechtsverletzung schuldig gemacht. Als privatrechtliche Aktiengesellschaft habe sie die Konformität nach US-Recht geprüft und im Rahmen ihrer unternehmerischen Verantwortung gehandelt.
Eine Zustimmung des Bundes als Eigner sei daher nicht erforderlich gewesen, heisst es. In der Untersuchung wird aber gemäss Communiqué festgehalten, dass eine koordinierte Information gegenüber dem Bund angebracht gewesen wäre.
Verbesserung der Cybersicherheit
Nach Einschätzung des VBS sind politische und reputationsbezogene Auswirkungen sowie weitere übergeordnete Interessen nicht ausreichend berücksichtigt worden.
Um vergleichbare Situationen künftig zu vermeiden, soll die Ruag MRO gemeinsam mit dem Bundesamt für Cybersicherheit die entsprechenden Schutzmassnahmen und Prozesse überprüfen. Dabei solle auch beurteilt werden, ob der Konzern insgesamt angemessen gegen Cyberangriffe geschützt sei.
Die Ruag MRO hatte damals einen «kleinen Betrag» gezahlt, sagte Ruag-Verwaltungsratspräsident Jürg Rötheli zu Radio SRF. Eine genaue Summe nannte er nicht. Sie sei aber «gering» gewesen.
(sda)
