Im zweiten Halbjahr 2025 erhielt das Bundesamt für Cybersicherheit (Bacs) 29'006 freiwillige sowie 145 Plichtmeldungen zu Cybervorfällen in der Schweiz. Damit bleibe die Anzahl Meldungen auf hohem Niveau stabil, wie das Bacs in seinem Halbjahresbericht schreibt.

Rund die Hälfte der Meldungen fallen unter "Betrug", wobei die Masse an betrügerischen Drohanrufen im Namen von Behörden abgenommen habe. Die zentralen Bedrohungen blieben gleich, doch ihre Ausprägungen hätten sich verändert.

Das Bacs verzeichnete für das zweite Halbjahr 145 Meldungen von Cyberangriffen auf kritische Infrastrukturen (180 Vorfälle im vorigen Halbjahr), die seit dem 1. April 2025 gemeldet werden müssen. Die meisten Meldungen stammen aus dem Verwaltungssektor (25%), von ICT-Unternehmen (18%) sowie Banken und Versicherungen (16%). Bei den Angriffsarten dominierten Hacking-Vorfälle (20%), gefolgt von DDoS-Angriffen (16%), Diebstahl von Zugangsdaten (12%), Malware (10%), Datenabfluss (10%) und Ransomware (9%).

Ransomware ist laut dem Halbjahresbericht weiterhin eine der zentralen Bedrohungen für Schweizer Organisationen. Insgesamt wurden 57 Ransomware-Vorfälle dem Bacs freiwillig oder auf Basis der Meldepflicht mitgeteilt. Von dieser Gesamtheit führten Mitglieder der Bande Akira 26 Angriffe aus. Sie sollen ihre Attacken von 7 im ersten Halbjahr auf 26 erhöht haben. Besonders habe die Ausnutzung von Schwachstellen bei Sonicwall-Geräten dazu beigetragen. Hinter Akira sind dem Bericht zufolge die Gruppen Qilin, Dragonforce und Lockbit aktiv. Diese dokumentiert das Bacs mit zwischen 5 und 6 Angriffen.

Ein weiteres zentrales Phänomen seien die Schwachstellen in gängigen Software-Produkten, darunter auch Open Source. Da Software heute oft auf externen Programm-Bibliotheken basiere, würden sich daraus komplexe technische Abhängigkeiten ergeben. So verbreiten sich Sicherheitslücken, die in einer Supply-Chain-Attacke ausgenutzt werden können.

Das Bacs nennt zu Supply-Chain-Schwachstellen keine konkreten Zahlen, unterstreicht die Relevanz aber mit zwei Fällen. Der erste Fall betrifft Vorfälle auf der Entwicklerplattform Node Package Manager (npm) die im September und November in den "Shai-Hulud-Kampagnen" missbraucht wurden. In den Kampagnen verbreitete sich Schadsoftware, die Code-Repositories nach Zugangsdaten durchsucht und diese mit dem Konto des Opfers publiziert.

Als Zweites nennt das Bacs die massenhafte Ausnutzung einer Schwachstelle in der Microsoft-Plattform Sharepoint. Hier hätten sowohl staatliche wie kriminelle Akteure diese Schwachstelle ausgenutzt, um sich Zugang zu Organisationen mit verwundbaren Systemen zu verschaffen.

Im Bericht gelten ORB-Netzwerke (Operational Relay Boxes) als zunehmende Bedrohung. Die Anzahl kompromittierter Geräte wachse dem Bacs zufolge kontinuierlich. Diese Netzwerke würden häufig von spezialisierten Organisationen im Auftrag aufgebaut und betrieben. Dadurch könnten Bedrohungsakteure die Herkunft ihrer Aktivitäten effektiv verschleiern, Erkennungsmechanismen umgehen und ihre Operationen mit geringem operativen Risiko skalieren. In diesem Zusammenhang rät das Bacs unter anderem ein regelmässiges Aktualisieren von Geräten, die gegenüber dem Internet exponiert sind.