Die Cyberbedrohungen bleiben hoch, konstatiert das Bundesamt für Cybersicherheit (Bacs) in seinem Halbjahresbericht. 27'128 freiwillige Meldungen gingen im ersten Halbjahr 2026 ein. Im zweiten Halbjahr 2025 waren es 29'006 Meldungen gewesen. Gestiegen ist hingegen die Zahl der meldepflichtigen Vorfälle bei kritischen Infrastrukturen.

Die Meldepflicht wurde am 1. April 2025 eingeführt. Für das vergangene Jahr verzeichnete das Bacs insgesamt 222 Meldungen durch kritische Infrastrukturen, im zweiten Halbjahr 2025 waren es 135 gewesen. Nun sind die Pflichtmeldungen auf 200 angestiegen, die in den ersten sechs Monaten bearbeitet wurden. Hält dieser Trend an, könnte sich die Zahl im Vergleich zu 2025 bis Ende Jahr fast verdoppeln.

Bei den verschiedenen Sektoren, welche unter die Meldepflicht fallen, meldeten der öffentliche Sektor (19,4%) sowie die IT und Telekommunikation (18,6%) weiterhin am häufigsten Cyberangriffe. "Mit knapp 26% ist der unbefugte Zugriff (Hacking) auf Systeme noch immer die am meisten gemeldete Angriffsart. Hierbei handelt es sich grösstenteils um kompromittierte E-Mail-Konten infolge erfolgreicher Phishing-Angriffe, welche dann ihrerseits für weitere Phishing-Angriffe und Betrugsversuche verwendet werden", heisst es im Bericht. Danach folgen Meldungen zum Diebstahl von Zugangsdaten (13,5%), zum Angriff auf die Verfügbarkeit mittels DDoS-Attacken (12,7%) sowie Meldungen zu Datenabflüssen (12,7%). Ransomware-Angriffe waren in rund 8% der Fälle zu verzeichnen.

Zum Ransomware-Lagebild schreibt das Bundesamt: "Statistisch registrierte das Bacs gleich viele Ransomware-Vorfälle (79) in dieser Berichtsperiode wie im zweiten Halbjahr 2025. Die tatsächliche Zahl dürfte aber höher liegen, da nicht alle Betroffenen Vorfälle dem Bacs melden." Generell zeige sich anhand der Zahlen, dass sich das Ransomware-Ökosystem in der Schweiz zunehmend fragmentiert. Akira bleibe zwar die am meisten dokumentierte Ransomware-Bande in der Schweiz, ihr relativer Anteil der verübten Ransomware-Angriffe sei jedoch von rund 35% im letzten Halbjahr auf 19% im ersten Halbjahr 2026 gesunken.

Gleichzeitig stieg laut Bacs die Zahl der in der Schweiz aktiven Ransomware-Familien von 21 auf 29, was für eine zunehmende Diversifizierung spreche. Als Beispiel für die "allgemein instabile Dynamik dieses Bedrohungsumfelds" nennt der Bericht The Gentlemen. Die Gruppe trat Anfang 2026 erstmals in der Schweiz in Erscheinung und erlitt dann Anfang Mai selbst ein Datenleck von Interna. Dennoch scheint der Vorfall die laufenden Aktivitäten der Bande nicht beeinträchtigt zu haben. Als jüngstes Schweizer Opfer beanspruchte The Gentleman kürzlich den Immobilienverwalter Gfeller Treuhand für sich. Die Dübendorfer Firma bestätigte den Angriff gegenüber inside-it.ch.

"Für den initialen Zugang nutzten Ransomware-Gruppen unter anderem Schwachstellen in über das Internet erreichbaren Systemen, insbesondere VPN und Firewalls. Gemäss internationalen Beobachtungen betrifft dies einen Drittel aller Ransomware-Vorfälle. Mehrere Vorfälle zielten zudem auf Virtualisierungsinfrastrukturen, die zahlreiche Systeme bündeln", analysiert das Bacs.

In einigen Fällen hätten die Täter auf eine Verschlüsselung der Daten verzichtet und allein auf deren Exfiltration und das anschliessende Drohen mit deren Veröffentlichung gesetzt. "Dieses Vorgehen ist bei kompromittierten Dienstleistern oder viel genutzten Plattformen zielführend, weil ein einziger erfolgreicher Zugang die Daten zahlreicher Organisationen preisgibt und sie erpressbar werden", so der Halbjahresbericht. Letztlich seien solche Veröffentlichungen aber mit Vorsicht zu deuten, warnt das Bacs: "Mehrere angebliche Schweizer Opfer auf Daten-Leak-Seiten erwiesen sich auch in dieser Berichtsperiode als falsche Behauptungen."

Eine positive Entwicklung gibt es bei den Anrufen zu verzeichnen, bei denen sich Betrüger als Behördenvertreter ausgeben und unter einer Schweizer Nummer anrufen. Noch vom Januar bis Juni 2026 gingen regelmässig über 400 solche Meldungen pro Monat ein. "Mit der Ausweitung der Kennzeichnungspflicht auf Mobilfunknummern per 1. Juli 2026 ist die Zahl der Meldungen im Juli auf unter 100 gefallen, ein Rückgang um mehr als 75% gegenüber den Vormonaten", hält das Bundesamt fest.

Der Halbjahresbericht zeige aber auch, dass der Einsatz von KI weiter voranschreitet. Kleinanzeigenplattformen, gezielte Suchmaschinenplatzierungen und Datenlecks würden Cyberkriminellen zunehmend als Kontakt zu ihren Opfern dienen, die sie dann "mit persönlichen, emotionalen und teils technisch ausgefeilten Methoden" ansprechen. KI helfe dabei, massgeschneiderte, personalisierte Inhalte glaubwürdig zu vermitteln. Insbesondere Stellensuchende seien in dieser Berichtsperiode gezielt ins Visier geraten und mit vermeintlichen Traumjobs oder Investitionsvorhaben angelockt worden.