Am 7. Juli beanspruchte die Ransomware-Bande BravoX einen Angriff auf eine Treuhandfirma im Kanton Waadt für sich. Inzwischen ist das Ultimatum der Cyberkriminellen abgelaufen und sie haben ihre Drohung wahr gemacht. Ein Datenpaket in der Grösse von rund 222 Gigabyte wurde ins Darkweb gestellt.

Wie 'Le Temps' (Paywall) berichtet, enthält dieses über 100'000 Dokumente und Dossiers. Darin befinden sich sensible Informationen zu Unternehmen, Gemeinden und Einzelpersonen. Auch Daten des Waadtländer Staatsrats Vassilis Venizelos (Grüne), der dem Departement für Jugend, Umwelt und Sicherheit vorsteht.

"Es ist nie angenehm, wenn persönliche und sensible Daten auf diese Weise offengelegt werden. Ich denke dabei vor allem an die zahlreichen Steuerzahler, die von diesem Datenleck betroffen sind", sagte Venizelos der Zeitung. In seinem Fall seien die Auswirkungen jedoch relativ begrenzt, da seine steuerliche Situation der Öffentlichkeit "nicht völlig unbekannt" sei: "Mein Gehalt als Staatsrat ist öffentlich, und mein Steuerbescheid – wie der jedes Steuerzahlers im Kanton Waadt – kann von jeder Person eingesehen werden, die dies beantragt." Dennoch behalte er es sich vor, mögliche rechtliche Schritte zu prüfen, denn Datendiebstahl und Cyberkriminalität müssten mit "grösster Entschlossenheit" bekämpft werden.

Durch den Angriff wurden weitere Dokumente von Waadtländer Gemeinden offengelegt. 'Le Temps' schreibt von etwa 15 Gemeinden, darunter Belmont-sur-Yverdon und Ceorcelles-près-Concis. Im Fall von Belmont-sur-Yverdon wurden durch BravoX Kontoauszüge sowie das Hauptbuch veröffentlicht, in dem die Buchhaltungsvorgänge der Gemeinde detailliert aufgeführt sind.

Gemeindepräsident Patric Martin sagte der Zeitung, seine Dienststelle sei Anfang der Woche über das Datenleck informiert worden. "Ein Teil dieser Informationen ist öffentlich. Beim Hauptbuch ist die Sache etwas heikler, aber wir können uns nicht recht vorstellen, was jemand damit anfangen könnte. Wir wären vor allem besorgt, wenn es sich beispielsweise um den Zugriff auf Bankdaten handeln würde."

Wie die angegriffene Treuhandfirma gegenüber 'Le Temps' erklärte, habe man nach dem Angriff vom 30. Juni erste Untersuchungen durchgeführt, um das Ausmass zu ermitteln, bevor Kunden und Kundinnen per Post und in einigen Fällen telefonisch kontaktiert worden seien. Laut der Zeitung habe zum Beispiel die Gemeinde Ceorcelles-près-Concis aber erst durch ihren Anruf vom Vorfall erfahren. Die Firma versichert dagegen, das Notwendige unternommen zu haben: "Aufgrund der Ferienzeit können wir jedoch nicht garantieren, dass alle bereits von dieser Information Kenntnis genommen haben."

Derzeit werde eine Analyse der gestohlenen Daten durchgeführt. Die Firma habe Strafanzeige erstattet und Massnahmen ergriffen, um die Sicherheit ihrer Infrastruktur zu stärken. Auch der Datenschutzbeauftragte sowie das Bundesamt für Cybersicherheit (Bacs) seien informiert worden. Die betroffenen Systeme seien isoliert, der kompromittierte Zugriff entfernt und Daten aus einem externen Backup wiederhergestellt worden. Es habe kein Austausch mit den Tätern stattgefunden und man habe kein Lösegeld gezahlt, betont die Treuhandfirma.

Sie ist nicht das erste Opfer von BravoX in der Schweiz. Im März bekannte sich die Gruppe bereits zu einer Attacke auf eine Treuhandfirma aus dem Kanton Glarus. Im Februar kam es zu einem Angriff auf Soreco. Das Zürcher Unternehmen ist auf Business-Software für Finanz- und Dokumentenmanagement spezialisiert und bestätigte den Angriff gegenüber inside-it.ch. Auch Soreco ist nicht auf Forderungen der Cyberkriminellen eingegangen.

Bei BravoX handelt es sich um eine junge Ransomware-Bande. Laut Security-Experten hat sie sich im September 2025 erstmals in einem Cybercrime-Forum angemeldet und anschliessend versucht, potenzielle Mitglieder anzuwerben. Bis dahin (Stand 23. Juli) hat die Gruppe 21 Opfer im Darkweb publiziert – drei davon stammen aus der Schweiz.