Im Jahr 2025 wurden in der Schweiz 80 Ransomware-Angriffe registriert, nach 70 Fällen im Vorjahr. Das geht aus aktuellen Auswertungen von Kaspersky hervor. Damit liegt die Schweiz zwar deutlich unter den Fallzahlen in Deutschland, bewegt sich aber weiterhin über dem Vorjahresniveau. In Deutschland wurden 384 Angriffe gezählt, in Österreich 49.

Laut Kaspersky ist der Anstieg eng mit der zunehmenden Professionalisierung cyberkrimineller Strukturen verbunden. Ransomware-Angriffe würden heute selten von einzelnen Tätern durchgeführt, sondern von spezialisierten Gruppen, die arbeitsteilig vorgehen. Während beispielsweise Initial Access Broker kompromittierte Zugänge beschaffen, übernehmen andere Akteure die eigentlichen Verschlüsselungsangriffe oder stellen Ransomware-as-a-Service bereit.

In der Schweiz waren 2025 gemäss Kaspersky insgesamt 32 aktive Tätergruppen an Ransomware-Angriffen beteiligt. In Deutschland wurden 61 Gruppen gezählt, in Österreich 26. Die Arbeitsteilung senke die Einstiegshürden für Angreifer und erleichtere eine schnelle Skalierung der Angriffe, argumentiert Kaspersky.

Ein zentraler Rohstoff für diese Angriffe bleibt der Handel mit Zugangsdaten im Darknet. In der Schweiz identifizierte Kaspersky im vergangenen Jahr 531'724 kompromittierte Accounts. Zwar sei diese Zahl gegenüber 2024 rückläufig (852'820), dennoch würden die Daten weiterhin eine erhebliche Bedrohung darstellen, da Angreifer diese für Phishing, Credential-Stuffing oder den Weiterverkauf nutzen.

Neben Zugangsdaten spielen laut Kaspersky auch offen zugängliche Datenbanken eine Rolle. In der Schweiz wurden 2025 sieben exponierte Datenbanken entdeckt. Auch wenn diese Zahl deutlich unter dem Vorjahreswert (40) liegt, können bereits einzelne ungesicherte Systeme ausreichen, um sensible Informationen offenzulegen oder bestehende Datenleaks anzureichern, wie Kaspersky anmerkt.

Angesichts der organisierten und datengetriebenen Vorgehensweise von Cyberkriminellen wird es für Unternehmen zunehmend wichtig, die eigene digitale Angriffsfläche aus Sicht potenzieller Angreifer zu kennen. Dazu zählen nicht nur technische Schwachstellen, sondern auch im Umlauf befindliche Zugangsdaten oder öffentlich exponierte Systeme. Denn "schon ein einzelner ungesicherter Zugang kann ausreichen, um ein Unternehmen für Angreifer interessant zu machen", sagt Waldemar Bergstreiser, General Manager DACH bei Kaspersky.