Je mehr geschäftliche E-Mail-Adressen eines Unternehmens in bekannten Datenlecks auftauchen, desto häufiger wird es Opfer von Ransomware. Zu diesem Ergebnis kommt eine Untersuchung des Security-Unternehmens Risikomonitor in Zusammenarbeit mit der Konferenz Swiss Cyber Storm. Demnach hatten von 131 zuordenbaren Schweizer Ransomware-Opfern 80,2% Firmenadressen in Datenlecks. Bei den untersuchten Schweizer Firmen-Websites lag dieser Anteil bei 16,3%.

Für die Auswertung wurde die öffentliche Infrastruktur der Schweizer .ch-Domainzone mit öffentlich bekannten Ransomware-Fällen abgeglichen. Die Ergebnisse würden auf einen Zusammenhang zwischen geleakten Zugangsdaten und dem Risiko eines Ransomware-Angriffs hinweisen, heisst es im Bericht. Einen kausalen Beweis für einzelne Angriffe liefert die Studie jedoch nicht.

Die Untersuchung zeigt einen kontinuierlichen Anstieg der erfassten Ransomware-Opfer mit der Zahl geleakter geschäftlicher E-Mail-Adressen: Bei Firmen ohne entsprechende Einträge in Datenlecks kamen auf 10'000 Unternehmen 0,8 Ransomware-Opfer. Bei Unternehmen mit mindestens 200 geleakten Adressen seien 543,5 Opfer pro 10'000 Firmen erfasst worden.

Als mögliche Erklärung nennt Risikomonitor den Umgang mit Schatten-IT, also Anwendungen und Online-Dienste, die Mitarbeitende ohne Wissen oder Freigabe der IT-Abteilung nutzen. Dazu gehören beispielsweise private Cloud-Speicher, Online-Tools oder Plattformen, bei denen sich Mitarbeitende mit ihrer geschäftlichen E-Mail-Adresse registrieren.

Würden solche Dienste kompromittiert, könnten die verwendeten E-Mail-Adressen und Passwörter in Umlauf gebracht und auch bei anderen Diensten eingesetzt werden. Würden Passwörter mehrfach verwendet, steige das Risiko, dass ein kompromittiertes Konto weitere Zugänge eröffne.

Die Auswertung erfasst eigenen Angaben nach rund 237'000 .ch-Domains, deren Adressen in Datenlecks auftauchen. Zudem würden 160 Schweizer Unternehmen ein Risikoprofil aufweisen, das jenem der bekannten gewordenen Ransomware-Opfer entspricht.

Ein weiteres Ergebnis der Untersuchung betrifft die technische Sicherheit der öffentlich erreichbaren Infrastruktur. Die untersuchten Ransomware-Opfer wiesen demnach nicht häufiger bekannte Schwachstellen auf ihren Websites oder offene Serverzugänge auf als andere Unternehmen. Als Beispiel wird der Kanton Uri genannt. Dort sei der Anteil von Websites mit bekannten Sicherheitslücken besonders hoch, gleichzeitig sei kein öffentlich bekannter Ransomware-Fall zugeordnet worden.

Das bedeute allerdings nicht, dass die Sicherheitslücken unbedeutend seien. Die Studie legt vielmehr nahe, dass auch kompromittierte Zugangsdaten und die Nutzung nicht kontrollierter Dienste bei der Beurteilung des Cyberrisikos berücksichtigt werden sollten.

Auch die Zahl der öffentlich zugeordneten Ransomware-Fälle in der Schweiz hat laut der Untersuchung zugenommen. Bis Mitte Oktober 2026 wurden 62 Fälle erfasst. Im gesamten Jahr 2025 seien es 41 gewesen. Die Zahlen würden auf öffentlich bekannten Angaben der Täter beruhen und würden deshalb nicht zwingend sämtliche tatsächlichen Angriffe abbilden.