Als im Juni bekannt wurde, dass der bundeseigene Rüstungsbetrieb Ruag nach einem Cyberangriff Lösegeld an die Ransomware-Bande Akira gezahlt hatte, sorgte dies nicht nur in der Politik für Stirnrunzeln. Auf diverse Anfragen im Parlament antwortete der Bundesrat: "Der konkrete Sachverhalt zum Cybervorfall bei der Ruag LLC in den USA und der von Jürg Rötheli, dem Verwaltungsratspräsidenten der Ruag MRO, erwähnten Lösegeldzahlung wird vom VBS mit der Unterstützung von Ruag MRO aufgearbeitet."

Wie das VBS jetzt mitteilt, wurde der Cyberangriff vom Oktober 2025 sowie der Umgang der Ruag mit dem Vorfall geprüft: "Die Untersuchung kommt zum Schluss, dass der Entscheid der Ruag MRO zur Zahlung eines Lösegelds im Rahmen ihrer unternehmerischen Verantwortung getroffen wurde und keine Anhaltspunkte für eine Rechtsverletzung bestehen."

Die Untersuchung habe gezeigt, dass die Ruag die Rechtskonformität einer Lösegeldzahlung nach anwendbarem US-Recht vor der Zahlung geprüft habe. Als privatrechtlich organisierte Aktiengesellschaft trage das Unternehmen die Verantwortung für seine operativen Geschäftsentscheide. "Der Entscheid über die Zahlung des Lösegelds lag somit in der Zuständigkeit der Unternehmensorgane. Eine vorgängige Zustimmung des Bundes als Eigner war daher nicht erforderlich", so das VBS.

Die Untersuchung halte gleichzeitig fest, "dass eine koordinierte Information gegenüber dem Bund als Eigner angebracht gewesen wäre". Die strategischen Ziele des Bundesrats für die Ruag MRO würden eine Information des Eigners vor einer öffentlichen Kommunikation vorsehen. Auch der Bundesrat scheint erst durch den Auftritt des Ruag-Verwaltungsratspräsidenten Jürg Rötheli in einer Sendung von 'Radio SRF' von der Zahlung erfahren zu haben.

"Die Prüfung zeigt ferner, dass die dem Entscheid zugrunde liegende Chancen- und Risikoabwägung der Ruag MRO schwergewichtig auf rechtliche und ökonomische Überlegungen ausgerichtet war. Nach Einschätzung des VBS wurden politische und reputationsbezogene Auswirkungen sowie weitere übergeordnete Interessen nicht ausreichend berücksichtigt", schreibt das Militärdepartement. Das VBS erwarte vom Rüstungsunternehmen, dass diese Aspekte stärker in die Abwägung einbezogen werden.

Ruag MRO hat den Vorfall ihrerseits analysiert und verschiedene Verbesserungsmassnahmen eingeleitet. Das Unternehmen arbeite daran, "die von ihr selbst erkannten Schwachstellen (Eskalationsprozesse bei den Tochtergesellschaften, Informatik-Governance unter Einbezug des Informatikverantwortlichen, Prozesse der Krisenkommunikation und Mindestanforderungen an die Informatiksicherheit) zu beheben". Das VBS begrüsse diese Massnahmen.

Der Bund als Eigner habe zusätzliche Empfehlungen ausgesprochen, "um vergleichbare Situationen künftig zu vermeiden". Die Ruag MRO soll gemeinsam mit dem Bundesamt für Cybersicherheit (Bacs) ihre Schutzmassnahmen und Prozesse überprüfen, allfällige Schwachstellen beheben und die Widerstandsfähigkeit gegenüber Cyberangriffen weiter stärken. Dabei soll auch beurteilt werden, ob das Unternehmen insgesamt angemessen gegen Cybervorfälle geschützt ist.

"Die Eignerstellen weisen die Ruag auf die Informationspflichten zu einer frühzeitigen und sachgerechten Information gemäss den strategischen Zielen hin. Zudem sind die Eignerstellen angehalten, sich frühzeitig aktiv in die Aufarbeitung solcher Fälle einzubringen", heisst es weiter. Aufgrund der Ergebnisse der Untersuchung sehe das VBS keinen Anlass für weitergehende eigentumsrechtliche Massnahmen gegenüber der Ruag.