Ende 2025 wurde die US-Tochter
Ruag LLC des Schweizer Rüstungskonzerns Ruag angegriffen ("Swiss IT Magazine"
berichtete). Und seit Mitte 2026 ist bekannt, wie man sich aus dem Schlammassel rettete:
Das Unternehmen zahlte einen tiefen sechsstelligen Betrag an die Ransomware-Erpresser, um seine Daten zu schützen und zurückzubekommen. Eine Untersuchung des Bundes hält nun fest: Die Zahlung war in Ordnung. Vorbehalte gibt’s dennoch.
Das Unternehmen habe die Rechtskonformität nach US-Recht geprüft und "seine Pflichten gegenüber dem Bund als Eigner eingehalten",
so das Verteidigungsdepartement VBS. Der Entscheid, Lösegeld zu bezahlen, liege alleine in der Zuständigkeit der Unternehmensorgane. Eine Zustimmung durch den Bund als Eigner sei aus rechtlicher Sicht nicht erforderlich gewesen.
Eine koordinierte Information gegenüber dem Bund wäre hingegen "angebracht gewesen". Die Entscheidung habe Ruag LLC massgeblich auf rechtliche und ökonomische Überlegungen ausgerichtet. Politische und reputationsbezogene Auswirkungen sowie weitere übergeordnete Interessen habe man zu wenig berücksichtigt. Eigentumsrechtliche Massnahmen seien unter dem Strich damit aber nicht notwendig.
Nun will man Lehren aus dem Vorfall ziehen und die Sicherheit verbessern. Trotz des Ergebnisses der Untersuchung hält der Bericht fest: "Das VBS und der Bund halten unverändert an ihrer Empfehlung fest, im Falle von Cyber-Angriffen kein Lösegeld zu bezahlen."
(win)
