Cyber Risk Index
Q2 / 2026
Faktor Mensch als primäres Einfallstor
Q2 / 2026 – Der ITRIS Cyber Risk Index steht am Ende des zweiten Quartals 2026 bei 116,9 Punkten.
Der Cyber Risk Index (CRI) powered by ITRIS notiert Ende des zweiten Quartals 2026 bei 116,9 Punkten (Januar 2020 = 100 Punkte). Damit liegt er 5,9 Prozent unter dem Wert vor drei Monaten und 10,4 Prozent unter dem Wert vor 12 Monaten. Die Cyberbedrohungslage blieb demnach im zweiten Quartal insgesamt hoch, so meldete in der letzten Juni-Woche (Woche 26) das Bundesamt für Cybersicherheit (BACS) 1036 Vorfälle. Für Unternehmen standen Ransomware, Business Email Compromise (BEC) und Phishing im Zentrum; kritische Infrastrukturen verzeichneten eine steigende Zahl gezielter Angriffe mit Meldepflicht an das Bundesamt für Cybersicherheit.
Quelle:
Christian Studer, CEO von ITRIS One AG, kommentiert:
«Der ITRIS Cyber Risk Index verzeichnet im zweiten Quartal 2026 gemessen an der Quantität der Vorfälle einen Rückgang. Qualitativ – mit Blick auf einzelne Vorfälle – haben wir es allerdings mit einer bedenklichen Eskalation zu tun.
Mit mietbaren Ransomware-as-a-Service-Angeboten haben auch technisch unversierte Angreifer schon länger Zugang zu Angriffswerkzeugen erhalten. Mit den immer besser werdenden AI-Angeboten können Sicherheitslücken noch schneller und einfacher ausgenutzt werden. Die letzten Updates aller Betriebssystemhersteller stopfen deutlich mehr Sicherheitslücken pro Update-Zyklus als bisher. Wir müssen uns auf eine Update-reiche Zeit einstellen.
Auch in der Schweiz nehmen Ransomware-Fälle zu. Lokale Incident-Response-Teams sind seit Anfang Jahr deutlich öfters im Ransomware-Einsatz als bisher. Dies wird durch die zunehmende Anzahl öffentlich gewordener Schweizer Ransomware-Opfer bestätigt. Zuwarten und das Beste hoffen werden also nicht funktionieren.
Gleichzeitig verschmelzen physische und digitale Bedrohungen auf beispiellose Weise. Wenn Kriminelle gefälschte Post mit schädlichen QR-Codes direkt in unsere Briefkästen werfen oder Helpdesk-Mitarbeitende mit KI-gestützten Vishing-Anrufen manipulieren, greifen rein technische Abwehrmassnahmen zu kurz. Auch der Fall Ruag zeigt, wie schnell Organisationen in die Enge getrieben werden können.
Unsere klare Empfehlung: Erweitern Sie Ihr Risikomanagement zwingend auf Ihre gesamte digitale Lieferkette, überprüfen Sie externe SaaS-Berechtigungen rigoros und trainieren Sie Ihre Belegschaft für diese neue, hybride Dimension von Angriffen.»
Unsere Handlungsempfehlungen:
1. Third-Party Risk und SaaS-Ökosysteme absichern
Die globale Snowflake-Krise und Zugriffe über Drittanbieter-Tools haben eindrücklich gezeigt, dass die grösste Schwachstelle oft ausserhalb der eigenen Infrastruktur liegt. Unternehmen müssen ihre Lieferketten, Cloud-Dienstleister und Software-as-a-Service-Plattformen zwingend in ihr eigenes Sicherheitsdispositiv integrieren und deren Sicherheitsstandards regelmässig auditieren.
2. Hybride Sensibilisierung der Mitarbeitenden
Phishing findet nicht mehr nur im E-Mail-Postfach statt. Gefälschte Abholungseinladungen im physischen Briefkasten, betrügerische Messenger-Nachrichten, Deepfake-Videocalls oder Anrufe, die zur Installation von Fernwartungssoftware drängen, erfordern ein massiv breiteres Risikobewusstsein. Awareness-Schulungen müssen diese hybriden Alltags-Szenarien zwingend abbilden.
3. Zero-Trust für Identitäten und Zugriffs-Tokens
Angreifer nutzen zunehmend gestohlene Authentifizierungs-Tokens (wie OAuth), um sich nahtlos und unbemerkt in CRM- und Cloud-Systeme einzunisten, ohne Passwörter knacken zu müssen. Implementieren Sie konsequente Zero-Trust-Architekturen, limitieren Sie die Gültigkeit und Reichweite von Tokens und überwachen Sie externe API-Anbindungen kontinuierlich auf anomales Verhalten.
4. Transparenz und Krisenbereitschaft stärken
Der Vorfall rund um die heimliche Lösegeldzahlung der Ruag-Tochtergesellschaft verdeutlicht die Notwendigkeit von klaren, vorab definierten Krisenprotokollen. Ein durchdachter Incident-Response-Plan, der auch die transparente Kommunikation mit Behörden (wie dem BACS) und der Öffentlichkeit einschliesst, verhindert operative Schnellschüsse und mindert den langfristigen Reputationsschaden erheblich.
Ransomware in Europa auf hohem Niveau
Zu Jahresbeginn schien sich der Trend vom Vorjahr fortzusetzen. Im April ist die Anzahl (gemeldeter) Ransomware-Fälle in der EU jedoch deutlich gestiegen und seither auf höherem Niveau geblieben. Sie pendelten sich zwischen 15 und 35 gemeldeten Ransomware-Angriffen je Kalenderwoche ein. Die Dunkelziffer dürfte mindestens 5x höher sein. Weltweit sieht es sehr ähnlich aus.
Vishing im Namen von Banken und BAKOM während Deepfake-Welle
Das Bundesamt für Cybersicherheit (BACS) dokumentierte im April eine deutliche Professionalisierung des Social Engineering. Betrüger setzten erstmals systematisch KI-generierte Bilder ein – etwa emotionaler Scam mit gefälschten Spitalbett-Aufnahmen des Partners, einschliesslich personalisierter Details (Woche 14). Parallel häuften sich Voice-Phishing-Anrufe angeblicher Bankmitarbeiter, welche die Opfer zur Installation von Fernwartungssoftware wie AnyDesk drängten; neu wurde auch das BAKOM als vermeintlicher Absender missbraucht (Woche 15).
Quelle:
Ransomware und Erpressung verlagern sich stärker auf Datenabfluss
Mehrere internationale Vorfälle im Quartal zeigen, dass reine Verschlüsselung nicht mehr zwingend im Zentrum steht. Bei SteelcoBelimed, Carnival, Charter, Canvas, Klue und Medtronic ging es vor allem um Zugriff auf Daten, Exfiltration, Veröffentlichung oder Erpressungsdruck. Check Point Research berichtete für Mai 2026 global von 698 öffentlich gemeldeten Ransomware-Angriffen und einem Anstieg um 48 Prozent gegenüber dem Vorjahr.
Quelle:
DDoS-Attacke legt Festnetz von Salt lahm
Der Telekommunikationsanbieter Salt verzeichnete Mitte Mai 2026 einen mehrstündigen Ausfall seines Festnetzes. Das Unternehmen bestätigte, dass die Störung nicht auf ein technisches Problem, sondern auf eine gezielte DDoS-Attacke zurückzuführen war. Als Betreiber kritischer Infrastruktur fiel der Vorfall unter die seit April 2025 geltende Meldepflicht beim BACS. Der Angriff ist kein Einzelfall und zeigt erneut, dass auch moderne Internet-Infrastruktur jederzeit Ziel von Überlastungsangriffen werden kann – mit unmittelbaren Auswirkungen auf Unternehmen, die zum Beispiel von Cloud-Diensten abhängig sind.
Quelle:
Social Engineering bleibt der zentrale Angriffshebel
Die Schweizer BACS-Wochenrückblicke zeigen über das gesamte Quartal hinweg eine klare Linie: Angreifer setzen immer professioneller auf Vertrauen, Zeitdruck und Kontext. Die Palette reicht mittlerweile von fingierten Bankanrufen über Identitätsdiebstahl auf Messenger-Apps, kreative neue Phishing-Methoden, Bewerbungsprozesse, Voicemails bis hin zu gefälschten Videokonferenz-Einladungen. Laufend kommen neue Maschen hinzu. Statt mit aufwändiger Technik wird hier mit ausgeklügelter Täuschung gearbeitet.
Quelle:
Ticketbetrüger imitieren Schweizer Unternehmen
Der Online-Kartenverkauf gilt für viele Veranstalter als unkompliziert und kostensparend. Dass es auch Risiken birgt, mussten unter anderem die FIFA, der Zoo Zürich und das Lindt-Schokoladenmuseum feststellen: In ihrem Namen erstellten Betrüger Fake-Webshops, um gefälschte Eintrittskarten zum Kauf anzubieten. Solche Zwischenfälle schaden nicht nur finanziell den Kunden, sondern auch der Reputation des betroffenen Unternehmens. Kontinuierliches Webmonitoring könnte über Scam-Websites rechtzeitig alarmieren und zügige Gegenmassnahmen ermöglichen.
Quelle:
Postalisches QR-Phishing in der Schweiz angekommen
In der Schweiz tauchten unterschiedliche hybride Phishing-Maschen auf: Einerseits mit gefälschte Abholungseinladungen im Look der Schweizerischen Post, die physisch in Briefkästen deponiert wurden und über einen QR-Code auf Phishing-Seiten zur Kreditkartenabfrage führten (Woche 24). In einem anderen Beispiel wurde ausländischen Mitarbeitern an ihrem Arbeitsplatz Behördenpost vom Staatssekretariat für Migration zugestellt. Die Briefe sprachen die Mitarbeiter mit ihrem Namen an und drohten mit Ablauf der Aufenthaltsgenehmigung, sofern man nicht sofort einen Termin anfrage – der QR-Code zum Buchungsportal diente dem Phishing.
Quelle:
Cyberresilienz ist noch zu wenig prozessorientiert
Das BACS veröffentlichte Ende Juni 2026 Ergebnisse eines Cyberresilienz-Assessments, das im Kanton Aargau mit 25 Organisationen durchgeführt wurde, darunter 14 Gemeinden sowie Unternehmen aus Dienstleistung, Industrie, IT und Telekommunikation, Stromversorgung und Baugewerbe. Die Auswertung zeigte: Grundlegende IT-Schutzmassnahmen sind oft vorhanden, aber die systematische Verknüpfung mit geschäftskritischen Prozessen, Notfall- und Wiederherstellungsplanung sowie Abhängigkeiten von Dritten sind häufig noch Schwachpunkte.
Quelle:
Schweizer Unternehmen erkennen Cyber Risk, haben aber Lücken in Vorbereitung und Schulung
Der «Digital Future Monitor Schweiz 2026» von DXC Technology zeigt, dass 70 Prozent der befragten Schweizer Unternehmen Cyberkriminalität als wesentliche Herausforderung für ihre Wettbewerbsfähigkeit betrachten; 53 Prozent gaben an, bereits mit KI-gestützten Cyberangriffen konfrontiert worden zu sein. Gleichzeitig verweisen Medienberichte zur Studie auf Lücken bei Schulungen und Notfallplanung. Für Versicherer, KMU und Standortorganisationen ist das zentral: Cyber Risk ist kein reines IT-Thema, sondern ein strategisches Führungs-, Resilienz- und Reputationsrisiko.
Quelle:
Cyberangriff auf Groupe 3R
Ende April 2026 wurde das Westschweizer Radiologie-Netzwerk Groupe 3R (Réseau Radiologique Romand) erneut Opfer eines Cyberangriffs. Die Gruppe betreibt laut Fachberichten rund 20 Radiologiezentren in sieben Kantonen. Der Angriff beeinträchtigte die IT-Systeme und schränkte die Behandlungskapazitäten ein. Der Fall ist besonders relevant, weil er erneut zeigt, wie verletzlich medizinische Leistungserbringer sind: Gesundheitsdaten, Diagnostikprozesse, Terminplanung und Bilddaten sind hochsensibel und zugleich betriebskritisch. Für Cyber Risk ist der Vorfall ein Beispiel dafür, dass Angriffe auf Gesundheitsorganisationen nicht nur Datenschutzprobleme verursachen, sondern direkt die Versorgungsfähigkeit beeinträchtigen können.
Quelle:
Datenpanne im Kanton Appenzell Innerrhoden
Anfang April 2026 wurde bekannt, dass ein Verwaltungsmitarbeiter des Kantons Appenzell Innerrhoden versehentlich einen USB-Stick mit schützenswerten Personendaten an einen Journalisten weitergegeben hatte. Der Datenträger enthielt unter anderem Informationen aus den Bereichen Inkasso, Bildung, Personal und polizeiliche Massnahmen. Auch wenn es sich nicht um einen Hackerangriff handelte, ist der Fall aus Cyber-Risk-Sicht zentral: Er zeigt, dass Datenrisiken nicht nur aus externen Angriffen entstehen, sondern ebenso aus fehlenden oder unklaren Prozessen, fehlenden technischen Massnahmen und unzureichender Datenverlust-Prävention (DLP).
Quelle:
Datenleck bei privaten Parkplatz-Überwachern
Im Mai 2026 berichtete Watson über ein massives Datenleck bei den privaten Parkplatz-Überwachungsfirmen Funkwache und Unisecur. Umfangreiche Datenbanken mit sensiblen Informationen zu Schweizer Autofahrerinnen und Autofahrern waren demnach ungeschützt über das Internet zugänglich. Der Eidgenössische Datenschutzbeauftragte klärte den Vorfall ab. Der Fall ist wichtig, weil er nicht auf spektakuläres Hacking zurückzuführen ist, sondern auf mangelhafte Konfiguration, fehlende Zugriffskontrollen und ungenügende Datenhygiene. Für Unternehmen ist dies ein typisches Beispiel dafür, dass Cyber Risk auch dann entsteht, wenn Datenbanken, Cloudspeicher oder Webanwendungen falsch abgesichert sind. Dies gilt insbesondere, wenn so viele personenbezogene Daten wie möglich erfasst werden, anstatt das Prinzip der Datensparsamkeit zu befolgen.
Quelle:
RUAG: Lösegeldzahlung und politische Aufarbeitung
Im Juni 2026 wurde die Lösegeldzahlung der bundeseigenen RUAG nach einem früheren Angriff auf die US-Tochter RUAG LLC politisch aufgearbeitet. Der ursprüngliche Angriff ereignete sich bereits im Herbst 2025; im zweiten Quartal 2026 rückte jedoch die Governance-Frage in den Vordergrund: Das VBS untersucht die Umstände des Cyberangriffs und der Zahlung. Der Bundesrat verwies in diesem Zusammenhang auf die Empfehlung des BACS, Ransomware-Lösegeldforderungen nicht nachzukommen, weil solche Zahlungen kriminelle Aktivitäten finanzieren. Der Fall ist besonders heikel, weil RUAG im Umfeld von Rüstung, Sicherheit und staatlicher Eigentümerschaft steht und damit nicht nur technische, sondern auch strategische, politische und reputationsbezogene Cyber-Risiken berührt.
Quelle:
Die globale Snowflake-Lieferkettenkrise
Im April 2026 kam es beim weltweit führenden Cloud-Datenanbieter Snowflake zu einem massiven Diebstahl von Authentifizierungstokens, der eine verheerende Kaskade von Datenabflüssen bei dessen Unternehmenskunden auslöste. Da sich die Angreifer über kompromittierte Zugänge direkt in die Cloud-Umgebungen einwählen konnten, erlitten hunderte internationale Grosskonzerne folgenschwere Breaches. Dieser Vorfall hat das immense systemische Risiko von Software-as-a-Service-Plattformen (SaaS) sowie von Supply-Chain-Angriffen in den Fokus der weltweiten Cybersicherheit gerückt.
Quelle:
Frankreich: Tchap-Messenger kompromittiert
Selbst die Kommunikationsplattformen von Regierungen sind nicht nur durch technische Schwachstellen, sondern auch durch Kontoübernahmen gefährdet. Im Juni 2026 wurde ein Vorfall bei Tchap bekannt, dem Messenger der französischen Verwaltung. Nach Berichten konnten Angreifer ein Nutzerkonto übernehmen und in der Folge auf öffentliche Chaträume zugreifen. Kurz zuvor wurden in Deutschland Signal-Messengerkonten von Regierungsmitgliedern übernommen. Für Behörden und kritische Organisationen bleibt Identitäts- und Zugriffsmanagement ein Kernrisiko.
Quelle:
Über den ITRIS Cyber Risk Index
Der ITRIS Cyber Risk Index misst die Cyberrisiken. Dabei werden unter anderem Hackerangriffe, Betrugsversuche und Schwachstellen in den IT-Netzwerken analysiert. Ausgewertet werden Inhalte von Medien, Reaktionen von Internetnutzern sowie offizielle Informationen von Behörden. Je höher der Index, desto grösser ist die Bedrohungslage.
ITRIS One AG ist ein Schweizer IT-Serviceprovider für agile und sichere ICT-Infrastrukturen & Services: Netzwerk, Datacenter, Cyber Security, Cloud, Smart Workplace und Collaboration.