Der NCSC-Bericht: was uns das zweite Halbjahr 2025 über die Bedrohungen lehrt

Zweimal im Jahr veröffentlicht das NCSC, das nationale Zentrum für Cybersicherheit der Schweiz, einen Bericht, der eine Bestandsaufnahme der beobachteten Bedrohungen macht. Der jüngste, erschienen am 30. März 2026, befasst sich mit dem zweiten Halbjahr 2025. Er ist eine nützliche Lektüre für jede Führungskraft, denn er spricht nicht von theoretischen Szenarien: Er beschreibt, was in der Schweiz tatsächlich geschehen ist.

Ein als stabil, aber hoch eingeschätztes Bedrohungsniveau

Die erste Feststellung ist eher beruhigend: Das NCSC schätzt, dass das allgemeine Bedrohungsniveau relativ stabil geblieben ist und die Cyberresilienz des Landes robust bleibt. Es gab keinen Zusammenbruch, keine katastrophale Welle.

Das bedeutet nicht, dass der Druck nachlässt. Im Gegenteil betont der Bericht, dass die Angriffe gezielter und komplexer werden. Mit anderen Worten: Die Angreifer professionalisieren ihre Methoden, was dazu führt, dass die grundlegenden Abwehrmassnahmen schneller überholt sind.

Ransomware bleibt die schwerwiegendste Bedrohung

Ransomware, jene Software, die Ihre Dateien verschlüsselt und ein Lösegeld für die Wiederherstellung des Zugriffs fordert, zählt weiterhin zu den ernstesten Gefahren für Schweizer Organisationen. Das NCSC hat im zweiten Halbjahr 2025 57 Vorfälle dieser Art erfasst.

Der Bericht weist auf eine Intensivierung der Aktivität der Gruppe Akira hin, einer der aktivsten Akteure in diesem Zeitraum, und identifiziert eine Schwachstelle in Geräten von SonicWall (einem Hersteller von Firewalls und Netzwerksicherheitsgeräten) als häufig ausgenutztes Einfallstor. Diese Präzisierung ist aufschlussreich: Sehr oft zielt der Angriff nicht auf eine menschliche Schwäche, sondern auf ein Gerät, dessen Aktualisierung vernachlässigt wurde.

Das NCSC hält an seiner Empfehlung fest, das Lösegeld nicht zu zahlen. Die Überlegung ist einfach: Ist die Zahlung erst einmal erfolgt, gibt es keine Garantie, dass die Kriminellen Ihre Daten nicht trotzdem veröffentlichen, und jedes gezahlte Lösegeld finanziert und fördert die nachfolgenden Angriffe.

Phishing-Techniken, die sich stetig erneuern

Der Bericht hebt zudem Vishing-Kampagnen und Echtzeit-Phishing hervor. Vishing, eine Zusammenziehung von «voice phishing», ist Phishing per Telefon: Der Angreifer ruft sein Opfer an und gibt sich als vertrauenswürdige Person aus (eine Bank, ein IT-Support), um ihm Informationen zu entlocken oder es zum Handeln zu bewegen. Das Echtzeit-Phishing wiederum erlaubt es dem Angreifer, Authentifizierungscodes genau in dem Moment abzufangen, in dem das Opfer sie eingibt.

Bemerkenswert ist, dass im Sommer 2025 erstmals «SMS-Blaster» in der Schweiz beobachtet wurden. Dabei handelt es sich um Geräte, die massenhaft gefälschte SMS an Telefone in der Nähe senden können, ohne über das Netz der Betreiber zu laufen, um betrügerische Links zu verbreiten. Das ist die Art neuer Bedrohung, die Unternehmen überrascht, die nur an Betrugsversuche per E-Mail gewöhnt sind.

Was diese Zahlen den KMU sagen

Bei der Lektüre dieses Berichts zeichnet sich für die Leitung von KMU eine Lehre ab. Die häufigsten Angriffe beruhen nicht auf unerreichbarer Hochtechnologie: Sie nutzen nicht aktualisierte Geräte, gestohlene Passwörter und das Vertrauen der Mitarbeitenden am Telefon aus. Das sind Angriffsflächen, die sich verkleinern lassen.

Sie können sofort an mehreren Fronten handeln. Ihre Firewalls und Netzwerkgeräte aktuell zu halten schliesst eine Tür, die unter anderem die Gruppe Akira auszunutzen weiss. Ihre Teams dafür zu sensibilisieren, dass ein Telefonanruf ein Angriff sein kann, macht sie weniger anfällig für Vishing. Ihre Sicherungskopien zu isolieren verschafft Ihnen einen Ausweg angesichts von Ransomware, ohne mit Kriminellen verhandeln zu müssen.

Zur Einordnung

Diese Massnahmen verringern Ihre Exposition tatsächlich, und es wäre falsch, das Gegenteil zu behaupten: Man kann bereits vieles selbst tun, um den Schaden zu begrenzen. Doch ein Bericht wie jener des NCSC zeigt auch die Grenzen des generischen Ansatzes. Die Angreifer nehmen bestimmte Geräte ins Visier, passen ihre Techniken an und wechseln von einem Halbjahr zum nächsten die Methode.

Zu wissen, welche dieser Risiken wirklich auf Ihrem Unternehmen lasten, welche Geräte in Ihrem Netzwerk Ihre Schwachstelle sind und wie Sie Ihre Sicherheitsinvestitionen priorisieren, setzt einen auf Ihre konkrete Situation zugeschnittenen Blick voraus. Hier tritt eine professionelle Analyse an die Stelle der bewährten Praktiken: nicht um sie zu ersetzen, sondern um aus einer allgemeinen Wachsamkeit einen Schutz zu machen, der wirklich zu Ihrem Unternehmen passt.