# Cyber-Lagebericht Schweiz, November 2025

> Im Zeitraum November 2025 wurden 10 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum Oktober 2025 (6). Am aktivsten war die Gruppe RANSOMHOUSE mit 2 Nennungen (20 %), insgesamt waren 9 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/ch/2025-11/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.11.2025 bis 30.11.2025 (Vergleich: Oktober 2025)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 10 (+67 % gegenüber Oktober 2025: 6)
- Aktive Ransomware-Gruppen: 9
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 11, davon mit Ransomware-Bezug: 0
- Öffentlich gemeldete Cyberangriffe: 3

## Einordnung

Im Zeitraum November 2025 wurden 10 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum Oktober 2025 (6). Am aktivsten war die Gruppe RANSOMHOUSE mit 2 Nennungen (20 %), insgesamt waren 9 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Industrie und Fertigung (2), Handel und E-Commerce (2), Technologie und IT (2). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Deutschland 17, Österreich 11, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für die Schweiz ab.

Die US-Behörde CISA hat im Zeitraum 11 Schwachstellen neu als aktiv ausgenutzt eingestuft. Betroffen waren vor allem Produkte von Fortinet, Gladinet, OpenPLC. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| RANSOMHOUSE | 2 |
| AKIRA | 1 |
| SARCOMA | 1 |
| SAFEPAY | 1 |
| THEGENTLEMEN | 1 |
| BROTHERHOOD | 1 |
| BEAST | 1 |
| CLOP | 1 |
| QILIN | 1 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Industrie und Fertigung | 2 |
| Handel und E-Commerce | 2 |
| Technologie und IT | 2 |
| Finanzdienstleistungen | 2 |
| Beratung und Dienstleistungen | 1 |
| Energie und Versorgung | 1 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 10 |
| Deutschland | 17 |
| Österreich | 11 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2021-26829 | OpenPLC ScadaBR | OpenPLC ScadaBR Cross-site Scripting Vulnerability | 28.11.2025 | nein |
| CVE-2025-61757 | Oracle Fusion Middleware | Oracle Fusion Middleware Missing Authentication for Critical Function Vulnerability | 21.11.2025 | nein |
| CVE-2025-13223 | Google Chromium V8 | Google Chromium V8 Type Confusion Vulnerability | 19.11.2025 | nein |
| CVE-2025-58034 | Fortinet FortiWeb | Fortinet FortiWeb OS Command Injection Vulnerability | 18.11.2025 | nein |
| CVE-2025-64446 | Fortinet FortiWeb | Fortinet FortiWeb Path Traversal Vulnerability | 14.11.2025 | nein |
| CVE-2025-12480 | Gladinet Triofox | Gladinet Triofox Improper Access Control Vulnerability | 12.11.2025 | nein |
| CVE-2025-62215 | Microsoft Windows | Microsoft Windows Race Condition Vulnerability | 12.11.2025 | nein |
| CVE-2025-9242 | WatchGuard Firebox | WatchGuard Firebox Out-of-Bounds Write Vulnerability | 12.11.2025 | nein |
| CVE-2025-21042 | Samsung Mobile Devices | Samsung Mobile Devices Out-of-Bounds Write Vulnerability | 10.11.2025 | nein |
| CVE-2025-48703 | CWP Control Web Panel | CWP Control Web Panel OS Command Injection Vulnerability | 04.11.2025 | nein |
| CVE-2025-11371 | Gladinet CentreStack and Triofox | Gladinet CentreStack and Triofox Files or Directories Accessible to External Parties Vulnerability | 04.11.2025 | nein |

## Öffentlich gemeldete Cyberangriffe
- 27.11.2025: Wichtiger Kundenhinweis - Dextra Rechtsschutz (https://dextra.ch/blog/datenvorfall)
- 05.11.2025: Important Notice - Habib Bank AG Zurich (https://habibbank.com/important-notice/)
- 02.11.2025: Ransomware-Angriff auf Ruag LLC: Schweizer Tochtergesellschaft bleibt unberührt (https://www.20min.ch/story/ruag-llc-tochtergesellschaft-der-ruag-von-cyberangriff-betroffen-103445810)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.