# Cyber-Lagebericht Schweiz, Februar 2026

> Im Zeitraum Februar 2026 wurden 6 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Januar 2026 (7). Am aktivsten war die Gruppe THEGENTLEMEN mit 1 Nennung (17 %), insgesamt waren 6 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/ch/2026-02/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.02.2026 bis 28.02.2026 (Vergleich: Januar 2026)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 6 (-14 % gegenüber Januar 2026: 7)
- Aktive Ransomware-Gruppen: 6
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 28, davon mit Ransomware-Bezug: 2
- Öffentlich gemeldete Cyberangriffe: 1

## Einordnung

Im Zeitraum Februar 2026 wurden 6 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Januar 2026 (7). Am aktivsten war die Gruppe THEGENTLEMEN mit 1 Nennung (17 %), insgesamt waren 6 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Industrie und Fertigung (3), Technologie und IT (2), Beratung und Dienstleistungen (1). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Deutschland 31, Österreich 3, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für die Schweiz ab.

Die US-Behörde CISA hat im Zeitraum 28 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 2 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Cisco, Roundcube. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| THEGENTLEMEN | 1 |
| AKIRA | 1 |
| RHYSIDA | 1 |
| PLAY | 1 |
| LYNX | 1 |
| QILIN | 1 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Industrie und Fertigung | 3 |
| Technologie und IT | 2 |
| Beratung und Dienstleistungen | 1 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 6 |
| Deutschland | 31 |
| Österreich | 3 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2022-20775 | Cisco SD-WAN | Cisco SD-WAN Path Traversal Vulnerability | 25.02.2026 | nein |
| CVE-2026-20127 | Cisco Catalyst SD-WAN Controller and Manager | Cisco Catalyst SD-WAN Controller and Manager Authentication Bypass Vulnerability | 25.02.2026 | nein |
| CVE-2026-25108 | Soliton Systems K.K FileZen | Soliton Systems K.K FileZen OS Command Injection Vulnerability | 24.02.2026 | nein |
| CVE-2025-49113 | Roundcube Webmail | RoundCube Webmail Deserialization of Untrusted Data Vulnerability | 20.02.2026 | nein |
| CVE-2025-68461 | Roundcube Webmail | RoundCube Webmail Cross-site Scripting Vulnerability | 20.02.2026 | nein |
| CVE-2021-22175 | GitLab GitLab | GitLab Server-Side Request Forgery (SSRF) Vulnerability | 18.02.2026 | nein |
| CVE-2026-22769 | Dell RecoverPoint for Virtual Machines (RP4VMs) | Dell RecoverPoint for Virtual Machines (RP4VMs) Use of Hard-coded Credentials Vulnerability | 18.02.2026 | nein |
| CVE-2020-7796 | Synacor Zimbra Collaboration Suite | Synacor Zimbra Collaboration Suite (ZCS) Server-Side Request Forgery Vulnerability | 17.02.2026 | nein |
| CVE-2024-7694 | TeamT5 ThreatSonar Anti-Ransomware | TeamT5 ThreatSonar Anti-Ransomware Unrestricted Upload of File with Dangerous Type Vulnerability | 17.02.2026 | nein |
| CVE-2008-0015 | Microsoft Windows |  Microsoft Windows Video ActiveX Control Remote Code Execution Vulnerability | 17.02.2026 | nein |
| CVE-2026-2441 | Google Chromium | Google Chromium CSS Use-After-Free Vulnerability | 17.02.2026 | nein |
| CVE-2026-1731 | BeyondTrust Remote Support (RS) and Privileged Remote Access (PRA) | BeyondTrust Remote Support (RS) and Privileged Remote Access (PRA) OS Command Injection Vulnerability | 13.02.2026 | ja |
| CVE-2026-20700 | Apple Multiple Products | Apple Multiple Buffer Overflow Vulnerability | 12.02.2026 | nein |
| CVE-2024-43468 | Microsoft Configuration Manager | Microsoft Configuration Manager SQL Injection Vulnerability | 12.02.2026 | nein |
| CVE-2025-15556 | Notepad++ Notepad++ | Notepad++ Download of Code Without Integrity Check Vulnerability | 12.02.2026 | nein |
| CVE-2025-40536 | SolarWinds Web Help Desk | SolarWinds Web Help Desk Security Control Bypass Vulnerability | 12.02.2026 | nein |
| CVE-2026-21513 | Microsoft Windows | Microsoft MSHTML Framework Protection Mechanism Failure Vulnerability | 10.02.2026 | nein |
| CVE-2026-21525 | Microsoft Windows | Microsoft Windows NULL Pointer Dereference Vulnerability | 10.02.2026 | nein |
| CVE-2026-21510 | Microsoft Windows | Microsoft Windows Shell Protection Mechanism Failure Vulnerability | 10.02.2026 | nein |
| CVE-2026-21533 | Microsoft Windows | Microsoft Windows Improper Privilege Management Vulnerability | 10.02.2026 | nein |
| CVE-2026-21519 | Microsoft Windows | Microsoft Windows Type Confusion Vulnerability | 10.02.2026 | nein |
| CVE-2026-21514 | Microsoft Office | Microsoft Office Word Reliance on Untrusted Inputs in a Security Decision Vulnerability | 10.02.2026 | nein |
| CVE-2025-11953 | React Native Community CLI | React Native Community CLI OS Command Injection Vulnerability | 05.02.2026 | nein |
| CVE-2026-24423 | SmarterTools SmarterMail | SmarterTools SmarterMail Missing Authentication for Critical Function Vulnerability | 05.02.2026 | ja |
| CVE-2021-39935 | GitLab Community and Enterprise Editions | GitLab Community and Enterprise Editions Server-Side Request Forgery (SSRF) Vulnerability | 03.02.2026 | nein |

## Öffentlich gemeldete Cyberangriffe
- 25.02.2026: Cyberangriff auf INP Schweiz (https://www.inside-it.ch/cyberangriff-auf-inp-schweiz-20260325)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.