# Cyber-Lagebericht Schweiz, Mai 2026

> Im Zeitraum Mai 2026 wurden 5 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich weniger als im Vorzeitraum April 2026 (9). Am aktivsten war die Gruppe DRAGONFORCE mit 1 Nennung (20 %), insgesamt waren 5 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/ch/2026-05/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.05.2026 bis 31.05.2026 (Vergleich: April 2026)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 5 (-44 % gegenüber April 2026: 9)
- Aktive Ransomware-Gruppen: 5
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 21, davon mit Ransomware-Bezug: 3
- Öffentlich gemeldete Cyberangriffe: 1

## Einordnung

Im Zeitraum Mai 2026 wurden 5 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich weniger als im Vorzeitraum April 2026 (9). Am aktivsten war die Gruppe DRAGONFORCE mit 1 Nennung (20 %), insgesamt waren 5 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Landwirtschaft und Lebensmittel (2), Gesundheitswesen (2), Technologie und IT (1). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Deutschland 39, Österreich 7, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für die Schweiz ab.

Die US-Behörde CISA hat im Zeitraum 21 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 3 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Palo Alto Networks, Nx. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| DRAGONFORCE | 1 |
| SPACEBEARS | 1 |
| THEGENTLEMEN | 1 |
| AKIRA | 1 |
| QILIN | 1 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Landwirtschaft und Lebensmittel | 2 |
| Gesundheitswesen | 2 |
| Technologie und IT | 1 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 5 |
| Deutschland | 39 |
| Österreich | 7 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2026-0257 | Palo Alto Networks PAN-OS | Palo Alto Networks PAN-OS Authentication Bypass Vulnerability | 29.05.2026 | ja |
| CVE-2026-48027 | Nx Nx Console | Nx Console Embedded Malicious Code Vulnerability | 27.05.2026 | ja |
| CVE-2026-45321 | TanStack TanStack | TanStack Unspecified Vulnerability | 27.05.2026 | ja |
| CVE-2026-8398 | Daemon Daemon Tools Lite | Daemon Tools Lite Embedded Malicious Code Vulnerability | 27.05.2026 | nein |
| CVE-2026-48172 | LiteSpeed cPanel Plugin | LiteSpeed cPanel Plugin Privilege Escalation Vulnerability | 26.05.2026 | nein |
| CVE-2026-9082 | Drupal Core | Drupal Core SQL Injection Vulnerability | 22.05.2026 | nein |
| CVE-2025-34291 | Langflow Langflow | Langflow Origin Validation Error Vulnerability | 21.05.2026 | nein |
| CVE-2026-34926 | Trend Micro Apex One | Trend Micro Apex One (On-Premise) Directory Traversal Vulnerability | 21.05.2026 | nein |
| CVE-2008-4250 | Microsoft Windows | Microsoft Windows Buffer Overflow Vulnerability | 20.05.2026 | nein |
| CVE-2009-1537 | Microsoft DirectX | Microsoft DirectX NULL Byte Overwrite Vulnerability | 20.05.2026 | nein |
| CVE-2009-3459 | Adobe Acrobat and Reader | Adobe Acrobat and Reader Heap-Based Buffer Overflow Vulnerability | 20.05.2026 | nein |
| CVE-2010-0249 | Microsoft Internet Explorer | Microsoft Internet Explorer Use-After-Free Vulnerability | 20.05.2026 | nein |
| CVE-2010-0806 | Microsoft Internet Explorer | Microsoft Internet Explorer Use-After-Free Vulnerability | 20.05.2026 | nein |
| CVE-2026-41091 | Microsoft Defender | Microsoft Defender Link Following Vulnerability | 20.05.2026 | nein |
| CVE-2026-45498 | Microsoft Defender | Microsoft Defender Denial of Service Vulnerability | 20.05.2026 | nein |
| CVE-2026-42897 | Microsoft Microsoft | Microsoft Exchange Server Cross-Site Scripting Vulnerability | 15.05.2026 | nein |
| CVE-2026-20182 | Cisco Catalyst SD-WAN | Cisco Catalyst SD-WAN Controller Authentication Bypass Vulnerability | 14.05.2026 | nein |
| CVE-2026-42208 | BerriAI LiteLLM | BerriAI LiteLLM SQL Injection Vulnerability | 08.05.2026 | nein |
| CVE-2026-6973 | Ivanti Endpoint Manager Mobile (EPMM) | Ivanti Endpoint Manager Mobile (EPMM) Improper Input Validation Vulnerability | 07.05.2026 | nein |
| CVE-2026-0300 | Palo Alto Networks PAN-OS | Palo Alto Networks PAN-OS Out-of-bounds Write Vulnerability | 06.05.2026 | nein |
| CVE-2026-31431 | Linux Kernel | Linux Kernel Incorrect Resource Transfer Between Spheres Vulnerability | 01.05.2026 | nein |

## Öffentlich gemeldete Cyberangriffe
- 29.05.2026: Belimed ist Opfer eines Cyberangriffs (https://www.inside-it.ch/belimed-ist-opfer-eines-cyberangriffs-20260603)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.