# Cyber-Lagebericht Schweiz, August 2026

> Im Zeitraum August 2026 wurden 13 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Juli 2026 (13). Am aktivsten war die Gruppe THEGENTLEMEN mit 2 Nennungen (15 %), insgesamt waren 10 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/ch/2026-08/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.08.2026 bis 31.08.2026 (Vergleich: Juli 2026)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 13 (0 % gegenüber Juli 2026: 13)
- Aktive Ransomware-Gruppen: 10
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 31, davon mit Ransomware-Bezug: 2
- Öffentlich gemeldete Cyberangriffe: 1

## Einordnung

Im Zeitraum August 2026 wurden 13 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Juli 2026 (13). Am aktivsten war die Gruppe THEGENTLEMEN mit 2 Nennungen (15 %), insgesamt waren 10 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Technologie und IT (3), Beratung und Dienstleistungen (2), Handel und E-Commerce (2). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Deutschland 68, Österreich 9, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für die Schweiz ab.

Die US-Behörde CISA hat im Zeitraum 31 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 2 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, PaperCut, Linux. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| THEGENTLEMEN | 2 |
| PAYLOAD | 2 |
| SHINYHUNTERS | 2 |
| INCRANSOM | 1 |
| CLOP | 1 |
| SPACEBEARS | 1 |
| BRAVOX | 1 |
| AKIRA | 1 |
| PANZER | 1 |
| EVEREST | 1 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Technologie und IT | 3 |
| Weitere | 2 |
| Beratung und Dienstleistungen | 2 |
| Handel und E-Commerce | 2 |
| Gesundheitswesen | 2 |
| Industrie und Fertigung | 1 |
| Transport und Logistik | 1 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 13 |
| Deutschland | 68 |
| Österreich | 9 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2026-82078 | PaperCut NG/MF | PaperCut NG/MF Unsafe Reflection Vulnerability | 31.08.2026 | nein |
| CVE-2026-81578 | PaperCut NG/MF | PaperCut NG/MF Missing Authentication for Critical Function Vulnerability | 31.08.2026 | nein |
| CVE-2023-49105 | ownCloud ownCloud | ownCloud Improper Authentication Vulnerability | 27.08.2026 | nein |
| CVE-2026-53362 | Linux Kernel | Linux Kernel Unspecified Vulnerability | 27.08.2026 | nein |
| CVE-2026-66384 | JFrog Artifactory | JFrog Artifactory Improper Limitation of a Pathname to a Restricted Directory Vulnerability | 27.08.2026 | nein |
| CVE-2021-23758 | Ajax.NET Professional Ajax.NET Professional | Ajax.NET Professional Deserialization of Untrusted Data Vulnerability | 26.08.2026 | nein |
| CVE-2015-3246 | Red Hat Libuser | Red Hat Libuser Race Condition Vulnerability | 26.08.2026 | nein |
| CVE-2015-5287 | Red Hat Automatic Bug Reporting Tool | Red Hat Automatic Bug Reporting Tool Privilege Escalation Vulnerability | 26.08.2026 | nein |
| CVE-2022-0995 | Linux Kernel | Linux Kernel Out-of-Bounds Write Vulnerability | 26.08.2026 | nein |
| CVE-2026-8452 | Citrix NetScaler ADC and NetScaler Gateway | Citrix NetScaler ADC and NetScaler Gateway Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability | 26.08.2026 | nein |
| CVE-2019-1068 | Microsoft SQL Server | Microsoft SQL Server Remote Code Execution Vulnerability | 26.08.2026 | nein |
| CVE-2026-60004 | Gitea Gitea | Gitea Code Injection Vulnerability | 25.08.2026 | nein |
| CVE-2026-21962 | Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in | Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in Improper Access Control Vulnerability | 24.08.2026 | nein |
| CVE-2026-73570 | Synacor Zimbra Collaboration Suite (ZCS) | Zimbra Collaboration Suite (ZCS) OS Command Injection Vulnerability | 21.08.2026 | nein |
| CVE-2026-72530 | TrueConf Server | TrueConf Server Code Injection Vulnerability | 20.08.2026 | nein |
| CVE-2026-72529 | TrueConf Server | TrueConf Server Missing Authentication for Critical Function Vulnerability | 20.08.2026 | nein |
| CVE-2026-64849 | MLflow MLflow | MLflow Server-Side Request Forgery Vulnerability | 19.08.2026 | nein |
| CVE-2026-33824 | Microsoft Internet Key Exchange (IKE) Service Extensions | Microsoft Internet Key Exchange (IKE) Service Extensions Double Free Vulnerability | 18.08.2026 | nein |
| CVE-2026-59310 | Broadcom VMware vCenter | Broadcom VMware vCenter Path Traversal Vulnerability | 18.08.2026 | ja |
| CVE-2026-55040 | Microsoft SharePoint | Microsoft SharePoint Weak Authentication Vulnerability | 18.08.2026 | nein |
| CVE-2026-65400 | Apple macOS | Apple macOS Improper Authentication Vulnerability | 18.08.2026 | nein |
| CVE-2025-62593 | Ray-Project Ray | Ray-Project Ray Code Injection Vulnerability | 17.08.2026 | nein |
| CVE-2026-20349 | Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD)  | Cisco Secure Firewall Adaptive Security Appliance (ASA) and Secure Firewall Threat Defense (FTD) Heap Inspection Vulnerability | 11.08.2026 | nein |
| CVE-2026-68820 | Microsoft Windows Ancillary Function Driver for WinSock  | Microsoft Windows Ancillary Function Driver for WinSock Use-After-Free Vulnerability | 11.08.2026 | nein |
| CVE-2026-72898 | Metabase Metabase | Metabase SQL Injection Vulnerability | 11.08.2026 | nein |

## Öffentlich gemeldete Cyberangriffe
- 05.08.2026: Ciberattacco a un server del Canton Grigioni (https://www.bluewin.ch/it/attualita/svizzera/ciberattacco-a-un-server-del-canton-grigioni-li.3553333)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.