# Cyber-Lagebericht Schweiz, September 2026

> Im Zeitraum September 2026 wurden 11 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum August 2026 (13). Am aktivsten war die Gruppe SAFEPAY mit 5 Nennungen (45 %), insgesamt waren 7 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/ch/2026-09/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.09.2026 bis 30.09.2026 (Vergleich: August 2026)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog; Cloudflare Radar
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 11 (-15 % gegenüber August 2026: 13)
- Aktive Ransomware-Gruppen: 7
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 43, davon mit Ransomware-Bezug: 0
- Öffentlich gemeldete Cyberangriffe: 2

## Einordnung

Im Zeitraum September 2026 wurden 11 Organisationen aus der Schweiz auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum August 2026 (13). Am aktivsten war die Gruppe SAFEPAY mit 5 Nennungen (45 %), insgesamt waren 7 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Industrie und Fertigung (2), Gesundheitswesen (2), Beratung und Dienstleistungen (2). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Deutschland 38, Österreich 4, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für die Schweiz ab.

Die US-Behörde CISA hat im Zeitraum 43 Schwachstellen neu als aktiv ausgenutzt eingestuft. Betroffen waren vor allem Produkte von Cisco, Citrix, MikroTik. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Bei DDoS-Angriffen lag die Schweiz in den letzten 28 Tagen auf Rang 15 der am häufigsten angegriffenen Länder (Netzwerkebene, Anteil 0,03 % des weltweit gemessenen Angriffsverkehrs laut Cloudflare Radar).

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| SAFEPAY | 5 |
| PAYLOAD | 1 |
| QILIN | 1 |
| THEGENTLEMEN | 1 |
| SHINYHUNTERS | 1 |
| AKIRA | 1 |
| KRYBIT | 1 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Weitere | 3 |
| Industrie und Fertigung | 2 |
| Gesundheitswesen | 2 |
| Beratung und Dienstleistungen | 2 |
| Transport und Logistik | 1 |
| Handel und E-Commerce | 1 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 11 |
| Deutschland | 38 |
| Österreich | 4 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2026-76504 | Cisco Catalyst SD-WAN Manager | Cisco Catalyst SD-WAN Manager Hex Encoding Vulnerability | 30.09.2026 | nein |
| CVE-2026-86950 | Apple Multiple Products | Apple Multiple Products Out-of-Bounds Write Vulnerability | 29.09.2026 | nein |
| CVE-2026-88772 | Citrix NetScaler | Citrix NetScaler Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability | 27.09.2026 | nein |
| CVE-2026-88771 | Citrix NetScaler | Citrix NetScaler Improper Input Validation Vulnerability | 27.09.2026 | nein |
| CVE-2026-67279 | MikroTik RouterOS | Mikrotik RouterOS Improper Enforcement of Behavioral Workflow Vulnerability | 25.09.2026 | nein |
| CVE-2026-65660 | Microsoft SharePoint | Microsoft SharePoint Code Injection Vulnerability | 25.09.2026 | nein |
| CVE-2026-87902 | WordPress Core | WordPress Core Remote File Inclusion Vulnerability | 25.09.2026 | nein |
| CVE-2026-5430 | WSO2 Multiple Products | WSO2 Multiple Products Path Traversal Vulnerability  | 24.09.2026 | nein |
| CVE-2026-71362 | Adobe Commerce and Magento  | Adobe Commerce and Magento Incorrect Authorization Vulnerability  | 24.09.2026 | nein |
| CVE-2026-93952 | Arista VeloCloud Orchestrator | Arista VeloCloud Orchestrator Improper Input Validation Vulnerability | 22.09.2026 | nein |
| CVE-2026-94127 | F5 BIG-IP APM | F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability | 22.09.2026 | nein |
| CVE-2026-93616 | Check Point Multiple Products | Check Point Multiple Products Path Traversal Vulnerability | 22.09.2026 | nein |
| CVE-2026-85102 | Check Point Multiple Products | Check Point Multiple Products Improper Certificate Validation Vulnerability | 22.09.2026 | nein |
| CVE-2026-7273 | Zyxel GS1900 Series Switches | Zyxel GS1900 Series Switches Stack-Based Buffer Overflow Vulnerability | 21.09.2026 | nein |
| CVE-2025-39964 | Linux Kernel | Linux Kernel Race Condition Vulnerability | 18.09.2026 | nein |
| CVE-2026-53266 | Linux Kernel | Linux Kernel Out-of-Bounds Write Vulnerability | 18.09.2026 | nein |
| CVE-2025-39682 | Linux Kernel | Linux Kernel Improper Check for Unusual or Exceptional Conditions Vulnerability | 18.09.2026 | nein |
| CVE-2026-58704 | Google Pixel | Google Pixel Improper Authorization Vulnerability | 16.09.2026 | nein |
| CVE-2026-76460 | Cisco Identity Services Engine | Cisco Identity Services Engine Incorrect Use of Privileged APIs Vulnerability | 16.09.2026 | nein |
| CVE-2026-87886 | Acronis Backup | Acronis Backup Incorrect Default Permissions Vulnerability | 16.09.2026 | nein |
| CVE-2026-76461 | Cisco Secure Email Gateway | Cisco Secure Email Gateway SQL Injection Vulnerability | 14.09.2026 | nein |
| CVE-2026-84869 | ConnectWise ScreenConnect | ConnectWise ScreenConnect Improper Privilege Management and Missing Authorization Vulnerability | 11.09.2026 | nein |
| CVE-2026-42016 | JFrog Artifactory | JFrog Artifactory Incorrect Authorization Vulnerability | 11.09.2026 | nein |
| CVE-2026-42018 | JFrog Artifactory | JFrog Artifactory Improper Authentication Vulnerability | 11.09.2026 | nein |
| CVE-2026-85706 | GitLab Community Edition and Enterprise Edition | GitLab Community Edition and Enterprise Edition Path Traversal Vulnerability | 11.09.2026 | nein |

## Öffentlich gemeldete Cyberangriffe
- 30.09.2026: Datenabfluss bei Pensionskasse des Bundes (https://www.inside-it.ch/datenabfluss-bei-pensionskasse-des-bundes-20261008)
- 27.09.2026: SRG von Cybervorfall betroffen (https://www.presseportal.ch/de/pm/100014224/100942588)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.