Cybervorfall bei der RUAG MROVBS: Lösegeldzahlung war "rechtskonform", entsprach der "unternehmerischen Verantwortung"
Das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) hat den Cybervorfall bei einer US-Tochtergesellschaft der RUAG MRO sowie den Umgang des Unternehmens mit dem Vorfall überprüft.
Die Untersuchung kommt zum Schluß, daß der Entscheid der RUAG MRO zur Zahlung eines Lösegelds im Rahmen ihrer unternehmerischen Verantwortung getroffen wurde und keine Anhaltspunkte für eine Rechtsverletzung bestehen.
Gleichzeitig zeigt die Prüfung Verbesserungspotential bei der gesamtheitlichen Risikoabwägung und beim Informationsfluss gegenüber dem Bund als Eigner auf. Das VBS hat entsprechende Empfehlungen ausgesprochen und weitere Massnahmen eingeleitet, die rasch umgesetzt werden.
Am 9. und 10. Oktober 2025 wurde bei der RUAG LLC, einer Tochtergesellschaft der RUAG MRO Holding AG, ein Ransomware-Angriff der Häckergruppe AKIRA festgestellt. Im Auftrag des Chefs des Eidgenössischen Departements für Verteidigung, Bevölkerungsschutz und Sport (VBS) hat das VBS den Cybervorfall aufgearbeitet. Dabei wurde insbesondere geprüft, ob das Unternehmen mit dem Entscheid zur Zahlung eines Lösegelds rechtskonform gehandelt und seine Pflichten gegenüber dem Bund als Eigner eingehalten hat.
RUAG MRO richtete sich nach US-Recht
Die Untersuchung zeigt, daß die RUAG MRO die Rechtskonformität einer Lösegeldzahlung nach anwendbarem US-Recht vor der Zahlung geprüft hat. Als privatrechtlich organisierte Aktiengesellschaft trägt die RUAG MRO die Verantwortung für ihre operativen Geschäftsentscheide. Der Entscheid über die Zahlung des Lösegelds lag somit in der Zuständigkeit der Unternehmensorgane. Eine vorgängige Zustimmung des Bundes als Eigner war daher nicht erforderlich.
Bund als Eigentümer alles verschwiegen
Die Untersuchung hält gleichzeitig fest, daß eine koordinierte Information gegenüber dem Bund als Eigner angebracht gewesen wäre.
Die strategischen Ziele des Bundesrats für die RUAG MRO sehen eine Information des Eigners vor einer öffentlichen Kommunikation vor.
Politische und reputationsbezogene Auswirkungen sowie weitere übergeordnete Interessen nicht ausreichend berücksichtigt
Die Prüfung zeigt ferner, dass die dem Entscheid zugrunde liegende Chancen- und Risikoabwägung der RUAG MRO schwergewichtig auf rechtliche und ökonomische Überlegungen ausgerichtet war. Nach Einschätzung des VBS wurden politische und reputationsbezogene Auswirkungen sowie weitere übergeordnete Interessen nicht ausreichend berücksichtigt. Das VBS erwartet von der RUAG MRO, dass diese Aspekte stärker in die Abwägung einbezogen werden.
Die RUAG MRO hat den Vorfall ihrerseits analysiert und verschiedene Verbesserungsmassnahmen eingeleitet. Sie arbeitet daran, die von ihr selbst erkannten Schwachstellen (Eskalationsprozesse bei den Tochtergesellschaften, Informatik-Governance unter Einbezug des Informatikverantwortlichen der RUAG MRO, Prozesse der Krisenkommunikation und Mindestanforderungen an die Informatiksicherheit) zu beheben. Das VBS begrüßt diese Maßnahmen und hat die RUAG MRO beauftragt, deren Umsetzung weiterzuführen und den Eignerstellen GS-VBS und EFV darüber Bericht zu erstatten.
Um vergleichbare Situationen künftig zu vermeiden, hat der Bund als Eigner zusätzliche Empfehlungen an die RUAG MRO ausgesprochen. So soll die RUAG MRO gemeinsam mit dem Bundesamt für Cybersicherheit (BACS) ihre Schutzmaßnahmen und Prozesse überprüfen, allfällige Schwachstellen beheben und die Widerstandsfähigkeit gegenüber Cyberangriffen weiter stärken. Dabei soll auch beurteilt werden, ob die RUAG MRO insgesamt angemessen gegen Cybervorfälle geschützt ist.
Bund möchte in Zukunft bei Häck-Attacken informiert werden
Die Eignerstellen weisen die RUAG auf die Informationspflichten zu einer frühzeitigen und sachgerechten Information gemäß den strategischen Zielen hin. Zudem sind die Eignerstellen angehalten, sich frühzeitig aktiv in die Aufarbeitung solcher Fälle einzubringen.
Aufgrund der Ergebnisse der Untersuchung sieht das VBS keinen Anlass für weitergehende eigentumsrechtliche Maßnahmen gegenüber der RUAG MRO. Mit den ausgesprochenen Empfehlungen und den eingeleiteten Maßnahmen sollen die Lehren aus dem Vorfall umgesetzt und die Resilienz der RUAG MRO gegenüber künftigen Cybervorfällen gestärkt werden.
Auch wenn “rechtskonform”, sollte man es nicht zahlen: Lösegeld
Das VBS und der Bund halten unverändert an ihrer Empfehlung fest, im Falle von Cyber-Angriffen kein Lösegeld zu bezahlen.
(pd, rm)
