Cyberprozess in Zürich: Schweizer Entwickler soll Ransomware-Bande unterstützt haben

Vor dem Bezirksgericht Zürich hat am Montag ein Strafprozess begonnen, der in der Schweiz seinesgleichen sucht: Ein 52-jähriger gebürtiger Ukrainer, der seit über zehn Jahren mit seiner Familie in der Schweiz lebt und als Softwareentwickler arbeitet, soll massgeblich an internationalen Ransomware-Angriffen beteiligt gewesen sein. Die Anklage wirft ihm vor, Schadsoftware für eine Gruppe entwickelt zu haben, die weltweit Unternehmen erpresste, darunter auch das Schweizer Bahntechnikunternehmen Stadler Rail. Der Mann wurde 2021 in seiner Wohnung in Basel-Landschaft festgenommen und sitzt seither in Untersuchungshaft. Das Urteil wird am 10. September erwartet.

Wie die Bande vorging: Von Ransomware zu doppelter Erpressung

Die Gruppe, der der Beschuldigte angehört haben soll, begann 2019 mit klassischen Ransomware-Angriffen. Dabei drangen die Täter in die Systeme von Unternehmen ein, verschlüsselten sämtliche Daten und forderten Lösegeld für die Entschlüsselung. Ab 2020 verfeinerten sie ihre Strategie und setzten auf sogenannte doppelte Erpressung: Zusätzlich zur Verschlüsselung wurden Daten gestohlen, und die Täter drohten mit deren Veröffentlichung, falls das Lösegeld nicht bezahlt werde.

Der Angriff auf Altran: Ein frühes Beispiel

Eines der ersten Opfer war im Januar 2019 das französische Beratungsunternehmen Altran. Die Angreifer sperrten zunächst alle Systemadministratoren aus, indem sie Passwörter ersetzten, und verschlüsselten anschliessend 250 Server an verschiedenen Standorten. Auf jedem Rechner hinterliessen sie eine Erpressungsnachricht, in der sie mit „stärksten militärischen Algorithmen“ drohten. Altran zahlte nach dreitägigen Verhandlungen 410 Bitcoin, was damals rund 1,4 Millionen Franken entsprach. Der Schweizer Entwickler soll davon etwa 25'000 Franken erhalten haben. Der Gesamtschaden für Altran war jedoch weit höher: Betriebsausfälle und IT-Bereinigung kosteten laut Anklageschrift mindestens einen zweistelligen Millionenbetrag.

Stadler Rail: Doppelte Erpressung mit Folgen

Im Mai 2020 traf es das Schweizer Unternehmen Stadler Rail. Die Hacker verschafften sich über gestohlene Benutzerdaten Zugang zum System, kopierten über mehrere Tage interne Dateien auf ihre eigenen Server und verschlüsselten anschliessend die Systeme. Die Täter forderten sechs Millionen US-Dollar: die Hälfte für die Entschlüsselung, die andere Hälfte für das Unterlassen der Veröffentlichung. Ein verdeckter Fahnder der Kantonspolizei Thurgau übernahm die Kommunikation, doch Stadler brach die Verhandlungen ab. Daraufhin veröffentlichte die Bande über Wochen firmeninterne Daten. Der Schaden für Stadler wird auf rund fünf Millionen Franken beziffert, hinzu kommt ein nicht quantifizierbarer Reputationsschaden.

Eine „Höllenmaschine“ in Planung: Die Software „RMS“

Bei seiner Festnahme arbeitete der Beschuldigte an einer Software namens „RMS“, die die gesamte Wertschöpfungskette eines Cyberangriffs automatisieren sollte. Über eine einfache Benutzeroberfläche hätten Angreifer damit vom Eindringen in ein System bis zur Schadensverursachung alles steuern können. Die Anklage bezeichnet diese Software als „Höllenmaschine“, die Cyberangriffe für ein breites Publikum zugänglich gemacht hätte. Der Entwickler soll sie an Feierabenden, Wochenenden und sogar während der Arbeitszeit programmiert haben. Vor Gericht bestreitet er alle Vorwürfe und gibt an, von nichts gewusst zu haben. Die Staatsanwaltschaft fordert eine Freiheitsstrafe von mindestens zwölf Jahren, die Verteidigung plädiert auf Freispruch.

Der Strippenzieher in Moskau: Russlands Rolle

Die Aufträge für die Schadsoftware sollen aus Moskau gekommen sein, von einem gebürtigen Ukrainer, der vom russischen Geheimdienst angeworben worden war. Dieser soll neben seiner Arbeit für den Kreml auch monetär motivierte Cyberverbrechen begangen haben. Russland toleriert Hacker, solange sie Ziele im Ausland angreifen. Der Strippenzieher lebte offenbar unbehelligt in Russland, obwohl die USA eine Million Dollar für seine Ergreifung ausgesetzt hatten. Er kam jedoch bei einem Fenstersturz ums Leben, bevor er zur Rechenschaft gezogen werden konnte.

Ein Mammutfall für die Schweizer Justiz

Der Fall wurde im Rahmen einer international koordinierten Aktion im Jahr 2021 aufgerollt. Die auf Cybercrime spezialisierte Einheit des Bezirksgerichts Zürich arbeitete fünf Jahre lang an der Aufarbeitung: Sie durchsuchte konfiszierte Laptops und Datenträger, erstellte umfangreiche Akten und koordinierte sich mit Behörden in Frankreich und den Niederlanden. Ob sich diese Herkulesaufgabe gelohnt hat, wird sich nun vor Gericht zeigen.

Ist die Schweiz für Cybercrime gerüstet?

Simon Bächtold, ehemaliger Staatsanwalt im Bereich Cybercrime und heute Inhaber einer auf dieses Gebiet spezialisierten Kanzlei, sieht Defizite: „Ganz generell nicht“, sagt er auf die Frage, ob die Schweiz für Cybercrime gerüstet sei. Das Gesetz weise zwar kaum Lücken auf, viele Delikte würden über klassische Tatbestände wie Erpressung abgehandelt, ergänzt um spezifisch digitale Straftatbestände wie das Eindringen in fremde Computersysteme. Die Strafverfolgung gestalte sich jedoch äusserst schwierig: „Der Aufwand, um eine unbekannte professionelle Täterschaft zu identifizieren und der Strafverfolgung zuzuführen, ist ungleich grösser als in jedem anderen Deliktgebiet. Es braucht einen wahnsinnigen Ressourcen- und Zeiteinsatz. Das können de facto nur die grossen Kantone leisten.“

Derzeit übernehmen kleinere Kantone diese Aufgabe nicht selbst, sondern geben komplexe Fälle an die grossen Kantone ab. Bächtold spricht von einer Art „Gentleman's Agreement“. Auch die Bundesanwaltschaft verfügt über eine Cybercrime-Abteilung, die komplexere Fälle übernehmen kann. Bächtold hält eine stärkere Beteiligung des Bundes für sinnvoll: „Es stellt sich die Frage, ob man bei einer weltweit agierenden Täterschaft nicht doch eine stärkere Kompetenz des Bundes will.“

Was bedeutet dieser Fall für die Schweiz?

International organisierte Cyberkriminalität nimmt stetig zu. Der Zürcher Prozess ist ein Präzedenzfall, der zeigt, dass auch in der Schweiz Täter gefasst und vor Gericht gestellt werden können. Gleichzeitig verdeutlicht er die Grenzen der kantonalen Strafverfolgung. Eine stärkere Koordination und möglicherweise eine zentrale Zuständigkeit des Bundes könnten dazu beitragen, künftige Fälle effizienter zu bearbeiten. Für die betroffenen Unternehmen bleibt der Schutz vor Cyberangriffen eine Daueraufgabe, die Investitionen in IT-Sicherheit und Notfallplanung erfordert.

FAQ: Häufige Fragen zum Ransomware-Prozess in Zürich

Was wird dem Angeklagten konkret vorgeworfen?

Dem 52-jährigen Softwareentwickler wird vorgeworfen, die Schadsoftware für Ransomware-Angriffe entwickelt zu haben, darunter die Programme „Lockergoga“, „Megacortex“ und „Nefilim“. Zudem soll er an der Planung der Automatisierungssoftware „RMS“ beteiligt gewesen sein. Die Anklage lautet auf Erpressung, Datenbeschädigung, Eindringen in Datenverarbeitungssysteme und Geldwäscherei.

Wie hoch ist der geforderte Schadenersatz?

Die Staatsanwaltschaft fordert eine Freiheitsstrafe von mindestens zwölf Jahren. Über Schadenersatzforderungen wird im Urteil entschieden. Die geschädigten Unternehmen, darunter Altran und Stadler Rail, haben Schäden in zweistelliger Millionenhöhe beziehungsweise rund fünf Millionen Franken geltend gemacht.

Wann fällt das Urteil?

Das Urteil wird am 10. September 2026 erwartet. Der Prozess vor dem Bezirksgericht Zürich dauert voraussichtlich mehrere Wochen.