VBS closes review of RUAG MRO cyber incident, recommends stronger cyber resilience measures

Das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) hat den Cybervorfall bei einer US-Tochtergesellschaft der RUAG MRO sowie den Umgang des Unternehmens mit dem Vorfall überprüft. Die Untersuchung kommt zum Schluss, dass der Entscheid der RUAG MRO zur Zahlung eines Lösegelds im Rahmen ihrer unternehmerischen Verantwortung getroffen wurde und keine Anhaltspunkte für eine Rechtsverletzung bestehen. Gleichzeitig zeigt die Prüfung Verbesserungspotenzial bei der gesamtheitlichen Risikoabwägung und beim Informationsfluss gegenüber dem Bund als Eigner auf. Das VBS hat entsprechende Empfehlungen ausgesprochen und weitere Massnahmen eingeleitet, die rasch umgesetzt werden.

Am 9. und 10. Oktober 2025 wurde bei der RUAG LLC, einer Tochtergesellschaft der RUAG MRO Holding AG, ein Ransomware-Angriff der Hackergruppe AKIRA festgestellt. Im Auftrag des Chefs des Eidgenössischen Departements für Verteidigung, Bevölkerungsschutz und Sport (VBS) hat das VBS den Cybervorfall aufgearbeitet. Dabei wurde insbesondere geprüft, ob das Unternehmen mit dem Entscheid zur Zahlung eines Lösegelds rechtskonform gehandelt und seine Pflichten gegenüber dem Bund als Eigner eingehalten hat.
Die Untersuchung zeigt, dass die RUAG MRO die Rechtskonformität einer Lösegeldzahlung nach anwendbarem US-Recht vor der Zahlung geprüft hat. Als privatrechtlich organisierte Aktiengesellschaft trägt die RUAG MRO die Verantwortung für ihre operativen Geschäftsentscheide. Der Entscheid über die Zahlung des Lösegelds lag somit in der Zuständigkeit der Unternehmensorgane. Eine vorgängige Zustimmung des Bundes als Eigner war daher nicht erforderlich.
Die Untersuchung hält gleichzeitig fest, dass eine koordinierte Information gegenüber dem Bund als Eigner angebracht gewesen wäre. Die strategischen Ziele des Bundesrats für die RUAG MRO sehen eine Information des Eigners vor einer öffentlichen Kommunikation vor.
Die Prüfung zeigt ferner, dass die dem Entscheid zugrunde liegende Chancen- und Risikoabwägung der RUAG MRO schwergewichtig auf rechtliche und ökonomische Überlegungen ausgerichtet war. Nach Einschätzung des VBS wurden politische und reputationsbezogene Auswirkungen sowie weitere übergeordnete Interessen nicht ausreichend berücksichtigt. Das VBS erwartet von der RUAG MRO, dass diese Aspekte stärker in die Abwägung einbezogen werden.
Die RUAG MRO hat den Vorfall ihrerseits analysiert und verschiedene Verbesserungsmassnahmen eingeleitet. Sie arbeitet daran, die von ihr selbst erkannten Schwachstellen (Eskalationsprozesse bei den Tochtergesellschaften, Informatik-Governance unter Einbezug des Informatikverantwortlichen der RUAG MRO, Prozesse der Krisenkommunikation und Mindestanforderungen an die Informatiksicherheit) zu beheben. Das VBS begrüsst diese Massnahmen und hat die RUAG MRO beauftragt, deren Umsetzung weiterzuführen und den Eignerstellen GS-VBS und EFV darüber Bericht zu erstatten.
Um vergleichbare Situationen künftig zu vermeiden, hat der Bund als Eigner zusätzliche Empfehlungen an die RUAG MRO ausgesprochen. So soll die RUAG MRO gemeinsam mit dem Bundesamt für Cybersicherheit (BACS) ihre Schutzmassnahmen und Prozesse überprüfen, allfällige Schwachstellen beheben und die Widerstandsfähigkeit gegenüber Cyberangriffen weiter stärken. Dabei soll auch beurteilt werden, ob die RUAG MRO insgesamt angemessen gegen Cybervorfälle geschützt ist.
Die Eignerstellen weisen die RUAG auf die Informationspflichten zu einer frühzeitigen und sachgerechten Information gemäss den strategischen Zielen hin. Zudem sind die Eignerstellen angehalten, sich frühzeitig aktiv in die Aufarbeitung solcher Fälle einzubringen.
Aufgrund der Ergebnisse der Untersuchung sieht das VBS keinen Anlass für weitergehende eigentumsrechtliche Massnahmen gegenüber der RUAG MRO. Mit den ausgesprochenen Empfehlungen und den eingeleiteten Massnahmen sollen die Lehren aus dem Vorfall umgesetzt und die Resilienz der RUAG MRO gegenüber künftigen Cybervorfällen gestärkt werden.
Das VBS und der Bund halten unverändert an ihrer Empfehlung fest, im Falle von Cyber-Angriffen kein Lösegeld zu bezahlen.