Ukrainischer Hacker wegen Ransomware-Angriffen in der Schweiz zu fast 13 Jahren Haft verurteilt

Ein Zürcher Gericht hat einen ukrainischen IT-Spezialisten zu zwölf Jahren und neun Monaten Haft verurteilt und damit eines der bedeutendsten Ransomware-Urteile der Schweiz gefällt. Das Gericht ordnete zudem ein zehnjähriges Landesverbot an. Das Urteil wurde am Donnerstag, 10. September, gefällt und am 11. September 2026 von Keystone-SDA gemeldet.

Der 52-jährige Angeklagte, der im Baselbiet wohnte, wurde wegen seiner Rolle bei Angriffen auf Schweizer und internationale Unternehmen schuldig gesprochen. Die Staatsanwaltschaft schätzte den entstandenen Schaden auf rund 100 Millionen Franken beziehungsweise etwa 123 Millionen Dollar. Die Kampagne richtete sich unter anderem gegen den Zughersteller Stadler Rail, das Heizungs- und Gebäudetechnikunternehmen Meier Tobler sowie den Softwareanbieter Crealogix.

Das Gericht befand, der Angeklagte habe Ransomware entwickelt, mit der Unternehmensdaten gesperrt wurden, und so die Erpressungsoperation ermöglicht. Die Staatsanwaltschaft hatte eine zwölfjährige Freiheitsstrafe beantragt. Die Richter verhängten eine längere Strafe, nachdem sie den Beitrag des Angeklagten zu den Angriffen beurteilt hatten.

Seit Oktober 2021 befand er sich in Untersuchungshaft. Das Urteil macht einen technischen Spezialisten verantwortlich, der laut Gericht die Werkzeuge und das Fachwissen bereitstellte, mit denen Angriffe ermöglicht wurden, die weit über ein einzelnes Opfer hinausgingen.

Bei einem Angriff wurden rund 500 Gigabyte Daten von Stadler Rail gestohlen, wie aus den Akten hervorgeht. Die Hacker drohten, das vertrauliche Material zu veröffentlichen, und forderten ein Lösegeld. Stadler Rail lehnte die Zahlung ab.

Der Angriff rückte ein bedeutendes Schweizer Industrieunternehmen ins Zentrum eines kriminellen Geschäftsmodells, das Datendiebstahl mit Verschlüsselung verbindet. Ransomware-Betreiber stören zunächst interne Systeme und setzen anschliessend gestohlene Dateien ein, um den Druck auf Führungskräfte, Kunden und Lieferanten zu erhöhen. Die Staatsanwaltschaft brachte die umfassendere Kampagne mit Verlusten von geschätzt 100 Millionen Franken in Verbindung, obwohl einige der angegriffenen Unternehmen zahlten.

Stadler Rail mit Sitz in Bussnang im Kanton Thurgau stellt Züge für Märkte auf der ganzen Welt her. Ein Angriff auf ein Unternehmen mit komplexen Produktions-, Entwicklungs- und Lieferkettensystemen kann mehr als nur Bürocomputer beeinträchtigen. Vertrauliche Entwürfe, Geschäftsdokumente und der mit Partnern ausgetauschte Informationsbestand können bei einer Erpressung als Druckmittel dienen.

Der Vorfall von 2020 zeigte auch, wie schnell ein Cyberangriff auf ein Schweizer Unternehmen zum internationalen Thema werden kann. Swissinfo berichtete zuvor, die Angreifer hätten 6 Millionen Dollar in Bitcoin für die Rückgabe der Dokumente von Stadler verlangt. Mit der jetzigen Verurteilung findet der Fall vor Gericht seinen Abschluss, während die gestohlenen Daten und das grössere kriminelle Netzwerk weiterhin im Fokus stehen.

Das Gericht nannte drei Ransomware-Familien, die im Zentrum des Falls standen: Lockergoga, Megacortex und Nefilim. Die Richter bezeichneten den Angeklagten als deren leitenden Entwickler. Mit diesen Programmen wurden die Daten der angegriffenen Unternehmen verschlüsselt. Sie bildeten die technische Grundlage der Erpressungsversuche.

Das Urteil unterschied zwischen der Softwareentwicklung und den Personen, die Opfer auswählten, Angriffe koordinierten und Forderungen stellten. Der Richter sagte, der Angeklagte sei nicht der Drahtzieher gewesen. Er habe die Schadsoftware entwickelt und an weiterhin unbekannte Auftraggeber weitergegeben. Diese Unterscheidung prägte die Darstellung des Vorgehens durch das Gericht, hob seine strafrechtliche Verantwortung aber nicht auf.

Der Angeklagte bestritt, gewusst zu haben, dass seine Software für Straftaten eingesetzt würde. Er sagte, er habe als Berater für einen unbekannten Kunden im Bereich IT-Sicherheit gearbeitet, und erklärte damit, weshalb bei ihm zu Hause Quellcode gefunden worden sei. Die Staatsanwaltschaft hielt dem entgegen, dass sich auch Erpressungsnachrichten unter seinen Daten befanden. Das Gericht wies seine Erklärung zurück.

Der Fall zeigt, vor welchen Schwierigkeiten Ermittler stehen, wenn Cyberkriminalität auf Programmierer, Vermittler, Betreiber und Verhandlungsführer aufgeteilt ist. Ein Entwickler muss nie in das Netzwerk eines Opfers eindringen. Die von ihm geschaffenen Werkzeuge können dennoch Ausmass und Geschwindigkeit eines Angriffs bestimmen.

Im Fall kam auch eine mutmassliche Verbindung zu russischen Geheimdiensten und einem angeblichen Auftraggeber zur Sprache, der in Moskau ums Leben kam. Während des Prozesses im August sagte die Staatsanwaltschaft, der mutmassliche Kontakt des Angeklagten habe mit russischen Geheimdiensten zusammengearbeitet, bevor er im November 2022 in Moskau aus einem Fenster gestürzt sei.

Bei dem Mann handelte es sich Berichten zufolge um einen ukrainischen Hacker, der eine von russischen Geheimdiensten bereitgestellte falsche Identität verwendete. Laut Darstellung der Staatsanwaltschaft hatten die USA eine Belohnung für Informationen über ihn ausgesetzt. Diese Behauptungen gehörten zum umfassenderen Bild sich überschneidender krimineller und staatlicher Interessen im Prozess. Im Urteil aus Zürich stand jedoch das Verhalten des Angeklagten selbst im Zentrum.

Die Staatsanwaltschaft brachte die Ransomware-Angriffe mit einer russischen Strategie in Verbindung, in westlichen Ländern Unordnung und wirtschaftlichen Schaden zu verursachen. Kriminelle Gruppen können in einem Umfeld tätig sein, in dem staatliche Akteure ihre Aktivitäten dulden oder ausnutzen. Eine eindeutige Zuordnung bleibt schwierig, weil Angreifer ihre Identität verschleiern, Vermittler einsetzen und ihre Infrastruktur über mehrere Rechtsräume hinweg verlagern.

Der mutmassliche Auftraggeber ist tot, weitere Organisatoren sind nicht identifiziert. So können Schweizer Ermittler und Staatsanwälte einen Beteiligten verurteilen, während die Personen, die die Angriffe mutmasslich gesteuert haben, nicht vor Gericht stehen.

Laut einer separaten Einschätzung für 2025 war die Schweiz von rund 200 Ransomware-Angriffen betroffen, die der Gruppe Akira zugeschrieben wurden. Dies zeigt, dass das Zürcher Urteil nur eine Kampagne innerhalb einer anhaltenden Bedrohung betrifft. Schweizer Behörden erklärten, Akira habe seine Aktivitäten verstärkt und Unternehmen im ganzen Land ins Visier genommen.

Die Fälle betreffen mehr als grosse Industriebetriebe. Ransomware kann Spitäler, Hersteller, Gemeinden, Detailhändler und kleinere Zulieferer beeinträchtigen, deren Systeme mit grösseren Unternehmensnetzwerken verbunden sind. Der Fall Stadler zeigt das zusätzliche Risiko, das entsteht, wenn Angreifer sensible Dateien kopieren, bevor sie Systeme verschlüsseln. Eine Zahlungsverweigerung kann verhindern, dass Kriminelle finanziert werden, garantiert aber nicht, dass gestohlene Informationen vertraulich bleiben.

Das Zürcher Urteil unterstreicht auch, wie wichtig es ist, digitale Beweise zu sichern. Quellcode, Erpressungsnachrichten und Aufzeichnungen auf persönlichen Geräten halfen der Staatsanwaltschaft, die Darstellung des Angeklagten infrage zu stellen. Internationale Zusammenarbeit bleibt unerlässlich, weil Angreifer, Server, Opfer und Kryptowährungstransaktionen mehrere Rechtssysteme betreffen können.

Die Strafe wird weder die unbekannten Organisatoren identifizieren noch sämtliche Verluste aus der Kampagne wiedergutmachen. Sie zeigt jedoch, dass Schweizer Gerichte erhebliche Strafen verhängen können, wenn ein technischer Spezialist wissentlich Ransomware-Angriffe ermöglicht, selbst wenn er nicht die letzte Entscheidungsinstanz ist.