Der Schweizer Schienenfahrzeughersteller Stadler ist Opfer eines Cyberangriffs der Ransomware-Gruppe Everest geworden. Trotz einer hohen Lösegeldforderung verweigert das Unternehmen jegliche Zahlung und geht juristisch gegen die Angreifer vor.
Der Schweizer Schienenfahrzeughersteller Stadler ist Ziel eines Cyberangriffs der Ransomware-Gruppe Everest geworden. Das Unternehmen bestätigte, dass die Angreifer eine Lösegeldforderung in Höhe von 10 Millionen Schweizer Franken (umgerechnet etwa 12,3 Millionen US-Dollar) gestellt haben [1]. Trotz des hohen Drucks durch die Erpresser zeigt sich der Hersteller unnachgiebig: Stadler hat die Forderung kategorisch zurückgewiesen und die Behörden eingeschaltet.
Einfallstor: Kompromittierte Datenplattform eines Zulieferers
Wie aus den ersten Untersuchungen des Vorfalls hervorgeht, gelangten die Cyberkriminellen nicht durch einen direkten Angriff auf die Kernsysteme von Stadler in das Netzwerk. Stattdessen nutzten die Angreifer kompromittierte Zugangsdaten, die für eine Datenaustauschplattform verwendet wurden, welche Stadler gemeinsam mit einem Zulieferer nutzt [1].
Dieser Vorfall unterstreicht eine zunehmende Sicherheitslücke in der modernen vernetzten Industrie: Selbst Unternehmen mit strengen internen Sicherheitsvorkehrungen sind durch die Einbindung von Drittanbietern und geteilten Plattformen einem erhöhten Risiko ausgesetzt. Die Everest-Gruppe agiert dabei in diesem Fall als klassische Akteure der digitalen Erpressung, die gezielt nach Schwachstellen in den Lieferketten suchen.
Stadler bleibt standhaft: Keine Zahlung an die Erpresser
Stadler hat auf die Erpressungsversuche mit einer deutlichen Haltung reagiert. "Unter keinen Umständen wird Stadler ein Lösegeld zahlen", erklärte das Unternehmen in einer Stellungnahme [1]. Diese Entscheidung ist ein klares Signal an die Szene der Cyberkriminellen, dass das Unternehmen sich nicht als Ziel für klassische Ransomware-Erpressungen eignet.
Als Konsequenz aus dem Angriff hat der Schienenfahrzeughersteller Strafanzeige bei der Kantonspolizei Thurgau erstattet. Damit verfolgt Stadler den juristischen Weg, um die Urheber des Angriffs zur Verantwortung zu ziehen und die Ermittlungen durch die Strafverfolgungsbehörden zu unterstützen.
Auswirkungen auf Produktion und Betrieb
Nach Angaben des Unternehmens hat der Vorfall, der sich Mitte Juli 2026 ereignete, keine Auswirkungen auf den laufenden Betrieb. Stadler betonte dabei explizit, dass weder die produktionskritischen IT-Systeme noch die Fertigungsabläufe in den weltweit 16 Produktions- und Komponentenwerken beeinträchtigt wurden [1].
Nach derzeitigem Kenntnisstand wurden durch die Angreifer lediglich technische Informationen entwendet, die einem Zulieferer zuzuordnen sind. Das Unternehmen stellte klar, dass es sich dabei um Daten handelt, die nicht sicherheitsrelevant sind. Zudem seien keine relevanten personenbezogenen Daten gestohlen worden, und der Betrieb der Stadler-Schienenfahrzeuge weltweit ist laut Aussage des Unternehmens zu keinem Zeitpunkt gefährdet gewesen [1].
Hintergrund: Die Strategie der Everest-Gruppe
Die hinter dem Angriff stehende Everest-Gruppe ist seit Ende 2020 in der Cybercrime-Szene aktiv. Ursprünglich lag ihr Fokus auf der reinen Datendiebstahl-Erpressung, ohne dass zwangsläufig Verschlüsselungstechnologien zum Einsatz kamen [1]. Mittlerweile hat sich das Geschäftsmodell der Gruppe diversifiziert.
Die Organisation tritt heute oft als sogenannte hybride Akteure auf: Sie agieren einerseits als Ransomware-Gruppe und andererseits als "Initial Access Broker", die gestohlene Netzwerkzugänge an andere kriminelle Gruppen weiterverkaufen. Zudem ist die Bande für ihre Rekrutierungsprogramme bekannt, bei denen gezielt Insider in Unternehmen dafür bezahlt werden, den Angreifern direkten Zugang zu internen Netzwerken zu ermöglichen [1]. In der Vergangenheit hat die Gruppe unter anderem Verantwortung für Störungen an mehreren großen europäischen Flughäfen übernommen.
Die zunehmende Digitalisierung des Schienenverkehrs macht die gesamte Branche in den kommenden Jahren voraussichtlich zu einem noch häufigeren Ziel für derartige Angriffe [1]. Für Stadler und vergleichbare Industriegrößen bleibt der Vorfall eine Mahnung, die IT-Sicherheitsstandards – insbesondere im Umgang mit Zulieferern und geteilten Plattformen – kontinuierlich zu verschärfen.