Schweizer Bahnriese Stadler lehnt 12,3 Mio. Franken-Lösegeld von Everest ab

mark · 23. Juli 2026

Ransomware-Banden treffen nicht mehr nur Krankenhäuser und Banken. Sie nehmen sich nun die Schienen vor, die ganze Länder bewegen.

Mitte Juli stand der Schweizer Zughersteller Stadler Rail einer Lösegeldforderung von 12,3 Millionen Dollar gegenüber. Verursacher: Everest, eine russischsprachige Ransomware-Gruppe, die seit 2020 ihren Namen in kritische Infrastrukturen einbrennt. BMW, Collins Aerospace und sogar das schwedische Stromnetz standen bereits in Everests Visier. Diesmal war der Eisenbahnsektor an der Reihe.

Aber das ist der Punkt, der zählt: Stadler sagte nein.

Der Angriff war ein Schatten in der Lieferkette

Zuerst die Fakten — es handelte sich nicht um eine netzwerkweite Intrusion. Everest nutzte kompromittierte Anmeldedaten von einer Datenplattform, die einer von Stadlers Lieferanten nutzte. Das gab den Angreifern Zugriff auf einige technische Dateien des Lieferanten. Stadlers eigene Systeme blieben intakt. Fabriken liefen weiter. Züge fuhren. Keine sicherheitsrelevanten Daten wurden geleakt, keine personenbezogenen Informationen kompromittiert.

Ransomware-Banden gedeihen durch Panik. Sie zählen darauf, dass Scham, Angst und operativer Druck das Opfer zum Zahlen zwingen. Stadlers Antwort durchtrennte das alles mit einem einzigen, klaren Satz: "Unter keinen Umständen wird Stadler ein Lösegeld zahlen."

Für ein Unternehmen, dessen Ruf buchstäblich auf Vertrauen fährt — man will nicht als der Bahnriese bekannt werden, der vor Erpressern kapituliert.

Wer ist Everest und warum ist er ein Eisenbahnproblem?

Everest ist kein Teenager-Hacker im Schlafzimmer. Es ist ein finanziell motiviertes, russischsprachiges Syndikat, operativ seit etwa 2020. Ihre Spezialität ist Datendiebstahl und Erpressung — sie stehlen Dateien und drohen mit Veröffentlichung oder Verkauf. Im Gegensatz zu klassischem Ransomware, das Laufwerke verschlüsselt, weiß Everest, dass manche Verletzungen schlimmer sind, wenn deine Geheimnisse auf den öffentlichen Markt gelangen.

Ihre Opferliste liest sich wie das Who's Who industrieller Komplexität:

• BMW (Automobil)
• Collins Aerospace (Luft- und Raumfahrt)
• Svenska kraftnät (Schwedisches Stromnetz)
• und nun eine schweizerische Eisenbahnlieferkette

Der Eisenbahnsektor zieht mehr Aufmerksamkeit auf sich, weil er an der Schnittstelle von strategischer Logistik, OT/IT-Konvergenz und langsamen Patch-Zyklen steht. ENISA veröffentlichte einen Bericht von Mai 2026, der den Eisenbahnsektor in einer cybernetischen Risikozone platzierte. Nur 35 % der Bahnbetreiber testen regelmäßig die Wirksamkeit ihrer Sicherheitskontrollen. Die Hälfte evaluiert ad hoc. Nur ein Viertel testet regelmäßig Geschäftskontinuität und Notfallwiederherstellung.

Das bedeutet: Wenn Everest — oder eine andere Gruppe — durch die Tür eines Lieferanten schlüpft, kämpften die meisten eisenbahnbezogenen Organisationen mit einer grundlegenden Frage: Wissen wir überhaupt, dass wir getroffen wurden?

Was der Lieferkettenangriff offenlegt

Dieser Angriff war ein Lehrbuch-Beispiel für "folge dem Vertrauen". Der Lieferant wurde wahrscheinlich gewählt, weil er eine vertrauenswürdige Beziehung zu Stadler hat. Die Kompromittierung erforderte keine Zero-Days, keine Phishing-Sophistikation über den Durchschnitt hinaus oder eine einzelne Schwachstelle in Stadlers Kernsystemen. Sie brauchte nur eine gestohlene Anmeldedaten.

Für Nahost-Betreiber, die genau zusehen — Integratoren, Flottenbetreiber und die Agenturen, die sie bauen — lautet die Lehre konkret:

1. Lieferantenidentität ist Sicherheitsidentität. Das Passwort deines Lieferanten ist dein Perimeter.
2. Datensegmentierung bedeutet nicht "wir haben Ordner". Es bedeutet, dass Lieferanten nicht über gemeinsame Portale auf alle Daten des jeweils anderen zugreifen können sollten.
3. Vorfallreaktion ist jetzt eine Lieferkettenkompetenz. Die Entdeckung kam durch öffentliche Behauptungen, nicht durch interne Überwachung.
4. Lösegeldverweigerung ist eine gültige Strategie, wenn die Daten nicht kritisch sind und die Produktion nicht beeinträchtigt wird.

Die Erkenntnis für Betreiber

Ransomware ist kein Problem, das man an ein einzelnes SOC auslagert. Es ist eine systemweite Design-Herausforderung. Der Eisenbahnsektor lernt diese Lektion auf die harte Tour, ein Lieferantenportal nach dem anderen.

Für Organisationen, die Eisenbahn- und Mobilitätsinfrastruktur der nächsten Generation bauen — von autonomen Ticketsystemen bis zu OT-integrierter Signaltechnik — lautet die Blaupause: Verkleinere deine Vertrauensfläche, segmentiere den Lieferantenzugriff, als ob dein Netzwerk davon abhinge (weil es das tut), und treffe die Entscheidung zur Lösegeldverweigerung, bevor die Forderung in deinem Posteingang landet.

Stadler hat gerade bewiesen, dass eine Verweigerung möglich ist. Nun muss die restliche Industrie diese Haltung erreichen.

Quellen: BleepingComputer, Railway Gazette International, SwissInfo, SC Media