Ransomware-Angriff auf Crealogix: Ex-CEO schildert den Albtraum von 2019
Ein Mann steht in Zürich vor Gericht, der einer berüchtigten Ransomware-Bande angehört haben soll. Eines der Opfer: die Zürcher IT-Firma Crealogix.
Bildschirme eingefroren, E-Mails tot: Wie Crealogix zum Ransomware-Opfer wurde
Es ist kurz vor Feierabend am 25. Juli 2019, als Thomas Avedik, damals CEO des Zürcher IT-Unternehmens Crealogix, einen Anruf erhält, der sein Leben auf den Kopf stellt. Ein Mitarbeiter meldet, er könne keine Dateien mehr öffnen – stattdessen erscheine eine Erpressernachricht auf dem Bildschirm. Wie die NZZ berichtet, glaubt Avedik zunächst an einen schlechten Scherz. Minuten später häufen sich die Meldungen.
«Da wussten wir, dass etwas Aussergewöhnliches passiert ist», sagt Avedik heute. Für ihn und ein rund dreissigköpfiges Krisenteam beginnt damit die schwierigste Phase seiner Karriere – eine, die mehrere Monate andauern wird.
Eingeschleust über eine gefälschte E-Mail
Ermittler können später rekonstruieren, wie die Kriminellen in das Netzwerk von Crealogix eingedrungen sind, wie aus der Anklageschrift der Zürcher Staatsanwaltschaft hervorgeht. Alles beginnt Ende Mai 2019 mit einer Phishing-E-Mail: Ein Mitarbeiter klickt auf einen Link, woraufhin die Schadsoftware «Megacortex» ins Unternehmensnetz eingeschleust wird.
Während mehr als zweier Monate bewegen sich die Angreifer unbemerkt durch das Netzwerk, verschaffen sich zusätzliche Berechtigungen und bereiten den eigentlichen Angriff vor. Am Nachmittag des 25. Juli 2019 schlagen sie zu: Sämtliche Server und die Arbeitsrechner der rund eintausend Mitarbeiter an verschiedenen Standorten weltweit werden verschlüsselt. Bildschirme frieren ein, Dateien sind unzugänglich, Telefone und E-Mail-Systeme fallen aus.
Lösegeldforderung von bis zu 600 Bitcoin
Auf allen betroffenen Rechnern hinterlassen die Täter eine Textnachricht: Zahlung in Bitcoin oder die Daten bleiben gesperrt. Gemäss Anklageschrift fordern die Angreifer bis zu 600 Bitcoin – zum damaligen Zeitpunkt rund 5,5 Millionen Franken. Und sie warnen explizit: Die Firma solle gar nicht erst versuchen, sich als klein und unbedeutend darzustellen. «Dieser Scheiss funktioniert überhaupt nicht», schreiben die Täter.
Tatsächlich hatten die Kriminellen ihre Schadsoftware zuvor auch in zahlreiche weitere Unternehmen weltweit eingeschleust. Bei jenen blieb ein Angriff jedoch aus – mutmasslich weil dort zu wenig zu holen gewesen wäre.
Crealogix nicht das einzige Schweizer Opfer
Die Bande, hinter der die Spur nach Russland führt, soll laut Europol 1800 Angriffe in 71 Ländern durchgeführt haben. Crealogix ist nicht das einzige Schweizer Unternehmen, das ins Visier gerät. Zwei Tage vor dem Angriff auf die IT-Firma legen dieselben Hacker die auf Heiz- und Sanitärtechnik spezialisierte Handelsfirma Meier Tobler lahm. Einige Monate später trifft es den Schienenfahrzeughersteller Stadler Rail.
In Zürich steht nun ein Mann vor Gericht, der hochrangiges Mitglied dieser Ransomware-Bande gewesen sein soll.
«Wie Marschieren in der Dunkelheit ohne Taschenlampe»
Avedik beschreibt die ersten Tage nach dem Angriff mit deutlichen Worten: «Es war, wie wenn wir in der Dunkelheit und ohne Taschenlampe über einen Berg marschieren müssten. Niemand wusste, wohin es geht. Niemand konnte sagen, ob wir das wirklich schaffen.»
Zusammen mit internen Spezialisten, externen Fachleuten und der Polizei baut Crealogix rasch eine Kommunikationslinie auf, über die alle Mitarbeiter über den Angriff informiert werden. Am Hauptsitz in Zürich entsteht eine improvisierte Schaltzentrale. Rund dreissig Personen bilden das Krisenteam; alle übrigen Mitarbeiter werden für zwei Wochen in die Ferien geschickt. Avedik selbst kehrt nur für wenige Stunden täglich nach Hause zurück.
Das Ziel: die Systeme in mühsamer Kleinarbeit wieder aufzubauen. Die verschlüsselten Dateien lassen sich nicht einfach wiederherstellen. Zwar existieren Back-ups, doch diese sind eine Woche alt. Zudem müssen Millionen von Codezeilen auf allfällige versteckte Trojaner überprüft werden, die für einen erneuten Angriff hätten genutzt werden können, wie Avedik erklärt.
Ransomware ist heute ein Massengeschäft
Zum Zeitpunkt des Angriffs auf Crealogix im Sommer 2019 sind solche ausgefeilten Cyberattacken noch vergleichsweise wenig bekannt. Heute sind sie ein Massenphänomen. Kriminelle Gruppierungen betreiben sie industriell, manche mit nachgewiesenen Verbindungen zum russischen Staat. Der Einsatz von Künstlicher Intelligenz beschleunigt diese Entwicklung zusätzlich.
Allein in der vergangenen Woche gingen beim Bundesamt für Cybersicherheit 25 Meldungen über Hacking-Angriffe ein. Gemäss einer Analyse des Sicherheitsdienstes Bitdefender wurden im ersten Halbjahr 2026 weltweit 4641 Angriffe von Ransomware-Gruppen registriert – 35 davon betrafen Schweizer Unternehmen. Erfasst wurden dabei nur jene Fälle, bei denen sich die Cyberkriminellen öffentlich zur Attacke bekannten.
Eine kürzlich veröffentlichte Studie von Deloitte zeigt, dass kleinere und mittlere Schweizer Unternehmen bei der Cyberabwehr hinterherhinken und die Risiken vielerorts unterschätzt werden.
Source: NZZ