Zehn Millionen Lösegeld – warum die Lieferkette zum Sicherheitsrisiko wird

Ein Unternehmen kann seine eigenen IT-Systeme wirksam schützen und dennoch zum Ziel einer Cybererpressung werden. Denn Angreifer suchen nicht immer den direkten Weg. Sie greifen zunehmend dort an, wo Unternehmen Daten mit Zulieferern, Dienstleistern und Geschäftspartnern austauschen.

Der aktuelle Cybervorfall bei Stadler Rail zeigt dieses Risiko besonders deutlich. Cyberkriminelle gelangten offenbar über kompromittierte Zugangsdaten an technische Informationen auf einer gemeinsam mit einem Zulieferer genutzten Datenaustauschplattform. Anschließend forderte die sogenannte Everest Group zehn Millionen Schweizer Franken Lösegeld.

Stadler Rail verweigerte die Zahlung und erstattete Strafanzeige.

Der Fall zeigt deshalb nicht nur eine technische Schwachstelle. Er zeigt vor allem, wie stark Unternehmen inzwischen von der Sicherheit ihrer gesamten Lieferkette abhängig sind.

Was bei Stadler Rail passiert sein soll

Nach einer Mitteilung von Stadler Rail ereignete sich der Vorfall Mitte Juli 2026. Unbefugte verschafften sich demnach Zugriff auf bestimmte technische Informationen eines Zulieferbetriebes.

Der Zugriff erfolgte über kompromittierte Zugangsdaten einer Plattform, die für den Datenaustausch genutzt wurde.

Nach Angaben des Unternehmens blieben die eigenen IT-Systeme unversehrt. Außerdem seien keine sicherheitsrelevanten technischen Informationen und keine relevanten personenbezogenen Daten entwendet worden. Die weltweit eingesetzten Schienenfahrzeuge seien ebenfalls nicht betroffen. Auch die Produktion laufe ohne Einschränkungen weiter.

In einem Bekennerschreiben übernahm die cyberkriminelle Everest Group die Verantwortung und verlangte zehn Millionen Schweizer Franken. Stadler erklärte daraufhin, unter keinen Umständen Lösegeld zu zahlen. Zudem wurde bei der Kantonspolizei Thurgau Strafanzeige erstattet.

Diese Angaben beruhen auf der bisherigen Darstellung des Unternehmens. Eine abschließende behördliche oder gerichtliche Bewertung des Vorfalls liegt derzeit nicht vor.

Kein klassischer Ransomware-Angriff

Bei einem klassischen Ransomware-Angriff werden Daten oder ganze Systeme verschlüsselt. Das betroffene Unternehmen soll anschließend für die Entschlüsselung bezahlen.

Im Fall von Stadler Rail war nach den bisher bekannten Informationen jedoch nicht die Verschlüsselung der Systeme das zentrale Druckmittel. Stattdessen wurden technische Informationen entwendet und anschließend für eine Lösegeldforderung genutzt.

Dieses Vorgehen wird häufig als Daten- oder Cybererpressung bezeichnet.

Die Täter benötigen dabei nicht mehr zwingend die Kontrolle über die gesamte IT-Infrastruktur. Es genügt ihnen mitunter, sensible oder vermeintlich sensible Informationen zu kopieren. Danach drohen sie mit deren Veröffentlichung, Weitergabe oder Verkauf.

Der aktuelle Internet Organised Crime Threat Assessment 2026 von Europol beschreibt genau diese Entwicklung. Demnach verlagert sich das Erpressungsmodell zunehmend von der Verschlüsselung zur Drohung, gestohlene Daten zu veröffentlichen. Europol beobachtete im Jahr 2025 mehr als 120 aktive Ransomware-Marken. Zugleich geraten digitale Lieferketten verstärkt in den Fokus.

Warum die Lieferkette zum Einfallstor wird

Moderne Unternehmen arbeiten nicht isoliert. Sie nutzen gemeinsame Datenräume, Cloud-Dienste, Wartungszugänge, Entwicklungsplattformen und Projektportale.

Das erleichtert die Zusammenarbeit. Es schafft aber auch zusätzliche Vertrauensbeziehungen.

Jeder externe Zugang kann deshalb zu einem möglichen Angriffspunkt werden. Das gilt insbesondere dann, wenn:

Zugangsrechte zu weit gefasst sind,
Konten nach Projektende nicht deaktiviert werden,
eine Mehrfaktor-Authentifizierung fehlt,
Passwörter mehrfach verwendet werden,
Aktivitäten nicht ausreichend protokolliert werden,
gemeinsame Plattformen nicht regelmäßig überprüft werden,
oder Zulieferer andere Sicherheitsstandards anwenden.

Das Bundesamt für Sicherheit in der Informationstechnik weist ausdrücklich darauf hin, dass bereits ein kompromittierter Zulieferer Datenlecks verursachen und den Geschäftsbetrieb beeinträchtigen kann. Das BSI behandelt die Sicherheit der Lieferkette deshalb als wichtigen Bestandteil eines wirksamen Risikomanagements.

Ein geschütztes Kernsystem reicht nicht mehr aus

Der Vorfall macht deutlich, dass Cybersicherheit nicht an der eigenen Firewall endet.

Ein Unternehmen kann intern moderne Schutzsysteme einsetzen. Dennoch können Informationen über externe Plattformen, Dienstleister oder Partnerkonten abfließen.

Deshalb muss die Sicherheitsprüfung weiter gefasst werden. Sie sollte nicht nur die eigene IT betrachten, sondern auch:

Zulieferer und Unterauftragnehmer,
externe Administratoren,
Cloud- und Plattformanbieter,
ehemalige Beschäftigte,
Projektmitarbeiter,
Beratungsunternehmen,
Wartungsfirmen,
gemeinsam genutzte Datenräume,
sowie technische und organisatorische Zugriffsrechte.

Je sensibler die ausgetauschten Informationen sind, desto genauer müssen die beteiligten Personen, Systeme und Berechtigungen überprüft werden.

Die Entscheidung gegen eine Lösegeldzahlung

Stadler Rail hat öffentlich erklärt, kein Lösegeld zu zahlen. Das ist ein klares Signal an die Täter.

Auch das BSI empfiehlt grundsätzlich, nicht auf Lösegeldforderungen einzugehen. Denn eine Zahlung garantiert weder die Löschung gestohlener Informationen noch die Wiederherstellung verschlüsselter Systeme.

Außerdem kann nicht überprüft werden, ob die Täter Kopien behalten haben. Sie könnten die Daten später erneut verkaufen oder eine weitere Forderung stellen. Zugleich finanzieren Lösegeldzahlungen das kriminelle Geschäftsmodell und ermöglichen neue Angriffe.

Dennoch ist die Situation für betroffene Unternehmen häufig schwierig. Geschäftsführung, Rechtsberatung, IT-Forensik, Versicherer und Ermittlungsbehörden müssen unter erheblichem Zeitdruck handeln.

Deshalb sollte die grundsätzliche Vorgehensweise bereits vor einem Vorfall festgelegt werden. Eine solche Entscheidung darf nicht erst getroffen werden, wenn Systeme ausgefallen sind oder eine Veröffentlichung unmittelbar bevorsteht.

Was nach einer Cybererpressung sofort geschehen sollte

Nach einem Sicherheitsvorfall zählt jede Stunde. Gleichzeitig dürfen durch überstürzte Maßnahmen keine wichtigen Spuren vernichtet werden.

Folgende Schritte sind regelmäßig entscheidend:

1. Systeme sichern und Zugänge begrenzen

Betroffene Konten und Verbindungen müssen kontrolliert werden. Kompromittierte Zugangsdaten sind zu sperren. Zugleich muss verhindert werden, dass sich Angreifer weiter innerhalb der Systeme bewegen.

2. Digitale Spuren erhalten

Protokolldaten, E-Mails, Zugriffszeiten, IP-Adressen, Erpresserschreiben und betroffene Datenträger müssen gesichert werden. Veränderungen an den Originaldaten sollten dokumentiert und möglichst vermieden werden.

3. Den tatsächlichen Umfang feststellen

Es muss geklärt werden, welche Daten erreichbar waren und welche Informationen tatsächlich abgeflossen sein könnten. Behauptungen der Täter dürfen dabei weder ungeprüft übernommen noch vorschnell als Bluff abgetan werden.

4. Die gesamte Zugriffskette untersuchen

Die Untersuchung darf nicht am unmittelbar betroffenen Benutzerkonto enden. Sie muss auch externe Partner, frühere Berechtigungen, gemeinsam verwendete Plattformen und mögliche Weiterleitungen berücksichtigen.

5. Meldepflichten und rechtliche Schritte prüfen

Je nach Unternehmen, Branche und Art der betroffenen Daten können unterschiedliche Melde- und Informationspflichten bestehen. Deshalb sollten spezialisierte Rechtsanwälte, Datenschutzbeauftragte und zuständige Behörden frühzeitig einbezogen werden.

6. Kommunikation kontrollieren

Täter versuchen häufig, zusätzlichen Druck aufzubauen. Sie kontaktieren Beschäftigte, Kunden, Medien oder Geschäftspartner. Deshalb benötigt das Unternehmen eine abgestimmte und belastbare Kommunikationsstrategie.

Ermittlungsarbeit ergänzt die technische Analyse

Ein Cybervorfall ist nicht ausschließlich ein IT-Problem.

Technische Forensiker untersuchen Systeme, Protokolle und Schadsoftware. Doch daneben müssen häufig weitere Fragen beantwortet werden:

Wer hatte Zugriff auf die betroffenen Informationen?
Welche externen Konten waren eingerichtet?
Wurden Zugangsdaten bereits zuvor im Internet angeboten?
Gibt es Hinweise auf Innentäter oder Informationsabfluss?
Welche Angaben der Täter sind glaubwürdig?
Wurden Daten bereits in einschlägigen Foren veröffentlicht?
Bestehen Verbindungen zu weiteren Angriffen?
Welche Personen oder Unternehmen könnten von den Informationen profitieren?

Hier greifen digitale Forensik, OSINT-Recherche, Background-Checks und klassische Ermittlungsarbeit ineinander.

Experteneinschätzung von Oliver Peth

„Der Fall Stadler Rail zeigt, dass die stärkste interne Sicherheitsstruktur nur so belastbar ist wie die angeschlossenen Vertrauensbeziehungen. Gemeinsame Plattformen und externe Zugänge sind für Unternehmen notwendig. Sie müssen aber ebenso konsequent kontrolliert werden wie die eigene IT. Nach einem Vorfall reicht es deshalb nicht, lediglich ein Passwort zu ändern. Es muss rekonstruiert werden, wer wann auf welche Informationen zugreifen konnte und ob weitere Personen, Systeme oder Partner betroffen sind.“

Oliver Peth, Kriminalist, Profiler und Inhaber der Detektei Detegere

Aus kriminalistischer Sicht beginnt eine belastbare Aufklärung mit einer klaren Chronologie. Einzelne technische Auffälligkeiten müssen mit organisatorischen Abläufen, personellen Zuständigkeiten und externen Verbindungen zusammengeführt werden.

Erst daraus entsteht ein Gesamtbild.

Fiktives Fallbeispiel: Konstruktionsdaten eines Maschinenbauers

Ein mittelständischer Maschinenbauer tauscht technische Zeichnungen über ein externes Projektportal mit mehreren Zulieferern aus.

Das Konto eines früheren Projektmitarbeiters wird nach dessen Ausscheiden nicht deaktiviert. Einige Wochen später erfolgen Zugriffe aus dem Ausland. Kurz darauf fordert eine unbekannte Gruppe Geld und droht mit der Veröffentlichung der Zeichnungen.

Die Untersuchung zeigt, dass das ehemalige Konto weiterhin aktiv war. Außerdem wurden mehrere Dateien heruntergeladen. Durch die Sicherung der Protokolldaten, eine OSINT-Recherche und die Analyse der Täterkommunikation kann der Zeitraum des Zugriffs eingegrenzt werden.

Das Unternehmen informiert seine Rechtsberatung und die Ermittlungsbehörden. Zugleich werden sämtliche externen Berechtigungen überprüft und neu vergeben.

Fiktives Fallbeispiel: Angriff über einen Dienstleister

Ein Unternehmen beauftragt einen externen IT-Dienstleister mit der Fernwartung seiner Systeme. Ein Mitarbeiter des Dienstleisters verwendet dasselbe Passwort für mehrere Konten.

Nach einem Datenleck bei einer anderen Plattform gelangen die Zugangsdaten in kriminelle Hände. Die Täter nutzen das Fernwartungskonto und versuchen, sich innerhalb des Unternehmensnetzwerks weiterzubewegen.

Die technische Überwachung erkennt ungewöhnliche Zugriffe. Der Angriff wird gestoppt. Eine anschließende Untersuchung zeigt jedoch, dass die Täter bereits Informationen über interne Ansprechpartner und Systemstrukturen sammeln konnten.

Der Fall macht deutlich: Ein abgewehrter Angriff kann dennoch Ermittlungsbedarf auslösen.

Was Unternehmen präventiv tun können

Unternehmen sollten ihre Lieferkette nicht erst nach einem Vorfall überprüfen.

Wichtige Maßnahmen sind:

klare Sicherheitsanforderungen für Zulieferer,
risikobasierte Background-Checks,
Mehrfaktor-Authentifizierung,
zeitlich begrenzte Zugriffsrechte,
regelmäßige Kontrolle aktiver Konten,
Protokollierung externer Zugriffe,
getrennte Datenbereiche,
Notfall- und Kommunikationspläne,
vertraglich geregelte Meldewege,
regelmäßige Sicherheitsüberprüfungen,
sowie Übungen für den Ernstfall.

Dabei geht es nicht um pauschales Misstrauen gegenüber Geschäftspartnern. Es geht um überprüfbare Standards und klar geregelte Verantwortlichkeiten.

FAQ

War Stadler Rail selbst von einem Cyberangriff betroffen?

Nach Angaben des Unternehmens wurden die eigenen IT-Systeme nicht kompromittiert. Der Zugriff erfolgte auf eine Datenaustauschplattform, die im Zusammenhang mit einem Zulieferer genutzt wurde. Die endgültige behördliche Bewertung bleibt abzuwarten.

Wurden sicherheitsrelevante Daten gestohlen?

Stadler Rail erklärte, dass es sich um technische Informationen eines Zulieferbetriebes gehandelt habe, die nicht sicherheitsrelevant seien. Auch relevante personenbezogene Daten sollen nicht betroffen sein.

Was ist der Unterschied zwischen Ransomware und Datenerpressung?

Bei klassischer Ransomware werden Systeme oder Dateien verschlüsselt. Bei einer Datenerpressung kopieren Täter Informationen und drohen anschließend mit deren Veröffentlichung oder Verkauf. Beide Methoden können miteinander kombiniert werden.

Sollten Unternehmen Lösegeld zahlen?

Sicherheitsbehörden raten grundsätzlich davon ab. Eine Zahlung garantiert weder die Löschung noch die Rückgabe der Daten. Außerdem kann sie weitere Straftaten finanzieren. Jeder Vorfall muss dennoch unverzüglich rechtlich, technisch und kriminalistisch bewertet werden.

Warum sind Zulieferer für Cyberkriminelle interessant?

Zulieferer verfügen häufig über Zugänge, technische Informationen oder gemeinsame Plattformen. Außerdem können die Sicherheitsstandards innerhalb einer Lieferkette unterschiedlich ausgeprägt sein.

Welche Rolle kann eine Wirtschaftsdetektei übernehmen?

Eine spezialisierte Wirtschaftsdetektei kann unter anderem bei OSINT-Recherchen, Background-Checks, der Prüfung externer Verbindungen, der Rekonstruktion von Abläufen und der gerichtsfesten Dokumentation unterstützen. Technische Untersuchungen sollten gemeinsam mit spezialisierten IT-Forensikern erfolgen.

Fazit

Der Cybervorfall bei Stadler Rail zeigt, wie stark Unternehmen heute miteinander vernetzt sind. Diese Vernetzung schafft Effizienz, aber sie schafft auch neue Angriffsflächen.

Die entscheidende Frage lautet deshalb nicht mehr nur:

Wie sicher ist unser eigenes Unternehmen?

Unternehmen müssen zusätzlich fragen:

Wie sicher sind die Zugänge, Plattformen und Partner, denen wir vertrauen?

Wer erst nach einem Erpresserschreiben mit dieser Prüfung beginnt, verliert wertvolle Zeit. Denn wirksame Prävention beginnt lange vor dem Angriff. Und belastbare Aufklärung beginnt mit der sofortigen Sicherung aller verfügbaren Spuren.

Stand: 24. Juli 2026

Quellen:

Fachlich verantwortlich:

Oliver Peth
Kriminalist, Profiler und Inhaber
Privat Investigation Service Detegere
Wirtschafts- und Privatdetektei

Wenn in Ihrem Unternehmen ein Verdacht auf Datenabfluss, Wirtschaftsspionage, einen Insiderangriff oder eine Cybererpressung besteht, unterstützen wir Sie diskret bei der strukturierten Aufklärung und Beweissicherung.

Bild: KI generiert

Wenn Sie gerade einen konkreten Verdacht haben:
Warten kostet Beweise. Sprechen Sie jetzt diskret mit uns:

Kostenfreie diskrete Erstberatung unter:
☎️ 08 00/0 12 02 23 (nur national erreichbar)

For International Customers: +49 (0)6023 9 29 68 80

Für Wirtschaftsdelikte, Observationen und internationale Ermittlungen.

📩 oliver.peth@kriminalistik.info
📞 +49 (0)6023 9 29 68 80
+49 (0)170 24 8 12 78

Hinweis zu Einsatzgebieten*

Die auf dieser Website genannten Städte, Regionen und Länder bezeichnen operative Einsatzgebiete. Sie stellen keine Niederlassungen oder Firmensitze dar.

Alle Einsätze werden zentral über die Detektei Detegere in Alzenau koordiniert. Aus Gründen des Datenschutzes, der Vertraulichkeit und zum Schutz unserer Mandanten sind dargestellte Fallbeispiele fiktiv oder an reale Sachverhalte angelehnt. Namen, Orte, Zeitangaben und einzelne Umstände wurden verändert.

Verantwortlich für diesen Inhalt:

Dieser Inhalt wurde fachlich verantwortet durch Oliver Peth, Kriminalist, Profiler und Inhaber der Detektei Detegere. Die Detektei Detegere verfügt über Erfahrung in Wirtschaftsdetektei, OSINT-Recherchen, Observationen, internationalen Ermittlungen und gerichtsfester Dokumentation.

Unser Anspruch ist es, Mandanten klar, diskret und rechtssicher zu unterstützen. Deshalb werden unsere Inhalte regelmäßig geprüft, aktualisiert und an neue rechtliche, wirtschaftliche und ermittlungstaktische Entwicklungen angepasst.

Zuletzt aktualisiert: Juli 2026