Ruag-Affäre: Chef der Tochterfirma ist Ex-Offizier der US-Nationalgarde und hat Zugang zu heiklen DatenAls Hacker mit der Veröffentlichung heikler Informationen drohten, bezahlte die Ruag-Tochter in den USA ein Lösegeld – entgegen den Empfehlungen und ohne das Wissen des Bundes. Standen amerikanische Interessen hinter dem Entscheid, Lösegeld zu zahlen?13.06.2026, 21.45 Uhr5 LeseminutenHatte die Ruag-Tochter heikle Informationen zum F-35 auf ihren Servern?Illustration Hans-Jörg Walter / NZZaSHerndon, Virginia. So unscheinbar die Stadt unweit von Washington wirkt: Für die USA ist sie nichts Geringeres als die Hightech-Schmiede ihrer Sicherheits- und Verteidigungsindustrie. In und um Herndon sitzen neben der F-35-Herstellerin Lockheed Martin wichtige Akteure für die Software des Jets – ohne die der fliegende Supercomputer und das teuerste Kampfflugzeug der Welt nur eine Hülle aus Metall wäre.Optimieren Sie Ihre BrowsereinstellungenNZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.Bitte passen Sie die Einstellungen an.Inmitten dieses «Silicon Valley of the East», wie die Amerikaner ihren Tech-Hub an der Ostküste nennen, hat auch die gehackte Tochterfirma Ruag LLC des bundesnahen Schweizer Rüstungskonzerns Ruag ihren Sitz. Lange flog der Ableger komplett unter dem Radar der hiesigen Öffentlichkeit. Das änderte sich letzten Samstag, nachdem der Verwaltungsratspräsident des Ruag-Mutterkonzerns Jürg Rötheli in einer Sendung von Radio SRF ausgeplaudert hatte, man habe nach dem Cyberangriff auf den kleinen Aussenposten Lösegeld an die Hacker bezahlt.Nach dem Eingeständnis des Lösegeld-Deals herrscht diese Woche im Bundeshaus heller Aufruhr. Die Politik fordert eine lückenlose Aufklärung des Falls. Denn die Affäre wirft Fragen auf, die weit über eine kommunikative Panne hinausgehen: Weshalb ging die Ruag auf die Erpressung ein, wenn der Bund doch von Lösegeldzahlungen an Cyberkriminelle abrät? Hatte es etwas mit den Daten auf den Servern zu tun? Und standen vielleicht sogar amerikanische Interessen hinter dem Entscheid?Brisante militärische InformationenAls die Ransomware-Gruppe Akira vergangenes Jahr die Ruag-Tochter hackte und damit drohte, 24 Gigabyte Daten ins Darknet zu stellen, liess der Konzern den Diebstahl wie einen harmlosen Zwischenfall aussehen. Die Tochter in Herndon verfüge über ein eigenes IT-System, weshalb sie keinen Zugang zu Daten vom Mutterhaus in der Schweiz habe, schrieb die Ruag in einer Mitteilung. Nun, rund ein halbes Jahr später, entpuppt sich der Vorfall als ein nächster Skandal der krisengebeutelten Ruag.Was die Hacker bei ihrem Raubzug tatsächlich erwischt haben, will man in Bern mit aller Macht unter Verschluss halten. Sowohl bei der Ruag wie auch beim zuständigen Verteidigungsdepartement (VBS) von Bundesrat Martin Pfister gilt in der Affäre eine strikte Informationssperre. Dies, obwohl die bundesnahe Ruag schon kurz nach dem Angriff angab, den Fall untersuchen zu wollen. Das ist mehrere Monate her.Der Grund für die Verschwiegenheit dürfte im brisanten Inhalt des abgeflossenen Materials liegen. Bei den gestohlenen Daten soll es sich laut Insidern um vertrauliche militärische Informationen und Verträge handeln. Lagen auf den Servern der Ruag-Tochter womöglich heikle Informationen zum F-35 und damit Daten, mit denen die Amerikaner üblicherweise höchst geizig umgehen?Die Aussagen der Insider passen jedenfalls zum Profil des Mannes, der an der Spitze der Ruag-Tochter sitzt. Recherchen der «NZZ am Sonntag» zeigen: Es ist ein ehemaliger Offizier der amerikanischen Nationalgarde. Er verfügt nach eigenen Angaben auf seinem Social-Media-Profil über eine der höchsten Sicherheitsfreigaben der USA. Diese können nur amerikanische Staatsbürger erhalten. Sie ermöglicht ihm Zugang zu militärischen Daten, deren Enthüllung den USA Schaden zufügen würde. Das könnte bedeuten, dass die Ruag-Tochter brisante Informationen der amerikanischen Verteidigungsindustrie hat.Die Firma, der er vorsitzt, ist auch nicht irgendein kleiner, unbedeutender Aussenposten der Ruag. Zwar hat die Tochter nicht einmal ein Dutzend Mitarbeitende, doch sie ist nach eigenen Angaben ein wichtiges Scharnier zwischen der Schweizer Rüstungspolitik und der US-Verteidigungsindustrie. Das Aufgabenspektrum reiche von der präzisen Analyse des strengen US-Rechts über die lokale Vertretung Schweizer Interessen bis hin zum Management komplexer Verträge, schreibt die Ruag-Tochter auf ihrer Website.Die Ruag steckt wegen des F-35 tatsächlich in zähen Verhandlungen mit der US-Rüstungsindustrie. Es geht um die Frage, wie viele F-35-Jets sie im luzernischen Emmen montieren darf. Damit will sie das nötige Know-how sammeln, um die Flieger künftig in Eigenregie warten zu können.Das Geschäft mit den Wartungsarbeiten ist überlebenswichtig für den bundesnahen Betrieb. Er verdient damit einen grossen Teil seines Geldes. Wenn die Armee Anfang der 2030er Jahre ihre F/A-18-Kampfjets ausmustert, ist die Ruag auf neue Aufträge angewiesen. Das Projekt gilt deshalb als eines der brisantesten, aber auch umstrittensten Schlüsselprojekte der gegenwärtigen Schweizer Rüstungspolitik.USA sind zahlungswilliger als andere LänderDoch bei der Entscheidung für eine Lösegeldzahlung dürften vor allem amerikanische Interessen eine Rolle gespielt haben. Das sagt der IT-Sicherheitsexperte Nicolas Mayencourt. Es sei in der Branche bekannt, dass die US-Behörden bei Daten im militärischen Umfeld eine höhere Zahlungsbereitschaft zeigten als andere Staaten, sagt der Chef der Schweizer Cybersicherheitsfirma Dreamlab. Der Schutz heikler Rüstungsgüter habe dort im Ernstfall Vorrang vor prinzipiellen Erpressungsdoktrinen.Passend dazu gab die Ruag an, im Fall Herndon ausschliesslich amerikanische Cyberexperten beratend beigezogen zu haben. Das heimische Verteidigungsdepartement und die Spezialisten des Bundesamts für Cybersicherheit wurden hingegen nicht konsultiert. Dieses rät grundsätzlich davon ab, Lösegeld an Cyberkriminelle zu bezahlen, denn dieses diene der Finanzierung der kriminellen Aktivitäten.Was aus Sicht Washingtons rüstungspolitischer Pragmatismus sein möge, habe Konsequenzen für die Schweiz, warnt Mayencourt: «Sie läuft Gefahr, von Hackergruppen als Zahlungsnation wahrgenommen zu werden.» Im Fall von Akira ist das besonders brisant: Die Gruppierung ist nicht nur eine der weltweit aktivsten Cybererpresser, sie nimmt auch auffallend oft Schweizer Ziele ins Visier. Die Bundesanwaltschaft führt deshalb ein Verfahren gegen das Hackernetzwerk.Die Ruag schwimmt mit ihrem Entscheid gegen den Strom. Lösegeldzahlungen werden immer seltener, sagt Mayencourt. «Die Sensibilisierung hat stark zugenommen.» Bei der ersten grossen Ransomware-Welle vor ein paar Jahren hätten noch fast 100 Prozent der erpressten Firmen und Verwaltungen die geforderte Summe bezahlt, heute seien es je nach Datengrundlage noch zwischen 20 und 50 Prozent, sagt Mayencourt. Wie viel die Ruag den Hackern für die Daten ihrer Tochter überwies, sagt sie nicht.Es braucht ein Verbot von LösegeldzahlungenSo oder so hat die Sache ein politisches Nachspiel. Politiker kritisieren die Ruag scharf und fordern eine Aufarbeitung. Der SP-Sicherheitspolitiker Fabian Molina etwa will vom Bundesrat wissen, wie die Regierung den Ruag-Alleingang beurteilt und welche Konsequenzen sie für die künftige Aufsicht zieht. Nationalräte aus anderen Fraktionen wollen wissen, wie Daten von bundesnahen Betrieben künftig besser geschützt werden.Nicht nur die grosse Kammer will Antworten auf die Fragen, die im Moment weder die Ruag noch das VBS beantworten will: Die zuständige Subkommission der Geschäftsprüfungskommission des Ständerats plant, den Fall in den kommenden Wochen im Detail zu untersuchen. «Die Ruag-Tochter wirkt wie eine Wundertüte», sagt Kommissionsmitglied und SP-Sicherheitspolitikerin Franziska Roth. Es müssten nun zentrale Fragen geklärt werden: «Enthielt das gestohlene Datenpaket heikle Daten zum F-35? Und haben die USA deshalb auf eine Lösegeldzahlung gedrängt?»Der Präsident der zuständigen Subkommission und FDP-Politiker Josef Dittli denkt sogar darüber nach, ob nach dem Vorfall gesetzliche Verschärfungen in Sachen Lösegeldzahlungen nötig seien. «Ich frage mich, ob eine Weisung vom Bundesamt für Cybersicherheit reicht oder ob es ein Verbot braucht», sagt Dittli auf Anfrage.Was als vermeintlich isolierter IT-Zwischenfall im fernen Herndon begann, mündet damit in eine grundlegende Debatte über die Governance bundesnaher Betriebe.Ein Artikel aus der «NZZ am Sonntag»Passend zum Artikel