Stadler verweigert Ransomware-Bande millionenschweres Lösegeld

Der Schweizer Schienenfahrzeughersteller Stadler Rail ist Ziel eines Ransomware-Angriffs geworden. Nach Angaben des Unternehmens forderte die eine Gruppe namens "Everest" über zehn Millionen Euro Lösegeld. Stadler weigert sich aber zu zahlen.

"Nur" technische Informationen

Die Kriminellen hatten sich nach Angaben des Unternehmens Zugang zu einer gemeinsam mit einem Zulieferer genutzten Datenaustauschplattform verschafft. Stadler kündigte an, auf die Forderung nicht einzugehen, und erstattete Strafanzeige bei der Kantonspolizei Thurgau. Den Angaben zufolge ereignete sich der Vorfall bereits Mitte Juli. Die eigene IT-Infrastruktur sowie die weltweiten Produktionsabläufe seien jedoch nicht beeinträchtigt worden. Auch der Betrieb der ausgelieferten Schienenfahrzeuge laufe uneingeschränkt weiter.

Nach bisherigen Erkenntnissen entwendeten die Angreifer technische Informationen, die sich auf den betroffenen Zulieferer beziehen. Dabei handle es sich jedoch nicht um sicherheitsrelevante Daten. Zudem seien keine personenbezogenen Daten abgeflossen. Auswirkungen auf Fahrzeuge von Stadler oder auf den laufenden Geschäftsbetrieb gebe es nicht.


Öffentlich bekannt hat sich die Tätergruppe bislang nicht zu dem Angriff. Nach Angaben von Stadler erhielt das Unternehmen jedoch ein Erpressungsschreiben, das der Gruppe Everest zugeschrieben wird. Darin wurde die Zahlung des Lösegelds verlangt. Stadler betonte, grundsätzlich keine Lösegeldforderungen zu erfüllen und sich nicht erpressen zu lassen.

Everest schon lange bekannt

Stadler Rail zählt zu den weltweit bedeutenden Herstellern von Schienenfahrzeugen. Das Schweizer Unternehmen produziert unter anderem Lokomotiven, Straßenbahnen, U-Bahnen und Reisezüge sowie Signaltechnik für den Bahnverkehr. Nach Unternehmensangaben beschäftigt Stadler rund 18.000 Mitarbeitende an mehreren Produktions- und Entwicklungsstandorten und beliefert Bahnunternehmen auf der ganzen Welt.

Die Gruppe Everest ist seit 2020 aktiv. Während sie anfangs klassische Ransomware-Angriffe mit der Verschlüsselung von Systemen durchführte, setzt sie inzwischen vor allem auf Datendiebstahl und Erpressung. Die Täter drohen ihren Opfern, gestohlene Informationen zu veröffentlichen, sofern kein Lösegeld gezahlt wird. In der Vergangenheit trat die Gruppierung außerdem als sogenannter Initial-Access-Broker auf und verkaufte Zugänge zu kompromittierten Netzwerken an andere Cyberkriminelle.


Siehe auch: