Bildschirme frieren ein, E-Mails sind tot – der CEO einer Zürcher IT-Firma sagt: «Wir wussten, dass etwas Aussergewöhnliches passiert ist.» Die Spur der Angreifer führt nach Russland

Es ist kurz vor Feierabend am 25.Juli 2019, als für Thomas Avedik und sein Unternehmen ein Albtraum beginnt. Er ist damals CEO des Zürcher IT-Unternehmens Crealogix, als sich ein Mitarbeiter meldet. Er könne auf seinem Computer keine Dateien mehr öffnen. Stattdessen erscheine eine seltsame Erpresser-Nachricht.

Avedik glaubt zuerst an einen schlechten Scherz. Doch als einige Minuten später weitere Mitarbeiter und Mitarbeiterinnen von demselben Problem berichten, dämmert es dem Firmenchef. «Da wussten wir, dass etwas Aussergewöhnliches passiert ist», sagt Avedik heute.

Für Avedik, der das Unternehmen mit rund eintausend Mitarbeitern zu diesem Zeitpunkt seit vier Jahren als CEO steuert, beginnt die schwierigste Mission seiner Karriere. Eine, die ihn und ein dreissigköpfiges Krisenteam während mehrerer Monate beschäftigen wird.

Avedik sagt: «In den ersten Tagen war es, wie wenn wir in der Dunkelheit und ohne Taschenlampe über einen Berg marschieren müssten. Niemand wusste, wohin es geht. Niemand konnte sagen, ob wir das wirklich schaffen.»

Hinter der Attacke steckt eine berüchtigte Ransomware-Bande, die gemäss Europol 1800 Angriffe in 71 Ländern ausgeführt haben soll. Das Zürcher IT-Unternehmen Crealogix ist nicht die einzige Schweizer Firma, die von den Kriminellen attackiert wird. Zwei Tage zuvor legen die Hacker auch die auf Heiz- und Sanitärtechnik spezialisierte Handelsfirma Meier Tobler lahm. Einige Monate später trifft es den Schienenfahrzeughersteller Stadler Rail.

Es ist eine Zeit, in der solche ausgefeilten Angriffe noch wenig bekannt sind. Heute sind sie ein Massengeschäft, das von kriminellen Gruppierungen betrieben wird. Manche von ihnen weisen auch Verbindungen zum russischen Staat auf. Künstliche Intelligenz beschleunigt diese Entwicklung zusätzlich.

Allein in der vergangenen Woche gingen beim Bundesamt für Cybersicherheit 25 Meldungen über Hacking-Angriffe ein. Gemäss einer Analyse des Sicherheitsdienstes Bitdefender gab es im ersten Halbjahr 2026 weltweit 4641 Angriffe von Ransomware-Gruppen, 35 davon betrafen Firmen aus der Schweiz. Dabei wurden nur jene Fälle erfasst, bei denen sich Cyberkriminelle öffentlich zur Attacke bekannten.

Eine kürzlich erschienene Studie von Deloitte ergab, dass kleinere und mittlere Schweizer Unternehmen bei der Cyberabwehr hinterherhinken und die Risiken vielerorts unterschätzt werden.

Plötzlich geht gar nichts mehr

Bei Crealogix können die Ermittler später nachzeichnen, wie die Kriminellen in die internen Netzwerke der Software-Firma eingedrungen sind. Das geht aus der Anklageschrift der Zürcher Staatsanwaltschaft zum Fall hervor.

Es beginnt mit einer gefälschten E-Mail an einen Mitarbeiter und der Aufforderung, auf einen Link zu klicken. Als dieser sich auf der Domäne anmeldet, schleusen der oder die Täter Ende Mai 2019 eine Schadsoftware namens Megacortex in das IT-Netzwerk der Firma. Es ist eine von mehreren Schadsoftware-Kampagnen, mit denen die Kriminellen in jenen Jahren operieren.

Während mehr als zweier Monate verschaffen sie sich weitere Berechtigungen und breiten sich unbemerkt weiter im Netzwerk der Firma aus. Dann schlagen sie zu: Am Nachmittag des 25. Juli 2019 beginnen sie mit der Verschlüsselung der Daten auf allen Servern der Firma und auf den Arbeitsplatzrechnern der rund eintausend Mitarbeiter, die an verschiedenen Standorten weltweit arbeiten.

Schliesslich geht nichts mehr. Bildschirme frieren ein, Dateien lassen sich nicht mehr öffnen, Telefone und E-Mails sind tot. Und ratlose Mitarbeiter stehen beim CEO Thomas Avedik in der Tür.

Auf allen Rechnern hinterlassen die Kriminellen eine Textnachricht mit einer Botschaft: Geld her, oder die Daten sind weg. Im Erpresser-Schreiben halten die Angreifer gemäss Anklage der Staatsanwaltschaft fest, die Firma solle keine Zeit verschwenden und für die Entschlüsselung ein Lösegeld in Bitcoin zahlen.

In der Nachricht ist die Rede von einer Forderung in der Höhe von bis zu 600 Bitcoin, was damals rund 5,5 Millionen Franken entspricht. Und es gibt eine Warnung: Die IT-Firma solle gar nicht erst versuchen, sich als klein und unbedeutend darzustellen. «Dieser Scheiss funktioniert überhaupt nicht», schreiben die Täter.

Tatsächlich finden die Ermittler später heraus, dass die Kriminellen ihre Schadsoftware noch in zahlreiche weitere Firmen weltweit eingeschleust hatten. Doch dort blieben ein Angriff und eine Verschlüsselung der Daten aus. Mutmasslich deshalb, weil es dort zu wenig zu holen gab.

Wochen der Unsicherheit

Für Thomas Avedik und seine Leute beginnen Tage und Wochen der Unsicherheit. Zusammen mit einigen Mitarbeitern trägt er private Handynummern von internen Spezialisten zusammen, Polizei und externe Spezialisten werden eingeschaltet. Avedik sagt: «Wir konnten relativ rasch eine Kommunikationslinie aufbauen, mit der wir alle in der Firma informieren konnten, dass wir angegriffen wurden.»

Am Hauptsitz in Zürich richten sie eine improvisierte Schaltzentrale ein. Das Krisenteam besteht aus rund dreissig Personen, alle anderen Mitarbeiter werden für zwei Wochen in die Ferien geschickt. Der CEO Avedik geht nur noch für ein paar wenige Stunden Schlaf nach Hause, die meiste Zeit verbringt er in der Firma.

Das Ziel: Die Spezialisten wollen in mühsamer Kleinarbeit die Systeme wieder aufbauen.

Doch das braucht Zeit. Die Dateien können nicht entschlüsselt werden. Es gibt zwar Back-ups, aber die sind eine Woche alt. Avedik sagt: «Wir mussten sicherstellen, dass auf den Servern nicht noch irgendwelche Trojaner liegen, die für einen erneuten Angriff genutzt werden könnten.» Millionen von Codezeilen müssen deshalb überprüft werden.

Dies auch deshalb, weil die Firma E-Banking-Software entwickelt. Und die Kunden sind nach der Attacke beunruhigt. Sie befürchten, dass über die Crealogix-Produkte auch ihre Netzwerke infiziert werden könnten. «Wir mussten das Vertrauen unserer Kunden wiederherstellen. Wir haben transparent informiert. Ich denke, das fanden die Kunden gut.»

Auf rund fünf Millionen Franken belaufen sich am Ende die Kosten für das IT-Unternehmen wegen der Betriebsunterbrüche und der Bewältigung des Chaos, wie die Staatsanwaltschaft später in ihrer Anklage festhält.

Doch Wut auf die Täter habe er nie verspürt, sagt Avedik. Er habe sich über die Kriminellen und ihre Ziele auch keine grossen Gedanken gemacht. «Ich konnte ja doch nichts ändern, es hätte mich nur unnötig Energie gekostet.»

Nur etwas kommt für den Crealogix-CEO in jenen Tagen nicht infrage: mit den Angreifern verhandeln.

«Ich habe einen sturen Grind», sagt Avedik. «Das ging für mich nicht, es war nicht richtig. Es war für mich eine grundsätzliche Entscheidung. Wir nehmen keinen Kontakt auf mit den Angreifern, wir zahlen auch kein Lösegeld.» Sein Ziel sei einzig gewesen, die Firma wieder zum Funktionieren zu bringen. «Wir hatten das Know-how, um wieder selbst auf die Füsse zu kommen.»

Nicht alle Opfer der Ransomware-Gruppierung reagierten damals so wie Avedik und Crealogix. Einige von ihnen sahen sich gezwungen, auf die Forderung der Erpresser einzugehen. Die Kriminellen haben gemäss Staatsanwaltschaft mit ihren Angriffen auf Unternehmen rund 4,5 Millionen Franken erbeutet. Das sind nur die Zahlen von jenen Firmen, die den Angriff und Lösegeldzahlungen auch gemeldet haben.

«Mission accomplished»

Gegen den Angriff ist damals niemand gewappnet gewesen. Obwohl die Firma über branchenübliche Sicherheitsmassnahmen verfügte. Avedik sagt: «Der Angriff hat uns gezeigt, wo wir gut waren. Aber vor allem auch, wo nicht. Davor konnten wir uns vieles gar nicht vorstellen, bis wir dann eines Besseren belehrt wurden.» Crealogix steht nicht allein da: Kaum ein Unternehmen hat zu jener Zeit Erfahrung im Umgang mit professionell agierenden Banden, die Ransomware-Angriffe als kriminelles Geschäft betreiben.

Avedik zieht eine Haupterkenntnis aus dem Fall: Solchen Angriffen kann man nur mit einem sogenannten «Zero-Trust-Modell» begegnen. Neben Multi-Faktor-Authentifizierung für das Anmelden im Netzwerk müssen zum Beispiel auch die Arbeitsstationen der Mitarbeiter kontinuierlich im Hintergrund auf auffällige Aktivitäten überwacht werden, um die betroffenen Geräte rasch isolieren zu können. Avedik sagt: «Wenn eine Arbeitsstation aus der Finanzbuchhaltung plötzlich mit seltsamen Zielservern kommuniziert, dann muss man eingreifen können. Lieber einmal zu viel als zu wenig.»

Rund zwei Jahre nach dem Angriff können die Ermittler einen Erfolg vermelden. Im Oktober 2021 verhaftet die Polizei in einer Basler Vorortsgemeinde einen unscheinbaren Programmierer aus der Ukraine, der schon sieben Jahre in der Schweiz lebt. Der Zugriff ist Teil einer internationalen Aktion gegen die Ransomware-Bande.

Der 52-Jährige, der sich in Online-Foren «Genie» nannte, soll der technische Mastermind der Cyberkriminellen gewesen sein. Laut den Ermittlern führen Spuren der kriminellen Gruppierung in das Umfeld der russischen Geheimdienste. Vor dem Zürcher Bezirksgericht, wo er sich seit dieser Woche verantworten muss, stritt der Ukrainer jedoch jegliche Beteiligung an den Ransomware-Angriffen ab. Das Urteil in dem Fall fällt am 10. September.

Der 64-jährige Avedik wartet gespannt darauf, auch wenn er längst nicht mehr CEO ist. Diesen Posten hat er Ende 2019, fünf Monate nach dem Angriff, abgegeben. «Mission accomplished», schrieb er dazu auf seinem Linkedin-Profil.

Avedik bezeichnet die Zeit des Angriffs als die anspruchsvollste seiner Karriere. «Mich hat es energiemässig und menschlich extrem gefordert. Nach dem erfolgreichen Wiederaufbau habe ich mich entschieden, dass es der richtige Zeitpunkt ist, um zu gehen.»