Cyberangriffe in der Schweiz: Was hinter dem Plus von 7 Prozent steckt
Schweizer Organisationen waren im Mai 2026 laut Check Point durchschnittlich 1’224 Cyberangriffen pro Woche ausgesetzt. Das waren 7 Prozent mehr als ein Jahr zuvor – aber etwas weniger als noch im April. Der Blick auf Ransomware, die offiziellen BACS-Meldungen und einen massiven Sprung im Juni zeigt, warum die Lage trotzdem keine Entwarnung zulässt.
unter digitalem Dauerbeschuss +7%
Das Wichtigste in Kürze
- Check Point registrierte im Mai 2026 durchschnittlich 1’224 Angriffsversuche pro Schweizer Organisation und Woche.
- Das Plus von 7 Prozent bezieht sich auf Mai 2025. Gegenüber April 2026 sank der Wert von 1’246 auf 1’224.
- Die Schweiz blieb unter Deutschland, Österreich, Europa und dem weltweiten Durchschnitt – jedoch mit hohem Grundrauschen.
- Ransomware verschärfte sich deutlich: Weltweit wurden 698 Fälle öffentlich bekannt, 48 Prozent mehr als ein Jahr zuvor.
- Im Juni folgte ein Warnsignal: Der Schweizer Durchschnitt sprang auf 1’504 Angriffe pro Woche.
Die Meldung in Kürze
Der Cybersecurity-Anbieter Check Point meldete für Mai 2026 einen Schweizer Durchschnitt von 1’224 Cyberangriffen pro Organisation und Woche. Im Vergleich mit Mai 2025 entspricht dies einer Zunahme von 7 Prozent. Damit war die Schweiz im DACH-Raum das Land mit dem deutlichsten Wachstum: Deutschland lag bei 1’318 Angriffen und einem Minus von 1 Prozent, Österreich bei 1’823 Angriffen und einem Plus von 1 Prozent.
Trotz des Wachstums blieb die Schweiz unter dem europäischen Durchschnitt von 1’737 sowie dem weltweiten Wert von 2’055 Angriffen pro Organisation und Woche. Check Point warnte dennoch vor einem falschen Sicherheitsgefühl. Besonders der öffentliche Sektor und das Gesundheitswesen seien in der Schweiz stark exponiert – zwei Bereiche, in denen sensible Daten, Verfügbarkeit und kritische Dienstleistungen eng zusammenhängen.
Der entscheidende Unterschied: Jahresvergleich statt Monatsvergleich
Die Formulierung «Cyberangriffe steigen im Mai um 7 Prozent» kann den Eindruck erwecken, der Wert sei gegenüber April gestiegen. Tatsächlich betrug der Schweizer Durchschnitt im April 1’246 Angriffe pro Woche. Im Mai waren es 1’224 – rechnerisch rund 1,8 Prozent weniger. Das Plus von 7 Prozent vergleicht Mai 2026 mit Mai 2025.
Mai 2026 gegenüber April 2026: von 1’246 auf 1’224 Angriffe pro Organisation und Woche.
Mai 2026 gegenüber Mai 2025. Dieser Vergleich liegt der ursprünglichen Schlagzeile zugrunde.
Beide Aussagen können gleichzeitig korrekt sein: kurzfristig eine leichte Entspannung gegenüber dem Vormonat, langfristig aber ein höheres Niveau als ein Jahr zuvor. Gerade bei stark schwankenden Cyberstatistiken ist der Vergleichszeitraum deshalb ebenso wichtig wie die Prozentzahl selbst.
Schweiz im Vergleich mit DACH, Europa und der Welt
Die Schweiz war im Mai 2026 innerhalb des DACH-Raums weiterhin am wenigsten stark belastet. Ihr Wert lag rund 30 Prozent unter dem europäischen und etwa 40 Prozent unter dem globalen Durchschnitt. Niedrige relative Werte bedeuten jedoch nicht automatisch ein geringes Risiko: Bereits ein einzelner erfolgreicher Angriff kann Produktion, Verwaltung, Gesundheitsversorgung oder Lieferketten über Tage beeinträchtigen.
Prozentwerte zeigen die Veränderung gegenüber Mai 2025. Die Balken vergleichen die absoluten Durchschnittswerte im Mai 2026.
Was zählt Check Point als «Cyberangriff»?
Die Zahlen stammen aus der ThreatCloud-Telemetrie von Check Point. Die Plattform bündelt Daten aus verbundenen Netzwerken, Endgeräten und weiteren Sicherheitsquellen, um verdächtige Dateien, URLs, Exploit-Versuche, Malware, Phishing und andere Bedrohungen zu erkennen. Damit entsteht ein grosser, laufend aktualisierter Datenbestand – aber keine amtliche Vollerhebung der Schweizer Wirtschaft.
So sollten die Zahlen gelesen werden
Die Daten des Bundesamts für Cybersicherheit BACS messen etwas anderes: Dort werden Cybervorfälle von Privatpersonen, Unternehmen und Behörden gemeldet. Viele Meldungen betreffen frühzeitig erkannte Versuche ohne Schaden, andere hingegen reale Betrugs-, Phishing- oder Ransomware-Fälle. Check-Point-Telemetrie und BACS-Meldungen ergänzen sich deshalb, sind aber nicht direkt miteinander verrechenbar.
Ransomware bleibt der gefährlichste Teil der Statistik
Während die globale Zahl aller Angriffsversuche im Mai gegenüber April um 7 Prozent sank, beschleunigte sich Ransomware. Check Point zählte 698 öffentlich bekannt gewordene Angriffe – 48 Prozent mehr als im Mai 2025 und der bislang stärkste Jahresanstieg des Jahres 2026. Die Zahlen beruhen vor allem auf Veröffentlichungen der Erpressergruppen und bilden daher nicht jeden Vorfall ab.
öffentlich gemeldete Ransomware-Angriffe
Der Anstieg war geografisch breit: Asien +119 Prozent, EMEA +40 Prozent und Amerika +39 Prozent gegenüber Mai 2025.
Die Fragmentierung ist für Verteidiger problematisch. Selbst wenn einzelne bekannte Gruppen verschwinden, wechseln Affiliates häufig zu neuen Ransomware-as-a-Service-Angeboten. Werkzeuge, gestohlene Zugänge und Infrastruktur bleiben im kriminellen Ökosystem erhalten. Für Unternehmen zählt daher weniger der Name der Gruppe als die Fähigkeit, Eindringen, Seitwärtsbewegung, Datenabfluss und Verschlüsselung früh zu erkennen.
Welche Branchen besonders unter Druck stehen
In der Schweiz hob Check Point im Mai vor allem die öffentliche Verwaltung und das Gesundheitswesen hervor. Global blieb das Bildungswesen mit durchschnittlich 4’641 Angriffen pro Organisation und Woche der meistattackierte Sektor, gefolgt von Behörden mit 2’620 sowie Telekommunikationsunternehmen mit 2’583 Angriffen.
Öffentliche Verwaltung
Viele digitale Bürgerdienste, sensible Register und häufig heterogene IT-Landschaften erhöhen die Angriffsfläche.
Gesundheitswesen
Hohe Verfügbarkeitsanforderungen und besonders schützenswerte Daten machen Spitäler und Praxen attraktiv für Erpresser.
Bildung
Offene Netze, viele wechselnde Nutzerkonten und knappe Sicherheitsbudgets begünstigen automatisierte Angriffe.
Das BACS bestätigt die anhaltende Relevanz von Ransomware für die Schweiz. Für das erste und das zweite Halbjahr 2025 wurden dem Amt jeweils 57 Ransomware-Vorfälle gemeldet. Zugleich beobachtet das BACS zunehmend personalisierte Phishing- Kampagnen, kompromittierte Lieferketten und missbrauchte Router oder IoT-Geräte, die als verdeckte Angriffsinfrastruktur dienen.
Update: Im Juni sprang der Schweizer Wert auf 1’504
Die Mai-Zahlen wirkten im Monatsvergleich noch leicht rückläufig. Der Folgemonat änderte dieses Bild deutlich: Für Juni 2026 meldete Check Point in der Schweiz durchschnittlich 1’504 Angriffe pro Organisation und Woche. Das entspricht einem Plus von rund 23 Prozent gegenüber Mai und 44 Prozent gegenüber Juni 2025 – dem stärksten Jahresanstieg im DACH-Raum.
+1 Prozent gegenüber April 2025. Energie, Versorgung, Bildung und Gesundheit standen im Fokus.
−1,8 Prozent zum Vormonat, aber +7 Prozent gegenüber Mai 2025.
Rund +23 Prozent zum Mai und +44 Prozent gegenüber Juni 2025.
Ein einzelner Monat beweist noch keinen dauerhaften Strukturbruch. Der Sprung zeigt aber, weshalb Unternehmen ihre Sicherheitsplanung nicht an kurzfristigen Rückgängen ausrichten sollten. Angreifer können Kampagnen rasch skalieren, Ziele wechseln und neue Schwachstellen automatisiert ausnutzen.
Was Schweizer Unternehmen jetzt priorisieren sollten
Das BACS betont, dass bereits ein strukturierter Grundschutz einen grossen Unterschied macht. Besonders für KMU ist nicht die Menge eingesetzter Sicherheitsprodukte entscheidend, sondern ob die wichtigsten Kontrollen flächendeckend umgesetzt, überprüft und im Notfall tatsächlich nutzbar sind.
- Multi-Faktor-Authentisierung erzwingen: Besonders für E-Mail, VPN, Cloud-Administratoren und alle extern erreichbaren Konten.
- Offline- oder unveränderbare Backups: Sicherungen regelmässig testen und vom produktiven Netzwerk trennen.
- Updates priorisieren: Internet-exponierte Systeme, VPNs, Firewalls, Router, CMS und Fernzugänge zuerst patchen.
- Rechte reduzieren: Administratorkonten getrennt verwenden, Zugriffe nach dem Least-Privilege-Prinzip vergeben.
- Notfallplan üben: Verantwortlichkeiten, externe Kontakte, Kommunikationswege und Wiederanlaufreihenfolge festlegen.
- Lieferkette einbeziehen: Sicherheitsanforderungen, Meldewege und Wiederherstellungsfähigkeit kritischer IT-Dienstleister prüfen.
- Mitarbeitende sensibilisieren: Phishing-Übungen mit klaren Meldewegen kombinieren – ohne Fehlerkultur oder Schuldzuweisung.
Meldepflicht: Kritische Infrastrukturen haben 24 Stunden
Seit dem 1. April 2025 gilt in der Schweiz eine gesetzliche Meldepflicht für bestimmte Betreiber kritischer Infrastrukturen. Darunter fallen unter anderem Behörden, Energie- und Trinkwasserversorgung, Transportunternehmen sowie weitere für das Funktionieren von Gesellschaft und Wirtschaft zentrale Organisationen.
Meldepflichtige Cyberangriffe müssen dem BACS innerhalb von 24 Stunden nach ihrer Entdeckung gemeldet werden. Fehlende Angaben können grundsätzlich innerhalb von 14 Tagen ergänzt werden.
Meldepflichtig sind insbesondere Angriffe, welche die Funktionsfähigkeit gefährden, zu Datenabfluss oder Manipulation führen, über längere Zeit unentdeckt bleiben oder mit Erpressung, Drohung beziehungsweise Nötigung verbunden sind. Auch nicht meldepflichtige Unternehmen und Privatpersonen können Vorfälle freiwillig an das BACS melden.
Fazit: Unter dem Durchschnitt bedeutet nicht ausser Gefahr
Die Schweizer Mai-Zahl ist weniger dramatisch, als die Schlagzeile zunächst vermuten lässt: Das Plus von 7 Prozent gilt gegenüber dem Vorjahr, während der Monatswert gegenüber April leicht sank. Gleichzeitig blieb die Schweiz im DACH- und Europavergleich auf einem tieferen Niveau.
Eine Entwarnung wäre dennoch falsch. Ransomware nahm weltweit stark zu, öffentliche Verwaltung und Gesundheitswesen bleiben attraktive Ziele, und bereits im Juni stieg der Schweizer Durchschnitt auf 1’504 Angriffe pro Woche. Entscheidend ist daher nicht, ob eine Statistik in einem einzelnen Monat steigt oder fällt, sondern ob Organisationen Angriffe verhindern, schnell erkennen, isolieren und ihren Betrieb zuverlässig wiederherstellen können.
Quellen und Datenbasis
Check-Point-Zahlen beruhen auf Anbieter-Telemetrie und öffentlich bekannten Ransomware-Veröffentlichungen. BACS-Meldungen bilden eine andere Datenbasis ab. Die Werte sind daher nicht direkt vergleichbar und können sich nachträglich ändern.
- SwissCybersecurity.net: Cyberangriffe in der Schweiz steigen im Mai um 7 Prozent
- Check Point Research: Global Cyber Attacks Ease in May 2026, But Ransomware Surges 48%
- SwissCybersecurity.net: Cyberangriffe in der Schweiz ziehen im April an
- Netzwoche: Schweizer Cyberangriffe steigen im Juni 2026 deutlich
- Check Point Research: June 2026 Attack Volumes Climb Worldwide
- Check Point: ThreatCloud AI und Telemetrie-Datenbasis
- BACS: Halbjahresbericht 2025/1
- BACS: Halbjahresbericht 2025/2
- BACS: Informationen zur Meldepflicht für kritische Infrastrukturen
- BACS: Ransomware – Schutz- und Handlungsempfehlungen
- BACS: Notfallkonzept für Schweizer KMU