In der Schweiz ist es nicht verboten, Lösegeld zu zahlen. Das ist die korrekte Antwort, sie steht so im Bericht des Bundesrats, und sie beendet die Diskussion in den meisten Sitzungen. Genau da liegt das Problem. Die Frage «Ransomware, dürfen wir Lösegeld zahlen?» wird als Rechtsfrage gestellt und als Rechtsfrage abgehakt. Im Vorfall ist sie eine Zuständigkeitsfrage, und die ist bei den meisten KMU offen.
Wir sehen das regelmässig in Mandaten. Der technische Teil ist irgendwo dokumentiert, Ransomware als Bedrohung ist bekannt, Backups existieren. Auf die Frage, wer am Sonntagabend eine Zahlung in Kryptowährung freigeben dürfte und wer vorher prüft, ob der Empfänger auf einer Sanktionsliste steht, folgt dann eine Pause. Diese Pause kostet im Ernstfall Stunden, in denen niemand entscheidet und alle warten.
Die Rechtslage ist schnell abgeräumt. Danach wird sichtbar, was offen bleibt. Die Geldfrage, also ob eine Zahlung je günstiger ist als die Wiederherstellung, haben wir an anderer Stelle gerechnet.
Was der Bundesrat dazu schriftlich festgehalten hat
Am 13. November 2024 hat der Bundesrat seinen Bericht «Massnahmen gegen Ransomware-Angriffe» veröffentlicht, in Erfüllung des Postulats 21.4512 Graf-Litscher. Der Bericht sagt in einem Satz, was sonst Gerüchteküche ist: «In der Schweiz besteht kein allgemeines Verbot von Lösegeldzahlungen bei einem Ransomware-Angriff; solche Leistungen stehen daher grundsätzlich nicht unter Strafe.»
Drei weitere Befunde aus demselben Bericht sind praktisch relevanter als der erste:
- Eine Lösegeldzahlung muss den Behörden nicht gemeldet werden. Für die Zahlung selbst gibt es keine Meldepflicht.
- Es gibt keine Pflicht, Behörden in die Verhandlung mit den Angreifern einzubeziehen, und damit auch keinen Anspruch auf behördliche Unterstützung bei dieser Verhandlung. Der Bericht formuliert es als Ermessen: Ob und in welcher Form staatliche Stellen konsultiert werden, liegt beim betroffenen Unternehmen.
- Der Bundesrat hat ein Verbot und eine Meldepflicht für Zahlungen geprüft und sich gegen beides entschieden, mit dem Argument, dass zusätzliche Pflichten nach einem Angriff die Krisenbewältigung belasten, ohne die Angreifer abzuschrecken.
Der Rechtsvergleich im Bericht zeigte damals ein ähnliches Bild in vergleichbaren Ländern. Das hat sich inzwischen verschoben. Australien hat mit dem Cyber Security Act 2024 eine Meldepflicht für Lösegeldzahlungen eingeführt, die 2025 in Kraft getreten ist, und Grossbritannien hat am 22. Juli 2025 in seiner Antwort auf die Vernehmlassung angekündigt, Zahlungen für den öffentlichen Sektor und regulierte kritische Infrastrukturen zu verbieten und allen anderen eine Meldung der Zahlungsabsicht vorzuschreiben. Die Schweiz bleibt beim Status quo. Du bekommst in der Schweiz also keine Vorschrift, die dir die Entscheidung abnimmt, und keine Hotline, die sie übernimmt. Die Entscheidung bleibt im Haus.
Der Fall, an dem sich das zeigt
Im Herbst 2025 traf die Ransomware-Gruppe Akira die US-Tochter der Ruag. Die Firma zahlte. Dann wurde daraus ein politisches Thema, weil der Bund Eigner des Rüstungskonzerns ist und das BACS seit Jahren empfiehlt, nicht zu zahlen.
Die Prüfung des VBS kam am 4. August 2026 zu einem bemerkenswert trockenen Ergebnis. Die Medienmitteilung hält fest, dass der Entscheid «im Rahmen ihrer unternehmerischen Verantwortung getroffen wurde» und dass «keine Anhaltspunkte für eine Rechtsverletzung bestehen». Als privatrechtlich organisierte Aktiengesellschaft trage die Gesellschaft die Verantwortung für ihre operativen Geschäftsentscheide. Im gleichen Text steht, dass Bund und VBS unverändert an der Empfehlung festhalten, kein Lösegeld zu bezahlen.
Beides gilt gleichzeitig, und darin liegt der Punkt. Die Empfehlung lautet nein. Die Entscheidung liegt bei den Organen der Gesellschaft. Wer sie trifft, muss sie hinterher erklären können, und zwar nicht nur juristisch. Dort setzt die Kritik an: Die Abwägung sei «schwergewichtig auf rechtliche und ökonomische Überlegungen ausgerichtet» gewesen, «politische und reputationsbezogene Auswirkungen sowie weitere übergeordnete Interessen» seien nicht ausreichend berücksichtigt worden. Rechtmässig und gut entschieden sind zwei verschiedene Prüfungen.
Drei Artikel, die trotzdem im Raum stehen
«Grundsätzlich nicht unter Strafe» ist nicht dasselbe wie «unproblematisch». Derselbe Bundesratsbericht listet auf, was eine Zahlung strafrechtlich auslösen kann. Diese Liste wird in der Praxis selten gelesen. Die Artikel stehen im Strafgesetzbuch:
Geldwäscherei, Art. 305bis StGB. Lösegeld wird laut Bericht fast immer in Kryptowährung gefordert. Daraus folgt die Frage, ob eine solche Zahlung als Geldwäscherei oder als Gehilfenschaft dazu gilt, gerade weil das zahlende Unternehmen und allenfalls die beauftragte Bank davon ausgehen können, dass das Geld in kriminelle Aktivitäten fliesst. Höchstrichterlich geklärt ist das laut Bericht bisher nicht.
Unterstützung einer kriminellen Organisation, Art. 260ter StGB. Hier liegt die Schwelle tiefer, als die meisten annehmen. Es genügt, dass das Unternehmen zumindest eventualvorsätzlich damit rechnen muss, dass die Zahlung der kriminellen Zwecksetzung der Organisation dient. Bei einer professionell organisierten Ransomware-Gruppe ist das keine exotische Annahme.
Finanzierung des Terrorismus, Art. 260quinquies StGB. Der seltenste Fall, im Bericht aber erwähnt, wenn Terrorgruppen über Cyber-Erpressung Geld generieren.
Als Rechtfertigungsgründe nennt der Bericht Notstand und entschuldbaren Notstand (Art. 17 und 18 StGB) für Personen, die zu einer solchen Zahlung gezwungen werden. Auch das ist nicht abschliessend geklärt.
Und dann steht da eine Fussnote, die mehr über Sicherheitsarbeit sagt als die meisten Fachartikel. Nach Art. 102 StGB kann ein Unternehmen selbst bestraft werden, wenn eine Straftat wegen mangelhafter Organisation keiner bestimmten natürlichen Person zugerechnet werden kann. Bei Art. 260ter und Art. 305bis geht es weiter: Dort wird das Unternehmen unabhängig von der Strafbarkeit einzelner Personen bestraft, wenn ihm vorzuwerfen ist, dass es nicht alle erforderlichen und zumutbaren organisatorischen Vorkehren getroffen hat, um die Tat zu verhindern.
Übersetzt: Das Gesetz fragt nicht nach deiner Firewall. Es fragt, ob du diesen Fall vorher organisiert hast.
Der Teil, der Schweizer Firmen am häufigsten einholt
Die Sanktionslage ist der Punkt, an dem aus einer Grauzone ein klarer Verstoss werden kann. Der Bericht hält fest, dass eine Lösegeldzahlung internationale Sanktionen, Massnahmen gegen Terrorismusfinanzierung oder verhängte Embargos verletzen könnte. In einer Fussnote wird es konkret: Eine ausländische Behörde kann eine Zahlung durch eine Person, die ihrer Gerichtsbarkeit unterliegt, als Sanktionsverstoss behandeln und zivilrechtliche Strafen aufgrund verschuldensunabhängiger Haftung verhängen.
Verschuldensunabhängig heisst, dass gute Absicht und Notlage dort nichts helfen. Das ist keine theoretische Konstruktion. Das US-Finanzministerium hat dazu eine eigene Warnung zu Sanktionsrisiken bei Lösegeldzahlungen publiziert und setzt Ransomware-Akteure auf seine Sanktionsliste, etwa im Mai 2024 einen Anführer von LockBit. Relevant wird das schneller, als man denkt: bei einer US-Muttergesellschaft, bei Zahlungen in US-Dollar, bei einem Dienstleister oder einer Versicherung mit US-Bezug. Bei der Ruag lief die Prüfung der Rechtmässigkeit aus diesem Grund über US-Recht.
Praktisch heisst das: Vor jeder Zahlung wird gegen die Sanktionslisten geprüft. Das Staatssekretariat für Wirtschaft führt die Schweizer Sanktionsmassnahmen und mit SESAM eine durchsuchbare Datenbank der sanktionierten Personen und Organisationen. Deine Bank und deine Versicherung stellen diese Frage sowieso. Besser, du hast die Antwort vorher.
Was das BACS empfiehlt, und was du wirklich melden musst
Das Bundesamt für Cybersicherheit ist in seiner Ransomware-Empfehlung deutlich: «Das BACS rät von der Zahlung eines Lösegeldes ab. Es gibt keine Garantie, dass die Verbrecher nach der Bezahlung des Lösegelds die Daten nicht doch veröffentlichen oder anderen Profit daraus machen.» Dazu zwei Hinweise, die im Ablauf wichtiger sind als die Haltung: keinen Kontakt zu den Täterschaften aufnehmen, und wer eine Zahlung dennoch in Erwägung zieht, diese Schritte mit der Kantonspolizei diskutieren. Eine Strafanzeige gehört in dieselbe Reihe.
Wichtig ist der Unterschied, der in Sitzungen gerne verschwimmt. Die Zahlung ist nicht meldepflichtig. Der Angriff kann es sehr wohl sein: über das Datenschutzgesetz an den EDÖB, über die Finanzmarktaufsicht für beaufsichtigte Institute und seit dem 1. April 2025 über das Informationssicherheitsgesetz für Betreiberinnen kritischer Infrastrukturen. Dort gilt eine Frist von 24 Stunden ab Entdeckung, und ein Angriff, der mit Erpressung, Drohung oder Zwang verbunden ist, gehört zu den meldepflichtigen Fällen. Wer was wann melden muss, haben wir in der Meldepflicht bei einem Cyberangriff auseinandergenommen.
Und wenn gezahlt wird, damit gestohlene Daten nicht publiziert werden?
Diese Variante kennt der Bundesratsbericht als «double extortion». Die Daten sind nicht nur verschlüsselt, sie sind auch abgeflossen, und die Forderung lautet «Schweigen gegen Geld» statt «Schlüssel gegen Geld». Rechtlich gilt dasselbe wie oben, mit einem zusätzlichen Haken: Du kaufst keine Leistung, du kaufst ein Versprechen. Das BACS formuliert es als fehlende Garantie, dass die Daten nach der Zahlung nicht trotzdem veröffentlicht oder anders zu Geld gemacht werden.
An der Pflichtenlage ändert eine Zahlung nichts. Die Verletzung der Datensicherheit ist passiert, als die Daten abflossen, nicht erst dann, wenn sie im Netz stehen. Die Meldung an den EDÖB nach Art. 24 DSG hängt am Risiko für die betroffenen Personen, nicht an der Veröffentlichung. Wer zahlt und deshalb nicht meldet, hat beides: die Zahlung und die offene Pflicht. In unserer Erfahrung ist das die teuerste Variante dieses Entscheids.
Was vor dem Vorfall entschieden sein muss
Das ist der Teil, der Arbeit macht, und der einzige, der im Ernstfall wirkt. Es passt auf ein halbes A4, geschrieben in Ruhe, abgenommen von der Geschäftsleitung:
- Wer darf entscheiden. Eine namentlich benannte Person, eine Vertretung, eine Obergrenze und der Punkt, ab dem der Verwaltungsrat einbezogen wird. Ohne Namen bleibt es eine Hoffnung. Wie Entscheidungswege unter Zeitdruck aussehen, haben wir bei den Krisenentscheidungen beschrieben.
- Wer prüft die Sanktionslisten, mit welcher Quelle, vor welchem Schritt. Diese Prüfung liegt vor der Freigabe, nicht danach, und ihr Ergebnis wird festgehalten.
- Wer spricht mit wem. Standard ist: niemand aus dem Betrieb nimmt Kontakt zu den Angreifern auf. Wer die Kantonspolizei anruft, wer die Versicherung informiert, wer eine Verhandlung führt, falls eine geführt wird, steht vorher fest.
- Wo es protokolliert wird. Entscheid, Begründung, geprüfte Alternativen, Zeitstempel, und auch die nicht rechtlichen Folgen, die du abgewogen hast. Das ist die Antwort auf die Frage nach den organisatorischen Vorkehren, und es ist dieselbe Mechanik wie bei der Haftung im Verwaltungsrat: Was nicht dokumentiert ist, hat im Nachhinein nicht stattgefunden.
Dazu eine fünfte, unsexy Frage, die fast nie beantwortet ist: Über welchen Weg würde eine Zahlung technisch laufen? Wer hat je mit einer Kryptowährung gezahlt, welcher Dienstleister macht das, was deckt die Cyberversicherung und was nicht. Wenn du eine Zahlung gar nicht ausführen könntest, bleibt die Diskussion über ihre Erlaubtheit theoretisch. Wer diese Klarheit nicht nur einmal herstellen, sondern halten will, findet sie in unserem Security Management und Operations; in einem CISO-Mandat gehört sie zum Standard.
Vier Punkte und eine offene Frage. Das lässt sich an einem Vormittag klären. Wer das Ergebnis einmal gegen eine Aussensicht halten will, kann es im kostenlosen Erstgespräch auf den Tisch legen.
Die Entscheidung gehört vor den Vorfall
Die Rechtslage in der Schweiz ist unspektakulär. Zahlen ist erlaubt, die Zahlung selbst musst du nicht melden, Hilfe bei der Verhandlung gibt es keine. Dahinter stehen drei Strafnormen und eine Sanktionsprüfung, die niemand improvisieren sollte. Diese Freiheit nimmt dir die Entscheidung nicht ab, sie gibt sie dir, und man trifft sie schlecht um drei Uhr morgens mit verschlüsselten Servern und einem Countdown im Browser. Nimm das halbe A4 in die nächste Geschäftsleitungssitzung, lass es abnehmen und leg es dorthin, wo im Vorfall jemand nachschaut. Danach ist «dürfen wir zahlen?» eine Seite, die jemand aufschlägt.
Häufige Fragen
Ist eine Lösegeldzahlung in der Schweiz strafbar?
Nein, ein allgemeines Verbot gibt es nicht. Der Bundesrat hält in seinem Bericht von 2024 fest, dass Lösegeldzahlungen grundsätzlich nicht unter Strafe stehen. Im Einzelfall bleiben Geldwäscherei (Art. 305bis StGB), Unterstützung einer kriminellen Organisation (Art. 260ter StGB) und ein Verstoss gegen Sanktionen möglich. Höchstrichterlich geklärt ist das bisher nicht.
Muss man eine Lösegeldzahlung in der Schweiz melden?
Die Zahlung selbst ist nicht meldepflichtig, und es gibt keine Pflicht, Behörden in die Verhandlung einzubeziehen. Der Angriff dagegen kann meldepflichtig sein: an den EDÖB nach Datenschutzgesetz, an die FINMA für beaufsichtigte Institute und seit dem 1. April 2025 an das BACS, wenn ihr eine kritische Infrastruktur betreibt.
Was muss vor einem Ransomware-Vorfall entschieden sein?
Vier Punkte, schriftlich und von der Geschäftsleitung abgenommen: wer eine Zahlung freigeben darf, mit welcher Obergrenze; wer vorher die Sanktionslisten prüft; wer mit Polizei, Versicherung und Angreifern spricht; und wo der Entscheid samt Begründung protokolliert wird. Dazu die Frage, über welchen Weg eine Zahlung technisch überhaupt liefe.
