Cyberangriff stiehlt Daten von Hunderten Mitarbeitenden eines Schweizer Senders

Rund 340 aktuelle und ehemalige SRF-Mitarbeitende sind nach einem Cyberangriff auf die Schweizerische Radio- und Fernsehgesellschaft (SRG), das Mutterunternehmen von Schweizer Medienangeboten des Service public wie dem deutschsprachigen Sender SRF, von der Offenlegung persönlicher Arbeitsplatzdaten betroffen.

Die gestohlenen Datensätze enthalten Namen, Berufsbezeichnungen und berufliche Kontaktdaten. Darunter waren auch einige private Kontaktangaben. Laut SRG betreffen die Daten hauptsächlich Mitarbeitende der heutigen Informationsabteilung von SRF. Die Datensätze reichen bis ins Jahr 2020 zurück.

Der Vorfall ist relevant, weil der Sender in Redaktionen, Produktionsteams und der Verwaltung mit sensiblen Aufgaben betraut ist. Mitarbeitendenverzeichnisse können Angreifenden dabei helfen, eine Institution zu erfassen, Ziele zu identifizieren und überzeugende Nachrichten zu verfassen, selbst wenn besonders sensible Systeme geschützt bleiben.

Die SRG meldete den Vorfall am 28. September 2026. Sie erklärte, es gebe keine Hinweise darauf, dass die Informationen veröffentlicht oder missbraucht worden seien. Zudem habe das Unternehmen keine Belege dafür gefunden, dass weitere SRF-Einheiten betroffen seien.

Die Mitteilung vermittelt der Öffentlichkeit ein begrenztes, aber wichtiges Bild des Angriffs. Die Ermittler müssen weiterhin klären, wie die Angreifer in das System eingedrungen sind, wie lange sie Zugriff hatten und ob sie neben den identifizierten Personaldatensätzen weitere Daten kopiert haben.

Gestohlen wurden Namen, Funktionen und Kontaktdaten, während die sensibelsten vom Sender genannten Datenkategorien unangetastet blieben.

Zu den kompromittierten Informationen gehörten berufliche Kontaktdaten wie Geschäftsadressen und weitere Organisationsdaten sowie einige private Kontaktdaten. Diese Angaben können Berichtswege und Arbeitsbeziehungen innerhalb eines grossen Medienunternehmens offenlegen. Sie können auch ehemalige Mitarbeitende betreffen, die nicht mehr damit rechnen, dass ihre Angaben in aktiven institutionellen Systemen gespeichert sind.

Laut SRG gab es derzeit keine Hinweise darauf, dass Passwörter oder Finanz- und Bankdaten betroffen waren. Ebenso gebe es keine Belege dafür, dass journalistische Quellen, Recherchedaten oder Kommunikationsinhalte abgerufen wurden.

Diese Unterscheidung ist für den Redaktionsbetrieb von SRF bedeutsam. Der Schutz von Quellen und vertraulicher Kommunikation ist zentral für die Berichterstattung im öffentlichen Interesse, insbesondere wenn Journalistinnen und Journalisten an politisch heiklen, kriminellen oder sicherheitsrelevanten Themen arbeiten. Die verfügbaren Informationen deuten nicht darauf hin, dass solche Materialien bei diesem Vorfall betroffen waren.

Der Sender beschränkt seine öffentliche Darstellung auf bestätigte Erkenntnisse. Er hat weder die Angreifer identifiziert noch die Angriffsmethode offengelegt oder mitgeteilt, ob die Datensätze online aufgetaucht sind. Diese Fragen sind weiterhin Teil der Untersuchung, an der interne und externe Fachleute beteiligt sind.

Die SRG leitete unmittelbar nach der Entdeckung des unbefugten Zugriffs Massnahmen zur Eindämmung des Vorfalls ein. Der Sender erklärte, er habe die betroffenen Zugänge deaktiviert und zusätzliche Sicherheitsmassnahmen eingeführt.

Zudem erstattete die SRG Strafanzeige. Damit liegt der Fall bei den Strafverfolgungsbehörden, während die Ermittler Ursache und volles Ausmass des Eindringens zu klären versuchen. Interne und externe Fachleute arbeiten bei der Untersuchung zusammen. Das Unternehmen hat öffentlich niemandem die Verantwortung für den Angriff zugeschrieben.

Der Sender erklärte, nach aktuellem Kenntnisstand habe es keinen weiteren unbefugten Zugriff gegeben und der Vorfall sei unter Kontrolle. Mitarbeitende anderer Einheiten seien offenbar nicht betroffen gewesen.

Diese Massnahmen senken das unmittelbare Risiko, doch damit sind nicht alle Fragen geklärt, die der Vorfall aufwirft. Die Ermittler müssen die Grenzen des betroffenen Systems überprüfen, feststellen, ob die gestohlenen Datensätze kopiert oder übertragen wurden, und einschätzen, welche aktuellen und ehemaligen Mitarbeitenden einem erhöhten Risiko gezielter Phishing-Angriffe oder Identitätsmissbrauchs ausgesetzt sind.

Die Reaktion des Unternehmens zeigt auch, welche praktischen Anforderungen die Bewältigung eines Datenvorfalls mit sich bringt. Öffentliche Institutionen müssen gleichzeitig Systeme sichern, Beweise bewahren, betroffene Personen informieren und wesentliche Dienstleistungen aufrechterhalten. Mit der Strafanzeige und der laufenden Untersuchung stuft die SRG den Vorfall als Sicherheitsfall und nicht bloss als internes Datenschutzproblem ein.

Ein Mitarbeitendenverzeichnis kann Angreifenden als Orientierungshilfe für eine Institution dienen. Namen und Berufsbezeichnungen zeigen, wer wo arbeitet, während Organisationsangaben Hinweise auf Berichtswege, Fachbereiche und mögliche Ansprechpersonen geben können.

Für einen Rundfunkanbieter sind solche Informationen besonders wertvoll. Nachrichtenorganisationen sind auf den raschen Austausch zwischen Reporterinnen und Reportern, Redaktorinnen und Redaktoren, Produzierenden, technischen Teams und Führungskräften angewiesen. Angreifer können vertraute Namen und glaubwürdige Funktionen nutzen, um gezielte Nachrichten zu versenden, Dokumente anzufordern oder sich als Kolleginnen und Kollegen auszugeben. Aus den vorliegenden Informationen geht nicht hervor, dass es im SRF-Fall zu einem solchen Missbrauch kam. Das Risiko ergibt sich jedoch unmittelbar aus der Art der offengelegten Daten.

Der Vorfall zeigt auch, weshalb ehemalige Mitarbeitende für den Datenschutz weiterhin relevant sind. Im Lauf der Zeit erstellte oder aufbewahrte Datensätze können Personen noch lange nach ihrem Austritt aus einer Organisation identifizierbar machen. Die SRG erklärte, die betroffenen Informationen reichten bis ins Jahr 2020 zurück. Das unterstreicht, wie wichtig es ist, alte Verzeichnisse und Zugriffsberechtigungen zu überprüfen.

Schweizer öffentliche Institutionen stehen unter demselben Druck wie andere grosse Organisationen. Sie speichern umfangreiche persönliche und betriebliche Daten, sind auf vernetzte Systeme angewiesen und müssen für die Öffentlichkeit erreichbar bleiben. Sicherheitsvorkehrungen müssen deshalb sowohl routinemässige Verwaltungsdaten als auch streng vertrauliche Informationen abdecken.

Die bisherigen Erkenntnisse sind begrenzt, und die Untersuchung dauert an. Die SRG hat keine Belege dafür gemeldet, dass die gestohlenen Daten veröffentlicht oder missbraucht wurden. Ebenso gebe es keine Hinweise darauf, dass Passwörter, Finanzinformationen, Quellen, Recherchedaten oder Kommunikationsinhalte kompromittiert worden seien.

Diese Erkenntnisse sind für die Mitarbeitenden und die breitere Schweizer Öffentlichkeit beruhigend, beantworten aber nicht alle Fragen. Die Untersuchung muss den Einstiegspunkt des Angriffs, die genau abgerufenen Datensätze und die Frage klären, ob neben den bisher identifizierten Systemen weitere betroffen waren.

Für SRF-Mitarbeitende können die offengelegten Kontaktdaten Anlass zu besonderer Vorsicht bei unerwarteten E-Mails, Anrufen und Anfragen sein, die sich auf interne Funktionen oder Kolleginnen und Kollegen beziehen. Die zusätzlichen Sicherheitsmassnahmen des Senders und die laufende Überprüfung werden wichtig sein, um festzustellen, ob das Risiko eingedämmt wurde.

Der Fall rückt eine öffentliche Institution zu einem Zeitpunkt in den Fokus, in dem Cyberangriffe für Schweizer Unternehmen und Behörden zu einer wiederkehrenden Herausforderung geworden sind. Medienorganisationen tragen eine doppelte Verantwortung: Sie müssen persönliche Daten aus dem laufenden Betrieb schützen und zugleich die vertrauliche Arbeit sichern, auf der unabhängiger Journalismus beruht.

Die nächste wichtige Aktualisierung wird zeigen, was gemäss Untersuchung geschehen ist und ob der Vorfall über die bereits gemeldeten rund 340 Personaldatensätze hinausging.