Cyberangriff legt Daten von Hunderten SRF-Mitarbeitenden offen

Rund 340 aktuelle und ehemalige SRF-Mitarbeitende sind von einem Cyberangriff auf die SRG SSR betroffen, das Schweizer Medienunternehmen und Muttergesellschaft von Swissinfo. Zu den gestohlenen Daten gehören Namen, Berufsbezeichnungen und geschäftliche Kontaktdaten sowie einige private Kontaktangaben. Die SRG SSR machte den Vorfall am Montag, 28. September 2026, publik.

Der Datendiebstahl betrifft Aufzeichnungen, die bis ins Jahr 2020 zurückreichen. Die betroffenen Dateien beziehen sich hauptsächlich auf Mitarbeitende der heutigen Abteilung Information von SRF, dem Nachrichten- und Informationsbereich des deutschsprachigen Senders. Mitarbeitende anderer Einheiten der SRG SSR scheinen nicht betroffen zu sein, wie das Unternehmen mitteilte.

Der Vorfall hat eine wichtige Ebene der redaktionellen Infrastruktur offengelegt, obwohl es derzeit keine Hinweise darauf gibt, dass journalistische Inhalte oder Quellen eingesehen wurden. Die SRG SSR erklärte, sie habe keine Anhaltspunkte dafür gefunden, dass Passwörter, Bank- oder andere Finanzdaten, Recherchematerial oder Kommunikationsinhalte betroffen waren.

Der Sender hat weder einen Missbrauch noch eine Veröffentlichung der gestohlenen Informationen gemeldet. Der Vorfall sei unter Kontrolle, und die Ermittler hätten keine weiteren unbefugten Zugriffe festgestellt, hiess es. Die Offenlegung rückt den Schutz von Mitarbeitendendaten, die Sicherheit öffentlich-rechtlicher Mediensysteme und die möglichen Risiken in den Fokus, die entstehen, wenn geschäftliche und private Kontaktdaten gemeinsam gespeichert werden.

Namen, Funktionen und Kontaktdaten machten den Kern der offengelegten Daten aus. Die SRG SSR teilte mit, dass die Aufzeichnungen geschäftliche Kontaktdaten und einige private Kontaktangaben enthielten. Solche Informationen können helfen, Mitarbeitende zu identifizieren, Berichtswege nachzuzeichnen und Einzelpersonen mit überzeugenden Phishing-Nachrichten ins Visier zu nehmen, auch wenn Passwörter und Finanzdaten unangetastet bleiben.

Der Sender hat keine vollständige technische Darstellung des Angriffs veröffentlicht. Er teilte mit, dass die Daten aktuelle und ehemalige SRF-Mitarbeitende betrafen und die Aufzeichnungen aus dem Jahr 2020 stammten. Das Material bezog sich hauptsächlich auf die heutige Abteilung Information. Dies grenzt den bekannten Umfang des Datendiebstahls ein, unterstreicht aber auch den Wert von Organisationsdaten.

Die SRG SSR erklärte, es gebe keine Hinweise darauf, dass journalistische Quellen, Recherchematerial oder Kommunikationsinhalte betroffen seien. Diese Unterscheidung ist für einen Sender wichtig, dessen Berichterstattung oft auf vertraulichen Kontakten und heiklen Recherchen beruht. Bislang hat das Unternehmen den Vorfall weder mit einer Veröffentlichung noch mit einem Missbrauch der gestohlenen Informationen in Verbindung gebracht.

Die verfügbaren Informationen lassen auch wichtige Fragen offen, darunter, wie die Angreifer Zugang erlangten, wie lange sie sich in den betreffenden Systemen aufhielten und ob die Daten vollständig kopiert wurden. Die SRG SSR erklärte, ihre Untersuchung werde die Ursachen und das Ausmass des Angriffs klären.

Nach der Entdeckung des unbefugten Zugriffs leitete die SRG SSR Massnahmen zur Eindämmung des Datendiebstahls ein. Der Sender deaktivierte die betroffenen Zugangspunkte und führte zusätzliche Sicherheitsmassnahmen ein. Zudem reichte er Strafanzeige ein und bezog damit die Schweizer Strafverfolgungsbehörden in die Reaktion ein, während technische Fachleute den Angriff untersuchen.

Das Unternehmen teilte mit, es gebe keine Hinweise auf weitere unbefugte Zugriffe. Diese Einschätzung bleibt Gegenstand der laufenden Untersuchung, an der interne Teams und externe Fachleute beteiligt sind. Ihre Arbeit soll klären, wie die Angreifer in das System gelangten, worauf sie zugriffen und ob Informationen den Kontrollbereich des Senders verliessen.

Die SRG SSR hat die Angreifer in den verfügbaren Informationen nicht identifiziert. Sie hat auch nicht mitgeteilt, ob es sich um einen Ransomware-Angriff, ein kompromittiertes Benutzerkonto oder eine Schwachstelle in einem digitalen Dienst handelte. Diese Einzelheiten werden entscheidend sein, um das Risiko für andere Schweizer Medienorganisationen und öffentliche Institutionen einzuschätzen.

Die Reaktion folgt einem bekannten Muster bei Datensicherheitsvorfällen: betroffene Systeme isolieren, Beweismittel sichern, Zugangskontrollen verstärken und die Behörden informieren. Für die Mitarbeitenden stellt sich vor allem die Frage, ob die offengelegten geschäftlichen oder privaten Kontaktdaten für gezielten Betrug oder Identitätsmissbrauch genutzt werden könnten. Die Mitteilung des Senders enthält keine Hinweise darauf, dass es zu einem solchen Missbrauch gekommen ist.

Nach aktuellem Kenntnisstand hat der Datendiebstahl nicht zu einer Kompromittierung redaktioneller Inhalte geführt. Die SRG SSR erklärte, es gebe keine Hinweise darauf, dass Passwörter, Bankdaten, Recherchematerial, journalistische Quellen oder Kommunikationsinhalte betroffen seien. Mitarbeitende anderer Einheiten scheinen ebenfalls nicht betroffen zu sein.

Diese Informationen begrenzen die bekannten Auswirkungen, machen Wachsamkeit jedoch weiterhin nötig. Mitarbeitendenverzeichnisse können offenlegen, wer in einem bestimmten Bereich arbeitet, wer ein Team leitet und wie eine Organisation aufgebaut ist. Solche Angaben können gezielte Versuche unterstützen, Zugangsdaten zu erlangen oder Mitarbeitende dazu zu bringen, schädliche Links zu öffnen.

Der Vorfall veranschaulicht auch die Herausforderung, Daten ehemaliger Mitarbeitender zu schützen. Die offengelegten Aufzeichnungen umfassen Informationen aus dem Jahr 2020. Dies zeigt, dass historische Personaldaten weiterhin Teil der untersuchten Systeme waren. Aufbewahrungsfristen, Zugriffsberechtigungen und die Trennung geschäftlicher und privater Angaben dürften Teil der Überprüfung durch den Sender sein.

Für die Schweizer Medienbranche ergänzt der Fall das breitere Bild der Cyberrisiken, von denen Unternehmen, Behörden und öffentliche Dienste betroffen sind. Die Untersuchung der SRG SSR wird zeigen, ob die bestehenden Schutzmassnahmen wie vorgesehen funktionierten und welche Änderungen in der Organisation nötig sind.

Die nächste Phase wird von den Ermittlungen bestimmt, nicht von der ersten Bekanntmachung. Die SRG SSR arbeitet mit internen und externen Fachleuten daran, Ursache und Ausmass des Angriffs festzustellen. Der Sender hat nicht mitgeteilt, wann der Angriff begann, wie die unbefugten Personen Zugang erhielten oder ob sie sämtliche betroffenen Aufzeichnungen kopierten.

Das Unternehmen erklärte, es gebe derzeit keine Hinweise darauf, dass die gestohlenen Daten veröffentlicht oder missbraucht worden seien. Nach der Deaktivierung der betroffenen Zugangspunkte und der Einführung zusätzlicher Sicherheitsmassnahmen habe es zudem keine weiteren unbefugten Zugriffe gegeben. Diese Erkenntnisse können sich ändern, während die forensischen Arbeiten weitergehen und die Ermittler Systemprotokolle, Benutzerkonten und gespeicherte Aufzeichnungen untersuchen.

Mit der Strafanzeige erhalten die Schweizer Behörden eine formelle Rolle in dem Fall. Die Ergebnisse könnten klären, ob der Angriff gezielt gegen die SRG SSR gerichtet war oder Teil einer umfassenderen Kampagne gegen Organisationen war, die Personal- und Organisationsdaten besitzen.

Für die betroffenen Mitarbeitenden bestehen die praktischen Risiken vor allem in unerwünschten Kontaktaufnahmen, Identitätsmissbrauch und Phishing. Weitere Mitteilungen der SRG SSR werden wichtig sein, besonders falls die Ermittler zusätzliche Datenkategorien oder Hinweise darauf finden, dass die Informationen weiterverbreitet wurden. Bislang beschränkt sich die öffentliche Darstellung des Senders auf die bekannte Offenlegung von Kontakt- und Organisationsdaten von rund 340 Personen.