Aktuelle Angriffslage Schweiz – Stand 04.07.2026
Datenquelle: GovCERT.ch (TLP:CLEAR). Stand: 04.07.2026.
Worum geht es?
Das nationale Computer Emergency Response Team GovCERT.ch veröffentlicht laufend Listen von IP-Netzbereichen (CIDR), die aktiv an Angriffen gegen Schweizer Ziele beteiligt sind. Diese Übersicht fasst die aktuelle Lage für KMU zusammen.
Aktuelle Zahlen
- 223 Netzbereiche führen aktuell Brute-Force-Angriffe gegen Microsoft 365 und Edge-Geräte (SSL-VPN, Firewalls) durch.
- 436 Netzbereiche wurden für DDoS-Angriffe der Gruppe NoName057(16) gegen Schweizer Ziele eingesetzt.
Woher kommen die Brute-Force-Angriffe?
Die häufigsten Herkunftsländer der Angriffsinfrastruktur:
- Hongkong: 68 Netzbereiche
- USA: 51 Netzbereiche
- Rumänien: 48 Netzbereiche
- Grossbritannien: 16 Netzbereiche
- Niederlande: 11 Netzbereiche
- Russland: 10 Netzbereiche
- Kanada: 5 Netzbereiche
- Seychellen: 3 Netzbereiche
Wichtig: Diese Länder sind Standorte von Hosting-Anbietern und Rechenzentren – nicht der Täter selbst. Angreifer mieten gezielt Server in günstigen Cloud-Umgebungen. Ein hoher Anteil aus Hongkong oder Rumänien bedeutet also nicht, dass die Angreifer von dort stammen.
Was ist zu tun?
Für ein durchschnittliches Schweizer KMU gibt es keinen legitimen Grund, Anmeldeverkehr aus diesen Netzbereichen auf VPN- oder Microsoft-365-Zugängen zu erwarten. Empfohlene Massnahmen:
- Multi-Faktor-Authentifizierung (MFA) auf allen Microsoft-365- und VPN-Zugängen aktivieren – die wirksamste Einzelmassnahme gegen Brute Force.
- Die von GovCERT.ch bereitgestellten CIDR-Listen auf der Firewall blockieren, wenn Sie unter aktivem Angriff stehen.
- Fehlgeschlagene Anmeldeversuche auf Edge-Geräten überwachen.
Die maschinenlesbaren Listen zum direkten Blockieren: github.com/govcert-ch/CTI