Stadler Rail macht einen Cyberangriff öffentlich, bei dem nach Unternehmensangaben eine gemeinsam mit einem Zulieferer betriebene Datenaustauschplattform kompromittiert wurde. Das Unternehmen beziffert die anschließende Lösegeldforderung auf 10 Millionen Schweizer Franken, umgerechnet rund 12,3 Millionen US-Dollar. Obwohl sich die Angreifer nicht öffentlich zu dem Vorfall bekannt haben, erklärt Stadler, ein Erpressungsschreiben der Ransomware-Gruppe Everest erhalten zu haben.
Das Unternehmen weist die Forderung zurück. Wörtlich erklärte Stadler, man werde „unter keinen Umständen“ Lösegeld zahlen und sei daher nicht erpressbar. Zudem habe das Unternehmen Strafanzeige bei der Kantonspolizei Thurgau eingereicht.
Nach Darstellung von Stadler ereignete sich der Vorfall Mitte Juli. Auswirkungen auf die eigenen IT-Systeme oder die Produktion habe es nicht gegeben; der Betrieb laufe weltweit normal weiter. Auch die weltweit eingesetzten Schienenfahrzeuge des Herstellers seien von dem Datenabfluss nicht betroffen.
Gestohlen wurden laut der Offenlegung des Unternehmens ausschließlich technische Informationen von einem Zulieferer, die nicht sicherheitsrelevant seien. Relevante Personendaten seien nicht entwendet worden. Stadler betont damit, dass sich der Vorfall auf den Abfluss bestimmter Daten beschränkt habe und nicht auf die operative Infrastruktur oder die Fertigung übergegriffen habe.
Stadler Rail ist ein großer internationaler Schweizer Hersteller von Lokomotiven, Straßenbahnen, U-Bahnen, Personenzügen und Eisenbahnsicherungssystemen. Das Unternehmen beliefert Bahnbetreiber weltweit, beschäftigt 18.000 Menschen an 8 Produktionsstandorten und 6 Engineering-Standorten und erzielt einen Jahresumsatz von mehr als 4,9 Milliarden US-Dollar.
Zur Gruppe Everest heißt es im Quelltext, dass sie 2020 als Ransomware-Operation aufgetreten sei, die später die Verschlüsselung von Netzwerken zugunsten von Datendiebstahl aufgegeben habe. Heute drohe die Gruppe ihren Opfern damit, gestohlene Daten zu veröffentlichen, falls kein Lösegeld gezahlt werde. In der Vergangenheit habe Everest zudem Zugänge zu kompromittierten Netzwerken an andere Bedrohungsakteure verkauft und damit als Vermittler für Erstzugriffe agiert. Teilweise habe die Gruppe auch von anderen Akteuren entwendete Daten übernommen, um darauf eigene Erpressungskampagnen aufzubauen.
Aktuell nutzt Everest laut Quelltext eine neue Domain. Die ursprüngliche Leak-Seite im Darknet war im April 2025 mit der Nachricht verunstaltet worden, Verbrechen seien schlecht, unterzeichnet „aus Prag“. Stadler ist auf der Erpressungsseite der Gruppe bislang nicht aufgeführt.
Für Stadler ist es nicht der erste schwerwiegende Sicherheitsvorfall. Bereits 2020 meldete das Unternehmen einen Cybervorfall, bei dem eine unbekannte Hackergruppe in IT-Systeme eindrang, Teile der Infrastruktur mit Schadsoftware infizierte und Daten von kompromittierten Geräten entwendete. Der Fall wirkte damals wie ein Ransomware-Angriff, bestätigt hatte Stadler dies zu diesem Zeitpunkt jedoch nicht.