Ransomware trifft ein Schweizer Familienunternehmen: Philipp Bosshard muss in zwölf Tagen entscheiden, ob er zahlt. Sonst sind Daten und 200 Jobs in Gefahr. Hinter der Erpressung steckt eine Industrie. Der Fall führt mitten in ein Milliardengeschäft und zu einer Spur, die bis in die Schweiz reicht.
Ransomware ist eine existenzielle Bedrohung für Unternehmen. Hinter den Angriffen steckt eine hochprofessionelle Industrie, die nach betriebswirtschaftlicher Logik funktioniert: eindringen, verschlüsseln, erpressen. Wer nicht zahlt, dem drohen Stillstand, Datenverlust und Bankrott. Viele Tätergruppen arbeiten dabei arbeitsteilig wie Unternehmen mit Entwicklerteams, Verhandlern, «Kundensupport» und klaren Fristen.
«NZZ Format» zeigt, warum es fast jede Firma treffen kann und wie schnell ein Angriff zur Existenzfrage wird. Im Frühling 2025 trifft es das Unternehmen von Philipp Bosshard. Plötzlich steht nicht nur die IT still, sondern die ganze Firma. Es geht um das Fortbestehen des Betriebs und der 200 Arbeitsplätze. Die Erpresser setzen eine Frist: Zwölf Tage bleiben Bosshard, um zu entscheiden, ob er Lösegeld zahlt oder ob er in letzter Not doch noch eine andere Lösung findet.
Parallel folgt «NZZ Format» den Spuren der Cyberkriminellen. Der Cybersicherheitsanalyst Jon DiMaggio erhält durch monatelange verdeckte Ermittlungen Einblick in eine der bekanntesten Ransomware-Banden: Lockbit. Dabei kommt er dem mysteriösen Kopf der Gruppe nahe, der als «LockbitSupp» auftritt. Und wird dessen Freund und Henker.
Als Lockbit 2025 selbst gehackt wird, öffnet sich ein seltenes Fenster in das Innenleben der Bande. Der NZZ-Datenjournalist Simon Huwiler analysiert die geleakten Daten und stösst auf eine aussergewöhnlich hohe Lösegeldzahlung. Eine Spur, die in die Schweiz führt.
Film von Roman Hodel
Die Sendung wird ausgestrahlt am Sonntag, den 17.05.2026 um 19:10 Uhr auf 3sat.