Fast jeder Cyberangriff auf ein KMU beginnt auf dieselbe Weise: mit einer E-Mail. Kein spektakulärer Einbruch in den Server, keine obskure technische Schwachstelle. Eine gewöhnliche Nachricht, geöffnet an einem Dienstagmorgen von einer Person in Eile.
Genau das macht Phishing gleichermassen banal und gefährlich. Es zielt nicht auf Ihre Geräte, sondern auf Ihre Mitarbeitenden. Und die gute Nachricht ist: Man kann es erkennen, wenn man weiss, worauf zu achten ist.
Was genau ist Phishing?
Das Prinzip lässt sich in einem Satz zusammenfassen: Ein Angreifer gibt sich als jemand aus, dem Sie vertrauen, um Sie zu etwas zu bewegen, das Sie sonst nie tun würden.
Dieses «Etwas» nimmt drei Hauptformen an. Ihre Zugangsdaten auf einer gefälschten Seite eingeben, die der echten zum Verwechseln ähnlich sieht. Einen Anhang öffnen, der Schadsoftware installiert. Eine Zahlung leisten oder Informationen an eine Person weitergeben, die nicht die ist, für die sie sich ausgibt.
In der Schweiz ist das Phänomen massiv. Das Nationale Zentrum für Cybersicherheit (NCSC) erhielt 64’733 freiwillige Meldungen zu Cybervorfällen im Jahr 2025, gegenüber 62’954 im Vorjahr. Allein im zweiten Halbjahr 2025 entfielen 6299 Meldungen auf Phishing und 15’090 Meldungen auf Betrug im weiteren Sinne, was 52 % der Gesamtmeldungen entspricht.
Diese Zahlen erfassen nur gemeldete Fälle. Die meisten Versuche werden nie gemeldet. Unsere Seite zur Cyberkriminalität in der Schweiz in Zahlen zeigt im Detail, was diese Meldungen abdecken und wo ihre Grenzen liegen.
Die sechs Warnsignale, die Sie kennen sollten
Kein einzelnes Signal für sich beweist, dass eine Nachricht betrügerisch ist. Erst die Häufung sollte Sie alarmieren.
| Signal | Was das konkret bedeutet |
|---|---|
| Dringlichkeit | «Ihr Konto wird in 24 Stunden gesperrt», «letzte Erinnerung vor der Sperrung» |
| Die ungewöhnliche Anfrage | Man verlangt ein Passwort, eine dringende Zahlung, eine Kartennummer |
| Der abweichende Link | Der Text zeigt einen bekannten Namen, aber die echte Adresse führt woandershin |
| Die ungenaue Absenderadresse | Eine fast korrekte Domain, mit einem zusätzlichen Buchstaben oder einer anderen Endung |
| Ein unerwarteter Anhang | Eine Rechnung, ein Lieferschein oder eine Offerte, die Sie nicht erwartet haben |
| Die Umgehung von Regeln | «Sprechen Sie mit niemandem darüber», «erledigen Sie das direkt mit mir» |
Das zuverlässigste Signal bleibt die Kombination aus Dringlichkeit und einer ungewöhnlichen Anfrage. Ein Angreifer braucht, dass Sie handeln, ohne nachzudenken. Jeder Zeitdruck sollte deshalb genau das Gegenteil auslösen: eine Pause.
Um einen Link gefahrlos zu prüfen, bewegen Sie den Mauszeiger einfach darüber, ohne zu klicken. Die echte Adresse erscheint unten im Fenster oder in einer Sprechblase auf dem Telefon. Lesen Sie sie von rechts nach links bis zum ersten Schrägstrich: Dort steht die tatsächliche Domain.
Vier Beispiele, die Sie in der Schweiz sehen werden
Die Kampagnen, die hierzulande funktionieren, imitieren Akteure, die jeder kennt. Hier sind die vier häufigsten Szenarien.
Die falsche Paketavisierung der Post. Eine Nachricht kündigt an, dass eine Sendung nicht zugestellt werden konnte und Zollgebühren von wenigen Franken beglichen werden müssen. Der Betrag ist bewusst gering gehalten, um keinen Verdacht zu erregen. Das Formular fragt anschliessend nach der vollständigen Kartennummer. Der entscheidende Punkt: Ein Transportunternehmen verlangt niemals Kartendaten per E-Mail für ein Paket, das Sie nicht erwartet haben.
Die falsche Swisscom- oder Telekom-Rechnung. Die E-Mail imitiert das echte Layout, mit Logo, Kundennummer und plausiblem Betrag. Sie kündigt eine offene Rechnung an und droht mit einer Leitungssperrung. Der Link führt zu einer Kopie des Kundenportals. Der entscheidende Punkt: Öffnen Sie Ihr Kundenkonto, indem Sie die Adresse selbst in den Browser eingeben, nie über den Link in der Nachricht.
Die falsche Bank-Nachricht. Sie erwähnt eine verdächtige Transaktion, die bestätigt werden soll, oder ein neues Authentifizierungsverfahren, das aktiviert werden muss. Manche Varianten werden von einem Telefonanruf einer angeblichen Beraterin oder eines angeblichen Beraters begleitet, die oder der beruhigt und anleitet. Der entscheidende Punkt: Keine Schweizer Bank fragt nach Ihren Zugangscodes oder lässt Sie eine Transaktion bestätigen, die Sie nicht selbst ausgelöst haben.
Der falsche interne IT-Support. Das ist die wirksamste Variante in Unternehmen. Eine Nachricht, unterzeichnet mit «IT-Support», kündigt eine E-Mail-Migration an und fordert dazu auf, sich erneut anzumelden, um den Verlust von E-Mails zu vermeiden. Die Seite sieht aus wie Ihr gewohntes Webmail. Der entscheidende Punkt: Ihre IT-Abteilung wird Sie nie nach Ihrem Passwort fragen, weder per E-Mail noch telefonisch.
Der Name, der in Ihrem Posteingang erscheint, ist eine frei wählbare Bezeichnung, die der Absender selbst festlegt. Ein Angreifer kann dort «Die Schweizerische Post» oder den Namen Ihrer Geschäftsleitung eintragen. Schlimmer noch: Die Nachricht kann tatsächlich aus dem gehackten Postfach eines Partners stammen. In diesem Fall bestehen alle technischen Prüfungen. Nur eine Überprüfung über einen anderen Kanal schafft Gewissheit.
Der Reflex, der fast alles neutralisiert
Eine einzige Gewohnheit reicht aus, um die meisten Angriffe zu entschärfen: die Überprüfung über einen zweiten Kanal.
Die Nachricht verlangt eine Überweisung? Rufen Sie die Person an. Sie kündigt ein Problem mit Ihrem Konto an? Melden Sie sich an, indem Sie die Adresse selbst eingeben. Der IT-Support schreibt Ihnen? Schauen Sie im Büro vorbei oder rufen Sie an.
Die absolute Regel liegt in einer Nuance, die alles verändert: Verwenden Sie eine Nummer, die Sie bereits kennen, nie die in der Nachricht angegebene. Gefälschte E-Mails enthalten oft eine Kontaktnummer, und am anderen Ende der Leitung sitzt der Angreifer.
Dieser Reflex schützt auch vor ausgefeilteren Varianten wie dem CEO-Betrug, bei dem eine falsche Geschäftsleitung eine dringende, vertrauliche Zahlung fordert, oder allgemeiner vor Social Engineering.
Was tun, wenn jemand bereits geklickt hat?
Das passiert, auch aufmerksamen Personen. Entscheidend ist, wie schnell reagiert wird.
In den folgenden Minuten. Trennen Sie das Gerät vom Netzwerk, indem Sie das Kabel ziehen oder WLAN abschalten, ohne es herunterzufahren. Benachrichtigen Sie sofort Ihre IT-Verantwortlichen.
Innerhalb der Stunde. Ändern Sie das betroffene Passwort von einem anderen Gerät aus, ebenso das aller Konten, bei denen es wiederverwendet wurde. Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo sie noch nicht aktiv ist.
Innerhalb des Tages. Prüfen Sie die E-Mail-Einstellungen: Angreifer richten oft eine automatische Weiterleitungsregel ein, um auch nach der Passwortänderung weiter mitzulesen. Wurde eine Zahlung ausgeführt, kontaktieren Sie die Bank ohne Verzug, da eine kürzliche Überweisung manchmal noch zurückgerufen werden kann. Melden Sie den Vorfall schliesslich dem NCSC.
Sind personenbezogene Daten von Kundinnen, Kunden oder Mitarbeitenden betroffen, kann eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten erforderlich sein. In der Regel muss diese Einschätzung rasch erfolgen: Die Einzelheiten dieser Pflichten behandeln wir in unserem Artikel zu Ihren nDSG-Pflichten. Den vollständigen Ablauf einer Reaktion auf einen Vorfall finden Sie unter die ersten Stunden.
Das schlimmste Szenario für ein KMU ist nicht, dass ein Mitarbeitender klickt, sondern dass er es nicht wagt, dies zu sagen. Wenige Stunden Schweigen reichen aus, um einen beherrschbaren Vorfall in eine Katastrophe zu verwandeln. Sagen Sie Ihren Teams ausdrücklich: Einen Fehler zu melden wird nie sanktioniert, ihn zu verzögern ist das einzige echte Problem.
Wie lässt sich das Risiko dauerhaft senken?
Individuelle Wachsamkeit ist unverzichtbar, hat aber eine Grenze: Sie hängt von der Aufmerksamkeit einer Person in einem bestimmten Moment ab. Einige technische Massnahmen fangen Momente der Müdigkeit auf.
Aktivieren Sie die Zwei-Faktor-Authentifizierung für E-Mail und Fernzugriffe. Das ist die Massnahme mit dem besten Verhältnis zwischen Aufwand und Schutz: Selbst gestohlen, reicht ein Passwort dann nicht mehr aus.
Konfigurieren Sie die Schutzmechanismen Ihrer geschäftlichen E-Mail korrekt, insbesondere die Mechanismen, die eine Fälschung Ihres eigenen Domainnamens verhindern.
Führen Sie Backups nach der 3-2-1-Backup-Regel, denn ein unglücklicher Klick kann auch einen Ransomware-Angriff auslösen.
Pflegen Sie schliesslich den kollektiven Reflex, indem Sie ein kurzes, regelmässiges Sensibilisierungsprogramm statt einer jährlichen Sitzung durchführen. Gut durchgeführte Phishing-Simulationen messen das tatsächliche Niveau Ihres Teams und bieten konkrete Gesprächsanlässe. Sie wirken jedoch nur in einem Unternehmen, in dem das Melden eines Fehlers keine Konsequenzen hat, was so aufgebaut wird, wie es unser Artikel zur Sicherheitskultur ohne Schuldzuweisung erklärt.
Laut der Studie KMU Cybersicherheit 2025 halten 42 % der Schweizer KMU ihren Schutz für ausreichend, gegenüber 55 % ein Jahr zuvor. Dieser Rückgang ist keine schlechte Nachricht: Er spiegelt ein wachsendes Bewusstsein wider. Es bleibt, dieses in konkrete Massnahmen umzusetzen.
Um Ihr Unternehmen einzuordnen, widmet der Cyber-Check-up mehrere Fragen der E-Mail-Kommunikation und den Überprüfungsreflexen. Die weiteren Angriffe, die Schweizer KMU betreffen, sind im Themenbereich Bedrohungen im Detail beschrieben.