Kurz vorweg: Das Nationale Zentrum für Cybersicherheit (NCSC/BACS) verzeichnete 2024 über 62'000 Meldungen – fast die Hälfte davon Phishing. Die häufigsten Opfer sind nicht Banken oder Konzerne, sondern KMU mit 5–50 Mitarbeitenden. Der gute Schutz davor ist erstaunlich günstig – wenn man weiss, wo anzusetzen ist.
Die 4 häufigsten Phishing-Maschen gegen Schweizer KMU
CEO-Fraud (Business E-Mail Compromise)
Eine vermeintliche Mail vom Geschäftsführer fordert die Buchhaltung auf, dringend eine Überweisung zu machen – oft an einen «neuen Lieferanten» im Ausland. Die Absenderadresse weicht nur minimal ab (z.B. ceo@firma-ch.com statt firma.ch).
Gefälschte Rechnungen / IBAN-Tausch
Angreifer kompromittieren das Mailkonto eines Lieferanten, beobachten den Schriftverkehr und ersetzen kurz vor Zahlung die IBAN. Die Mail kommt vom echten Absender – auffallen kann es nur durch IBAN-Verifikation.
Microsoft-365- / SharePoint-Phishing
Eine Mail meldet «Ihr Postfach ist voll» oder «Sie haben ein Dokument auf SharePoint erhalten». Der Login-Screen ist täuschend echt – das Passwort landet beim Angreifer, der danach Mails abfängt und CEO-Fraud anbahnt.
Schweiz-spezifisches Phishing (Post, SBB, Steuern)
SMS oder Mails im Namen von Die Post, SBB, ESTV oder kantonalen Steuerverwaltungen mit «Sendungsverfolgung», «Rückerstattung» oder «Mahngebühr». Mitarbeitende klicken aus dem privaten Kontext auf dem Geschäftsgerät.
Phishing erkennen: Die 7-Punkte-Checkliste
- Absender-Domain prüfen – stimmt sie zeichengenau? «postfinance-ch.com» ist nicht «postfinance.ch».
- Unerwarteter Kontext – Rechnung, die Sie nicht bestellt haben? Lieferung, die Sie nicht erwarten? Erhöhte Wachsamkeit.
- Künstlicher Zeitdruck – «Heute noch überweisen», «Konto wird gesperrt», «Letzte Mahnung» sind Red Flags.
- Anrede & Sprache – generische Anreden («Sehr geehrter Kunde») und ungewohnte Sprachfehler in einer ansonsten korrekten Geschäftsbeziehung.
- Link-Hover – Maus über Links, ohne zu klicken: Stimmt das angezeigte Ziel mit dem Linktext überein?
- Anhänge – unerwartete .zip-, .iso-, .htm- oder makro-aktivierte Office-Dateien: niemals öffnen.
- Ungewöhnliche Anweisungen – Bitte um Geheimhaltung, Wechsel auf privaten Kanal, dringende Geschenkkarten-Käufe: klassische CEO-Fraud-Muster.
Der wirksame Schutz-Stack für KMU
Phishing-Schutz ist kein einzelnes Produkt, sondern eine Kombination aus Technik, Prozessen und Menschen. Die folgenden fünf Bausteine wirken zusammen – und sind für KMU bezahlbar:
Hochwertige E-Mail-Security (Filter & Sandbox)
Microsoft Defender for Office 365 (Plan 1 oder 2) prüft Anhänge in einer Sandbox, klassifiziert URLs in Echtzeit (Safe Links) und blockiert Domain-Spoofing. Alternativen: Proofpoint Essentials oder Hornetsecurity 365 Total Protection.
MFA mit Phishing-resistenten Methoden
SMS-Codes lassen sich heute umgehen (Adversary-in-the-Middle). Setzen Sie auf Authenticator-Apps mit Number Matching oder – noch besser – FIDO2-Hardware-Schlüssel (YubiKey) bzw. Passkeys. Conditional Access in Entra ID erzwingt MFA risikobasiert.
DNS-Filter (DNS-Layer-Schutz)
Cisco Umbrella, Cloudflare Gateway oder Quad9 für Unternehmen blockieren bekannte Phishing-Domains schon auf DNS-Ebene – auch wenn jemand klickt. Wirkt im Büro und im Homeoffice.
Awareness-Training & simulierte Phishing-Mails
Plattformen wie KnowBe4, SoSafe oder Hornetsecurity Security Awareness verschicken regelmässig realistische Test-Phishings und liefern kurze Lerninhalte (3–5 Min) in Deutsch. Klickraten sinken nach 6 Monaten typischerweise von 25% auf <5%.
Klares Melde- & Verifikationsprozedere
Ein Knopf in Outlook («Phishing melden» / Report Message Add-in), eine schriftliche IBAN-Wechsel-Regel («Telefonische Rückbestätigung über bekannte Nummer») und eine 4-Augen-Pflicht für Überweisungen ab definiertem Betrag. Das verhindert die meisten CEO-Fraud-Fälle.
Im Ernstfall: Was tun nach einem Klick?
- Gerät sofort vom Netz nehmen (LAN-Kabel ziehen, WLAN deaktivieren) – nicht herunterfahren.
- IT-Verantwortlichen oder externen IT-Dienstleister informieren – nicht erst am nächsten Tag.
- Passwort des betroffenen Accounts und aller dort verknüpften Dienste sofort zurücksetzen, MFA-Token neu ausstellen.
- Bei Überweisung: Hausbank umgehend kontaktieren – Rückrufe sind in den ersten Stunden oft noch möglich.
- Vorfall an NCSC/BACS melden (report.ncsc.admin.ch) – im Schadensfall zusätzlich Strafanzeige bei der Kantonspolizei.
- Ursache aufklären: Logs prüfen, Postfach-Regeln & Forwardings checken (Angreifer richten häufig Weiterleitungen ein), Cyberversicherung informieren.
Schweizer KMU – das müssen Sie zusätzlich beachten
- Meldepflicht: Seit 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innerhalb von 24h ans NCSC melden – freiwillig empfohlen für alle KMU.
- revDSG Art. 24: Datenschutzverletzungen durch erfolgreichen Phishing müssen «so rasch als möglich» dem EDÖB gemeldet werden, wenn ein hohes Risiko für Betroffene besteht.
- Cyberversicherung: Die meisten Schweizer Anbieter (Helvetia, AXA, Mobiliar, Generali) verlangen MFA und regelmässige Awareness-Schulung als Voraussetzung für die Deckung.
- Sprache & Kultur: Trainings in Deutsch, Französisch und Italienisch (je nach Belegschaft) wirken deutlich besser als englische Standardinhalte.
Fazit: Phishing ist Chefsache
Technik allein verhindert Phishing nicht – und Mitarbeitende allein auch nicht. Erst die Kombination aus moderner E-Mail-Security, Phishing-resistenter MFA, regelmässigen Trainings und klaren Prozessen senkt das Risiko deutlich. Für ein KMU mit 15 Mitarbeitenden bedeutet das CHF 200–350 pro Monat – ein Bruchteil dessen, was ein einziger erfolgreicher Angriff kosten würde.
Wichtig: Behandeln Sie Phishing-Schutz nicht als IT-Projekt, sondern als Geschäftsleitungs-Thema. Wer überweist, wer verifiziert und wer haftet im Ernstfall – das gehört auf eine Seite Papier, jährlich überprüft.
Phishing-Audit für Ihr KMU
Wir prüfen Ihre Mail-Security, MFA-Konfiguration und Prozesse – und zeigen, wo die grössten Lücken sind. Erstgespräch kostenlos.
Audit anfragen