Kurz vorweg: Das Nationale Zentrum für Cybersicherheit (NCSC/BACS) verzeichnete 2024 über 62'000 Meldungen – fast die Hälfte davon Phishing. Die häufigsten Opfer sind nicht Banken oder Konzerne, sondern KMU mit 5–50 Mitarbeitenden. Der gute Schutz davor ist erstaunlich günstig – wenn man weiss, wo anzusetzen ist.
Die 4 häufigsten Phishing-Maschen gegen Schweizer KMU
CEO-Fraud (Business E-Mail Compromise)
Eine vermeintliche Mail vom Geschäftsführer fordert die Buchhaltung auf, dringend eine Überweisung zu machen – oft an einen «neuen Lieferanten» im Ausland. Die Absenderadresse weicht nur minimal ab (z.B. ceo@firma-ch.com statt firma.ch).
Gefälschte Rechnungen / IBAN-Tausch
Angreifer kompromittieren das Mailkonto eines Lieferanten, beobachten den Schriftverkehr und ersetzen kurz vor Zahlung die IBAN. Die Mail kommt vom echten Absender – auffallen kann es nur durch IBAN-Verifikation.
Microsoft-365- / SharePoint-Phishing
Eine Mail meldet «Ihr Postfach ist voll» oder «Sie haben ein Dokument auf SharePoint erhalten». Der Login-Screen ist täuschend echt – das Passwort landet beim Angreifer, der danach Mails abfängt und CEO-Fraud anbahnt.
Schweiz-spezifisches Phishing (Post, SBB, Steuern)
SMS oder Mails im Namen von Die Post, SBB, ESTV oder kantonalen Steuerverwaltungen mit «Sendungsverfolgung», «Rückerstattung» oder «Mahngebühr». Mitarbeitende klicken aus dem privaten Kontext auf dem Geschäftsgerät.
Phishing erkennen: Die 7-Punkte-Checkliste
- Absender-Domain prüfen – stimmt sie zeichengenau? «postfinance-ch.com» ist nicht «postfinance.ch».
- Unerwarteter Kontext – Rechnung, die Sie nicht bestellt haben? Lieferung, die Sie nicht erwarten? Erhöhte Wachsamkeit.
- Künstlicher Zeitdruck – «Heute noch überweisen», «Konto wird gesperrt», «Letzte Mahnung» sind Red Flags.
- Anrede & Sprache – generische Anreden («Sehr geehrter Kunde») und ungewohnte Sprachfehler in einer ansonsten korrekten Geschäftsbeziehung.
- Link-Hover – Maus über Links, ohne zu klicken: Stimmt das angezeigte Ziel mit dem Linktext überein?
- Anhänge – unerwartete .zip-, .iso-, .htm- oder makro-aktivierte Office-Dateien: niemals öffnen.
- Ungewöhnliche Anweisungen – Bitte um Geheimhaltung, Wechsel auf privaten Kanal, dringende Geschenkkarten-Käufe: klassische CEO-Fraud-Muster.
Der wirksame Schutz-Stack für KMU
Phishing-Schutz ist kein einzelnes Produkt, sondern eine Kombination aus Technik, Prozessen und Menschen. Die folgenden fünf Bausteine wirken zusammen – und sind für KMU bezahlbar:
Hochwertige E-Mail-Security (Filter & Sandbox)
Microsoft Defender for Office 365 (Plan 1 oder 2) prüft Anhänge in einer Sandbox, klassifiziert URLs in Echtzeit (Safe Links) und blockiert Domain-Spoofing. Alternativen: Proofpoint Essentials oder Hornetsecurity 365 Total Protection.
MFA mit Phishing-resistenten Methoden
SMS-Codes lassen sich heute umgehen (Adversary-in-the-Middle). Setzen Sie auf Authenticator-Apps mit Number Matching oder – noch besser – FIDO2-Hardware-Schlüssel (YubiKey) bzw. Passkeys. Conditional Access in Entra ID erzwingt MFA risikobasiert.
DNS-Filter (DNS-Layer-Schutz)
Cisco Umbrella, Cloudflare Gateway oder Quad9 für Unternehmen blockieren bekannte Phishing-Domains schon auf DNS-Ebene – auch wenn jemand klickt. Wirkt im Büro und im Homeoffice.
Awareness-Training & simulierte Phishing-Mails
Plattformen wie KnowBe4, SoSafe oder Hornetsecurity Security Awareness verschicken regelmässig realistische Test-Phishings und liefern kurze Lerninhalte (3–5 Min) in Deutsch. Klickraten sinken nach 6 Monaten typischerweise von 25% auf <5%.
Klares Melde- & Verifikationsprozedere
Der integrierte «Melden»-Button in Outlook («Phishing melden»), eine schriftliche IBAN-Wechsel-Regel («Telefonische Rückbestätigung über bekannte Nummer») und eine 4-Augen-Pflicht für Überweisungen ab definiertem Betrag. Das verhindert die meisten CEO-Fraud-Fälle.
Phishing-Mail melden in der Schweiz
Eine erkannte Phishing-Mail einfach zu löschen, verschenkt Wirkung. Wer sie meldet, schützt intern die Kolleginnen und Kollegen, die dieselbe Mail im Postfach haben – und hilft dem Bundesamt für Cybersicherheit (BACS), betrügerische Webseiten sperren zu lassen. So geht es richtig:
Intern in Outlook / Microsoft 365
Mail markieren, «Melden» wählen und «Phishing melden» anklicken. Der Button ist in Outlook für Microsoft 365, im neuen Outlook, in Outlook im Web sowie auf Mac, iOS und Android integriert – ein separates Add-in braucht es in aktuellen Versionen nicht. Die IT legt im Microsoft-Defender-Portal fest, ob Meldungen an ein internes Meldepostfach, an Microsoft oder an beide gehen. Gemeldete Phishing-Mails werden aus dem Postfach entfernt.
An das BACS über antiphishing.ch
Phishing-Mails an reports@antiphishing.ch weiterleiten, wenn möglich als Anhang, damit die Absenderdaten erhalten bleiben. Phishing-Webseiten melden Sie über das Webformular auf antiphishing.ch. Das Postfach wird maschinell ausgewertet – eine Antwort gibt es nicht.
Mit Rückmeldung: BACS-Meldeformular
Wer eine Antwort möchte oder einen Vorfall mit Schaden melden will, nutzt das Meldeformular des BACS für Cybervorfälle. Wurde Geld überwiesen, sofort die Bank informieren und Strafanzeige bei der Kantonspolizei erstatten.
Wichtig für die Kultur: Wer meldet, wird gelobt – auch wenn er schon geklickt hat. Nur so landen Vorfälle früh bei der IT statt erst Tage später, wenn das Konto bereits missbraucht wird.
Im Ernstfall: Was tun nach einem Klick?
- Gerät sofort vom Netz nehmen (LAN-Kabel ziehen, WLAN deaktivieren) – nicht herunterfahren.
- IT-Verantwortlichen oder externen IT-Dienstleister informieren – nicht erst am nächsten Tag.
- Passwort des betroffenen Accounts und aller dort verknüpften Dienste sofort zurücksetzen, MFA-Token neu ausstellen.
- Bei Überweisung: Hausbank umgehend kontaktieren – Rückrufe sind in den ersten Stunden oft noch möglich.
- Vorfall an NCSC/BACS melden (report.ncsc.admin.ch) – im Schadensfall zusätzlich Strafanzeige bei der Kantonspolizei.
- Ursache aufklären: Logs prüfen, Postfach-Regeln & Forwardings checken (Angreifer richten häufig Weiterleitungen ein), Cyberversicherung informieren.
Schweizer KMU – das müssen Sie zusätzlich beachten
- Meldepflicht: Seit 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innerhalb von 24h ans NCSC melden – freiwillig empfohlen für alle KMU.
- revDSG Art. 24: Datenschutzverletzungen durch erfolgreichen Phishing müssen «so rasch als möglich» dem EDÖB gemeldet werden, wenn ein hohes Risiko für Betroffene besteht.
- Cyberversicherung: Die meisten Schweizer Anbieter (Helvetia, AXA, Mobiliar, Generali) verlangen MFA und regelmässige Awareness-Schulung als Voraussetzung für die Deckung.
- Sprache & Kultur: Trainings in Deutsch, Französisch und Italienisch (je nach Belegschaft) wirken deutlich besser als englische Standardinhalte.
Falsche Support-Anrufe, die zur Installation von AnyDesk oder TeamViewer drängen, behandeln wir im Ratgeber Fernwartung & TeamViewer-Alternativen. Wurde trotzdem ein Konto übernommen, hilft unsere Checkliste E-Mail-Konto gehackt – die ersten 60 Minuten.
Fazit: Phishing ist Chefsache
Technik allein verhindert Phishing nicht – und Mitarbeitende allein auch nicht. Erst die Kombination aus moderner E-Mail-Security, Phishing-resistenter MFA, regelmässigen Trainings und klaren Prozessen senkt das Risiko deutlich. Für ein KMU mit 15 Mitarbeitenden bedeutet das CHF 200–350 pro Monat – ein Bruchteil dessen, was ein einziger erfolgreicher Angriff kosten würde.
Wichtig: Behandeln Sie Phishing-Schutz nicht als IT-Projekt, sondern als Geschäftsleitungs-Thema. Wer überweist, wer verifiziert und wer haftet im Ernstfall – das gehört auf eine Seite Papier, jährlich überprüft.
Phishing-Audit für Ihr KMU
Wir prüfen Ihre Mail-Security, MFA-Konfiguration und Prozesse – und zeigen, wo die grössten Lücken sind. Erstgespräch kostenlos.
Audit anfragen