Dienstagmorgen, 9:14 Uhr
Die Buchhalterin einer Vermögensverwaltung mit 35 Mitarbeitenden öffnet ihr E Mail Postfach. Eine Nachricht vom Geschäftsführer: «Bin in einer Besprechung und nicht erreichbar. Bitte überweise CHF 23’500 an untenstehende Kontoverbindung. Dringend, muss heute noch raus. Details später.»
Die Absenderadresse sieht korrekt aus. Der Ton passt zum Chef. Sie kennt das: manchmal muss es schnell gehen. Die Zahlung geht raus. Doch zwei Stunden später kommt der Geschäftsführer aus seinem Meeting. Er hat nie eine solche E Mail geschrieben. Das Geld ist weg.
Kein Einzelfall
Der sogenannte CEO Betrug gehört zu den am meisten gemeldeten Betrugsmethoden beim Bundesamt für Cybersicherheit (BACS). 2025 wurden 971 Fälle registriert, gegenüber 719 im Vorjahr. Die Angriffe treffen KMU und Vereine jeder Grösse und erfolgen oft wellenartig. Dazu kommen klassische Phishing Angriffe: 2024 hat das BACS über 975’000 Phishing Meldungen erhalten. Mehr als 20’000 tatsächliche Phishing Websites wurden identifiziert, eine Verdoppelung gegenüber dem Vorjahr.
Wie die Angreifer heute vorgehen
Die plumpen Mails mit Rechtschreibfehlern sind Geschichte. Die Täter verfeinern ihre Maschen stetig. Sie setzen nicht mehr ausschliesslich auf gefälschte E Mails, sondern auch gezielt auf psychologische Manipulation und künstliche Intelligenz. Es werden sogar Namen existierender Schweizer Anwaltskanzleien missbraucht. Der vermeintliche Vorgesetzte fragt, ob ein spezifischer Anwalt bereits wegen einer vertraulichen Sache Kontakt aufgenommen habe. Diese Erwähnung einer Drittperson soll zusätzliche Seriosität und rechtlichen Druck aufbauen.
Was ein erfolgreicher Angriff wirklich kostet
Der direkte finanzielle Schaden ist oft nur der Anfang. Während das IT Team den Vorfall analysiert, steht der Betrieb still. Kunden müssen informiert werden, wenn ihre Daten betroffen sind. Das Datenschutzgesetz verlangt Meldungen an die Behörden. Und selbst wenn alles glimpflich ausgeht: Das Vertrauen, das über Jahre aufgebaut wurde, kann schnell leiden.
Auch Cyberversicherungen schauen genauer hin. Waren die Mitarbeitenden geschult? Gab es dokumentierte Sicherheitsprozesse? Wer keine Nachweise hat, riskiert reduzierte Leistungen.
Warum einmal schulen nicht reicht
Die Tendenz geht weg von Massenangriffen hin zu individuell zugeschnittenen Angriffen. Die Angreifer nehmen sich Zeit, um gezielt einzelne Opfer anzugreifen.
Firewalls schützen die Technik. Aber wer schützt die Mitarbeitenden? Wir setzen auf eine Plattform, die Security Awareness Training einfach und wirkungsvoll macht.
Das Prinzip: Ihre Mitarbeitenden erhalten regelmässig simulierte Phishing Mails, die echten Angriffen nachempfunden sind. Wer klickt, landet sofort auf einer Lernseite, die erklärt, woran man die Falle hätte erkennen können. Wer richtig reagiert, wird bestärkt. Ergänzt wird das Ganze optional durch kurze Lernvideos, die sich in wenigen Minuten zwischendurch schauen lassen. Kein stundenlanges Sitzen im Schulungsraum, sondern Training, das in den Arbeitsalltag passt. Das Ganze läuft automatisiert im Hintergrund. Sie müssen sich um nichts kümmern und erhalten trotzdem jederzeit klare Reports über den Sicherheitsstand Ihres Teams. Das ist nicht nur gut für die Sicherheit, sondern auch für die Dokumentation gegenüber Versicherungen und Behörden.
Wie sicher ist Ihr Team wirklich?
Viele Unternehmen wissen es nicht, bis es zu spät ist. In einem kurzen Gespräch zeigen wir Ihnen, wo Sie heute stehen.