Stell dir Phishing wie einen digitalen Taschendieb vor, der nicht heimlich in deine Jacke greift, sondern dich mit einem cleveren psychologischen Trick dazu bringt, ihm dein Portemonnaie völlig freiwillig in die Hand zu drücken. Einige Phishing-Kampagnen beinhalten auch das direkte Versenden von Schadsoftware (sogenannte Malware). Typischerweise passiert dies über schädliche Anhänge oder bösartige Links, die unbemerkt im Hintergrund Programme installieren.
Beim Phishing werfen Betrüger digitale Köder aus. Sie versenden E-Mail-Nachrichten im Namen von vertrauenswürdigen Organisationen, Banken oder Softwareanbietern. Ihr Ziel ist es, dich auf eine manipulierte Website zu locken und dort im Hintergrund deine sensiblen Daten abzugreifen.
Woran erkenne ich ein Phishing-Mail?
Ein Phishing-Mail erkennst du an künstlichem Zeitdruck, Drohungen wie einer Kontosperrung, schlechter Rechtschreibung, einer getarnten Anrede sowie an verdächtigen Links oder unerwarteten Dateianhängen in deinem Posteingang. Ihr primäres Ziel ist es, dich auf gefälschte Webseiten zu locken, um Passwörter, Logins oder sensible Kreditkartendaten zu stehlen.
Moderne Kriminelle nutzen heute künstliche Intelligenz für ihre Angriffe. Die Nachrichten sind fehlerfrei übersetzt und wirken oft erschreckend persönlich. Das macht sie im hektischen Arbeitsalltag besonders gefährlich.
Praxisbeispiel: Wie schnell ein Klick im KMU-Alltag passiert
Du kennst das: Es ist Freitagnachmittag, das Telefon klingelt, Pendenzen müssen noch vor dem Wochenende dringend erledigt werden. In genau solchen Momenten der Informationsüberflutung schlagen Cyberkriminelle gerne zu. Schauen wir uns ein typisches Szenario an:
In der fiktiven Schreinerei Meier GmbH erhält die Buchhalterin Sarah ein E-Mail. Absender ist scheinbar ihr Chef, Thomas Meier. Er schreibt: «Hoi Sarah, ich sitze gerade in einem extrem wichtigen Kundentermin. Unsere dringend benötigte Holzlager-Lieferung steckt beim Zoll fest. Wenn wir die Gebühr von 1’250 Franken nicht in den nächsten 30 Minuten über diesen Link per Kreditkarte freigeben, steht die Baustelle am Montag still. Bitte sofort erledigen!»
Sarah weiss, wie wichtig das Projekt ist. Der Chef macht Druck, das E-Mail sieht völlig normal aus, auch die Signatur stimmt exakt. Um das Problem schnell vom Tisch zu haben, klickt sie auf den Link, landet auf einer Zahlungsseite und gibt die Firmendaten ein.
Was sie im Stress nicht gemerkt hat: Das E-Mail stammte nicht von [email protected], sondern von [email protected]. Ein winziger Unterschied, der das Schweizer KMU beinahe teuer zu stehen kommt. Sarah ist Opfer eines sogenannten «CEO-Frauds» geworden.
Typische Anzeichen für Phishing-Mails
Wir bei bexio kennen diese Gefahr aus erster Hand. Im Mai 2026 versuchten Unbekannte über gefälschte E-Mails, unsere Kundinnen und Kunden auf täuschend echte, aber nachgebaute Login-Seiten zu leiten. Ihr Ziel war es, die IBAN-Nummern auf Rechnungsentwürfen unbemerkt zu manipulieren.
Angreifer kombinieren oft mehrere psychologische Tricks. An diesen klassischen Warnsignalen entlarvst du solche Angriffe sofort:
Emotionalisierung und Panikmache: Die Kriminellen wollen Vertraulichkeit schaffen, indem sie dich auf einer emotionalen Ebene ansprechen. Sie versuchen gezielt, dich zu stressen oder Panik zu erzeugen – beispielsweise mit Betreffzeilen wie «Letzte Warnung: Konto wird in 24 Stunden gesperrt!». Die Betrüger appellieren dabei schamlos an die natürliche Hilfsbereitschaft oder die Angst des Menschen.
Vorgetäuschte Autorität (CEO-Fraud): Oft geben sich die Angreifer als hochrangige Führungskraft (z. B. der CEO) aus. Sie versuchen, Mitarbeitende aus der Buchhaltung zu einer dringenden Zahlungsauslösung zu überlisten, genau wie bei Sarah in unserem Beispiel. Dabei wird der Respekt vor Vorgesetzten gezielt ausgenutzt.
Fingierte Ausnahmesituationen: Im E-Mail verstricken dich die Cyberkriminellen glaubhaft in ein erfundenes Szenario. Sie täuschen beispielsweise vor, dass du aufgrund einer dir völlig unbekannten Bestellung sofort eine Zahlung tätigen sollst. Oft verknüpfen sie dies mit dem Versprechen, dass deine Zahlung eine besonders wichtige Lieferung auslöse. Da wir Menschen neugierig sind, spielen die Täter gerne mit diesem Faktor.
Druck zur Datenfreigabe: Du wirst im E-Mail unter Zeitdruck aufgefordert, sensible Daten preiszugeben. Seriöse Schweizer Unternehmen oder Banken verlangen niemals von dir, dass du ein Passwort oder Kreditkartendetails über einen direkten Link in einem E-Mail eingibst.
Weitere Anzeichen für Phishing-Mails
Viele Angriffe lassen sich bei genauerem Hinsehen durch technische Unstimmigkeiten entlarven:
- Getarnte Absender und Domain-Spoofing: Der angezeigte Name im Posteingang sieht absolut echt aus (z. B. «Support Team»). Fährst du jedoch mit der Maus über den Namen (ohne zu klicken!), taucht plötzlich eine völlig kryptische E-Mail-Adresse auf. Die Täter nutzen zunehmend einwandfreies Schweizerdeutsch und manipulieren Webadressen (Domains), um den Eindruck einer legitimen Quelle zu erwecken. Stell dir Domain-Spoofing vor wie jemanden, der sich unbefugt ein falsches Firmen-Namensschild ansteckt. Häufige Varianten sind:
Buchstaben-Tausch (Typosquatting): Z. B. «p0st.ch» anstatt richtig «post.ch» (Ziffer «0» statt Buchstabe «o»).
Visuelle Täuschung (Homoglyphen): Z. B. «raiffęisen.ch» anstatt richtig «raiffeisen.ch» (der Buchstabe «e» enthält einen kleinen Haken, der auf den ersten Blick kaum auffällt).
Falsche Länderendungen: z.B. «ncsc-admin.net» anstatt richtig «admin.ch».
Täuschende Anrede: Betrüger kopieren oft täuschend echte Firmenlogos. Dabei nutzen sie entweder eine extrem unpersönliche Anrede (wie «Sehr geehrter Kunde») oder sprechen dich plötzlich erschreckend personalisiert an. Letzteres gelingt ihnen, indem sie deine digitalen Spuren im Internet (z. B. auf LinkedIn, TikTok oder Instagram) auswerten. Nimm dir in beiden Fällen Zeit und handle überlegt.
Gefährliche Dateianhänge: Du erwartest gar keine Rechnung, erhältst aber ein unerwartetes Dokument? Lösche es sofort. Anhänge wie .zip, .pdf oder .exe installieren oft Viren, über die sich Cyberkriminelle Zugang zu deinem IT-System verschaffen wollen. Weitere potenziell gefährliche Dateitypen sind: .doc, .docx, .docm, .xls, .xlsx, .xlsm, .ppt, .pptx, .pptm, .rar, .7z, .msi, .bat, .cmd, .scr, .js, .vbs und .ps1.
Cyberkriminelle nutzen auch andere Wege, um an sensible Daten zu gelangen:
Vishing («Voice» und «Phishing»): Du wirst mündlich, meist am Telefon, zu Handlungen aufgefordert. Die Anrufer geben sich beispielsweise als Bankmitarbeitende aus und behaupten, eine Zahlung sei falsch getätigt worden. Manchmal bitten sie dich auch, ein Update beim E-Banking durchzuführen. Brich solche Telefonanrufe am besten sofort ab.
Smishing («SMS» und «Phishing»): Hier erhältst du überzeugende Textnachrichten, die dich dazu verleiten sollen, auf einen Link zu klicken und private Informationen an die Betrüger zu senden. Klicke nie auf solche Links und ignoriere die Nachrichten konsequent.
Achtung, neue Masche: Phishing per QR-Code («Quishing»): Du erhältst ein E-Mail oder einen echten Brief mit einem QR-Code, der angeblich zu neuen AGBs oder einer Paketfreigabe führt. Scannst du ihn, landest du direkt auf einer betrügerischen Website. Da Smartphones Webadressen oft abkürzen, fällt der Schwindel auf dem kleinen Bildschirm kaum auf. Unser Tipp: Scanne niemals QR-Codes aus unaufgeforderten Nachrichten. Weder Twint noch Tutti verfügen über eine «Geld erhalten»-Funktion – als Verkäufer musst du also nie einen QR-Code abfotografieren.
Phishing-Mythen vs. Fakten: Was wirklich stimmt
Gerade weil Phishing so allgegenwärtig ist, kursieren in der Schweizer Wirtschaft viele Halbwahrheiten. Räumen wir mit den gefährlichsten Mythen auf, damit du dich im Büro nicht in falscher Sicherheit wiegst:
Der Mythos | Der Fakt | Warum das so ist |
«Ich nutze ein Apple-Gerät (Mac/iPhone), da bin ich vor Phishing absolut sicher.» | ❌ Falsch. Phishing greift primär den Menschen an, nicht die Technik. | Wenn du auf einen Link klickst und auf einer täuschend echten Fake-Website freiwillig dein Passwort eintippst, hilft dir das beste Betriebssystem der Welt nicht. Der Fehler passiert vor dem Bildschirm durch den Nutzer. |
«Ein Phishing-Mail erkenne ich sofort an der miesen Rechtschreibung.» | ❌ Falsch. Diese Zeiten sind lange vorbei. | Cyberkriminelle nutzen heute leistungsstarke KI-Übersetzer. Die E-Mails sind grammatikalisch fehlerfrei und werden sogar gezielt in lupenreinem Schweizerdeutsch verfasst. |
«Mein teures Antiviren-Programm blockiert solche E-Mails sowieso alle.» | ❌ Falsch. Ein Virenscanner schützt vor bekannter Malware, nicht vor psychologischen Tricks. | Betrüger registrieren täglich tausende neue, harmlose Webadressen, die von den Sicherheitsfiltern im ersten Moment nicht als Bedrohung erkannt werden. |
«Wir sind als kleine Handwerksbude viel zu unbedeutend für Hacker.» | ❌ Falsch. Gerade kleinere KMU sind das absolute Hauptziel. | Kriminelle werfen ihre Netze breit aus. Mit künstlicher Intelligenz vervielfachen sich die Angriffe und werden gleichzeitig immer raffinierter. Kleine Betriebe wickeln beträchtliche Zahlungen ab. Ins Visier geraten sie selten wegen fehlenden Budgets, sondern weil sie die Gefahren schlicht unterschätzen. Mach dir deine Eigenverantwortung bewusst und handle aktiv: Regle die Zuständigkeiten, lass dich vom IT-Dienstleister zur IT-Grundhygiene beraten und sichere dich im Ernstfall über einen Cyber-Versicherer ab, der Experten stellt und Ertragsausfälle deckt. |
Schutz vor Phishing-Mails
Die beste Verteidigung für Schweizer KMU ist eine gesunde Mischung aus technischem Schutz und aufmerksamen Mitarbeitenden. Diese Massnahmen solltest du zwingend umsetzen:
Zwei-Faktor-Authentifizierung (2FA) nutzen: Das ist dein bester digitaler Türsteher. Stell es dir vor wie einen doppelten Schlüssel für dein Haus: Selbst wenn Betrüger dein Passwort erbeuten, scheitern sie am fehlenden zweiten Sicherheitscode, der nur auf deinem persönlichen Handy generiert wird. Aufgrund der gestiegenen Bedrohungslage haben wir die 2FA bei bexio für alle zum Standard gemacht. Nutze für den zweiten Faktor idealerweise eine Authenticator-App und nicht SMS.
Keine Links anklicken: Öffne wichtige Portale wie dein E-Banking oder dein bexio-Konto immer direkt über die Lesezeichen in deinem Browser oder die offizielle Startseite des Anbieters (und nie über den Teaser einer Werbung). Tippe die Adresse im Zweifel manuell ein. Klicke zudem nie blind auf einen Button, der einen versteckten Link enthalten könnte. Nutze die Hover-Methode: Fahre einfach mit der Maus über den Link, ohne zu klicken. Unten links in deinem Browser erscheint dann die wahre Ziel-Adresse.
Das Team an Bord holen: Mach IT-Sicherheit zum Gesprächsthema im Büro. Etabliere klare Regeln, wie etwa das strikte Vier-Augen-Prinzip in der Buchhaltung. Sensibilisiere deine Mitarbeitenden mindestens jährlich für den sicheren Umgang mit digitalen Services. Idealerweise ergänzt du dies durch Online-Trainings und simulierte Phishing-Angriffe, um das Erkennen von Betrug regelmässig zu üben.
Hilfe, es hat mich erwischt: Wie reagiere ich richtig?
Ein unbedachter Klick passiert im Stress den Besten – gerade bei Multitasking und Informationsüberflutung. Wenn in der Adresszeile deines Browsers plötzlich das kleine Sicherheits-Schloss fehlt oder die Webadresse seltsame Buchstabendreher aufweist, bist du wahrscheinlich auf einer Fake-Seite gelandet.
Falls du bereits Daten eingegeben oder einen Anhang geöffnet hast, zählen jetzt ein kühler Kopf und strukturiertes Handeln. Gemäss Schweizer Obligationenrecht (Art. 44 OR) kann bei grober Fahrlässigkeit im Zahlungsverkehr eine Haftung entstehen – schnelles Reagieren ist also Pflicht. Gehe sofort nach diesen Schritten vor:
Ruhe bewahren und Stecker ziehen: Trenne dein Gerät sofort vom WLAN oder ziehe das physische Netzwerkkabel. So verhinderst du, dass sich im Hintergrund eine bösartige Software (Malware) auf andere Computer in deinem IT-Firmennetzwerk ausbreitet.
Schäme dich nicht und fordere umgehend Hilfe an: Cyberkriminelle arbeiten heute extrem professionell. Selbst IT-Experten fallen auf ihre Tricks herein. Melde den Vorfall daher sofort deinem IT-Dienstleister und danach deinem Cyber-Versicherer. Der IT-Dienstleister übernimmt die Rolle der «Feuerwehr» und leistet Soforthilfe, um das Ausmass des Schadens so weit wie möglich einzudämmen. Danach sollte umgehend der Cyber-Versicherer informiert werden, damit dieser dich mit seinem Partnernetzwerk gezielt unterstützen kann.
Passwörter von einem sicheren Gerät aus ändern: Ändere deine Zugangsdaten sofort. Wichtig: Nutze dafür zwingend ein anderes, sicheres Gerät, beispielsweise dein Smartphone über das Mobilfunknetz, falls dein Computer bereits infiziert sein sollte.
Finanzinstitute alarmieren: Hast du Kreditkartendaten, IBANs oder PIN-Codes preisgegeben? Kontaktiere umgehend die 24-Stunden-Hotline deiner Bank oder deines Kreditkartenanbieters und lasse die betroffenen Konten sofort sperren. Institute wie UBS oder PostFinance verfügen glücklicherweise über einen solchen 24/7-Kundenservice.
Strafanzeige bei der Schweizer Polizei erstatten: Ist effektiv ein finanzieller Schaden entstanden, empfiehlt das offizielle Bundesamt für Cybersicherheit (BACS) dringend, Anzeige zu erstatten. Über das offizielle Portal Suisse ePolice kannst du bequem den nächsten Polizeiposten finden oder bestimmte Cyberdelikte je nach Wohnkanton sogar direkt online zur Anzeige bringen.
Datenschutz prüfen (DSG): Sind durch den Angriff personenbezogene Daten abgeflossen? Gemäss dem Schweizer Datenschutzgesetz (DSG) musst du zügig prüfen, ob du den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden musst. Dein Cyber-Versicherer unterstützt dich bei diesen Meldepflichten und übernimmt auch die Meldekosten.
Phishing-Mails in der Schweiz melden
Lösche gefährliche Nachrichten nicht einfach klammheimlich. Deine Mithilfe schützt das gesamte Ökosystem der Schweizer KMU vor finanziellem Schaden.
Melde jeden Phishing-Versuch an das Bundesamt für Cybersicherheit (BACS). Die einfachste Methode: Leite das gefährliche E-Mail (am besten als .eml-Datei im Anhang, damit alle technischen Kopfzeilen erhalten bleiben) direkt an [email protected] weiter. Die Behörde sammelt diese Meldungen, publiziert nationale Warnungen und sorgt dafür, dass betrügerische Webseiten schnellstmöglich vom Netz genommen werden. Erst danach solltest du das E-Mail löschen. So erstellst du eine EML-Datei.
Zusätzlich hilft es, das E-Mail in deinem Postfach als Spam zu markieren. So lernt dein E-Mail-Programm dazu und blockiert ähnliche Absender beim nächsten Mal ganz von allein.
FAQ: Häufige Fragen zu Phishing
Wie kann ich prüfen, ob ein Link sicher ist?
Fahre mit dem Mauszeiger über den Link, ohne ihn anzuklicken. Unten links in deinem Bildschirm erscheint die echte Webadresse. Stimmt diese nicht exakt mit der offiziellen Website deines Anbieters überein, ist Vorsicht geboten; schaue zweimal hin und frage im Zweifel direkt beim Anbieter nach - idealerweise über einen alternativen Kommunikationskanal.
Bietet ein Mac oder iPhone Schutz vor Phishing?
Nein. Phishing greift nicht primär die Technik an, sondern überlistet den Menschen durch das Vorgaukeln falscher Tatsachen. Auch Nutzer von Apple-Geräten können getäuscht werden, sodass sie auf einer hübsch gestalteten Fake-Website freiwillig ihre Passwörter eingeben.
Was ist Spear-Phishing?
Während normales Phishing wie ein grosses Wurfnetz funktioniert, ist Spear-Phishing ein gezielter Angriff mit der Harpune. Die Kriminellen zielen auf eine ganz bestimmte Person in deinem KMU ab (z. B. die Buchhalterin) und nutzen vorher gesammelte Infos (z. B. aus Social Media oder dem Handelsregister), um das E-Mail extrem glaubwürdig wirken zu lassen.
Was ist CEO-Fraud?
Angreifer geben sich als der CEO (oder eine andere hochrangige Führungskraft) des Unternehmens aus. Das Ziel ist es, Angestellte davon zu überzeugen, dringend Geld oder vertrauliche Informationen zu übermitteln. Halte daher gerade bei grösseren Überweisungen strikt das Vier-Augen-Prinzip ein. Lass dir Zahlungen bei Unsicherheiten immer über einen alternativen Kommunikationskanal (am besten telefonisch) rückbestätigen.
Um Phishing im stressigen Arbeitsalltag sofort zu erkennen, setzen auch die Schweizer Polizei und Präventionsexperten auf eine einfache Eselsbrücke. Präge dir einfach den Namen LINDA ein:
L = Links und Anhängen misstrauen: Klicke nie blind auf Buttons und öffne keine unerwarteten Dokumente. Mach vorher immer den Hover-Check mit der Maus.
I = Inhalt kritisch prüfen: Werden im E-Mail plötzlich Passwörter, Logins oder Kreditkartendaten verlangt? Seriöse Anbieter fordern dies nie direkt per Link.
N = Neutrale Anrede anzweifeln: Beginnt die Nachricht unpersönlich mit «Liebe Frau/Lieber Herr» oder «Sehr geehrter Kunde»? Das ist ein sofortiges Warnsignal.
D = Dringlichkeit hinterfragen: Macht die Nachricht künstlich Druck, setzt dir ein Limit oder droht dir mit Kontosperrungen? Lass dich niemals stressen.
A = Absender überprüfen: Ist der Absender wirklich echt? Klicke auf den angezeigten Namen und prüfe immer die tatsächliche E-Mail-Adresse dahinter.
Schütze dein KMU vor Cyber-Attacken
Mit unserem Leitfaden zum kostenlosen Download hast du Tipps und Tricks zur Hand, mit denen du dein KMU vor digitalen Gefahren schützen kannst. Ausserdem erfährst du, wie bexio mit sensiblen Kundendaten umgeht.
Cyberkriminelle missbrauchen oft bekannte Markennamen, um an deine Daten zu gelangen. Du kennst das Gefühl: Eine E-Mail verlangt eine dringende Konto-Verifizierung, und du fragst dich besorgt, ob dein Firmenzugang in Gefahr ist. Ein unbedachter Klick, und weitreichende administrative Folgen drohen.
Mach es dir leichter. Weil Sicherheit in unserer Software oberste Priorität hat, informieren wir dich transparent über aktuelle Maschen. So bleibst du auf der sicheren Seite:
Die echte Absenderadresse: Ein echtes System-E-Mail oder eine Rechnung von bexio kommt immer von einer Adresse, die zwingend auf @bexio.com endet (z. B. [email protected]).
Der Link-Check: Wenn du über einen Button in einem E-Mail von uns fährst, muss die Zieladresse zwingend auf .bexio.com enden (z. B. idp.bexio.com).
Deine Sicherheit im Fokus: Als hundertprozentige Tochtergesellschaft der Mobiliar schreiben wir Datensicherheit gross. Deshalb ist die Zwei-Faktor-Authentifizierung (vorzugsweise über die Authenticator-App) bei uns für alle Kunden der Standard.
Bist du dir trotzdem einmal unsicher, ob eine Nachricht wirklich von bexio stammt? Klicke auf keine Links. Logge dich einfach über dein gespeichertes Lesezeichen im Browser in dein bexio-Konto ein. Alle echten Pendenzen warten dort auf dich.
Dein direkter Schutz: Besuche stattdessen direkt unsere offizielle Phishing-Warnseite. Dort listen wir tagesaktuell alle uns bekannten betrügerischen E-Mails auf, die fälschlicherweise in unserem Namen versendet werden. Prüfe jetzt unsere Warnseite und arbeite weiterhin sorgenfrei und sicher.
