Am 24. August hat das Bundesamt für Cybersicherheit seine Bilanz für das erste Halbjahr 2026 vorgelegt. 27 128 freiwillige Meldungen sind eingegangen, dazu 200 Meldungen von Betreibern kritischer Infrastrukturen, für die seit April 2025 eine Meldepflicht gilt.
Solche Berichte lesen sich meistens gleich: mehr Angriffe, raffinierter, kaum Abwehrmöglichkeiten. Diesmal steht eine andere Zahl darin.
Von über 400 auf unter 100 — in einem Monat
Betrügerische Anrufe im Namen von Behörden waren jahrelang eine der hartnäckigsten Maschen. Jemand ruft an, im Display erscheint eine Schweizer Nummer, am Apparat gibt sich jemand als Polizist oder Mitarbeiter einer Amtsstelle aus.
Von Januar bis Juni gingen dazu regelmässig über 400 Meldungen pro Monat ein. Zum 1. Juli wurde die Kennzeichnungspflicht für Anrufe aus dem Ausland mit vorgetäuschten Schweizer Nummern auf Mobilfunknummern ausgeweitet. Im Juli fielen die Meldungen auf unter 100 — ein Rückgang von über 75 Prozent.
Das ist bemerkenswert, weil es so selten vorkommt. Eine einzelne, technisch unspektakuläre Massnahme hat eine etablierte Betrugsmasche binnen eines Monats weitgehend unbrauchbar gemacht. Nicht durch Aufklärung, nicht durch Strafverfolgung, sondern indem der Weg, über den der Betrug funktionierte, versperrt wurde.
Die Lehre daran lässt sich übertragen: Gegenwehr wirkt, wenn sie am richtigen Punkt ansetzt.
Der Punkt, der Ihren Betrieb betrifft
Im Bericht steht ein zweites Muster, und das ist für ein KMU das dringendere: Phishing rund um Microsoft 365, mit dem Ziel, geschäftliche E-Mail-Konten zu übernehmen.
Der Ablauf ist immer derselbe. Eine E-Mail führt auf eine nachgebaute Anmeldeseite. Wer dort Benutzername und Passwort eingibt, verliert nicht nur sein Postfach — er verliert es, ohne etwas zu merken. Der Angreifer meldet sich an, richtet stille Weiterleitungen ein und liest mit.
Was danach passiert, ist der eigentliche Schaden:
Rechnungen werden abgefangen und mit geänderter Kontonummer weitergeleitet. Der Kunde zahlt, nur eben woandershin. Auffallen tut es Wochen später bei der Mahnung.
Aus dem übernommenen Konto wird weiter gephisht. Diese Mails kommen von einer echten Adresse, mit dem echten Signaturtext, oft als Antwort in einem laufenden Verlauf. Sie sind kaum als Fälschung erkennbar.
Über 9 000 Phishing-Meldungen erreichten die Meldestelle des Bundes in diesem Halbjahr. Besonders im Visier standen daneben Stellensuchende, angelockt mit vermeintlichen Traumjobs.
Was KI daran ändert
Der Bericht benennt es zurückhaltend: Angreifer nutzen künstliche Intelligenz zunehmend, um massgeschneiderte, personalisierte Inhalte glaubwürdig zu vermitteln.
In der Praxis heisst das: Die Merkmale, an denen man Phishing früher erkannte, verschwinden. Holprige Übersetzungen, falsche Anreden, generische Formulierungen — das war nie ein gutes Erkennungsmerkmal, aber es war eines. Eine Mail, die den Namen des Vorgesetzten kennt, den Tonfall trifft und sich auf ein laufendes Projekt bezieht, lässt sich am Text nicht mehr entlarven.
Deshalb verlagert sich die Abwehr weg vom Erkennen und hin zum Verfahren.
Was zu tun ist
Zwei-Faktor-Anmeldung auf allen Postfächern. Das ist die Massnahme, die dem 75-Prozent-Effekt am nächsten kommt: Sie versperrt den Weg, statt auf Aufmerksamkeit zu setzen. Ein gestohlenes Passwort allein nützt dann nichts mehr. Bei Microsoft 365 ist die Funktion vorhanden und kostet nichts ausser der Einrichtung.
Weiterleitungsregeln kontrollieren. Nach einer Kontoübernahme richten Angreifer fast immer eine stille Weiterleitung ein. Ein Blick in die Regeln jedes Postfachs — auch der selten genutzten — deckt das auf.
Zahlungsänderungen nie per Mail bestätigen. Wenn ein Lieferant eine neue Kontonummer mitteilt, wird das telefonisch geprüft, über eine bereits bekannte Nummer. Nicht über die Nummer in der Mail. Dieser eine Ablauf verhindert die teuersten Fälle.
Vorfälle melden. Die 27 128 Meldungen sind kein Selbstzweck: Aus ihnen entstehen Massnahmen wie die Kennzeichnungspflicht, deren Wirkung oben in Zahlen steht. Meldungen gehen an das Bundesamt für Cybersicherheit, auch anonym.
Wie sich die Meldezahlen über die Jahre entwickelt haben und warum die offiziellen Ransomware-Zahlen zu niedrig liegen, haben wir im August aufgeschrieben.
Wer bei der Zwei-Faktor-Anmeldung oder den Postfach-Regeln Unterstützung braucht: Bei den Kunden, deren Mail wir betreuen, sehen wir uns das auf Wunsch gemeinsam an.