Täuschend echt: Warum KMU bei Phishing und Scamming umdenken müssen

Ein Cyberangriff ist schlimm. Noch schlimmer ist es, wenn Kriminelle die gestohlenen Daten nutzen, um im Namen Ihres KMU die eigene Kundschaft in die Falle zu locken.

Die Nachricht schien echt, weil Teile davon echt waren: Name, Buchungsnummer, Reiseziel, Hotel und Betrag passten zu einer tatsächlich vorgenommenen Reservation. Die Sommerferien standen bevor. Die Aufforderung, eine Buchung vor der Anreise zu bestätigen und zu begleichen, klang plausibel. Es ging um gut 700 Euro, keine Summe, die Schlagzeilen macht, aber genug, um sich darüber zu ärgern.

Der Fall zeigt, wie sehr sich Phishing verändert hat. Viele Menschen verbinden damit noch immer schlecht übersetzte E-Mails, unbekannte Absender und einen Dateianhang, den man besser nicht öffnet. Diese Merkmale gibt es zwar weiterhin. Professionelle Scams arbeiten heute hingegen häufiger mit vertrauten Marken, plausiblen Geschäftsprozessen und gezieltem Zeitdruck. Als Basis dafür nutzen sie reale Informationen, die aus Datenlecks oder Hackerangriffen stammen.

In diesem Frühjahr sorgten im Umfeld der Buchungsplattform Booking.com verdächtige Aktivitäten für Aufsehen. Kriminelle hatten die Konten einzelner Partnerhotels gehackt. Sie nutzten echte Namen und Buchungsdetails für überzeugende Betrugsnachrichten. Doch der obige Fall ist nur ein Beispiel von vielen. Die Website des Bundesamts für Cybersicherheit (BACS) ist voll von ähnlichen Vorfällen. Sie warnt regelmässig vor gezielten Betrugswellen. Das Muster ist dabei oft dasselbe: Die Täter verfügen durch gehackte Partner- oder Dienstleisterkonten über korrekte Angaben zu bestehenden Aufträgen und setzen diese für massgeschneiderte Zahlungsaufforderungen ein.

Die Lehre daraus lautet: Eine Nachricht gewinnt durch korrekte Details zwar an Glaubwürdigkeit, aber nicht an Echtheit. Ein richtiger Name, eine passende Buchungsnummer, ein professionelles Logo oder der korrekte Betrag beweisen nicht, dass eine Zahlungsaufforderung rechtmässig ist.

«Der gut gemeinte Rat, Betrugsversuche allein an schlechter Sprache zu erkennen, ist mittlerweile hinfällig», sagt Christian Grob, Co-CEO und Head of Security Services beim Zürcher IT-Security-Anbieter Avantec. Angreifer nutzten heute künstliche Intelligenz, um ihre Ziele zu recherchieren und sprachlich fehlerfreie, auf einzelne Empfänger abgestimmte Nachrichten zu verfassen. Besonders heikel werde es, wenn die Täter bereits Zugriff auf das E-Mail-Konto des vermeintlichen Absenders hätten. «Dann stimmen selbst Absender, Verlauf und Tonalität.»

Der grösste Schmerz ist der Imageschaden

Für KMU zeigt dieser Vorfall exemplarisch, wie sich ein Sicherheitsvorfall zu einem massiven Reputationsrisiko auswachsen kann. Gelangen Bestell-, Buchungs- oder Kontaktdaten nach aussen, erhalten Kriminelle Material für Nachrichten im Namen des betroffenen Unternehmens. Die Marke, vertraute Abläufe und reale Kundendaten tragen dann zur Täuschung bei.

Das eigentliche Problem für ein KMU ist in diesem Moment nicht nur der technische Einbruch, sondern der drohende Imageschaden. Wenn die eigene Kundschaft betrügerische Rechnungen erhält, die täuschend echt aussehen, weil sie auf echten Daten basieren, ist das Vertrauen schnell zerstört. Kunden verzeihen es selten, wenn ein Unternehmen ihre sensiblen Daten nicht schützen konnte und sie dadurch zu Opfern werden.

Ein kompromittiertes E-Mail-Konto, ein zu weitreichender Cloud-Zugang oder eine Sicherheitslücke bei einem Dienstleister kann dafür genügen. Cybervorsorge schützt deshalb nicht nur Geräte und Daten, sondern vor allem den Ruf und die Geschäftsbeziehungen. Das Bundesamt für Cybersicherheit (BACS) verarbeitete 2025 insgesamt 64 733 freiwillige Meldungen zu Cybervorfällen, rund 2000 mehr als im Vorjahr.

Die Studie «KMU Cybersicherheit 2025» zeigt die Lage aus Sicht der Betriebe: 88 Prozent der befragten KMU betrachten Cyberkriminalität als ernstzunehmendes Problem. Gleichzeitig fühlen sich nur noch 42 Prozent im Fall eines Cyberangriffs ausreichend geschützt; ein Jahr zuvor lag dieser Wert bei 55 Prozent.

Die Geschäftsleitung trägt hier die Verantwortung für Prioritäten, Risiken und Ressourcen (siehe auch Seite 13 in dieser Beilage). Die IT-Abteilung oder ein externer Dienstleister setzt zwar die Schutzmassnahmen um, doch die Unternehmensleitung legt fest, welche Daten und Abläufe besonders schützenswert sind. Grob formuliert das klar: «Die Ausführung dieser Aufgaben kann die Geschäftsleitung delegieren, die Verantwortung aber nicht.»

Wie Phishing den Alltag imitiert

Phishing zielt heute auf den vertrauten Alltag: eine Rechnung, eine Zahlungsfrist, eine Lieferantenanfrage, eine Bewerbung oder eine angebliche Kontoüberprüfung. Der Link steht dabei häufig im Zentrum. Er führt auf eine gefälschte Login- oder Zahlungsseite, die bekannte Marken und professionelle Gestaltung nutzt. Auch QR-Codes, SMS, Whatsapp, Teams-Nachrichten und Telefonanrufe gehören zum Arsenal.

Auch erfahrene Mitarbeitende können eine manipulierte Nachricht nicht immer sofort erkennen. Unternehmen brauchen daher verbindliche Prozesse für kritische Vorgänge: eine zweite Kontrolle bei Zahlungen, eine unabhängige Bestätigung neuer Bankverbindungen und klare Regeln für ungewöhnliche Anweisungen.

Wirksame Cybervorsorge erschwert Angriffe durch sichere Zugänge, macht Einbrüche sichtbar und regelt die Reaktion im Notfall. «Wer aber nur in Prävention investiert, merkt den Einbruch häufig erst, wenn er die Erpressermail liest», warnt Grob.

Für eine sichere IT braucht es keine Taskforce

Um ein solides Sicherheitsnetz aufzubauen, braucht es weder ein riesiges IT-Projekt noch eine interne Taskforce. Ein pragmatischer Start ist schnell gemacht und blockiert bereits einen Grossteil der simplen Angriffe. «Es braucht keine 20-tägige Überprüfung, um loszulegen», betont Grob.

Als Leitfaden für diesen schnellen Start empfiehlt der Experte international bewährte Standards wie die «Critical Security Controls» des Center for Internet Security (CIS), die eine handfeste Priorisierung für KMU gleich mitliefern.




  Für ein solides Sicherheitsnetz braucht es weder ein riesiges IT-Projekt noch eine Taskforce. Ein pragmatischer Start ist schnell gemacht.


Im Alltag genügen bereits diese konsequenten Regeln:


Mehrfaktor-Authentifizierung für E-Mail, Cloud-Speicher, Buchhaltung und Administrationskonten aktivieren.
 
Vergebene Zugriffsrechte regelmässig überprüfen und nicht mehr benötigte Benutzerkonten umgehend entfernen.
 
Betriebssysteme, Anwendungen und vernetzte Geräte zeitnah aktualisieren.
 
Regelmässige Backups erstellen, strikt getrennt vom Netzwerk aufbewahren und die Wiederherstellung testen.
Bei geänderten Kontodaten oder neuen IBANs stets eine Rückfrage über einen unabhängigen Kanal verlangen.
 
Einen schlanken Krisenablauf mit klaren internen Verantwortlichen sowie Notfallkontakten von IT-Dienstleister, Bank, Versicherung und Rechtsberatung vorbereiten.

Wenn der Link schon geöffnet wurde

Ein verdächtiger Link sollte nicht geöffnet werden. Wer trotzdem darauf klickt, hat jedoch noch nicht zwingend einen Schaden verursacht. Viele Phishing-Seiten versuchen erst in einem zweiten Schritt, Passwörter, Mehrfaktor-Codes oder eine Zahlungsfreigabe zu erhalten. Der Klick führt oft nur auf die gefälschte Seite; der unmittelbare Schaden entsteht häufig erst bei der Eingabe.

Dennoch kann ein fehlgeleiteter Klick Risiken beinhalten, etwa wenn die Seite versucht, Schwachstellen in Browser und Gerät auszunutzen. Wer auf einem Geschäftsgerät einen verdächtigen Link geöffnet hat, meldet dies intern, damit die IT oder der externe Dienstleister die Situation beurteilen kann.

Hat jemand die Zugangsdaten bereits eingegeben, zählt die schnelle Meldung. «Man sollte sich nie dafür schämen, das kann heute den erfahrensten Usern passieren», sagt Grob. Entscheidend sei, den Vorfall sofort zu melden. Je früher die Meldung kommt, desto grösser ist die Chance, dass gar kein Schaden entsteht.

So oder so: Betroffene Passwörter müssen umgehend geändert werden. «Wichtig ist auch, dass die IT die aktiven Sitzungen beendet, sonst bleibt der Angreifer trotz neuem Passwort angemeldet», sagt Grob. Ist zudem eine phishing-resistente Mehrfaktor-Authentifizierung im Einsatz, läuft der Diebstahl der Zugangsdaten weitgehend ins Leere.

Für die Zukunft entscheidend ist auch eine offene Fehlerkultur im Unternehmen: «Wer eine Schadensmeldung mit Vorwürfen quittiert, erfährt beim nächsten Mal gar nichts mehr.»

Offene Kommunikation rettet das Image

Ein Datenvorfall kann sich über das betroffene Unternehmen hinaus fortsetzen. Wie erwähnt: Gelangen Kunden- oder Bestelldaten in falsche Hände, erhalten Täter Material für personalisierte Nachrichten im Namen der Firma. In dieser Situation entscheidet die Kommunikation über den Erhalt oder den kompletten Verlust des Vertrauens.

Ein vorbereitetes Cyber-Krisenmanagement schafft dafür Zeit und Klarheit. Betroffene Kundinnen und Kunden sollten erfahren, was passiert ist, welche Daten betroffen sein könnten und über welche Kanäle das Unternehmen tatsächlich kommuniziert.

Grob empfiehlt, die betroffene Kundschaft frühzeitig zu warnen, sobald ein Unternehmen von Phishing-Aktivitäten im eigenen Namen weiss. «Die Kunden müssen es von der Firma erfahren und nicht vom Betrüger», sagt er. Transparenz heisst deshalb auch, offenzulegen, welche Informationen abgeflossen sein könnten und welche Aufforderungen das Unternehmen niemals verschickt.

Wie ein Unternehmen nach einem Vorfall kommuniziert, entscheidet häufig über die längerfristige Wahrnehmung und den tatsächlichen Imageschaden. «Wie gut eine Firma in der Krise kommuniziert, prägt die Wahrnehmung am Ende oft stärker als der Vorfall selbst», sagt Grob. Cybervorsorge schafft damit etwas sehr Konkretes: Handlungsfähigkeit im Moment eines Vorfalls und Vertrauen danach.

Produziert und herausgegeben von NZZ Story Lab. Nicht gekennzeichnete Inhalte sind publizistisch unabhängig entstanden; bei Sponsored Content handelt es sich um kommerziell erworbene Inhalte. Hier geht es zu den NZZ-Richtlinien für Native Advertising.