Es gibt einen Satz, den jede Geschäftsleitung im Bereich Cybersicherheit schon gehört hat: der Mensch ist das schwächste Glied. Er wird auf Konferenzen, in Broschüren und in Verkaufsangeboten wiederholt.
Er ist zugleich wahr und zutiefst kontraproduktiv. Wahr, weil die grosse Mehrheit der Angriffe heute über eine Person läuft und nicht über eine technische Schwachstelle. Kontraproduktiv, weil ein Mitarbeitender, der sich als Schwachstelle des Systems bezeichnet fühlt, genau das Gegenteil von dem tut, was Sie brauchen: Er schweigt.
Hier erfahren Sie, warum dieser Ausdruck das Problem falsch stellt, und was eine Sensibilisierung, die Reflexe verändert, von einem abgehakten Kästchen unterscheidet.
Warum zielen Angreifer auf Personen?
Eine Maschine anzugreifen erfordert Zeit, Fachwissen und Glück. Man muss eine Schwachstelle finden, sie ausnutzen, bevor sie behoben wird, eine Firewall umgehen. Eine Person anzugreifen erfordert eine gut formulierte E-Mail und ein wenig Geduld.
Die Schweizer Zahlen spiegeln diese Wahl wider. Im zweiten Halbjahr 2025 entfiel von allen beim Nationalen Zentrum für Cybersicherheit eingegangenen Meldungen Betrug auf 15’090 Meldungen, das sind 52 % der Gesamtzahl, vor Phishing mit 6299 Meldungen. Anders gesagt: Mehr als jede zweite Meldung betrifft einen Versuch, jemanden zu täuschen, nicht eine Maschine zu knacken.
Der CEO-Betrug veranschaulicht dieses Phänomen gut. Diese Art von Angriff, bei der sich ein Betrüger als Geschäftsleitung ausgibt, um eine dringende Überweisung zu erhalten, war Gegenstand von 605 Meldungen Schweizer Unternehmen im ersten Halbjahr 2025 und 366 im zweiten. Keiner dieser Versuche beruht auf einer technischen Meisterleistung. Alle beruhen auf Autorität, Dringlichkeit und Vertrauen.
Die Überlegung des Angreifers ist einfach: Ihre Firewall geht nicht ans Telefon, Ihre Buchhaltung schon.
Daraus ergibt sich eine praktische Konsequenz: Die Unternehmensgrösse schützt nicht mehr. Die Kampagnen zielen auf niemanden Bestimmten, sie streuen breit. Ein Sechs-Personen-Betrieb erhält dieselben betrügerischen Nachrichten wie ein internationaler Konzern, mit weitaus weniger Mitteln, um sie zu filtern.
Freitag, 16.40 Uhr. Das Telefon klingelt in der Buchhaltung. Ein höflicher Gesprächspartner stellt sich als neuer Kontakt eines Lieferanten vor, den Sie gut kennen. Er kündigt eine Änderung der Bankverbindung an, die kurz darauf per E-Mail von einer Adresse bestätigt wird, die der richtigen ähnelt. Nichts an diesem Austausch ist technisch auffällig: keine Schadsoftware, kein Anhang, kein gefährlicher Link. Der Spamfilter wird nichts erkennen. Nur eine Person, die geschult ist, jede Änderung der Bankverbindung über einen Anruf an eine bekannte Nummer zu überprüfen, wird den Vorgang stoppen.
Was kein technisches Werkzeug für Sie tun kann
Technische Schutzmassnahmen bleiben unverzichtbar. Ein E-Mail-Filter, eine Zwei-Faktor-Authentifizierung und korrekte Backups wehren die Mehrheit der automatisierten Angriffe ab. Wir behandeln sie ausführlich im Themenbereich Bewährte Praktiken.
Aber drei Situationen liegen vollständig ausserhalb ihrer Reichweite.
Ein Telefonanruf. Keine Software analysiert das Gespräch, das ein Mitarbeitender mit einem überzeugenden Unbekannten führt. Das ist der bevorzugte Kanal für falschen IT-Support und falsche Lieferanten.
Eine dringende Anfrage, die von der Geschäftsleitung zu stammen scheint. Enthält die Nachricht weder Link noch Anhang, ist sie technisch harmlos. Gefährlich macht sie die hierarchische Beziehung, die sie ausnutzt. Siehe unseren Artikel zum CEO-Betrug.
Eine legitime E-Mail aus einem gehackten Postfach. Übernimmt ein Angreifer das Postfach eines echten Partners, stammt die Nachricht von einer echten Adresse, in einem echten Gesprächsverlauf. Kein technischer Schutz meldet sie, weil nichts daran auffällig ist. Siehe Kompromittierung von E-Mail-Konten.
In diesen drei Fällen ist die letzte Verteidigungslinie Ihres Unternehmens eine Person. Kein schwaches Glied: eine Verteidigungslinie. Das ist ein Unterschied in der Betrachtungsweise, aber er verändert alles Übrige.
Was kostet das Fehlen von Sensibilisierung?
Die Kosten bemessen sich nicht in eingesparten Schulungsfranken. Sie bemessen sich in Reaktionszeit.
Ein KMU ohne Sicherheitskultur verliert an drei Zeitpunkten Zeit. Vor dem Vorfall, weil niemand die Anzeichen eines laufenden Versuchs erkennt. Während des Vorfalls, weil die betroffene Person nicht weiss, wen sie informieren soll. Vor allem danach, weil das Problem zufällig entdeckt wird, oft erst mehrere Tage später, wenn eine Überweisung bereits ausgeführt oder Dateien bereits verschlüsselt sind. Betriebsunterbrechung, Datenverlust, Meldepflichten, beschädigtes Vertrauen: Jede dieser Folgen verschärft sich mit der verstrichenen Zeit.
Es gibt einen zweiten, weniger sichtbaren Kostenfaktor: den der Entscheidungen, die niemand zu treffen wagt. Bei einer ungewöhnlichen Zahlungsanfrage bedeutet Ablehnen das Risiko, einen Kunden oder eine vorgesetzte Person zu verstimmen, Zustimmen bedeutet vielleicht, einen Betrug auszuführen. Ohne klare Regel entscheiden sich die meisten Menschen dafür, keine Wellen zu schlagen. Sensibilisierung dient zunächst dazu, ihnen das Recht zu geben, Nein zu sagen, und ein Verfahren, auf das sie sich dabei stützen können.
Unser Kostensimulator für einen Angriff ermöglicht es, mit Ihren eigenen Zahlen abzuschätzen, was einige Tage Betriebsunterbrechung für Ihr Unternehmen bedeuten würden. Das ist in der Regel die Berechnung, die eine zögernde Geschäftsleitung am besten überzeugt.
Was nicht funktioniert
Viele Unternehmen haben das Gefühl, das Thema bereits erledigt zu haben. Sie haben oft eines dieser vier Dinge getan.
Das interne Rundschreiben. Eine interne E-Mail, die daran erinnert, «wachsam zu bleiben», informiert, schult aber niemanden. Niemand weiss, was «wachsam» an einem Dienstagmorgen vor dem eigenen Posteingang konkret bedeutet.
Die unterschriebene und dann vergessene Richtlinie. Das bei der Einstellung unterschriebene Dokument hat einen echten rechtlichen Wert, den wir im Artikel zur IT-Nutzungsrichtlinie behandeln. Zwei Jahre später hat es keinen pädagogischen Wert mehr.
Die jährliche zweistündige Sitzung. Sie hakt das Kästchen ab, sie beruhigt, und ihre Wirkung verblasst innerhalb weniger Wochen. Sicherheit ist kein Wissen, das man einmal erwirbt, sondern ein Reflex, den man pflegen muss.
Die Schuldzuweisung. Das ist die teuerste der vier. Die Person, die geklickt hat, in einer Besprechung oder durch eine Bemerkung zu demütigen, sendet dem gesamten Team eine klare Botschaft: Beim nächsten Mal ist es besser, nichts zu sagen und zu hoffen, dass es unbemerkt bleibt.
Ein Mitarbeitender, der seinen Fehler innerhalb von zehn Minuten meldet, gibt Ihnen die Chance, das Gerät zu isolieren, die Passwörter zu ändern und eine noch ausstehende Überweisung zu blockieren. Derselbe Mitarbeitende, der nichts zu sagen wagt, lässt Sie das Problem drei Tage später entdecken. Der Fehler ist identisch, der Schaden hat damit nichts zu tun. Ein Unternehmen, das den Klick bestraft, erfährt von Vorfällen am Ende nur noch, wenn sie unumkehrbar sind.
Was funktioniert
Eine wirksame Sensibilisierung beruht auf wenigen Grundsätzen, die alle ohne besonderes Budget umsetzbar sind.
| Grundsatz | In der Praxis | Warum es wirkt |
|---|---|---|
| Kurz | 15 bis 20 Minuten, ein einziges Thema | Aufmerksamkeit und Erinnerung halten mit |
| Regelmässig | 3 bis 4 Mal im Jahr statt einmal | Erhält einen Reflex statt nur Wissen |
| Konkret | Ihre echten Lieferanten, Ihre echten Abläufe | Generische Inhalte treffen nie auf jemanden zu |
| Offen | Fragen willkommen, Fehler werden besprochen | Bringt Zweifel vor dem Vorfall ans Licht |
| Geteilt | Geschäftsleitung und Führungskräfte eingeschlossen | Sie sind die Hauptziele |
Das Format ist weniger wichtig als die Häufigkeit. Ein fünfzehnminütiger Punkt in einer Teamsitzung, ausgehend von einer verdächtigen E-Mail, die tatsächlich in der Vorwoche eingegangen ist, bringt mehr als ein einstündiges Online-Modul, das im Schnelldurchlauf angesehen wird. Um diese Einheiten über ein ganzes Jahr zu verteilen, mit einem Thema pro Zeitraum, siehe unser einsatzbereites Sensibilisierungsprogramm.
Die vorrangigen Themen sind wenige: einen Phishing-Versuch erkennen, jede Änderung der Bankverbindung über einen unabhängigen Kanal überprüfen, niemals einen Authentifizierungscode telefonisch weitergeben, und genau wissen, wen man im Zweifelsfall informieren soll.
Dieser letzte Punkt verdient eine schriftliche und allen bekannte Antwort. Eine Person, eine Nummer, erreichbar. Ein Mitarbeitender, der nicht weiss, wen er anrufen soll, ruft nicht an.
Die nationale Kampagne S-U-P-E-R, getragen vom Bund und seinen Partnern, bietet Sensibilisierungsmaterialien, die für ein technisch nicht versiertes Publikum gedacht sind, aufgebaut um vier einfache Regeln: Sauvegarder (sichern), Updater (aktualisieren), Protéger (schützen), Épier les recommandations (die Empfehlungen im Blick behalten). Das KMU-Portal des Bundes ergänzt diese Materialien sinnvoll. Diese Dokumente lassen sich unverändert in einer Teamsitzung wiederverwenden, kostenlos.
Eine letzte Feinabstimmung zählt: die Beispiele an die Rolle jeder Person anzupassen. Die Buchhaltung ist mit Zahlungsbetrug konfrontiert, die Geschäftsleitung wird angegriffen, weil sie freigibt, der Empfang erhält Anrufe und Besucher, also die Manipulationen, die in unserem Artikel zum Social Engineering beschrieben werden. Unser Tool öffentliche Angriffsfläche zeigt zudem, was ein Angreifer ohne besonderen Aufwand über Ihr Unternehmen sammeln kann.
Wie schafft man ein Klima, in dem Melden geschätzt wird?
Das ist der wichtigste Punkt dieses Artikels, und der kostengünstigste in der Umsetzung.
Irgendwann wird jeder auf etwas klicken. Die heutigen Angriffe sind sorgfältig gemacht, sprachlich korrekt formuliert, an den Kontext des Unternehmens angepasst. Davon auszugehen, dass ein geschultes Team sich nie täuschen lässt, ist unrealistisch.
Die einzige Variable, über die Sie die Kontrolle behalten, ist die Zeit zwischen dem Klick und der Meldung. Diese Zeitspanne hängt von einer Sache ab: davon, was der Mitarbeitende glaubt, dass ihm geschieht, wenn er spricht.
Konkret baut sich das durch drei Gewohnheiten auf. Öffentlich dankt man derjenigen Person, die meldet, auch wenn sich der Alarm als unbegründet erweist. Man nennt nie namentlich, wer einen Fehler gemacht hat, vor dem Team. Und man erzählt Vorfälle als Lernfälle, ohne Namen, im nächsten Sensibilisierungspunkt.
Eine Geschäftsleitung, die selbst zugibt, einen Versuch fast übersehen zu haben, tut mehr für die Sicherheit ihres Unternehmens als drei Schulungsmodule.
Dieses Klima wird aufgebaut, es lässt sich nicht anordnen, und einige Reflexe der Führung reichen aus, um es ungewollt zu zerstören. Wir behandeln sie ausführlich in eine Sicherheitskultur ohne Schuldzuweisung aufbauen.
Was interne Sensibilisierung Ihnen nicht sagen kann
Alles bisher Genannte liegt im Bereich des Möglichen für ein KMU, ohne erhebliches Budget, und erzielt echte Wirkung. Man sollte es tun, und es selbst zu tun ist völlig legitim.
Zwei Grenzen bleiben jedoch bestehen.
Sie werden nicht wissen, ob es funktioniert. Ein Team, das in einer Sitzung aufmerksam ist, ist nicht dasselbe Team, das sechs Monate später, an einem Freitagabend, angesichts einer sorgfältig gemachten Nachricht richtig reagiert. Reales Verhalten zu messen erfordert eine strukturierte Beobachtung und einen Blick, der nicht der der Person ist, die die Schulung geleitet hat. Genau das versuchen Phishing-Simulationen zu erreichen, sofern sie als pädagogisches Instrument und nicht als Falle durchgeführt werden.
Sie werden nicht wissen, was vorrangig zu vermitteln ist. Die Szenarien, die Sie tatsächlich bedrohen, hängen von Ihren Finanzflüssen, Ihren Dienstleistern, Ihren Zugängen und Ihrer Branche ab. Sie kommen in keinem generischen Material vor. Sie zu identifizieren setzt voraus, Ihre Organisation so zu betrachten, wie sie tatsächlich ist, nicht wie eine Broschüre sie beschreibt.
Diese Massnahmen bilden ein solides Fundament. Sie ersetzen weder eine Analyse Ihrer besonderen Situation noch eine Prüfung durch jemanden, der weiss, wo er hinsehen muss.
Um Ihren Ausgangspunkt zu bestimmen, widmet der Cyber-Check-up mehrere Fragen der Schulung der Teams und der Meldung von Vorfällen. Die weiteren Artikel im Themenbereich Mitarbeitende schulen beschreiben anschliessend, wie man ein Programm aufbaut und was zu tun ist, sobald ein Fehler gemeldet wurde. Wenn Sie lieber auf fertiges Material zurückgreifen möchten, statt alles selbst zu erstellen, bereiten wir Online-Schulungen für Westschweizer KMU vor.