Es gibt keinen roten Bildschirm, keine verschlüsselte Datei, keine Lösegeldforderung. Ein kompromittiertes E-Mail-Konto macht keinerlei Lärm. Genau das macht es so gefährlich: Das Unternehmen arbeitet ganz normal weiter, während eine unbekannte Person seine Korrespondenz mitliest.
Dieses Szenario trägt im Fachjargon einen Namen: BEC, für «Business E-Mail Compromise». Konkret handelt es sich um das Hacken eines geschäftlichen E-Mail-Kontos, gefolgt von dessen geduldiger Ausnutzung. Für ein KMU ist das heute einer der teuersten Vorfälle und einer der am leichtesten zu verhindernden.
Was macht ein Angreifer tatsächlich in Ihrem Postfach?
Die erste Überraschung für eine Geschäftsleitung, die den Vorfall entdeckt, ist, dass der Angreifer nichts zerstört hat. Er hat etwas viel Schlimmeres getan: Er hat gelernt.
Tagelang, manchmal wochenlang, liest er mit. Er erkennt, wer entscheidet, wer bezahlt, wer freigibt. Er notiert Ihre Formulierungen, Ihre Höflichkeitsformeln, die Namen Ihrer üblichen Lieferanten, den Rhythmus Ihres Schriftverkehrs. Er stellt aus Ihrer eigenen Korrespondenz ein Dossier über Ihr Unternehmen zusammen.
Dann handelt er, auf drei Hauptwegen.
Die Rechnungsumleitung. Das ist die profitabelste Methode. Der Angreifer wartet, bis eine echte Rechnung im Umlauf ist, fängt sie ab, ändert die Bankverbindung und schickt sie aus Ihrem Postfach oder von einer Adresse, die der Ihren sehr ähnlich ist, erneut ab. Der Kunde zahlt in gutem Glauben. Niemand merkt etwas, bis die Zahlungserinnerung eintrifft, oft erst Wochen später.
Die Identitätsvortäuschung gegenüber Ihren Kontakten. Von Ihrer echten Adresse aus schreibt der Angreifer Ihren Kundinnen und Kunden, Ihrer Treuhandstelle, Ihrer Bank. Technische Kontrollen nützen hier nichts: Die Nachricht kommt tatsächlich von Ihnen. Diese Technik befeuert auch den CEO-Betrug, bei dem eine dringende Überweisungsanfrage von der Geschäftsleitung zu stammen scheint.
Die versteckten Weiterleitungsregeln. Der Angreifer richtet in Ihrem Postfach eine Regel ein, die bestimmte Nachrichten automatisch an eine externe Adresse weiterleitet, und löscht sie anschliessend aus dem Ordner der gesendeten Elemente. Er empfängt weiterhin alles, auch nach einer Passwortänderung. Diese Regeln tragen oft einen unauffälligen Namen, einen einfachen Punkt oder ein Leerzeichen als Bezeichnung.
Anders als bei einer klassischen gefälschten E-Mail gibt es hier keinen technischen Hinweis zu erkennen: keine ähnliche Domain, kein Fehler im Header, kein Sprachfehler. Ihre Kunden erhalten eine authentische Nachricht, gesendet von Ihrem Server, innerhalb eines echten Gesprächsverlaufs. Deshalb ist die telefonische Überprüfung einer IBAN-Änderung heute unabdingbar, unabhängig vom Absender.
Wie wird ein E-Mail-Konto überhaupt gehackt?
Es gibt nur wenige, gut bekannte Zugangswege.
Ein auf einer gefälschten Seite eingegebenes Passwort. Das ist der Haupteinstiegsweg. Eine Nachricht imitiert Microsoft, Ihren Hosting-Anbieter oder Ihre Bank und führt Sie auf eine identisch kopierte Anmeldeseite. Das Thema wird ausführlich in unserem Artikel zu Phishing behandelt. Das Ausmass des Phänomens ist in der Schweiz dokumentiert: Im zweiten Halbjahr 2025 erhielt das Nationale Zentrum für Cybersicherheit 6299 Phishing-Meldungen.
Ein wiederverwendetes Passwort. Sie verwenden dasselbe Passwort für Ihr geschäftliches E-Mail-Konto und für einen Drittanbieter. Diese Seite wird gehackt, Ihre Zugangsdaten gelangen in Umlauf, und Automaten spielen sie bei Tausenden von Diensten durch. Es ist keine besondere Fähigkeit erforderlich. Unsere Empfehlungen finden Sie im Artikel zu Passwörtern.
Das Fehlen der Zwei-Faktor-Authentifizierung. Das ist nicht die Ursache des Einbruchs, sondern das, was ihn ermöglicht. Ohne zweiten Faktor verschafft ein gestohlenes Passwort sofortigen und vollständigen Zugriff. Mit ihm verschafft es gar nichts.
Der Schweizer Kontext bestätigt, dass diese Art von Betrug keineswegs marginal ist. Im Jahr 2025 verzeichnete das Nationale Zentrum für Cybersicherheit 64’733 freiwillige Meldungen zu Cybervorfällen, gegenüber 62’954 im Vorjahr. Allein im zweiten Halbjahr 2025 machte Betrug 52 % aller eingegangenen Meldungen aus, also 15’090 Meldungen.
Die Signale eines kompromittierten Postfachs
Eine Kompromittierung hinterlässt Spuren. Man muss nur wissen, wo man hinschauen muss.
| Beobachtetes Signal | Was das bedeutet | Dringlichkeit |
|---|---|---|
| Eine Posteingangsregel, die Sie nicht erstellt haben | Fast sicheres Signal einer aktiven Kompromittierung | Sofort |
| Nachrichten fehlen im Ordner Gesendete Elemente, obwohl Ihre Kontakte sie erhalten haben | Der Angreifer verwischt seine Spuren | Sofort |
| Anmeldungen aus einem Land, in dem Sie keine Aktivität haben | Zugriff von aussen, oft über einen Anonymisierungsdienst | Sofort |
| Ein Kunde meldet Ihnen eine merkwürdige E-Mail von Ihnen | Ausnutzung läuft bereits gegenüber Dritten | Sofort |
| Unerwartete Benachrichtigungen der Zwei-Faktor-Authentifizierung | Jemand besitzt Ihr Passwort und versucht, sich anzumelden | Hoch |
| Nachrichten als gelesen markiert, die Sie nicht geöffnet haben | Stilles Mitlesen im Gange | Hoch |
| Massive Unzustellbarkeitsmeldungen für Nachrichten, die Sie nicht versendet haben | Ihr Postfach wird zum Versand von Spam missbraucht | Hoch |
| Eine automatische Weiterleitung, die auf Ihrem Konto eingerichtet wurde | Systematische Kopie Ihrer Post an einen Dritten | Sofort |
Die beiden vorrangig zu prüfenden Punkte sind die Posteingangsregeln und die Anmeldehistorie. Sowohl in Microsoft 365 als auch in Google Workspace sind beide in wenigen Klicks über die Kontoeinstellungen zugänglich, und eine vierteljährliche Kontrolle dauert weniger als zehn Minuten. Die übrigen Einstellungen, die Sie vornehmen sollten, sind in unserem Artikel zur Absicherung von Microsoft 365 zusammengestellt.
Was ist in der ersten Stunde zu tun?
Die Reihenfolge der Schritte zählt. Viele Unternehmen ändern das Passwort und belassen es dabei, wodurch der Angreifer weiterhin Zugriff hat.
- Ändern Sie das Passwort des betroffenen Kontos, von einem Gerät aus, von dem Sie sicher wissen, dass es unbelastet ist.
- Widerrufen Sie alle aktiven Sitzungen. Eine offene Sitzung überlebt die Passwortänderung. Dieser Schritt wird am häufigsten vergessen.
- Aktivieren Sie sofort die Zwei-Faktor-Authentifizierung, falls noch nicht geschehen.
- Überprüfen Sie Regeln, Weiterleitungen und delegierte Zugriffe. Entfernen Sie alles, was Sie nicht selbst erstellt haben, nachdem Sie einen Screenshot davon gemacht haben.
- Kontrollieren Sie die mit dem Konto verbundenen Anwendungen und entfernen Sie jene, die Sie nicht erkennen.
- Informieren Sie Ihre Kontakte, die in diesem Zeitraum aktiv waren, insbesondere jene, mit denen Zahlungen in Diskussion waren.
- Sichern Sie die Beweise. Anmeldeprotokolle, Screenshots der Regeln, betrügerische Nachrichten. Sie werden für die Analyse, für die Versicherung und für eine allfällige Anzeige benötigt.
Falls bereits eine Überweisung ausgeführt wurde, kontaktieren Sie die Bank ohne Verzug: Ein Rückruf der Gelder ist in den ersten Stunden manchmal noch möglich. Das vollständige Vorgehen ist in unserem Artikel zu den ersten Stunden nach einem Vorfall beschrieben.
Die Zwei-Faktor-Authentifizierung, die entscheidende Massnahme
Alle bisher genannten Massnahmen sind nützlich. Nur eine verändert die Situation wirklich grundlegend.
Die Zwei-Faktor-Authentifizierung ergänzt das Passwort um einen Identitätsnachweis: einen von einer App generierten temporären Code, eine Bestätigung auf Ihrem Telefon oder einen physischen Sicherheitsschlüssel. Ein Angreifer, der über Ihre Zugangsdaten verfügt, steht dann vor einer Tür, die er von seinem Computer aus nicht öffnen kann.
Es ist die Massnahme mit dem besten Verhältnis zwischen Aufwand und vermiedenem Risiko. Sie ist ohne Zusatzkosten in Microsoft 365, Google Workspace und bei den meisten Schweizer Hosting-Anbietern enthalten. Ihre Aktivierung dauert wenige Minuten pro Benutzerin oder Benutzer.
Beginnen Sie mit den Konten, die den grössten Schaden anrichten, falls sie kompromittiert werden: Geschäftsleitung, Buchhaltung, IT-Administration, generische Adressen wie Rechnungswesen oder Buchhaltung. Bevorzugen Sie eine Authentifizierungs-App oder einen physischen Sicherheitsschlüssel gegenüber SMS-Codes, die abgefangen werden können. Weiten Sie es anschliessend auf alle Mitarbeitenden aus. Eine gut gezielte Teilumsetzung ist unendlich viel wertvoller als ein vollständiges Projekt, das aufs nächste Jahr verschoben wird.
Ergänzen Sie dies durch zwei organisatorische Reflexe. Erstens: Jede Änderung der Bankverbindung wird telefonisch über eine bekannte Nummer überprüft, nie über die in der Nachricht angegebene. Zweitens: Ab einem bestimmten Betrag erfordert eine Überweisung eine doppelte Freigabe. Beide Regeln kosten keinen Franken und neutralisieren den Grossteil des finanziellen Risikos. Die technische Absicherung der Mailbox wird in unserem eigenen Artikel zur E-Mail-Sicherheit behandelt, und die schrittweise Einführung in jenem zur Zwei-Faktor-Authentifizierung.
Die rechtlichen Folgen, die Sie nicht vernachlässigen sollten
Ein geschäftliches E-Mail-Konto enthält personenbezogene Daten: Adressen, Kontaktdaten, Schriftverkehr mit Kunden, manchmal sensible Dokumente als Anhang. Seine Kompromittierung stellt daher eine Verletzung der Datensicherheit im Sinne des Schweizer Rechts dar.
Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten ist erforderlich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Zwei Punkte sind hier wichtig. Das Schweizer Recht verlangt eine Meldung «so rasch als möglich» und legt keine Frist von 72 Stunden fest: Diese Frist gehört ausschliesslich zur europäischen Verordnung. Und die Einschätzung des hohen Risikos liegt bei Ihnen, was bedeutet, dass Sie Ihre Überlegungen dokumentieren müssen, auch wenn Sie zum Schluss kommen, dass keine Meldung erforderlich ist. Der vollständige Rahmen wird in unserem Artikel zu Ihren nDSG-Pflichten erläutert.
Denken Sie schliesslich an Ihre Backups. Ein Angreifer, der sich in einem Postfach befindet, hat manchmal auch Zugriff auf andere Dienste, und die Möglichkeit, einen früheren Zustand wiederherzustellen, bleibt Ihr Sicherheitsnetz. Das Prinzip wird in der 3-2-1-Backup-Regel erklärt.
Um Ihre Risikoexposition in wenigen Minuten einzuschätzen, widmet der Cyber-Check-up mehrere Fragen der Mailbox und der Authentifizierung. Die weiteren Angriffe, die Schweizer KMU betreffen, sind im Themenbereich Bedrohungen zusammengefasst.