Eine Firewall lässt sich nicht erweichen. Ein Mitarbeitender schon. Genau darum geht es beim Social Engineering: Statt ein digitales Schloss aufzubrechen, überzeugt der Betrüger jemanden, ihm die Tür zu öffnen. Und diese Tür ist im Unternehmen oft die am wenigsten überwachte.
Das muss gleich zu Beginn gesagt werden, denn es ist der am meisten missverstandene Punkt: Auf einen solchen Trick hereinzufallen ist kein Zeichen von Naivität. Diese Techniken sind eingespielt, tausendfach wiederholt und auf das ausgerichtet, was funktioniert. Sie nutzen völlig gesunde soziale Reflexe aus. Sie funktionieren bei erfahrenen Geschäftsleitungen genauso wie bei Lernenden.
Ein massives, unterschätztes Phänomen
Die offiziellen Schweizer Zahlen verdeutlichen das Ausmass des Problems. Im zweiten Halbjahr 2025 war Betrug das häufigste beim Nationalen Zentrum für Cybersicherheit gemeldete Phänomen, mit 15’090 Meldungen, das sind 52 % der Gesamtmeldungen, vor Phishing (6299) und Spam (4284). Im gesamten Jahr 2025 wurden 64’733 freiwillige Meldungen zu Cybervorfällen registriert, gegenüber 62’954 im Jahr 2024.
Anders gesagt: Die Mehrheit dessen, was in der Schweiz gemeldet wird, ist Manipulation, keine ausgeklügelte Hackerarbeit. Der Angreifer bricht nichts auf. Er fragt, und man gibt es ihm.
Gleichzeitig schwindet das Vertrauen der Unternehmen. Laut der Studie KMU Cybersicherheit 2025 halten 42 % der Schweizer KMU ihren Schutz für ausreichend, gegenüber 55 % ein Jahr zuvor. Ein heilsames Bewusstsein, sofern es sich in konkrete Massnahmen übersetzt.
Welche vier psychologischen Hebel werden ausgenutzt?
Alle diese Betrugsmaschen beruhen, unabhängig von ihrer Verkleidung, auf einer kleinen Zahl von Mechanismen. Sie zu kennen, genügt bereits, um sie zu entschärfen.
Autorität. Wir gehorchen leichter jemandem, der in der Position zu sein scheint, etwas zu verlangen: eine Chefin, ein Polizist, ein IT-Fachmann, eine Bankangestellte. Der Betrüger muss diese Person nicht wirklich sein, es reicht, ihren Wortschatz und Tonfall zu übernehmen.
Dringlichkeit. «Sie müssen sofort handeln», «die Zahlung geht heute Abend raus», «Ihr Konto wird in einer Stunde gesperrt». Zeitdruck verhindert die Überprüfung. Das ist der universellste und der aufschlussreichste Hebel.
Angst. Eine Busse, eine Anzeige, ein Virus, ein Datenleck. Angst löst eine schnelle, unüberlegte Reaktion aus, genau das, was der Betrüger sucht.
Die Hilfsbereitschaft. Der heimtückischste Hebel, weil er eine Tugend ausnutzt. Ein Kollege in der Klemme, ein Lieferant in Schwierigkeiten, ein Techniker, der «nur noch einen Code zum Abschliessen braucht». Eine Hilfe zu verweigern, ist sozial kostspielig, und das wissen Betrüger.
Eine legitime Anfrage kann immer zehn Minuten warten. Ein Betrug fast nie. Wenn Sie Dringlichkeit, Angst oder Unbehagen beim Ablehnen verspüren, sind das zuverlässigere Hinweise als jedes technische Detail. Machen Sie daraus eine interne Regel: Jede dringende, ungewöhnliche Anfrage löst eine Überprüfung aus, ohne Ausnahme und ohne dass sich die betreffende Person rechtfertigen muss.
Vishing, Smishing, falscher Support: die drei Formen erkennen
Die Techniken wechseln den Kanal, aber die Mechanik bleibt dieselbe.
| Technik | Kanal | Typischer Vorwand | Warnsignal |
|---|---|---|---|
| Vishing | Telefonanruf | Ihre Bank, die Polizei, ein Lieferant, eine Führungskraft des Unternehmens | Man verlangt einen Code, ein Passwort oder eine sofortige Zahlung und besteht darauf, in der Leitung zu bleiben |
| Smishing | SMS oder Messenger | Blockiertes Paket, unbezahlte Rechnung, Steuerrückerstattung, Nachricht von einer «neuen Nummer» | Ein verkürzter Link, eine Adresse, die nicht zum angegebenen Absender passt, eine binnen einer Stunde erwartete Antwort |
| Falscher technischer Support | Anruf, Pop-up-Fenster, E-Mail | «Wir sind Microsoft, Ihr Computer ist infiziert» | Man lässt Sie eine Fernzugriffssoftware installieren oder einen Sicherheitscode diktieren |
| Identitätsvortäuschung vor Ort | Physischer Besuch | Techniker, Lieferant, Kontrolleur, externer Prüfer | Kein angekündigter Besuch, kein interner Kontakt zur Bestätigung, Bitte um allein Zugang zu den Räumlichkeiten |
Vishing ist am wirksamsten, weil die Stimme sofort eine Beziehung schafft. Eine ruhige, höfliche Person am Telefon, die den Namen Ihres Direktors und den Namen Ihrer Bank kennt, wirkt von Natur aus vertrauenswürdig. Diese Informationen sind oft öffentlich: Website, Handelsregister, berufliche Netzwerke.
Smishing setzt auf Menge und Routine. Man liest SMS zwischen zwei Terminen, ohne genau hinzusehen. Die Nachricht führt zu einer Seite, die einen bekannten Dienst nachahmt, und die eingegebenen Zugangsdaten gehen direkt an den Betrüger.
Der falsche technische Support kombiniert Angst und Autorität. Das Opfer ist überzeugt, Hilfe zu erhalten, während es einem Unbekannten seinen Computer öffnet.
Die Identitätsvortäuschung vor Ort bleibt selten, aber gefährlich: eine Arbeitsweste, ein laminierter Ausweis und ein plausibler Grund öffnen viele Türen. Niemand mag eine unbekannte Person ansprechen, die aussieht, als wisse sie, was sie tut.
Das Telefon klingelt in der Buchhaltung. «Guten Tag, hier ist die Zahlungsabteilung Ihrer Bank. Wir haben eine verdächtige Transaktion über 8400 Franken auf Ihrem Geschäftskonto blockiert.» Die angezeigte Nummer entspricht tatsächlich derjenigen der Bank. Die anrufende Person nennt den Namen des Direktors und die letzten vier Ziffern der IBAN, zwei Informationen, die sie auf einer öffentlichen Rechnung gefunden hat.
Sie bietet an, die Transaktion zu stornieren. Dafür müsse eine «Sicherheit» bestätigt werden: Ein Code werde per SMS eintreffen, man müsse ihn nur am Telefon vorlesen. Die Mitarbeiterin zögert, die Person beruhigt sie: «Ich bleibe in der Leitung, legen Sie auf keinen Fall auf, sonst geht die Transaktion durch.» Sie liest den Code vor. Damit bestätigt sie in Wirklichkeit eine echte Überweisung, die des Betrügers.
Die einzige Handlung, die alles gestoppt hätte: auflegen und die Bank unter der auf dem Kontoauszug angegebenen Nummer zurückrufen. Es war keine technische Kenntnis nötig.
Warum sind Führungskräfte bevorzugte Ziele?
Man stellt sich gerne vor, dass die Geschäftsleitung am besten gewappnet ist. Oft ist es umgekehrt, aus drei strukturellen Gründen.
Eine Führungskraft entscheidet schnell, das ist ihr Handwerk. Sie ist häufig unterwegs, also eher telefonisch als persönlich erreichbar. Und vor allem wagt niemand im Unternehmen, eine Anfrage zu hinterfragen, die von ihr zu kommen scheint.
Genau darauf zielt der CEO-Betrug ab, eine gehobene Variante des Social Engineering, bei der eine falsche Geschäftsleitung eine vertrauliche, dringende Überweisung fordert. Die Anweisung zur Verschwiegenheit («sprechen Sie mit niemandem darüber, es ist eine sensible Angelegenheit») dient genau dazu, die Überprüfung zu verhindern.
Die Folgerung ist einfach: Eine Überprüfungsregel funktioniert nur, wenn sie auch für die Geschäftsleitung gilt. Ein Verfahren, das die Geschäftsleitung umgehen kann, ist kein Verfahren.
Welche verhaltensbasierten Massnahmen wirken?
Keine Software blockiert einen überzeugenden Telefonanruf. Wirksame Abwehrmassnahmen sind Gewohnheiten, und sie lassen sich auf wenige Regeln zusammenfassen.
Auflegen und zurückrufen. Das ist die wirksamste Abwehr. Sie beenden den Anruf, suchen selbst die offizielle Nummer heraus (Kontoauszug, Vertrag, internes Verzeichnis) und rufen zurück. Rufen Sie niemals eine von der anrufenden Person angegebene Nummer zurück. Allein diese Gewohnheit neutralisiert praktisch das gesamte Vishing.
Niemals einen per SMS erhaltenen Code weitergeben. Kein seriöses Institut verlangt, einen Authentifizierungscode laut vorzulesen. Dieser Code ist der Schlüssel zu Ihrem Konto, er wird nicht diktiert. Auch deshalb muss die Zwei-Faktor-Authentifizierung mit dieser klaren Regel einhergehen.
Eine doppelte Kontrolle für Zahlungen einführen. Jede Überweisung über einem festgelegten Betrag oder an eine neue Bankverbindung erfordert die Freigabe durch zwei Personen über einen anderen Kanal als den der Anfrage. Einfach, kostenlos, äusserst wirksam.
Die Ablehnung ausdrücklich erlauben. Halten Sie es schriftlich fest und wiederholen Sie es: Niemand wird dafür sanktioniert, eine Anfrage abzulehnen, eine Überprüfung zu verlangen oder eine anrufende Person warten zu lassen, auch nicht eine vorgesetzte Person. Ohne diese Erlaubnis gewinnt die Höflichkeit immer gegen die Vorsicht.
Besuche regeln. Jede externe Person wird im Voraus angemeldet, empfangen und begleitet. Ein unangemeldeter Techniker wartet, während man beim Dienstleister nachfragt.
Die Anzeige der anrufenden Nummer kann gefälscht werden. Ein Betrüger lässt die Nummer Ihrer Bank, einer Behörde oder sogar eines internen Anschlusses Ihres eigenen Unternehmens anzeigen. Viele Opfer erklären später, sie hätten vertraut, «weil die Nummer stimmte». Die auf Ihrem Bildschirm sichtbare Nummer ist keine Identität: Nur ein Rückruf, den Sie selbst veranlassen, hat einen Wert.
Diese Reflexe im Unternehmen lebendig halten
Ein Rundschreiben, das im Posteingang vergessen wird, verändert kein Verhalten. Was wirkt, ist kurze Wiederholung und das Recht auf Fehler.
Drei Gewohnheiten reichen aus, um eine solide Kultur aufzubauen. Nehmen Sie sich fünfzehn Minuten in einer Teamsitzung, um einen realen Vorfall zu erzählen, Ihren eigenen oder den eines Kollegen. Verbreiten Sie die vom Nationalen Zentrum für Cybersicherheit und von der nationalen Kampagne S-U-P-E-R veröffentlichten Warnungen, die die aktuell laufenden Kampagnen in der Schweiz beschreiben. Und danken Sie öffentlich, ohne Ironie, der Person, die einen Versuch meldet, auch wenn sie zu Beginn selbst darauf hereingefallen ist.
Dieser letzte Punkt ist entscheidend. In einem Unternehmen, in dem man befürchtet, als dumm zu gelten, bleiben Vorfälle verborgen, und ein zu spät erkannter Betrug kostet deutlich mehr. Die grundlegenden Gründe dafür werden in unserem Artikel zum Nutzen der Sensibilisierung von Teams erläutert, die praktische Umsetzung in dem Aufbau eines Sensibilisierungsprogramms.
Behalten Sie schliesslich im Hinterkopf, dass Social Engineering fast nie Selbstzweck ist. Es dient als Einfallstor: Diebstahl von Zugangsdaten, Verbreitung von Ransomware, Zugriff auf personenbezogene Daten. Ihre übrigen Schutzmassnahmen bleiben daher unverzichtbar, insbesondere die 3-2-1-Backup-Regel und die Einhaltung Ihrer nDSG-Pflichten im Fall eines Datenlecks. Die weiteren Angriffsformen, angefangen bei Phishing per E-Mail, sind im Themenbereich Bedrohungen zusammengefasst.
Um herauszufinden, wo Ihr Unternehmen heute steht, widmet der Cyber-Check-up mehrere Fragen den Zahlungsverfahren, der Überprüfung von Anfragen und der Schulung der Mitarbeitenden. Und falls gerade ein Vorfall passiert ist, beginnen Sie mit den ersten Stunden nach einem Angriff.