Das Bundesamt für Cybersicherheit BACS erhielt letztes Jahr 62’954 Meldungen zu Cybervorfällen. Laut dem «BACS-Halbjahresbericht 2024/2» entspricht das gegenüber dem Vorjahr einer Zunahme von 13'574 Meldungen. Rund 90 Prozent der Meldungen kamen von Privatpersonen, während Unternehmen 10 Prozent ausmachten. Die Kategorien «Betrug», «Phishing» und «Spam» bleiben die meistgemeldeten Phänomene. Für alle Unternehmen und Privatpersonen bedeutet das: Cyberkriminelle lauern überall. Für die Cybersicherheit gibt es keine Ausreden, man muss alles Notwendige MACHEN!

«Betrug» ist und bleibt das häufigste Cyberdelikt

Mit 18’270 Meldungen im zweiten Halbjahr 2024 ist «Betrug» konstant das am häufigsten gemeldete Phänomen und macht zwei Drittel aller Meldungen aus. Eine Verdreifachung der eingegangenen Meldungen gab es laut dem «BACS-Halbjahresbericht 2024/2» bei verlockenden, aber betrügerischen Gewinnspielen. Diese Fallen bewegen sich in rechtlichen Grauzonen, welche die Betrüger mangels wirkungsvoller Gegenmassnahmen vermehrt bewusst ausnutzen.

Kriminelle geben sich als Vorgesetzte aus und ordnen Überweisungen an

Unternehmensseitig zeigte sich ein starker Anstieg von Meldungen von «CEO-Betrug»: Das ist eine Betrugsmasche, bei der sich Kriminelle aufgrund umfassender Recherchen möglichst glaubhaft als Vorgesetzter ausgeben. Sie ordnen einem für die Buchhaltung verantwortlichen Mitarbeitenden an, einen grösseren Geldbetrag auf ein Konto der Kriminellen zu überweisen.

Zunehmende Nutzung von Telefon und „Rich Communication Services RCS“

Neben den bekannten Phishing-E-Mails versuchen Cyberkriminelle, ihre vorgetäuschten Abfragen vermehrt auf anderen Kanälen zu streuen. So melden sich angebliche Bankangestellte per Telefon oder es werden mobile Nachrichten über den SMS-Nachfolger «Rich Communication Services RCS» versendet: Das ist der neue Kommunikationsstandard für Messaging auf Mobiltelefonen, der als Nachfolger der klassischen SMS und MMS entwickelt wurde.

Gefälschte CAPTCHAs lösen bösartige Skripte aus

Die Namen von bekannten Schweizer Unternehmen wie Krankenversicherer und Inkassounternehmen werden missbraucht, um in deren Namen Schadsoftware an Empfänger bösartiger E-Mails zu verteilen. Auf gefälschten oder kompromittierten Webseiten werden Besucher durch gefälschte «CAPTCHAs» dann verleitet, bösartige Skripte manuell auszuführen und ihr Gerät dadurch zu infizieren.

QR-Codes sind die aufstrebende Cybergefahr

Die Kampagne S-U-P-E-R.ch 2025 «Keine Ausreden – machen!» sensibilisiert dafür, wie wichtig es ist, bei der Nutzung von QR-Codes wachsam zu sein und Risiken aktiv zu minimieren. QR-Codes sind die rasch aufstrebende Cybergefahr.

QR-Codes begegnen uns heute allüberall: bei der Bezahlung von Rechnungen, an Parkuhren für schnelles Abrechnen, als Links zu Webseiten in der Werbung und zur Speisekarte in Restaurants.

Beim «Quishing», dem Phishing mit QR-Codes, versuchen Betrüger, die Nutzenden auf gefälschte Webseiten zu locken und dabei persönliche Daten abzugreifen, um diese später für betrügerische Zwecke zu missbrauchen. Dieser Trend hat sich so rasch entwickelt, weil Personen zunehmend E-Mails misstrauen, die zum Anklicken eines Links auffordern. Ein QR-Code auf einem Parkautomaten, in einem Brief, auf einer Werbesendung oder auch in einem Restaurant wirkt da vertrauenserweckender.

Ratschlag von BACS-Direktor Florian Schütz an die Unternehmen

Im Editorial zum «BACS-Halbjahresbericht 2024/2» gibt Florian Schütz, Direktor des Bundesamts für Cybersicherheit BACS, den Unternehmen den folgenden Ratschlag: «Nur die Kombination von technischen und organisatorischen Massnahmen erlaubt es uns, die Resilienz unserer IT-Systeme maximal zu erhöhen und im Ernstfall schnell reagieren zu können. Ein effektives Patch-Management ist von zentraler Bedeutung in der IT-Sicherheit. Es gewährleistet nicht nur den sicheren Betrieb von Applikationen, sondern auch deren Stabilität. Ein nach Kritikalität und Exponiertheit von Systemen gestaffeltes Patch-Management ist auf jeden Fall prüfenswert. Die Kunst liegt darin, eine Balance zwischen notwendigen Tests sowie dem zeitnahen Einspielen von Updates zu finden. Ebenso wichtig ist das regelmässige Training der Mitarbeitenden bezüglich der Reaktion auf IT Ausfälle. Regelmässige Übungen helfen, im Ernstfall schnell und effektiv handeln zu können. Denn bei einem Vorfall zählt jede Sekunde.»

Das Bundesamt für Cybersicherheit bittet, Cybervorfälle freiwillig zu melden

Alle Unternehmen und Privatpersonen, die der seit dem 1. April 2025 eingeführten obligatorischen Meldepflicht nicht unterliegen, sind aufgefordert, dem Bundesamt für Cybersicherheit BACS Cybervorfälle freiwillig zu melden. Dafür hat das BACS den Chat «Ich möchte freiwillig einen Cybervorfall melden» geschaffen. Alternativ kann man auch ein Mail an die E-Mailadresse incidents@ncsc.ch senden.

Phishingmails an reports@antiphishing.ch weiterleiten

Die vielen Phishingmails, die man tagtäglich erhält, sollte man einfach und kommentarlos an reports@antiphishing.ch weiterleiten. Diese Mailbox wird maschinell verarbeitet. Der Phishingmail-Absender wird innert kurzer Zeit schweizweit gesperrt. Im zweiten Halbjahr 2024 gingen auf «antipishing.ch» schon fast eine halbe Million Phishing-Meldungen ein.