Darum gibt's jetzt viel weniger betrügerische Anrufe im Namen von Behörden
Dass Betrügerinnen und Betrüger ihre Opfer unter einer vermeintlichen Schweizer Nummer anrufen und sich als Mitarbeitende von Schweizer Behörden ausgeben, gehörte jahrelang zu den am häufigsten gemeldeten Vorfällen. Das teilte das Bundesamt für Cybersicherheit (Bacs) am Montag mit.
Von Januar bis Juni 2026 erhielt es regelmässig über 400 Meldungen pro Monat zu Telefon-Betrugsversuchen im Namen von Behörden. Im Juli waren es dann aber weniger als hundert. Das entspricht einem Rückgang um 75 Prozent.
Das Bacs sieht als Grund die per 1. Juli ausgeweitete Kennzeichnungspflicht für Anrufe unter einer gespooften Nummer – sie gilt nun auch für Handynummern. Beim Spoofing täuschen Anrufer – oft aus dem Ausland – eine Schweizer Nummer vor, etwa einer Bank oder der Polizei, und wecken so Vertrauen bei den Opfern.
Schon seit Anfang 2026 gilt die Kennzeichnungspflicht für Festnetznummern. Auch sie habe bereits etwas bewirkt, so das Bacs. Telekomanbieter müssen seither verdächtige Anrufe aus dem Ausland auf Schweizer Nummern als «unbekannt» kennzeichnen oder blockieren.
Betrug als Massengeschäft
Insgesamt ging die Zahl der dem Bacs freiwillig gemeldeten Cyber-Betrugsversuche im ersten Halbjahr 2026 ebenfalls zurück, auf rund 27'100. Das Bundesamt spricht dennoch von einer hohen Zahl. Im ersten Halbjahr 2025 waren es 35'700 Meldungen gewesen. Betrug bleibe ein lukratives Massengeschäft, schrieb das Bacs.
Hinter den meisten Meldungen stecken Betrugs- und Phishing-Versuche. Mit Phishing Daten erbeuten wollten Kriminelle vor allem bei Akteuren im Finanzsektor. Zunehmend im Visier stünden Bildungsstätten, etwa Universitäten und Schulen, sagte Bacs-Direktor Florian Schütz vor den Medien.
Schweizer Firmen haben vermehrt mit Microsoft-365-Phishing zu kämpfen. Wenn Kriminelle erst einmal Zugriff auf ein Geschäfts-E-Mail-Konto haben, nutzen sie es oft für weitere Betrugsaktivitäten. «Besonders augenfällig waren Fälle, bei denen mithilfe von gezielter Mitarbeitermanipulation IT-Helpdesks oder Führungspersonen imitiert wurden, um Systeme zu kompromittieren oder direkt Finanztransaktionen in die Wege zu leiten», bilanziert das BACS. Auch angebliche Sicherheitsupdates wurden häufig als Vorwand genutzt, um Schadsoftware zu verteilen.
Täter profitieren von KI
Künstliche Intelligenz (KI) nützt beim Auffinden von Schwachstellen in Systemen: Software-Anbieter täten dies, um solche Löcher so rasch wie möglich zu stopfen und ihre Produkte zu verbessern, sagte Schütz. Und Kriminelle suchten nach solchen Löchern, um einzudringen, bevor die Lücken geschlossen würden.
«Die Frage ist, wer schneller ist», sagte Schütz. Es sei davon auszugehen, dass erfolgreiche Angriffe auf Software-Systeme zunähmen. Um sie abzuwehren, müssten mögliche Lücken schneller behoben werden.
Traumjobs als Falle
KI hilft Kriminellen, an Informationen über ihre Opfer zu kommen. Diese würden dann persönlich, emotional und mit technisch ausgefeilten Methoden angesprochen. Im ersten Halbjahr kamen zunehmend Stellensuchende ins Visier der Täter.
Die verwendete Masche heisst «Dream Jobs». Würden beispielsweise Software-Entwicklerinnen oder -Entwickler angesprochen, werde ihnen eine Traumstelle versprochen, sagte Schütz. Wer Interesse bekunde, bekomme eine Testaufgabe gestellt.
Beim Herunterladen holten sich die vermeintlichen Bewerber Malware auf den Computer und liessen die Kriminellen in ihre Systeme eindringen. «Gerade wenn es wirtschaftlich schwieriger ist, ist man eher anfällig für solche Taten», sagte Schütz. Seien Manager Ziel des Angriffs, gehe es um Unternehmensinformationen und Geld.
Ransomware: Stagnierende Zahlen
Erpresserische Cyberattacken durch Ransomware-Banden und ihre Komplizen sind weiterhin eine präsente Gefahr, auch wenn die Fallzahlen im ersten Halbjahr stagnierten. Allerdings beobachtet das BACS eine «steigende Diversifizierung und Fragmentierung der aktiven Ransomware-Familien» in der Schweiz. Die Angreifer versuchen zunehmend, an legitime Zugangsdaten zu gelangen, statt technisch komplexe «Einbrüche» in die Server der Opfer durchzuführen.
Kritische Infrastrukturen im Visier
Sind Betreiber kritischer Infrastrukturen Opfer von Angriffen und Angriffsversuchen, müssen sie dies seit dem 1. April 2025 von Gesetzes wegen melden. Im vergangenen Jahr erhielt das Bacs 222 solcher Meldungen. In den ersten sieben Monaten des laufenden Jahres waren es 240.
In einem Viertel der Meldungen ging es laut der Statistik um Hacking. Dahinter folgten mit einem Anteil von 14 Prozent der Diebstahl von Zugangsdaten sowie Datenabflüsse und DDoS-Angriffe mit je 11 Prozent. Im Visier waren am öftesten der Verwaltungssektor sowie IT- und Telekom-Unternehmen.
Gezielte Cybersabotage gegen kritische Schweizer Infrastrukturen gab es bisher zwar noch nicht. Doch die Betreiber müssten sich – wegen der Nähe der Schweiz zu anderen Staaten – darauf einstellen, ihre Widerstandsfähigkeit in dieser Hinsicht in einem feindseligeren Umfeld zu behaupten.
Die Schweizer Infrastruktur könnte dabei als «Stellvertreterziel» ins Visier geraten, wenn Angreifer beabsichtigen, die vernetzte Infrastruktur anderer Staaten zu treffen. Zudem betreiben staatliche Cyberakteure (APTs) weiterhin Spionage gegen Schweizer Ziele oder missbrauchen schlecht geschützte Schweizer IT-Infrastruktur, um Angriffe auf Drittstaaten durchzuführen.
Quellen
- bacs.admin.ch: Medienmitteilung des BACS zum ersten Halbjahresbericht 2026 (24. August)
(dsc/sda)
