Phishing-Attacken auf Schweizer KMU und ihre Kunden: Das lernen wir aus dem Fall Bexio
Einige IT-Zuständige von kleinen und mittleren Unternehmen (KMU) in der Schweiz waren über das vergangene Wochenende gefordert: Wegen einer aktuellen Phishing-Welle verschärfte der KMU-Software-Anbieter Bexio seine Sicherheitsmassnahmen und führte für seine mehr als 100'000 Kundinnen und Kunden eine zwingende Zwei-Faktor-Authentifizierung (2FA) ein. So sollte die seit Tagen laufende Angriffswelle mit betrügerischen Nachrichten gebrochen werden.
Die aktuelle Phishing-Kampagne zielte sehr breit auf den Schweizer KMU-Sektor ab, bestätigt der Kommunikationschef von Bexio, Thommy Rüegg. «Wir haben Phishing-E-Mails in den Landessprachen Deutsch und Französisch registriert.»
Durch die schnelle Einführung der obligatorischen Zwei-Faktor-Authentifizierung «bei den allermeisten Kunden» konnte laut Bexio verhindert werden, «dass diese unwissentlich Daten auf einer betrügerischen Webseite eingeben».
Gemäss watson-Recherchen reichten mehrere betroffene Bexio-Kunden Strafanzeige bei der Polizei ein, weil unbekannte Täter in ihre Firmen-Accounts eingedrungen waren und dort Daten manipuliert und vielleicht gestohlen haben.
Da es kein Hackerangriff auf die Firmen-Infrastruktur war und die Server nicht kompromittiert wurden, ist es gemäss Bexio nicht möglich, konkrete Fallzahlen zu schätzen.
Authentifizierung per E-Mail
Einigen aufmerksamen watson-Usern fiel bei der Berichterstattung am vergangenen Freitag ein technisches Detail auf. Die per sofort eingeführte zusätzliche Sicherheitsstufe beim Anmelden durch reguläre Bexio-Nutzerinnen und -Nutzer basiert auf einem per E-Mail zugestellten Code.
Diese 2FA-Umsetzung gilt unter Cybersicherheits-Fachleuten als vergleichsweise wenig sicher. Der Grund: Authentifizierung per E-Mail ist nur so sicher wie das E-Mail-Konto selbst. Wenn also beispielsweise das gleiche Passwort verwendet würde, hätten die Angreifer einfaches Spiel und könnten sich trotz 2FA Zugriff auf fremde Bexio-Konten verschaffen.
Darauf angesprochen, erklären die Verantwortlichen:
Tatsächlich bietet der in Rapperswil-Jona angesiedelte Anbieter von Cloud-basierte Business-Software der Kundschaft zur Absicherung ihrer Konten schon länger die sicherere Zwei-Faktor-Authentifizierung via Authenticator-App an. Allerdings verzichteten einige KMUs auf die freiwillige Option.
Der Bexio-Kommunikationschef betont nun:
Kundinnen und Kunden würden auf der eigens dafür eingerichteten Informations-Webseite laufend über die neusten Erkenntnisse und Schutzmassnahmen informiert.
Die bekannteste, kostenlose 2FA-Anwendung für Smartphones heisst Google Authenticator. Die App lässt sich auf iPhones und Android-Geräten installieren.
BACS mahnt zur Vorsicht
Das Bundesamt für Cybersicherheit (BACS) hat in der letzten Woche insgesamt 15 Meldungen zu Bexio-Phishing-E-Mails erhalten, wie die Behörde auf Anfrage bestätigt. Man erfasse solche Phishing-Versuche aber nicht speziell.
Aufgrund der dem BACS vorliegenden Informationen lasse sich zurzeit nicht feststellen, ob es sich um eine gezielte oder ungezielte Kampagne gegen Schweizer KMU handelt. Abgesehen von Bexio würden vor allem Phishing-Versuche bei Microsoft 365 beobachtet, heisst es weiter.
E-Mail-Konten von Unternehmen können für Betrüger lukrativ sein. Das BACS beobachtet regelmässig Phishing-Versuche gegen E-Mail-Konten von Unternehmen. Dabei werden die E-Mail-Konten beispielsweise nach Rechnungen durchsucht und diese mit abgeänderter IBAN noch einmal an den Rechnungsempfänger gesendet («Business E-Mail Compromise»).
Im vorliegenden Fall mit Bexio werde ebenfalls versucht, die IBAN im System des Kunden zu ändern, sodass Zahlungen an ein betrügerisches Konto gesendet werden.
Auch die IT-Sicherheitsfachleute beim Bund weisen darauf hin, dass eine Zwei-Faktor-Authentifizierung per E-Mail keine unüberwindbare Sicherheitshürde darstellt (im Gegensatz zu einem Hardware-Schlüssel wie YubiKey oder einer dedizierten Authenticator-App, wie sie oben erwähnt wurde).
Abschliessend soll antiphishing.ch in Erinnerung gerufen werden. Dort können verdächtige Internet-Adressen dem Bundesamt für Cybersicherheit schnell gemeldet werden.
Quellen
- ncsc.admin.ch: Halbjahresbericht 2025/2 (März 2026)
- antiphishing.ch: Website des Bundes, die das Melden von Phishing-Attacken ermöglicht
