Was die aktuellen Schweizer Zahlen zeigen
Cyberrisiken lassen sich nicht mit einer einzigen Fallzahl beschreiben. Meldungen an das Bundesamt für Cybersicherheit (BACS), polizeilich registrierte Straftaten und Versicherungsfälle messen unterschiedliche Sachverhalte und dürfen nicht addiert werden.
| Kennzahl | Bestätigter Wert | Einordnung |
|---|---|---|
| Freiwillige Meldungen an das BACS 2025 | 64’733 | Meldungen von Privatpersonen und Organisationen; nicht automatisch bestätigte Angriffe |
| Straftaten mit digitalem Tatvorgehen 2025 | 57’761 | Polizeiliche Kriminalstatistik des Bundesamts für Statistik (BFS) |
| Registrierte Phishing-Fälle 2025 | 7’409 | 2024 waren es 5’930; Zunahme um 24,9 Prozent |
| Pflichtmeldungen seit 1. April bis Ende 2025 | 325 | Nur im Anwendungsbereich der Meldepflicht für kritische Infrastrukturen |
Diese Zahlen zeigen eine anhaltend hohe Belastung. Sie erlauben jedoch weder eine pauschale Schadenprognose noch eine Aussage zur Eintrittswahrscheinlichkeit für ein einzelnes Unternehmen.
Fünf relevante Angriffsmuster
1. Phishing und gestohlene Zugangsdaten
Gefälschte E-Mails, SMS, Login-Seiten oder Telefonanrufe sollen Zugangsdaten, Freigaben oder Zahlungen erlangen. Besonders wirksam sind Kontrollen direkt im Geschäftsprozess:
- Multi-Faktor-Authentifizierung für E-Mail, Fernzugänge und Administrationskonten
- Änderungen von Bankverbindungen über einen bekannten zweiten Kanal bestätigen
- verdächtige Nachrichten mit einem einfachen internen Meldeweg erfassen
- Sitzungen und Zugangsdaten nach einem Verdacht gezielt sperren und zurücksetzen
2. Ransomware und Erpressung
Ransomware kann Systeme verschlüsseln, Daten entwenden oder beides kombinieren. Ein getesteter Wiederanlauf ist wichtiger als eine bloss vorhandene Sicherung:
- getrennte oder unveränderbare Backups betreiben
- Wiederherstellungen regelmässig testen
- administrative Rechte begrenzen
- Systeme segmentieren und exponierte Dienste zeitnah aktualisieren
- Incident-Response-Rollen und externe Kontakte vorab festlegen
Eine Zahlung garantiert weder die Entschlüsselung noch die Löschung entwendeter Daten. Entscheidungen zu Erpressungsforderungen benötigen rechtliche, forensische und gegebenenfalls behördliche Abklärung.
3. Zahlungsbetrug und Business Email Compromise
Angreifer imitieren Führungskräfte, Lieferanten oder Mitarbeitende oder übernehmen deren E-Mail-Konten. Technische Schutzmassnahmen allein reichen deshalb nicht aus. Zahlungsfreigaben, neue Empfängerkonten und dringliche Ausnahmen sollten nach einem Vier-Augen-Prinzip und über einen bereits bekannten Kontakt verifiziert werden.
4. Verwundbare Systeme und Lieferketten
Ein Vorfall kann über eigene Systeme, Softwareanbieter, Cloud-Dienste oder IT-Dienstleister entstehen. Unternehmen sollten ihre wichtigsten Abhängigkeiten dokumentieren, Sicherheitsmeldungen beobachten und vertraglich klären, wer bei einem Vorfall informiert und handlungsfähig ist.
5. Überlastungsangriffe und Betriebsausfälle
DDoS-Angriffe zielen auf die Verfügbarkeit von Websites und Diensten. Auch technische Störungen bei Dienstleistern können den Betrieb unterbrechen, ohne dass ein Cyberangriff vorliegt. Schutzkonzepte sollten deshalb Kapazität, Ausweichwege, Wiederanlauf und Kommunikation berücksichtigen.
Was Unternehmen jetzt priorisieren können
- Kritische Prozesse erfassen: Welche Systeme, Daten und Dienstleister sind für den Betrieb unverzichtbar?
- MFA und Rechte absichern: Besonders E-Mail, Fernzugänge, Cloud-Administrationen und Backups.
- Patches priorisieren: Internet-exponierte und aktiv ausgenutzte Schwachstellen zuerst behandeln.
- Backups testen: Wiederherstellungszeit und Datenverlust anhand eines realistischen Szenarios prüfen.
- Zahlungsprozesse härten: Kontoänderungen und ungewöhnliche Zahlungen separat bestätigen.
- Notfallplan üben: Entscheide, Kontakte, Beweissicherung, Kommunikation und Meldungen simulieren.
- Lieferanten einbeziehen: Meldewege, Zugänge und Wiederanlauf mit kritischen Partnern klären.
Meldepflichten nach einem Vorfall
Nicht jeder Cyberangriff löst dieselbe Meldung aus:
- Nach Art. 24 DSG meldet der Verantwortliche dem EDÖB eine Verletzung der Datensicherheit so rasch als möglich, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen führt. Das Schweizer DSG nennt keine feste 72-Stunden-Frist.
- Seit 1. April 2025 müssen erfasste Betreiber kritischer Infrastrukturen bestimmte Cyberangriffe innerhalb von 24 Stunden nach Entdeckung an das BACS melden. Fehlende Angaben können grundsätzlich nachgereicht werden.
- Je nach Branche können weitere Vorgaben gelten. Eine Strafanzeige kann sinnvoll sein, ist aber nicht bei jedem Cyberangriff generell vorgeschrieben.
Im Zweifel sollten Datenschutz-, Branchen- und Vertragsfragen früh mit qualifizierten Fachpersonen geprüft werden.
Welche Rolle eine Cyberversicherung spielen kann
Je nach Police können unter anderem IT-Forensik, Rechtsberatung, Daten- und Systemwiederherstellung, Krisenkommunikation, Betriebsunterbruch oder Haftpflichtansprüche versichert sein. Das ist kein pauschales Deckungsversprechen: Entscheidend sind Auslöser, Definitionen, Ausschlüsse, Sublimiten, Selbstbehalte, Wartefristen und Sicherheitsangaben im Antrag.
Zahlungsbetrug, Erpressung, Cloud-Ausfälle und Vorfälle bei IT-Dienstleistern sind besonders genau zu prüfen. Eine Cyberversicherung ergänzt technische und organisatorische Schutzmassnahmen; sie ersetzt sie nicht.