Suchen Ich wurde gehackt Beratung Menü
Ich wurde gehackt
Für mich Übersicht Für mich
Für Betriebe Übersicht Für Betriebe
Kosten und Vergleich Übersicht Kosten und Vergleich
Lage Schweiz Übersicht Lage Schweiz

Onlineshop: Was kann passieren, und wer zahlt?

eingeschränkt 7 von 16 Kostenpositionen meist gedeckt

6 typische Fälle mit Kassenzettel: was sie kosten und welche Position die Cyberversicherung meist zahlt. Besonders zu beachten ist nach unserer Recherche «Bestellungen mit gestohlener Identität» (Wahrscheinlichkeit hoch).

Stand

Onlineshop3. Shop zwölf Stunden durch Anfrageflut lahmgelegt31. Kartendaten im Shop abgegriffen (Skimming)16. Shop-Plattform des Anbieters fällt aus64. Erpresser drohen mit Veröffentlichung der Kundendaten45. Gefälschte Kopie des Shops52. Bestellungen mit gestohlener Identität2

Shop zwölf Stunden durch Anfrageflut lahmgelegt

Kartendaten im Shop abgegriffen (Skimming)

Shop-Plattform des Anbieters fällt aus

Erpresser drohen mit Veröffentlichung der Kundendaten

Gefälschte Kopie des Shops

Bestellungen mit gestohlener Identität

Tippen Sie auf eine Nummer: Sie springt zum Szenario.

Auf dieser Seite
  1. Szenarien
  2. Ein Tag zu
  3. Am Netz
  4. Echte Fälle

6 Szenarien, 6 Kassenzettel

  1. Kartendaten im Shop abgegriffen (Skimming)
  2. Bestellungen mit gestohlener Identität
  3. Shop zwölf Stunden durch Anfrageflut lahmgelegt
  4. Erpresser drohen mit Veröffentlichung der Kundendaten
  5. Gefälschte Kopie des Shops
  6. Shop-Plattform des Anbieters fällt aus

1Kartendaten im Shop abgegriffen (Skimming)

Kassenzettel

Onlineshop

Zeile antippen für die Begründung

  • Forensik nach Kartenindustrie-Vorgaben, Bereinigung CHF 5'000–32'000 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 20–80 Std. × CHF 250–400/Std. (Marktspanne Incident Response)

  • Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 2'500–10'500 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 10–30 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)

  • Benachrichtigung der Kundinnen und Kunden per Brief (nur Porto) CHF 1'000–12'000 gedeckt

    Information Betroffener im Grundschutz; meist vorgängige Zustimmung des Versicherers nötig. Herleitung: 1'000–10'000 Briefe × CHF 1.00–1.20 (B-/A-Post 2026); Druck, Couvert und Adressaufbereitung nicht gefunden, kämen dazu

  • Strafen und Kartenersatzkosten der Kartenindustrie (PCI) keine verlässliche Zahl eingeschränkt

    Zurich und Helvetia zahlen PCI-Strafen, soweit versicherbar; Mobiliar nur als Zusatz mit gültiger PCI-Zertifizierung; AXA schliesst aus (B4, B11). Herleitung: Keine Schweizer Beträge gefunden.

  • Ansprüche von Kunden keine verlässliche Zahl gedeckt

    Ansprüche Dritter und Abwehr unbegründeter Forderungen im Grundschutz; Sunrise/AXA-Kollektiv bis CHF 200'000. Herleitung: Keine Beträge gefunden.

  • Umsatzausfall, solange der Shop offline ist CHF 23'100–77'000 eingeschränkt

    ESTV-Wert für Onlinehandel mit schwacher Aussagekraft (Grossanbieter verzerren); kleine Shops liegen weit tiefer. Herleitung: 3–10 Tage × rund CHF 15'410 Umsatz/Tag × 50 % (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)

Zahlt die Cyberpolice meist
CHF 8'500–54'500, dazu 1 Posten ohne Betrag
Offen oder nur mit Zusatz
CHF 23'100–77'000, dazu 1 Posten ohne Betrag
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit mittel

Angreifer schleusen über ein veraltetes Plugin ein Skript in die Bezahlseite ein. Kundinnen sehen eine echt wirkende Kartenmaske; die Daten gehen an eine fast gleichnamige Domain.

So läuft es ab

Nach drei Wochen meldet der Zahlungsanbieter eine Häufung von Kartenmissbrauch, der Shop muss offline, eine forensische Untersuchung nach Kartenindustrie-Vorgaben ist Pflicht.

Einfallstor: Veraltetes Plugin, kompromittiertes Drittskript oder Admin-Zugang

Was KI daran ändert: KI baut fehlerfreie Kopien von Bezahlmasken in allen Sprachen und hilft, Skripte zu verschleiern.

Warum mittel? Belegt beim ESA-Shop (2024) und bei einem Schweizer Essensliefer-Webshop (2026).

Was vorbeugt

  • Gehostete Bezahlseite des Zahlungsanbieters verwenden; keine Kartendaten im eigenen Shop.
  • Plugins minimal halten und automatisch aktualisieren; Admin-Zugang mit Zwei-Faktor-Anmeldung.
  • Integritätsüberwachung der Bezahlseite (Benachrichtigung bei Skriptänderungen).
Stolpersteine in den Bedingungen

Bausteine: Soforthilfe im Ernstfall, Betroffene informieren, Strafen der Kartenindustrie, Ansprüche Dritter nach Datenleck, Ertragsausfall nach Angriff

2Bestellungen mit gestohlener Identität

Kassenzettel

Onlineshop

Zeile antippen für die Begründung

  • Unbezahlte Waren CHF 1'000–20'000 eingeschränkt

    Ausdrücklich nur Helvetia (3.3.1.8 lit. c, Sublimite, Strafanzeige). Herleitung: Annahme.

Zahlt die Cyberpolice meist
nichts
Offen oder nur mit Zusatz
CHF 1'000–20'000
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit hoch

Täter bestellen mit echten Namen und Adressen fremder Personen auf Rechnung und lassen an Packstationen liefern. Die Rechnungen bleiben unbezahlt.

So läuft es ab

Einfallstor: Fake Identity Fraud

Was KI daran ändert: KI hilft beim massenhaften Anlegen von Konten.

Warum hoch? BFS: über 20'000 Fälle Missbrauch von Online-Zahlungssystemen oder fremder Identität 2025.

Wo steht das?

Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500), 23.03.2026

Dokument öffnen: Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500) (öffnet ein neues Fenster), abgerufen 06.11.2026

Was vorbeugt

  • Rechnungskauf nur mit Bonitäts- und Adressprüfung.
  • Lieferung an Packstationen bei Neukunden nur gegen Vorkasse.
  • Auffällige Bestellmuster sperren.
Stolpersteine in den Bedingungen

Bausteine: Betrug mit gefälschten Anweisungen

3Shop zwölf Stunden durch Anfrageflut lahmgelegt

Kassenzettel

Onlineshop

Zeile antippen für die Begründung

  • Umsatzausfall CHF 3'900–23'100 eingeschränkt

    Bei 12 h Ausfall liegt alles in der Karenz (AXA, Mobiliar 12 h; Helvetia 24 h). Herleitung: ½–3 Tage × rund CHF 15'410 Umsatz/Tag × 50 % (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)

  • Abwehrmassnahmen CHF 540–2'200 eingeschränkt

    Erst nach der Karenz (AXA 12 h, Mobiliar 12 h nur mit Zusatz, Helvetia 24 h, Zurich nur Optimum/Premium). Ersetzt wird Umsatz minus eingesparte Kosten (AXA) bzw. EBITDA (Helvetia), nicht der Umsatz. Herleitung: 3–10 Std. × CHF 180–225/Std. (IT-Support KMU, Bürozeit)

Zahlt die Cyberpolice meist
nichts
Offen oder nur mit Zusatz
CHF 4'440–25'300
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit mittel

Eine Anfrageflut legt die Website über zwölf Stunden lahm; Bestellungen fallen aus.

So läuft es ab

Einfallstor: DDoS

Was KI daran ändert: Kaum KI-Bezug.

Warum mittel? Mobiliar-Musterfall (12 Stunden), AXA (3 Tage).

Was vorbeugt

  • DDoS-Schutz beim Hoster/CDN.
  • Statische Notseite.
  • Mit dem Versicherer Karenz bewusst wählen.
Stolpersteine in den Bedingungen

Bausteine: Ertragsausfall nach Angriff

4Erpresser drohen mit Veröffentlichung der Kundendaten

Kassenzettel

Onlineshop

Zeile antippen für die Begründung

  • Prüfen, ob und woher Daten stammen CHF 2'500–12'000 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 10–30 Std. × CHF 250–400/Std. (Marktspanne Incident Response)

  • Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 1'200–5'200 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 5–15 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)

  • Benachrichtigung der Kundinnen und Kunden per Brief (nur Porto) CHF 1'000–24'000 gedeckt

    Information Betroffener im Grundschutz; meist vorgängige Zustimmung des Versicherers nötig. Herleitung: 1'000–20'000 Briefe × CHF 1.00–1.20 (B-/A-Post 2026); Druck, Couvert und Adressaufbereitung nicht gefunden, kämen dazu

  • Lösegeld CHF 3'000 eingeschränkt

    Lösegeld: Mobiliar und Sunrise nie, AXA nur mit Erweiterung, Zurich in Sublimite 25 %, Helvetia CHF 30'000–100'000, Chubb grundsätzlich ja; Polizeianzeige Pflicht. Herleitung: Belegt: rund CHF 3'000 gefordert (2017).

Zahlt die Cyberpolice meist
CHF 4'700–41'200
Offen oder nur mit Zusatz
CHF 3'000
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit mittel

Eine Gruppe behauptet, die ganze Kundendatenbank zu besitzen, legt eine Probe bei und verlangt Bitcoin innert drei Tagen.

So läuft es ab

Einfallstor: Datenleck (Herkunft oft unklar)

Was KI daran ändert: KI erleichtert das Auswerten und Weiterverkaufen der Daten.

Warum mittel? Belegt bei Schweizer Shops (2017); Zugangsdaten-Lecks häufig.

Was vorbeugt

  • Passwörter nur gehasht speichern.
  • Alte Kundenkonten löschen.
  • Admin-Zugang absichern.
Stolpersteine in den Bedingungen

Bausteine: Soforthilfe im Ernstfall, Betroffene informieren, Cyber-Erpressung

5Gefälschte Kopie des Shops

Kassenzettel

Onlineshop

Zeile antippen für die Begründung

  • Domain-Sperre, Abwehr CHF 1'200–7'000 unklar

    Kein Angriff auf eigenes System; meist kein versichertes Ereignis. Herleitung: 5–20 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)

  • Imageschaden keine verlässliche Zahl nicht gedeckt

    Ertragsausfall durch Imageverlust: Helvetia ausdrücklich ausgeschlossen, bei AXA, Mobiliar und Zurich nicht vorgesehen; nur Chubb als Zusatz. PR-Kosten zahlt g.soforthilfe. Herleitung: Nicht bezifferbar.

Zahlt die Cyberpolice meist
nichts
Offen oder nur mit Zusatz
CHF 1'200–7'000
Bleibt meist beim Betrieb
1 Posten ohne Betrag

Wahrscheinlichkeit mittel

Betrüger kopieren den Shop auf eine ähnliche Domain, verkaufen gegen Vorkasse und liefern nie. Geschädigte melden sich beim echten Shop.

So läuft es ab

Einfallstor: Missbrauch von Name und Design

Was KI daran ändert: KI erstellt Shop-Kopien und Produkttexte in Minuten.

Warum mittel? Fake-Shops sind laut BFS-Kriminalstatistik verbreitet; Kopie eines echten Shops belegt (Uhrmacher DE 2026).

Wo steht das?

Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500), 23.03.2026

Dokument öffnen: Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500) (öffnet ein neues Fenster), abgerufen 06.11.2026

Was vorbeugt

  • Ähnliche Domains selbst registrieren.
  • Markenüberwachung.
  • Warnhinweis auf der Website.
Stolpersteine in den Bedingungen

Bausteine: Medienhaftpflicht, Imageschaden

6Shop-Plattform des Anbieters fällt aus

Kassenzettel

Onlineshop

Zeile antippen für die Begründung

  • Umsatzausfall CHF 7'700–15'400 eingeschränkt

    Nur bei Angriff auf den Anbieter; technischer Ausfall nicht versichert. Herleitung: 1–2 Tage × rund CHF 15'410 Umsatz/Tag × 50 % (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)

Zahlt die Cyberpolice meist
nichts
Offen oder nur mit Zusatz
CHF 7'700–15'400
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit tief

Die Shop-Software-as-a-Service des Anbieters ist nach einem Angriff zwei Tage offline.

So läuft es ab

Einfallstor: Angriff auf den Anbieter

Was KI daran ändert: Kein direkter KI-Bezug.

Warum tief? Grosse Plattformen sind gut geschützt; Ausfälle eher technisch.

Was vorbeugt

  • Statusseite und Notfallkommunikation.
  • Vertrag zu Verfügbarkeit.
  • Bestellungen telefonisch annehmen können.
Stolpersteine in den Bedingungen

Bausteine: Ausfall beim IT-Dienstleister

Spannen für einen kleinen bis mittleren Betrieb, keine Versicherungsleistung. Selbstbehalt, Summen und Sublimiten kommen dazu. Die Balken aller Zettel haben denselben Massstab.

Übersicht nach öffentlichen Bedingungen, Stand 06.11.2026. Massgebend sind Ihre Police und die dazugehörigen Allgemeinen Versicherungsbedingungen (AVB). Keine Deckungszusage.

Was ein Tag Stillstand kostet

CHF 15'410 Umsatz pro Tag im Durchschnitt; Ihr Betrieb kann kleiner sein.

Woher die Zahlen stammen

Durchschnitt MWST-pflichtiger Betriebe (ESTV 2024); kleine Betriebe liegen tiefer. Versichert ist nur der Ertragsausfall nach Karenz (Umsatz minus eingesparte Kosten bzw. EBITDA). Aussagekraft: schwach.

Wartefrist: Ertragsausfall erst nach 12 Stunden (AXA; Mobiliar nur mit Zusatz B4) bzw. 24 Stunden (Helvetia); bei Zurich nur in Optimum/Premium, Karenz laut Police. Ein Ausfall unter der Karenz bleibt beim Betrieb.

Was im Betrieb am Netz hängt

Echte Fälle

  • Schweiz · 08.2026

    Essensliefer-Webshop (anonym)

    Angreifer schleusten Schadcode in die echte Bezahlseite eines Webshops für Essensbestellungen ein.

  • Schweiz · 02.2017

    Schweizer Onlineshop (anonym)

    Die Gruppe «Armada Collective» behauptete, die gesamte Kundendatenbank eines Schweizer Onlineshops zu besitzen, und legte einen Datensatz als Beweis bei.

  • Schweiz · 12.2017

    dvd-shop.ch

    Der Bund erhielt rund 70'000 gestohlene Kombinationen aus Benutzername und Passwort; MELANI ordnete sie dem Onlineshop dvd-shop.ch zu.

Weitere 6 Fälle und Musterfälle

  • international · 12.2024Ausland: international

    Offizieller Online-Shop der Europäischen Weltraumorganisation ESA

    Kurz vor Weihnachten 2024 entdeckte die Firma Sansec im ESA-Shop ein Skript, das beim Bezahlen eine gefälschte Zahlungsseite zeigte und Kartendaten abgriff.

  • Deutschland · 02.2026Ausland: Deutschland

    Uhrmachermeister Peter-Jesko Buse

    Ende Februar 2026 fragte ein angeblicher Kunde nach einer Uhr, die der 83-jährige Uhrmachermeister nie verkauft hatte.

  • Musterfall eines Versicherers: Mobiliar

    Anfrageflut legt die Website eines Onlineshops über 12 Stunden lahm; Ertragsverluste.

    Musterfall ohne Betrag. Liegt genau an der Karenz von 12 Stunden: kürzere Ausfälle trägt der Betrieb selbst.

    Wo steht das?

    Cyberversicherung für Unternehmen (Produktseite, Schadenbeispiele), abgerufen 06.11.2026, Schadenbeispiele, Ertragsausfall «Server lahmgelegt»

    Dokument öffnen: Cyberversicherung für Unternehmen (Produktseite, Schadenbeispiele) (öffnet ein neues Fenster), abgerufen 06.11.2026

  • Musterfall eines Versicherers: AXA

    Spezialist für Outdoor-Bekleidung mit eigenem Webshop: DoS-Attacke blockiert das System, der Webshop fällt drei Tage aus.

    Musterfall; Betrag nur als Grössenordnung («mehrere tausend Franken»), deshalb chf null. AXA-Karenz 12 Stunden.

    Wo steht das?

    Factsheet Cyberversicherung Unternehmen, 14152DE – 2025-10, Ziff. 5, Ertragsausfall

    «Die AXA übernimmt den Ertragsausfall von mehreren tausend Franken.»

    Dokument öffnen: Factsheet Cyberversicherung Unternehmen (öffnet ein neues Fenster), abgerufen 06.11.2026

  • Musterfall eines Versicherers: Helvetia

    DoS-Attacke auf den Online-Shop eines Schuhfachgeschäfts in der Weihnachtszeit; nach wenigen Tagen mit Hilfe eines IT-Spezialisten abgewehrt, bis dahin Gewinnausfall.

    Musterfall des Versicherers ohne Beträge; Helvetia: Leistungen «abhängig vom gewählten Leistungspaket». Helvetia-Karenz BU 24 Stunden (Antrag KMU-Spezial).

    Wo steht das?

    Cyber-Versicherung (Broschüre), 07.26 (Nr. 120015329), S. 7/9, «Online-Shop lahmgelegt»

    «Bis zur Installation der Abwehrmassnahmen entsteht während der ertragsreichen Weihnachtszeit dennoch ein Gewinnausfall für das Schuhfachgeschäft.»

    Dokument öffnen: Cyber-Versicherung (Broschüre) (öffnet ein neues Fenster), abgerufen 06.11.2026

  • Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500)

    Wo steht das?

    Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500), 23.03.2026

    Dokument öffnen: Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500) (öffnet ein neues Fenster), abgerufen 06.11.2026

Drei Wege weiter