Suchen Ich wurde gehackt Beratung Menü
Ich wurde gehackt
Für mich Übersicht Für mich
Für Betriebe Übersicht Für Betriebe
Kosten und Vergleich Übersicht Kosten und Vergleich
Lage Schweiz Übersicht Lage Schweiz

Physiotherapie: Was kann passieren, und wer zahlt?

eingeschränkt 7 von 12 Kostenpositionen meist gedeckt

5 typische Fälle mit Kassenzettel: was sie kosten und welche Position die Cyberversicherung meist zahlt. Besonders zu beachten ist nach unserer Recherche «Mailkonto gehackt, Spam an Patienten» (Wahrscheinlichkeit hoch).

Stand

Physiotherapie3. Cloud-Terminplan nach Angriff auf Anbieter weg3031. Mailkonto gehackt, Spam an Patienten14. Ransomware auf dem Praxisserver42. Bericht an falsche Krankenkasse25. Fake-Support-Anruf mit Fernzugriff aufs E-Banking5

Cloud-Terminplan nach Angriff auf Anbieter weg

Mailkonto gehackt, Spam an Patienten

Ransomware auf dem Praxisserver

Bericht an falsche Krankenkasse

Fake-Support-Anruf mit Fernzugriff aufs E-Banking

Tippen Sie auf eine Nummer: Sie springt zum Szenario.

Auf dieser Seite
  1. Szenarien
  2. Ein Tag zu
  3. Am Netz
  4. Echte Fälle

5 Szenarien, 5 Kassenzettel

  1. Mailkonto gehackt, Spam an Patienten
  2. Bericht an falsche Krankenkasse
  3. Cloud-Terminplan nach Angriff auf Anbieter weg
  4. Ransomware auf dem Praxisserver
  5. Fake-Support-Anruf mit Fernzugriff aufs E-Banking

1Mailkonto gehackt, Spam an Patienten

Kassenzettel

Physiotherapie

Zeile antippen für die Begründung

  • Prüfung des Postfachs, welche Daten eingesehen wurden CHF 750–4'000 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 3–10 Std. × CHF 250–400/Std. (Marktspanne Incident Response)

  • Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 500–2'800 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 2–8 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)

  • Benachrichtigung der Patientinnen und Patienten per Brief (nur Porto) CHF 200–2'400 gedeckt

    Information Betroffener im Grundschutz; meist vorgängige Zustimmung des Versicherers nötig. Herleitung: 200–2'000 Briefe × CHF 1.00–1.20 (B-/A-Post 2026); Druck, Couvert und Adressaufbereitung nicht gefunden, kämen dazu

Zahlt die Cyberpolice meist
CHF 1'450–9'200
Offen oder nur mit Zusatz
nichts
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit hoch

Nach einem Phishing verschicken Täter vom Praxis-Mailkonto Links an alle Kontakte. Im Postfach liegen Arztberichte; es ist unklar, ob sie gelesen wurden.

So läuft es ab

Einfallstor: Phishing des Mail-Passworts

Was KI daran ändert: KI schreibt fehlerfreie, persönlich zugeschnittene Phishing-Mails in Mundart-nahem Deutsch; das alte Warnzeichen «schlechtes Deutsch» fällt weg. Laut IBM nutzten Angreifer 2025 bei 16 % der Datenverletzungen KI, meist für Phishing.

Warum hoch? Phishing ist laut BACS eine der häufigsten Meldungen (8'877 im ersten Halbjahr 2026).

Wo steht das?

Halbjahresbericht 2026/I (Januar–Juni), 24.08.2026

Dokument öffnen: Halbjahresbericht 2026/I (Januar–Juni) (öffnet ein neues Fenster), abgerufen 06.11.2026

Was vorbeugt

  • Zwei-Faktor-Anmeldung.
  • Berichte nur über gesicherte Kanäle (z. B. HIN).
  • Alte Mails mit Gesundheitsdaten archivieren und aus dem Postfach löschen.
Stolpersteine in den Bedingungen

Bausteine: Soforthilfe im Ernstfall, Betroffene informieren

2Bericht an falsche Krankenkasse

Kassenzettel

Physiotherapie

Zeile antippen für die Begründung

  • Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 500–2'800 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 2–8 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)

  • Genugtuung keine verlässliche Zahl eingeschränkt

    Zurich ausdrücklich; bei AXA im Einzelfall prüfen. Herleitung: Keine Beträge gefunden.

Zahlt die Cyberpolice meist
CHF 500–2'800
Offen oder nur mit Zusatz
1 Posten ohne Betrag
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit hoch

Ein Therapiebericht geht an die falsche Versicherung bzw. Person. Der Patient beschwert sich und verlangt Genugtuung.

So läuft es ab

Einfallstor: Bedienfehler

Was KI daran ändert: Kein direkter KI-Bezug.

Warum hoch? Alltagsfehler; Zurich deckt unabsichtliche Offenlegung.

Wo steht das?

Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB), Ausgabe 01/2024

Dokument öffnen: Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB) (öffnet ein neues Fenster), abgerufen 06.11.2026

Was vorbeugt

  • Empfänger vor Versand prüfen (Vier-Augen bei Berichten).
  • Sichere Übermittlung.
  • Vorlage mit Patienten-ID im Betreff.
Stolpersteine in den Bedingungen
  • Bedienfehler ohne Angriff: AXA versichert nur vorsätzliche Angriffe; Mobiliar (BU nur mit Zusatz), Zurich (Optimum/Premium) und Helvetia (abschliessende Liste) decken fahrlässige Fehler des Personals.
    Wo steht das?

    Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. E2, S. 16

    «Ein Cyber-Eigenschaden-Ereignis ist ein vorsätzlicher, schädigender Angriff durch Dritte oder durch versicherte Personen»

    Dokument öffnen: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026

Bausteine: Soforthilfe im Ernstfall, Ansprüche Dritter nach Datenleck

3Cloud-Terminplan nach Angriff auf Anbieter weg

Kassenzettel

Physiotherapie

Zeile antippen für die Begründung

  • Ausgefallene Therapien CHF 2'600–3'900 eingeschränkt

    ESTV-Wert für Physiotherapie mit schwacher Aussagekraft (Heilbehandlung MWST-befreit). Herleitung: 2–3 Tage × rund CHF 3'290 Umsatz/Tag × 40 % (Annahme) (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)

Zahlt die Cyberpolice meist
nichts
Offen oder nur mit Zusatz
CHF 2'600–3'900
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit mittel

Der Anbieter der Praxissoftware muss nach einem Angriff die Plattform abschalten. Drei Tage lang weiss niemand, welche Patienten wann kommen; Therapien fallen aus, Abrechnungen stauen sich.

So läuft es ab

Einfallstor: Angriff auf den Software-Anbieter

Was KI daran ändert: Kein direkter KI-Bezug.

Warum mittel? Angriffe auf Schweizer Software-Anbieter im Gesundheitswesen belegt (Cistec).

Was vorbeugt

  • Wochenplan täglich als PDF sichern.
  • Telefonliste der Patienten offline.
  • Anbieter nach Notfallprozess fragen.
Stolpersteine in den Bedingungen

Bausteine: Ausfall beim IT-Dienstleister

4Ransomware auf dem Praxisserver

Kassenzettel

Physiotherapie

Zeile antippen für die Begründung

  • IT-Forensik und Incident Response (Analyse, Eindämmung, Beweissicherung) CHF 1'500–8'000 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 6–20 Std. × CHF 250–400/Std. (Marktspanne Incident Response)

  • IT-Dienstleister: Bereinigung, Neuaufbau, Rückspielen der Datensicherung CHF 1'800–6'800 gedeckt

    Wiederherstellung von Daten, Software und Systemen im Grundschutz; Sunrise/AXA-Kollektiv nur bis CHF 20'000 Eigenschaden. Herleitung: 10–30 Std. × CHF 180–225/Std. (IT-Support KMU, Bürozeit)

  • Neuaufsetzen der Arbeitsplätze (PCs, Tablets) CHF 360–4'000 gedeckt

    Wiederherstellung von Daten, Software und Systemen im Grundschutz; Sunrise/AXA-Kollektiv nur bis CHF 20'000 Eigenschaden. Herleitung: 2–5 Geräte × CHF 180–800 je Gerät

  • Rekonstruktion verlorener Berichte CHF 1'000–6'000 eingeschränkt

    Ohne verwendbares Backup kürzen die Versicherer (AXA C5: nur Feststellungskosten). Herleitung: Annahme: Nacherfassen durch Personal.

  • Umsatzausfall CHF 3'300–8'200 eingeschränkt

    Erst nach der Karenz (AXA 12 h, Mobiliar 12 h nur mit Zusatz, Helvetia 24 h, Zurich nur Optimum/Premium). Ersetzt wird Umsatz minus eingesparte Kosten (AXA) bzw. EBITDA (Helvetia), nicht der Umsatz. Herleitung: 2–5 Tage × rund CHF 3'290 Umsatz/Tag × 50 % (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)

Zahlt die Cyberpolice meist
CHF 3'660–18'800
Offen oder nur mit Zusatz
CHF 4'300–14'200
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit mittel

Über einen Fernwartungszugang mit schwachem Passwort verschlüsseln Täter den kleinen Praxisserver mit Berichten und Verordnungen. Das Backup liegt auf einer angeschlossenen Festplatte und ist ebenfalls verschlüsselt.

So läuft es ab

Einfallstor: Fernwartung mit schwachem Passwort

Was KI daran ändert: KI beschleunigt das Finden offener Lücken (Router, VPN, Fernwartung) und das Schreiben von Erpresser-Mails; die Zeit zwischen Veröffentlichung einer Lücke und Angriff wird kürzer, die Patch-Frist der Versicherer (14 bzw. 30 Tage) wird knapp.

Warum mittel? Ransomware gegen kleine Praxen ist im Ausland mehrfach belegt; Schweizer Physiofall nicht öffentlich.

Wo steht das?

Halbjahresbericht 2026/I (Januar–Juni), 24.08.2026

Dokument öffnen: Halbjahresbericht 2026/I (Januar–Juni) (öffnet ein neues Fenster), abgerufen 06.11.2026

Was vorbeugt

  • Backup-Festplatte nach der Sicherung abhängen oder Cloud-Backup mit Versionierung.
  • Fernwartung nur mit Zwei-Faktor-Anmeldung.
  • Updates automatisch.
Stolpersteine in den Bedingungen
  • Backup-Pflicht: AXA und Mobiliar verlangen mindestens wöchentlich eine vom Netz getrennte Sicherung, Zurich alle 7 Tage, Helvetia täglich mit Funktionscheck. Fehlt sie, kürzt der Versicherer; bei AXA ohne verwendbares Backup nur Kosten der Feststellung.
    Wo steht das?

    Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. C3 und C5, S. 14

    «keine verwendbare Datensicherung vorhanden ist, so sind nur die Kosten zur Feststellung dieses Sachverhalts gedeckt»

    Dokument öffnen: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026

  • Wartefrist: Ertragsausfall erst nach 12 Stunden (AXA; Mobiliar nur mit Zusatz B4) bzw. 24 Stunden (Helvetia); bei Zurich nur in Optimum/Premium, Karenz laut Police. Ein Ausfall unter der Karenz bleibt beim Betrieb.
    Wo steht das?

    Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle), 01.07.2026, Ziff. 1.1, Karenzfrist 24 Std.

    Dokument öffnen: Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle) (öffnet ein neues Fenster), abgerufen 06.11.2026

  • Patch-Frist: kritische Lücken innert 30 Tagen schliessen (AXA C2, Zurich Art. 6, Helvetia 3.6.1.1), bei Mobiliar innert 14 Tagen; Mobiliar schliesst Schäden durch Software ohne Hersteller-Support aus (E lit. n).
    Wo steht das?

    Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Teil D Ziff. 5, S. 21

    «Sie müssen den Patch zur Behebung der kritischen Schwachstelle innerhalb von 14 Tagen nach der Veröffentlichung»

    Dokument öffnen: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (öffnet ein neues Fenster), abgerufen 06.11.2026

Bausteine: Soforthilfe im Ernstfall, Daten und Systeme wiederherstellen, Ertragsausfall nach Angriff

5Fake-Support-Anruf mit Fernzugriff aufs E-Banking

Kassenzettel

Physiotherapie

Zeile antippen für die Begründung

  • Abgeflossener Betrag CHF 5'000–30'000 unklar

    Hat die Praxisinhaberin die Zahlung selbst freigegeben, gilt es als Social Engineering per Telefon: Helvetia ausgeschlossen, Zurich/Mobiliar nur schriftliche Online-Aufträge, AXA A6 mit Zusatz. Herleitung: Annahme.

Zahlt die Cyberpolice meist
nichts
Offen oder nur mit Zusatz
CHF 5'000–30'000
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit mittel

Ein angeblicher Bankmitarbeiter ruft an, warnt vor einer verdächtigen Zahlung und lässt eine Fernwartungssoftware installieren. Während des Gesprächs wird eine Zahlung von CHF 15'000 ausgelöst.

So läuft es ab

Einfallstor: Telefonbetrug mit Fernzugriff

Was KI daran ändert: Mit wenigen Sekunden Audio aus Videos, Sprachnachrichten oder der Combox lässt sich eine Stimme klonen. Im Kanton Schwyz löste ein Inhaber 2026 nach Anrufen mit KI-Stimme Überweisungen von mehreren Millionen Franken aus.

Warum mittel? BACS beschreibt falsche Bankmitarbeiter mit Fernzugriff; betrifft Private und Kleinbetriebe.

Was vorbeugt

  • Bank ruft nie an und verlangt nie Fernzugriff: auflegen, selbst zurückrufen.
  • E-Banking-Limiten.
  • Keine Fernwartungssoftware auf Anweisung Unbekannter.
Stolpersteine in den Bedingungen
  • Anruf mit geklonter Stimme: Helvetia ersetzt nach den AVB keine Zahlungen, die durch Telefonanrufe, Sprachnachrichten oder Videos ausgelöst wurden (3.3.1.8, S. 12), ausser die Police enthält die Besondere Bedingung 3.7.6 (in der Musterpolice KMU-Spezial enthalten, mit Nachweis grundlegender Sicherheitsmassnahmen). Zurich (Art. 702.2) und Mobiliar (B8.1) verlangen einen schriftlich online übermittelten Auftrag. Nur AXA A6 nennt die Kontaktaufnahme per Telefon ausdrücklich.
    Wo steht das?

    Allgemeine Versicherungsbedingungen Helvetia Cyber-Versicherung (Musterwording KMU-Spezial), Ausgabe Juni 2026, Ziff. 3.3.1.8, S. 12

    «die durch Telefonanrufe (inkl. IP-Telefonie), Sprachnachrichten oder Videos initiiert werden (z.B. durch Deepfake)»

    Dokument öffnen: Allgemeine Versicherungsbedingungen Helvetia Cyber-Versicherung (Musterwording KMU-Spezial) (öffnet ein neues Fenster), abgerufen 06.11.2026

  • Social Engineering ist meist nur ein Zusatzbaustein (AXA A6, Mobiliar B8, Zurich Baustein G Premium) oder hat eine tiefe Sublimite (Helvetia ECO CHF 30'000). Ohne Zusatz zahlt die Cyberpolice den überwiesenen Betrag nicht.
    Wo steht das?

    Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Ziff. B8.1

    «Der Versicherungsschutz gilt, sofern diese Deckung ausdrücklich in der Police erwähnt ist.»

    Dokument öffnen: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (öffnet ein neues Fenster), abgerufen 06.11.2026

Bausteine: Gehacktes E-Banking

Spannen für einen kleinen bis mittleren Betrieb, keine Versicherungsleistung. Selbstbehalt, Summen und Sublimiten kommen dazu. Die Balken aller Zettel haben denselben Massstab.

Übersicht nach öffentlichen Bedingungen, Stand 06.11.2026. Massgebend sind Ihre Police und die dazugehörigen Allgemeinen Versicherungsbedingungen (AVB). Keine Deckungszusage.

Was ein Tag Stillstand kostet

CHF 3'290 Umsatz pro Tag im Durchschnitt; Ihr Betrieb kann kleiner sein.

Woher die Zahlen stammen

Durchschnitt MWST-pflichtiger Betriebe (ESTV 2024); kleine Betriebe liegen tiefer. Versichert ist nur der Ertragsausfall nach Karenz (Umsatz minus eingesparte Kosten bzw. EBITDA). Aussagekraft: schwach.

Wartefrist: Ertragsausfall erst nach 12 Stunden (AXA; Mobiliar nur mit Zusatz B4) bzw. 24 Stunden (Helvetia); bei Zurich nur in Optimum/Premium, Karenz laut Police. Ein Ausfall unter der Karenz bleibt beim Betrieb.

Was im Betrieb am Netz hängt

  • Praxissoftware mit Terminplanung und Abrechnung, oft als Cloud-Lösung Branchenüblich, kein Beleg.
  • Online-Terminbuchung
  • E-Mail mit Berichten an Ärzte und Versicherer
  • Kartenterminal, Twint, E-Banking

Echte Fälle

  • Schweiz · 09.2023

    Hochzeitsplaner (anonym)

    Vergleich: Phishing über gefälschte Kundenanfrage.

  • Schweiz · 2025

    Cistec

    Im ersten Halbjahr 2025 traf ein Ransomware-Angriff Cistec, einen Schweizer Hersteller von Klinikinformationssystemen.

  • Schweiz · 09.2025

    Privatpersonen (anonym)

    Opfer erhielten eine E-Mail mit einer angeblichen Steuerrückerstattung und gaben auf einer täuschend echten Website Personalien, Bankverbindung und Kreditkartendaten ein.

Weitere 2 Fälle und Musterfälle

Drei Wege weiter