Suchen Ich wurde gehackt Beratung Menü
Ich wurde gehackt
Für mich Übersicht Für mich
Für Betriebe Übersicht Für Betriebe
Kosten und Vergleich Übersicht Kosten und Vergleich
Lage Schweiz Übersicht Lage Schweiz

Verein und Stiftung: Was kann passieren, und wer zahlt?

eingeschränkt 7 von 11 Kostenpositionen meist gedeckt

5 typische Fälle mit Kassenzettel: was sie kosten und welche Position die Cyberversicherung meist zahlt. Besonders zu beachten ist nach unserer Recherche «Kassier zahlt auf Mail des «Präsidenten»» (Wahrscheinlichkeit hoch).

Stand

Verein und Stiftung1. Kassier zahlt auf Mail des «Präsidenten»13. Abgefangene Rechnung für Trikots34. Mitgliederliste mit Geburtsdaten veröffentlicht42. Vereinskonto auf Instagram übernommen25. Stiftung verschlüsselt, Daten im Darknet5

Kassier zahlt auf Mail des «Präsidenten»

Abgefangene Rechnung für Trikots

Mitgliederliste mit Geburtsdaten veröffentlicht

Vereinskonto auf Instagram übernommen

Stiftung verschlüsselt, Daten im Darknet

Tippen Sie auf eine Nummer: Sie springt zum Szenario.

Auf dieser Seite
  1. Szenarien
  2. Ein Tag zu
  3. Am Netz
  4. Echte Fälle

5 Szenarien, 5 Kassenzettel

  1. Kassier zahlt auf Mail des «Präsidenten»
  2. Vereinskonto auf Instagram übernommen
  3. Abgefangene Rechnung für Trikots
  4. Mitgliederliste mit Geburtsdaten veröffentlicht
  5. Stiftung verschlüsselt, Daten im Darknet

1Kassier zahlt auf Mail des «Präsidenten»

Kassenzettel

Verein und Stiftung

Zeile antippen für die Begründung

  • Überwiesener Betrag CHF 500–5'000 mit Zusatz

    Viele Vereine haben keine Cyberpolice; KMU-Produkte sind auf Unternehmen ausgerichtet. In Deutschland zahlte eine Vermögensschaden-Haftpflicht des Vereins. Herleitung: Vergleichsfälle DE: EUR 1'900–3'850.

Zahlt die Cyberpolice meist
nichts
Offen oder nur mit Zusatz
CHF 500–5'000
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit hoch

Der Kassier erhält vom angeblichen Präsidenten die Bitte, eine Rechnung für Sportschuhe zu zahlen. Er überweist CHF 2'800.

So läuft es ab

Einfallstor: Gefälschte Mail mit Namen von der Vereinswebsite

Was KI daran ändert: KI schreibt fehlerfreie, persönlich zugeschnittene Phishing-Mails in Mundart-nahem Deutsch; das alte Warnzeichen «schlechtes Deutsch» fällt weg. Laut IBM nutzten Angreifer 2025 bei 16 % der Datenverletzungen KI, meist für Phishing.

Warum hoch? BACS: zahlreiche Meldungen gegen Kirchen, Schulen, Vereine und Parteien (Dezember 2024); Fall Sportverein 2022.

Was vorbeugt

  • Zahlungen nur mit Beleg und Freigabe durch zwei Vorstandsmitglieder.
  • Auf der Website nur Funktionsadressen statt Personennamen.
  • Rückruf beim Präsidenten.
Stolpersteine in den Bedingungen
  • Social Engineering ist meist nur ein Zusatzbaustein (AXA A6, Mobiliar B8, Zurich Baustein G Premium) oder hat eine tiefe Sublimite (Helvetia ECO CHF 30'000). Ohne Zusatz zahlt die Cyberpolice den überwiesenen Betrag nicht.
    Wo steht das?

    Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Ziff. B8.1

    «Der Versicherungsschutz gilt, sofern diese Deckung ausdrücklich in der Police erwähnt ist.»

    Dokument öffnen: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (öffnet ein neues Fenster), abgerufen 06.11.2026

Bausteine: Betrug mit gefälschten Anweisungen

2Vereinskonto auf Instagram übernommen

Kassenzettel

Verein und Stiftung

Zeile antippen für die Begründung

  • Konto zurückholen CHF 360–1'400 gedeckt

    Wiederherstellung von Daten, Software und Systemen im Grundschutz; Sunrise/AXA-Kollektiv nur bis CHF 20'000 Eigenschaden. Herleitung: 2–6 Std. × CHF 180–225/Std. (IT-Support KMU, Bürozeit)

  • Imageschaden keine verlässliche Zahl nicht gedeckt

    Ertragsausfall durch Imageverlust: Helvetia ausdrücklich ausgeschlossen, bei AXA, Mobiliar und Zurich nicht vorgesehen; nur Chubb als Zusatz. PR-Kosten zahlt g.soforthilfe. Herleitung: Nicht bezifferbar.

Zahlt die Cyberpolice meist
CHF 360–1'400
Offen oder nur mit Zusatz
nichts
Bleibt meist beim Betrieb
1 Posten ohne Betrag

Wahrscheinlichkeit hoch

Nach Phishing übernehmen Täter das Instagram-Konto und posten Krypto-Werbung.

So läuft es ab

Einfallstor: Phishing

Was KI daran ändert: KI erzeugt Werbetexte und Bilder.

Warum hoch? BACS-Fälle zu übernommenen Konten.

Was vorbeugt

  • Zwei-Faktor-Anmeldung.
  • Mindestens zwei Admins.
  • Wiederherstellungsdaten aktuell.
Stolpersteine in den Bedingungen

Bausteine: Daten und Systeme wiederherstellen, Imageschaden

3Abgefangene Rechnung für Trikots

Kassenzettel

Verein und Stiftung

Zeile antippen für die Begründung

  • Vorauszahlung CHF 1'000–5'000 mit Zusatz

    Nur als Zusatz (AXA A6, Mobiliar B8, Zurich Premium) oder mit Sublimite (Helvetia CHF 30'000–100'000); fast immer Rückrufpflicht bei neuer Bankverbindung. Herleitung: Vergleichsfall: EUR 2'848.

Zahlt die Cyberpolice meist
nichts
Offen oder nur mit Zusatz
CHF 1'000–5'000
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit mittel

Die Rechnung des Lieferanten wird unterwegs abgefangen und die Bankverbindung geändert; der Verein zahlt per Vorauskasse, die Trikots kommen nie.

So läuft es ab

Einfallstor: Manipulierte Rechnung

Was KI daran ändert: KI schreibt fehlerfreie, persönlich zugeschnittene Phishing-Mails in Mundart-nahem Deutsch; das alte Warnzeichen «schlechtes Deutsch» fällt weg. Laut IBM nutzten Angreifer 2025 bei 16 % der Datenverletzungen KI, meist für Phishing.

Warum mittel? Belegt in Deutschland (2024), Versicherung zahlte.

Was vorbeugt

  • IBAN telefonisch bestätigen.
  • Keine Vorauskasse bei neuen Lieferanten.
  • Zwei Unterschriften.
Stolpersteine in den Bedingungen
  • Social Engineering ist meist nur ein Zusatzbaustein (AXA A6, Mobiliar B8, Zurich Baustein G Premium) oder hat eine tiefe Sublimite (Helvetia ECO CHF 30'000). Ohne Zusatz zahlt die Cyberpolice den überwiesenen Betrag nicht.
    Wo steht das?

    Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Ziff. B8.1

    «Der Versicherungsschutz gilt, sofern diese Deckung ausdrücklich in der Police erwähnt ist.»

    Dokument öffnen: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (öffnet ein neues Fenster), abgerufen 06.11.2026

  • Rückrufpflicht: neue oder geänderte Bankverbindungen per Rückruf (oder digitale Signatur) prüfen und schriftlich dokumentieren, sonst entfällt die Deckung (AXA A6, Zurich Art. 704); Helvetia verlangt die sichere Verifizierung ab CHF 30'000.
    Wo steht das?

    Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB), Ausgabe 01/2024, Art. 704, S. 15

    «Als sicheres Verfahren gelten ein telefonischer Rückruf zur Identitätsprüfung und jede Form von digital signierter Kommunikation.»

    Dokument öffnen: Zurich Cyberversicherung, Kundeninformation und Allgemeine Versicherungsbedingungen (AVB) (öffnet ein neues Fenster), abgerufen 06.11.2026

Bausteine: Betrug mit gefälschten Anweisungen

4Mitgliederliste mit Geburtsdaten veröffentlicht

Kassenzettel

Verein und Stiftung

Zeile antippen für die Begründung

  • Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 500–2'800 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 2–8 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)

  • Benachrichtigung der Mitglieder per Brief (nur Porto) CHF 100–2'400 gedeckt

    Information Betroffener im Grundschutz; meist vorgängige Zustimmung des Versicherers nötig. Herleitung: 100–2'000 Briefe × CHF 1.00–1.20 (B-/A-Post 2026); Druck, Couvert und Adressaufbereitung nicht gefunden, kämen dazu

Zahlt die Cyberpolice meist
CHF 600–5'200
Offen oder nur mit Zusatz
nichts
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit mittel

Eine Mitgliederliste mit Adressen und Geburtsdaten liegt in einem offenen Cloud-Ordner und wird gefunden.

So läuft es ab

Einfallstor: Falsch freigegebener Ordner

Was KI daran ändert: KI-Suche findet offene Dokumente schneller.

Warum mittel? Häufiger Bedienfehler (Annahme).

Was vorbeugt

  • Freigaben jährlich prüfen.
  • Nur nötige Daten.
  • Verantwortliche Person für Daten bestimmen.
Stolpersteine in den Bedingungen

Bausteine: Soforthilfe im Ernstfall, Betroffene informieren

5Stiftung verschlüsselt, Daten im Darknet

Kassenzettel

Verein und Stiftung

Zeile antippen für die Begründung

  • IT-Forensik und Incident Response (Analyse, Eindämmung, Beweissicherung) CHF 5'000–24'000 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 20–60 Std. × CHF 250–400/Std. (Marktspanne Incident Response)

  • IT-Dienstleister: Bereinigung, Neuaufbau, Rückspielen der Datensicherung CHF 3'600–13'500 gedeckt

    Wiederherstellung von Daten, Software und Systemen im Grundschutz; Sunrise/AXA-Kollektiv nur bis CHF 20'000 Eigenschaden. Herleitung: 20–60 Std. × CHF 180–225/Std. (IT-Support KMU, Bürozeit)

  • Anwalt: Meldepflichten nach DSG, Information Betroffener, Abwehr von Ansprüchen CHF 2'500–10'500 gedeckt

    Bei AXA, Mobiliar, Zurich, Helvetia und Chubb im Grundschutz; AXA-Sofortmassnahmen bis CHF 5'000 ohne Selbstbehalt. Herleitung: 10–30 Std. × CHF 250–350/Std. (Anwaltssatz Schweiz)

  • Benachrichtigung der Betroffenen per Brief (nur Porto) CHF 500–6'000 gedeckt

    Information Betroffener im Grundschutz; meist vorgängige Zustimmung des Versicherers nötig. Herleitung: 500–5'000 Briefe × CHF 1.00–1.20 (B-/A-Post 2026); Druck, Couvert und Adressaufbereitung nicht gefunden, kämen dazu

  • Ausfall CHF 7'100–23'800 eingeschränkt

    ESTV-Wert für Vereine mit schwacher Aussagekraft. Herleitung: 3–10 Tage × rund CHF 11'900 Umsatz/Tag × 20 % (ESTV-MWST-Statistik 2024, Durchschnitt MWST-pflichtiger Betriebe; kleine Betriebe liegen tiefer)

Zahlt die Cyberpolice meist
CHF 11'600–54'000
Offen oder nur mit Zusatz
CHF 7'100–23'800
Bleibt meist beim Betrieb
nichts

Wahrscheinlichkeit mittel

Eine Non-Profit-Stiftung wird Opfer von Ransomware; Daten von Partnern, darunter Bundesstellen, landen im Darknet.

So läuft es ab

Einfallstor: Ransomware

Was KI daran ändert: KI beschleunigt das Finden offener Lücken (Router, VPN, Fernwartung) und das Schreiben von Erpresser-Mails; die Zeit zwischen Veröffentlichung einer Lücke und Angriff wird kürzer, die Patch-Frist der Versicherer (14 bzw. 30 Tage) wird knapp.

Warum mittel? Echter Fall Stiftung Radix (2025).

Was vorbeugt

  • Offline-Backup.
  • Zwei-Faktor-Anmeldung.
  • Daten von Partnern getrennt.
Stolpersteine in den Bedingungen
  • Backup-Pflicht: AXA und Mobiliar verlangen mindestens wöchentlich eine vom Netz getrennte Sicherung, Zurich alle 7 Tage, Helvetia täglich mit Funktionscheck. Fehlt sie, kürzt der Versicherer; bei AXA ohne verwendbares Backup nur Kosten der Feststellung.
    Wo steht das?

    Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. C3 und C5, S. 14

    «keine verwendbare Datensicherung vorhanden ist, so sind nur die Kosten zur Feststellung dieses Sachverhalts gedeckt»

    Dokument öffnen: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (öffnet ein neues Fenster), abgerufen 06.11.2026

  • Meldepflicht: Eine Verletzung der Datensicherheit mit voraussichtlich hohem Risiko ist dem EDÖB so rasch als möglich zu melden (Art. 24 DSG). Benachrichtigung und PR vorher mit dem Versicherer absprechen (AXA, Helvetia), sonst Streit um die Kosten.
    Wo steht das?

    Bundesgesetz über den Datenschutz (DSG), SR 235.1, geltende Fassung, Art. 24 DSG (Paraphrase)

    Dokument öffnen: Bundesgesetz über den Datenschutz (DSG), SR 235.1 (öffnet ein neues Fenster), abgerufen 06.11.2026

Bausteine: Soforthilfe im Ernstfall, Daten und Systeme wiederherstellen, Betroffene informieren, Ertragsausfall nach Angriff

Spannen für einen kleinen bis mittleren Betrieb, keine Versicherungsleistung. Selbstbehalt, Summen und Sublimiten kommen dazu. Die Balken aller Zettel haben denselben Massstab.

Übersicht nach öffentlichen Bedingungen, Stand 06.11.2026. Massgebend sind Ihre Police und die dazugehörigen Allgemeinen Versicherungsbedingungen (AVB). Keine Deckungszusage.

Was ein Tag Stillstand kostet

CHF 11'900 Umsatz pro Tag im Durchschnitt; Ihr Betrieb kann kleiner sein.

Woher die Zahlen stammen

Durchschnitt MWST-pflichtiger Betriebe (ESTV 2024); kleine Betriebe liegen tiefer. Versichert ist nur der Ertragsausfall nach Karenz (Umsatz minus eingesparte Kosten bzw. EBITDA). Aussagekraft: schwach.

Wartefrist: Ertragsausfall erst nach 12 Stunden (AXA; Mobiliar nur mit Zusatz B4) bzw. 24 Stunden (Helvetia); bei Zurich nur in Optimum/Premium, Karenz laut Police. Ein Ausfall unter der Karenz bleibt beim Betrieb.

Was im Betrieb am Netz hängt

Echte Fälle

  • Schweiz · 01.2022

    Sportverein (anonym)

    Betrüger informierten sich vorab über einen Sportverein und schrieben dem Kassier im Namen des Präsidenten.

  • Schweiz · 12.2024

    Kirchen, Schulen, Vereine und Parteien (anonym)

    Im Dezember 2024 erhielt das BACS zahlreiche Meldungen zu CEO-Betrug gegen Kirchen, Schulen, Vereine und Parteien, deren Websites viele Namen und Funktionen zeigen.

  • Schweiz · 04.2022

    Museum (anonym)

    Über den Facebook Business Manager erhielt ein Museum eine angebliche Nachricht des «Instagram Copyright Help Center» wegen einer Urheberrechtsverletzung.

Weitere 4 Fälle und Musterfälle

  • Schweiz · 06.2025

    Stiftung Radix

    Die Non-Profit-Stiftung für Gesundheitsförderung wurde im Juni 2025 Opfer eines Ransomware-Angriffs: Daten wurden entwendet, verschlüsselt und danach im Darknet publiziert.

  • DeutschlandAusland: Deutschland

    Sportverein mit Lauftreff (anonym)

    Der Verein bestellte Trikots und bezahlte die Rechnung per Vorauskasse.

  • DeutschlandAusland: Deutschland

    Sportverein (anonym)

    Über das gehackte E-Mail-Konto des Vorsitzenden erhielt die Kassiererin eine gefälschte Rechnung für Fitnessgeräte.

  • DeutschlandAusland: Deutschland

    Verein (anonym)

    Ein angeblicher Mitarbeiter der Sparkasse rief den Kassierer an und brachte ihn dazu, TAN-Nummern preiszugeben.

Drei Wege weiter