Was ist Spear-Phishing?
Spear-Phishing ist eine gezielte Form des Phishing: Anstatt massenhaft identische Betrugs-E-Mails zu verschicken, nehmen die Angreifer:innen eine bestimmte Person ins Visier. Ziel ist es, das Opfer zur Herausgabe sensibler Daten, zu einer Zahlung oder zur Installation von Schadsoftware zu verleiten. Aufgrund der hohen Personalisierung sind solche Angriffe schwieriger zu erkennen als klassisches Massen-Phishing.
Phishing-Angriffe auf hochrangige Personen werden auch «Whaling» genannt. Wenn Phishing auf Führungskräfte oder wichtige Entscheidungsträger:innen abzielt, spricht man auch von «Executive-Phishing». Bei Phishing-Angriffen auf Mitarbeitende setzen die Angreifer:innen häufig auf gefälschte Geschäfts-E-Mails («Business Email Compromise», BEC) und «CEO-Betrug». Letzteres sind Betrugsmaschen im Namen der oder des CEO.
Laut dem Bundesamt für Cybersicherheit (BACS) ist beim Phishing ein Trend zu raffinierten, mehrstufigen Angriffen über mehrere unterschiedliche Kanäle zu beobachten. Dabei kombinieren die Angreifer:innen häufig generisches Massen-Phishing mit gezieltem Spear-Phishing. Die Aufklappelemente enthalten reale Beispiele zu Spear-Phishing und Massen-Phishing via E-Mail, SMS, Telefonanruf und QR-Code.
Beispiel für Spear-Phishing-Angriff auf Firma über SharePoint (Februar 2026): Ein Sachbearbeiter einer Zürcher Treuhandfirma erhält von einem ihm bekannten Geschäftspartner eine echte SharePoint-Einladung zu einem geteilten Dokument. Nach Login und korrektem Einmalcode wartet auf der Plattform ein zweiter Link, der auf eine Phishing-Seite führt, die das Microsoft-Login samt zweitem Faktor in Echtzeit abgreift. Die Angreifer:innen recherchierten die Zusammenhänge zwischen Firma und Mitarbeitenden vorab auf öffentlichen Unternehmenswebseiten oder nutzten ein zuvor gehacktes Microsoft-Konto.
Beispiel für Spear-Phishing-Angriff auf Privatperson im Namen von Ricardo (März 2026): Eine Privatperson inseriert zum ersten Mal einen Artikel auf der Verkaufsplattform Ricardo. Kurz darauf erhält sie ein E-Mail mit dem offiziellen Ricardo-Logo, das unter dem Vorwand einer angeblichen Sicherheitsmassnahme die Zugangsdaten verlangt. Laut dem BACS werden auf Ricardo immer wieder gezielt Erstinserierende mit sprachlich einwandfreien und täuschend echt aussehenden Phishing-Mails angegriffen. Mehr zu Twint-Betrug auf Verkaufsplattformen
Beispiel für Massen-Phishing-Angriff auf Firmen im Namen von Bexio (Mai 2026): In der ganzen Schweiz erhalten über 100 000 Firmenkund:innen des Software-Anbieters Bexio Phishing-Mails im Namen von Bexio. In den E-Mails wird auf eine angeblich offene Rechnung hingewiesen. Über einen Link gelangen die Empfänger:innen auf eine nachgebaute Login-Seite, auf der ihre Zugangsdaten abgegriffen werden sollen. Die Phishing-Mails sind wahllos verschickt worden, die verwendeten Absenderadressen stammten nicht von Bexio und es sind keine Kundendaten des Unternehmens nach aussen gelangt.
Beispiel für Business Email Compromise über Bexio (BEC; Mai 2026): Angreifer:innen ändern in gehackten Bexio-Konten (siehe vorheriges Beispiel) die IBAN-Nummern der Zahlungsempfänger:innen von Rechnungen, um die Zahlungen umzuleiten. Für die Mitarbeitenden der Firmen mit den kompromittierten Bexio-Konten ist dieser Betrug besonders schwierig zu erkennen, da die Rechnungen aus dem eigenen System versendet werden. Sie tragen ausserdem die korrekten Briefköpfe mit den richtigen Absenderadressen und sind im vertrauten Ton verfasst.
Beispiel für Spear-Phishing-Angriff per SMS auf Privatperson in Zusammenhang mit Parkbusse (August 2026): Im Kanton St. Gallen bekommt eine Frau eine rechtmässige Parkbusse. Zwei Tage später kriegt sie ein betrügerisches Phishing-SMS mit einer Zahlungsaufforderung von einer marokkanischen Nummer.
Beispiel für CEO-Betrug über WhatsApp (Januar 2026): Angreifer:innen imitieren mithilfe von künstlicher Intelligenz den Schreibstil der oder des Vorgesetzten auf Schweizerdeutsch, bauen psychologischen Druck auf und bitten ihre Mitarbeitenden unter einem Vorwand um eine dringende Überweisung. Typische Vorwände sind die Zahlung an einen ausländischen Lieferanten oder der Kauf von Geschenkgutscheinen.
Beispiel für Massen-Phishing-Angriff per SMS-Blaster auf Privatpersonen (Oktober 2025): In den Kantonen Basel-Stadt, Basel-Land und Zürich, verschickt ein Mann mit einem SMS-Blaster massenhaft Phishing-SMS im Namen der Post, der UBS, der Migros oder einer Behörde an die Handys in der Umgebung. Die Polizei macht keine Angaben zur Schadenssumme. Bei einem ähnlichen Fall im Sommer 2025 in Genf erbeuten die Angreifer:innen rund 1,9 Millionen Franken.
Beispiel für Spear-Phishing per Telefonanruf auf Firma im Januar 2026 (CEO-Betrug): Im Kanton Schwyz erhält ein Unternehmer einen Anruf mit der ihm vertrauten Stimme seines Geschäftspartners und einer dringenden, vertraulichen Zahlungsanweisung. Daraufhin überweist er mehrere Millionen Franken auf ein asiatisches Konto. Die Stimme des Geschäftspartners war jedoch mithilfe von künstlicher Intelligenz gefälscht.
Beispiel für Massen-Phishing per Telefonanruf auf Privatpersonen im Februar 2026: Zahlreiche Personen erhalten unaufgefordert einen Anruf von einem vermeintlichen Mitarbeiter des Bundesamts für Cybersicherheit (BACS). Der Angreifer versucht, seine Opfer unter dem Vorwand einer Sicherheitsnotlage zur Installation einer Fernwartungssoftware zu bewegen, um anschliessend ihre E-Banking-Konten zu plündern.
Mehr zu Phishing per Telefonanruf oder Sprachnachricht (Voice Phishing bzw. Vishing)
WhatsApp-Übernahme per QR-Code (Mai 2026): Angreifer:innen fordern über das gehackte WhatsApp-Konto eines Bekannten die Opfer dazu auf, bei einem Wettbewerb für ihr Kind abzustimmen. Der Link führt zu einer betrügerischen Website. Nach der Eingabe eines Verifizierungscodes oder dem Scannen eines QR-Codes verlieren die Nutzer:innen den Zugriff auf ihr eigenes WhatsApp-Konto.
Beispiel für Massen-Phishing per QR-Code im Februar 2026: In der Stadt Zug kleben Betrüger:innen Phishing-QR-Codes auf Parkuhren. Diese führen auf eine nachgebaute Zahlungsseite, wo die Zahlungsdaten der Nutzer:innen abgegriffen werden sollen.
Mit der Cyberversicherung der Mobiliar sind Sie auf der sicheren Seite
Die Cyberversicherung der Mobiliar ist für Sie da, wenn Sie Opfer eines Cyberangriffs werden. Erfahren Sie mehr zur Cyberversicherung oder berechnen Sie direkt und unverbindlich Ihre Versicherungsprämie. Entscheiden Sie danach in aller Ruhe.
Wie kann ich Spear-Phishing erkennen und mich davor schützen?
Seien Sie misstrauisch bei unerwarteten Anfragen, die psychologischen Druck aufbauen und angeblich dringend sowie vertraulich erledigt werden sollen. Prüfen Sie Nachrichten, die auf den ersten Blick auffällig gut zu passen scheinen, besonders sorgfältig (richtiger Name, Chef, laufendes Projekt). Denn solche Nachrichten sind typisch für Spear-Phishing.
Lassen Sie sich unerwartete Überweisungsaufträge oder unerwartete Änderungen bei der Zahlungsempfängerin (z. B. eine andere IBAN) von der zuständigen Person über einen zweiten, bekannten Kanal bestätigen. Veranlassen Sie erst danach eine Überweisung.
Richten Sie bei sämtlichen Online-Zugängen die Zwei-Faktor-Authentifizierung ein. Selbst wenn Sie Ihre Zugangsdaten versehentlich preisgeben, können sich Angreifer:innen ohne den zweiten Faktor nicht in Ihre Online-Accounts einloggen. Geben Sie den zweiten Faktor und Verifizierungscodes generell nicht an Dritte weiter. Das gilt besonders dann, wenn Sie von einem vermeintlichen Kontakt oder einer Person am Telefon darum gebeten werden.
Verwenden Sie in der ganzen Firma und auf all Ihren privaten Geräten einen Passwortmanager, um bei jedem Ihrer Online-Zugänge standardmässig ein sicheres, automatisch generiertes Passwort zu nutzen. Ein solcher Passwortmanager ist im Leistungsumfang der Cyberversicherung der Mobiliar enthalten.
Massnahmen
- Prüfen Sie die E-Mail-Adresse der Absenderin genau und achten Sie auf minimale Abweichungen, wie Tippfehler oder andere Endungen.
- Fahren Sie mit der Maus über Links, um die Ziel-URL zu überprüfen. Öffnen Sie keine Anhänge von unbekannten Absendern.
- Verifizieren Sie heikle Anfragen über einen anderen bekannten Kanal. Fehlerfreie Sprache und Dialekt sind kein Echtheitsbeweis mehr, da sie von einer KI generiert worden sein könnten.
Hinweise
- Auch E-Mails von bekannten Absendern können gefälscht sein, da deren E-Mail-Konto gehackt worden sein könnten.
- Dasselbe gilt für offiziell wirkende E-Mails im Zusammenhang mit realen Ereignissen, wie beispielsweise Bestellungen in Online-Shops oder Anmeldungen auf Verkaufsplattformen.
Massnahmen
- Klicken Sie keine Links in unerwarteten SMS an, vor allem nicht bei angeblichen Paketen, Bussen, Bank- oder Behördennachrichten.
- Verfolgen Sie Sendungen direkt in der offiziellen App des Anbieters und nicht über einen SMS-Link.
Hinweise
- Gefälschte SMS können in ihrem echten bisherigen Verlauf mit den Organisationen erscheinen.
- Nachrichten von Kontakten können gefälscht sein, zum Beispiel wenn ihr WhatsApp gehackt wird.
- Auch SMS im Zusammenhang mit echten Ereignissen, wie zum Beispiel einer gerechtfertigten Parkbusse können gefälscht sein.
- SMS-Blaster können Handys in der direkten Umgebung erreichen, ohne deren Nummern zu kennen.
Massnahmen
- Lassen Sie sich nicht unter Zeit- oder Emotionsdruck setzen.
- Legen Sie bei Zahlungs- oder Datenanfragen prinzipiell auf und rufen Sie über die Ihnen bekannte Nummer zurück.
- Vereinbaren Sie in der Familie oder Firma ein Codewort oder einen festen Rückrufprozess.
Hinweise
- Auch wenn die Stimme vertraut klingt, kann sie mithilfe von KI gefälscht sein.
- Schocknachrichten zum Beispiel über den Zustand einer Ihnen nahestehenden Person sind eine häufige Betrugsmasche.
- Behörden, Banken oder das BACS rufen in der Regel nicht unaufgefordert an, um Transaktionen zu prüfen oder Codes und Passwörter zu erfragen. In solchen Fällen sollten Sie auflegen.
Massnahmen
- Scannen Sie grundsätzlich keine QR-Codes aus unerwarteten E-Mails, Briefen oder SMS.
- Prüfen Sie an Parkautomaten, Ladesäulen etc., ob ein Aufkleber über dem echten Code angebracht ist.
- Lassen Sie sich nach dem Scannen die Ziel-URL anzeigen und kontrollieren Sie diese, bevor Sie sie öffnen.
- Geben Sie keine Login- oder Zahlungsdaten auf Seiten ein, die Sie über einen QR-Code geöffnet haben.
- Nutzen Sie statt des aufgedruckten Codes eine offizielle App oder eine bekannte Website zum Bezahlen.
Hinweise
- Scannen Sie Twint-QR-Codes generell nur mit der Twint-App.
- Wenn ein angeblicher Twint-QR-Code beim Scannen mit der Twint-App nicht funktioniert, ist er mit hoher Wahrscheinlichkeit gefälscht.
Fragen & Antworten
1. Sperren Sie den betroffenen Service.
A. Kreditkarte: Sperren Sie die Karte sofort über die Notfallnummer auf der Kartenrückseite.
B. E-Banking: Sperren Sie das Konto sofort über die Hotline Ihrer Bank.
C. Twint: Sperren Sie Ihr Twint-Konto sofort über die Hotline Ihrer Twint-Herausgeberbank.
D. Schadsoftware: Trennen Sie das Gerät sofort vom Internet. Lassen Sie die Schadsoftware von einer IT-Fachperson entfernen.
E. Online-Zugänge: Wechseln Sie das Passwort und aktivieren Sie die Zweifaktor-Authentifizierung. Wenn Sie sich nicht mehr in Ihren Account einloggen können, wenden Sie sich an den Support der Organisation.
2. Melden Sie den Vorfall dem Bundesamt für Cybersicherheit (BACS).
3. Bei finanziellem Schaden: Zeigen Sie den Vorfall bei der Polizei an.
4. Melden Sie den Schaden gegebenenfalls Ihrer Cyberversicherung. Schadenmeldung für Privatperson; Schadenmeldung für Firma
Die Versicherungssumme und der Selbstbehalt kann bei KMU in Abhängigkeit von der Grösse und der Branche individuell festgelegt werden (siehe Versicherungspolice). Im Rahmen der Versicherungssumme übernimmt die Cyberversicherung der Mobiliar unter anderem die Kosten für folgende Aufwendungen:
- IT-Forensik
- Wiederherstellung von Daten und Systemen
- Betriebs-Unterbrechungs-Schäden
- Fremdschäden (Haftpflicht)
- Krisen- und PR-Kosten
- Lösegeldverhandlung
Cyberversicherung für Privatpersonen
Bei einem versicherten finanziellen Schaden versucht zunächst der Rechtsschutz, das Geld zurückzuholen. Wenn dies nicht gelingt, prüft die Cyberversicherung der Mobiliar eine Auszahlung von bis zu 20 000 Franken.
Wichtig: Die Cyberkriminellen müssen auf illegale Weise an das Geld gelangt sein. Wenn Sie zum Beispiel in einer falschen Annahme eine Überweisung autorisiert haben, ist der Schaden meistens nicht gedeckt.
Phishing ist der Überbegriff für Cyberangriffe, die auf die Erschleichung sensibler Daten oder die Verbreitung von Schadsoftware abzielen. Während unter Phishing ursprünglich breit gestreute Massenangriffe verstanden wurden, bezieht sich Spear-Phishing auf gezielte, personalisierte Täuschungsversuche.
Social Engineering ist ein Sammelbegriff für Angriffsmethoden, die auf die Manipulation von Menschen abzielen, statt Sicherheitslücken in technischen Systemen auszunutzen. Spear-Phishing ist demgegenüber eine von vielen Angriffsmethode, die bei Social-Engineering-Angriffen zum Einsatz kommt.
Spear-Phishing ist eine personalisierte Angriffsmethode oder Betrugsstrategie, um an sensible Daten und Geld zu gelangen oder um Schadsoftware zu verbreiten. Spoofing ist hingegen ein technisches Hilfsmittel, um eine falsche Identität vorzutäuschen, dass bei Spear-Phishing-Angriffen häufig zum Einsatz kommt.
Typische Alltagsbeispiele für Spoofing sind gefälschte Absender in E-Mails oder SMS, gefälschte angezeigte Nummern bei Telefonanrufen oder gefälschte Websites.
