Definieren Sie für Ihr KMU einen klaren internen Meldeweg, bevor eine verdächtige Nachricht eintrifft. Mitarbeitende sollten wissen, wen sie kontaktieren und welche Angaben diese Person braucht. Wurden bereits Passwörter oder Kreditkartendaten eingegeben, hat die unmittelbare Schadensbegrenzung Vorrang vor einer ausführlichen Abklärung.
Bekannte Absender sind kein Beweis für Echtheit
Beim Phishing versuchen Kriminelle, an Passwörter oder andere persönliche Informationen zu gelangen. Dafür treten sie beispielsweise als bekannte Unternehmen auf und führen ihre Opfer über Links oder QR-Codes auf nachgebaute Webseiten. Auch eine vertraut wirkende Absenderangabe bietet keine Sicherheit, denn sie lässt sich fälschen.
Achten Sie besonders auf Nachrichten, die:
- zur Eingabe von Passwörtern oder Kreditkartendaten auffordern;
- mit Geldverlust, einer Kontosperrung oder anderen Konsequenzen drohen;
- über einen Link oder QR-Code zu einer vermeintlichen Anmeldung führen;
- vorgeben, eine Bank oder ein Kreditkartendienstleister müsse Zugangsdaten überprüfen lassen.
Banken und Kreditkartendienstleister verlangen per E-Mail weder eine Passwortänderung noch die Verifizierung von Kreditkartendaten. Geben Sie vertrauliche Angaben nicht auf Webseiten ein, die Sie über Links in E-Mails oder Textnachrichten geöffnet haben. Bei einem Verdacht gilt: keine Links oder Anhänge öffnen.
Der interne Meldeweg muss einfach bleiben
Organisatorische und technische Schutzmassnahmen gehören zusammen. Als praktische Umsetzung können Sie eine zuständige Person, eine Stellvertretung und einen bekannten Kontaktweg festlegen. Halten Sie diese Angaben so fest, dass alle Mitarbeitenden sie finden können.
Ein einfacher Ablauf für Ihr Team lässt sich so formulieren:
- Interaktion mit der Nachricht stoppen. Keine weiteren Links anklicken, Anhänge öffnen oder Angaben eingeben.
- Den Verdacht intern melden. Die festgelegte Ansprechperson oder bei deren Abwesenheit die Stellvertretung kontaktieren.
- Den bisherigen Ablauf beschreiben. Mitteilen, ob die Nachricht nur empfangen wurde oder ob bereits ein Link geöffnet, ein Anhang geöffnet oder Daten eingegeben wurden.
- Betroffene Dienste benennen. Bei preisgegebenen Zugangsdaten angeben, welches Konto betroffen ist und ob dasselbe Passwort anderswo verwendet wird. Das Passwort selbst gehört nicht in die Meldung.
- Schutzmassnahmen und externe Meldung koordinieren. Die zuständige Person sollte dafür sorgen, dass notwendige Schritte nicht liegen bleiben.
Erklären Sie diesen Ablauf auch Mitarbeitenden ohne technische Aufgaben. Verlangen Sie nicht, dass jemand einen Betrugsversuch zuerst zweifelsfrei nachweist, bevor er intern gemeldet werden darf. Entscheidend für die nächsten Schritte ist vor allem, was bereits geschehen ist.
Preisgegebene Daten bestimmen die nächsten Schritte
Ein Verdacht und ein bereits offengelegtes Passwort erfordern unterschiedliche Reaktionen. Die folgende Übersicht hilft, die unmittelbaren Massnahmen zu ordnen.
| Situation | Nächster Schritt | Priorität |
|---|---|---|
| Verdächtige Nachricht erhalten | Nicht mit Links oder Anhängen interagieren, intern melden | Verdacht klären |
| Passwort eingegeben | Bei allen Diensten ändern, bei denen es verwendet wird | Sofort |
| E-Mail-Passwort eingegeben | Zusätzlich die Passwörter der damit verbundenen Webdienste zurücksetzen | Sofort |
| Kreditkartendaten eingegeben | Kreditkartendienstleister kontaktieren, damit die Karte gesperrt werden kann | Sofort |
| Finanzieller Schaden entstanden | Strafanzeige bei der örtlichen Polizei erstatten, wie vom BACS empfohlen | Schaden weiterverfolgen |
Verwenden Sie für jeden Online-Dienst ein eigenes, starkes Passwort. Aktivieren Sie ausserdem die Zwei-Faktor-Authentisierung bei unterstützten Diensten. Diese erhöht den Schutz Ihrer Konten, ersetzt aber nicht die Vorsicht beim Umgang mit Nachrichten.
Externe Meldungen ergänzen die interne Reaktion
Phishing-Versuche können Sie an reports@antiphishing.ch weiterleiten oder den betreffenden Link auf antiphishing.ch eintragen. Diese Wege eignen sich, wenn Sie keine Antwort erwarten. Wünschen Sie eine Antwort, nutzen Sie das Online-Meldeformular des Bundesamts für Cybersicherheit BACS.
Meldungen helfen dem BACS, Angriffsmuster zu erkennen und gegen Phishing-Webseiten vorzugehen. Sie ersetzen jedoch weder die Passwortänderung noch die Kontaktaufnahme mit dem Kreditkartendienstleister.
Aus diesen Meldemöglichkeiten folgt keine allgemeine Meldepflicht für alle KMU. Für Betreiberinnen und Betreiber kritischer Infrastrukturen bestehen besondere gesetzliche Vorgaben. Klären Sie gesondert, ob Ihr Unternehmen darunter fällt.
Vorbereitung beginnt mit einer ehrlichen Selbsteinschätzung
Prüfen Sie intern, ob Zuständigkeiten bekannt sind und Ihre Mitarbeitenden die Schritte zum Kontoschutz kennen. Der kostenlose Cyber-Check für KMU von WPKarma, einem Angebot der onlineKarma AG, kann dabei als antwortbasierte Selbsteinschätzung helfen. Er liefert ohne Login ein Sofortergebnis und dient der allgemeinen Orientierung ohne Gewähr, nicht einer technischen Prüfung oder Phishing-Simulation.
Für die Vorbereitung auf mögliche Ausfälle steht ergänzend der Cyber-Notfallplan als personalisierbares PDF zur Verfügung. Er kostet einmalig CHF 89.– zzgl. MwSt. Eine Wiederherstellung wird dadurch nicht garantiert.
Was bedeutet das für Ihr KMU?
Machen Sie das Melden einfach und den Kontoschutz konkret. Mitarbeitende brauchen eine erreichbare Ansprechperson und verständliche Handlungsregeln, keine eigene technische Untersuchung. Halten Sie als nächsten Schritt Ihren internen Meldeweg auf einer kurzen, für alle zugänglichen Seite fest.