Sieben Betrugsmaschen, die Schweizer KMU 2026 treffen, und wie Sie sie erkennen

Betrug ist in der Schweiz das häufigste Cyberdelikt. Im zweiten Halbjahr 2025 gingen beim Bundesamt für Cybersicherheit BACS 29'006 Meldungen ein, 52 Prozent davon betrafen Betrug (BACS, Halbjahresbericht 2025/2). Im ersten Halbjahr 2026 waren es 27'128 Meldungen, und Betrug dominiert weiter (BACS, Halbjahresberichte).

Ich bin bei uns für die Finanzen zuständig. Ich sehe jede Rechnung, bevor sie bezahlt wird. Darum schreibe ich hier die sieben Maschen auf, die kleine Betriebe 2026 am häufigsten treffen, und woran Sie sie erkennen.

1. CEO-Betrug, jetzt auch mit KI-Stimme

Eine E-Mail «vom Chef»: dringend, vertraulich, eine Überweisung oder Geschenkkarten. Der Chef sei gerade in einer Sitzung und nicht erreichbar.

2025 wurden dem BACS 971 Fälle gemeldet, nach 719 im Jahr davor (BACS, Woche 4/2026). Die Täter lesen vorher Website, LinkedIn und Handelsregister. Neu ist die Stimme: Für das Klonen einer Stimme genügt eine Aufnahme von rund zehn Sekunden (BACS, Woche 31/2026).

• Woran Sie es erkennen: Druck plus Zahlung plus «bitte nicht anrufen».
• Was Sie tun: zurückrufen, über die Nummer, die Sie kennen. Nie über die Antwort auf die Nachricht.

2. Die echte Rechnung mit der falschen IBAN

Eine Rechnung, die Sie erwarten, kommt nochmals. Betrag, Logo, Rechnungsnummer stimmen. Nur die IBAN ist neu, oft mit passendem QR-Code, und eine kurze Begründung: «Wir haben die Bank gewechselt.»

Dahinter steckt meist ein gehacktes Postfach beim Lieferanten (BACS, Business E-Mail Compromise).

• Woran Sie es erkennen: eine neue Bankverbindung, per E-Mail mitgeteilt.
• Was Sie tun: Bankdaten nie wegen einer Nachricht ändern. Beim Lieferanten anrufen, über die bekannte Nummer.

3. Die Rechnung im ZIP-Anhang

Eine E-Mail mit einer angeblichen Rechnungsnummer, im Anhang eine ZIP-Datei mit einer HTML-Datei. Sie zeigt einen harmlosen alten E-Mail-Verlauf. Im Hintergrund lädt sie Schadcode nach (BACS, Woche 11/2026).

• Woran Sie es erkennen: eine Rechnung, die zu keinem Auftrag passt, verpackt in ZIP.
• Was Sie tun: nicht öffnen. Echte Rechnungen kommen als PDF von Absendern, die Sie kennen.

4. Der falsche Bankanruf

«Hier ist die Sicherheitsabteilung Ihrer Bank. Auf Ihrem Konto gab es verdächtige Zahlungen.» Danach sollen Sie eine Fernwartung wie AnyDesk installieren, Login-Daten nennen oder Bargeld abheben und übergeben.

Die Kantonspolizei St. Gallen warnte im Juni 2026 davor (Kantonspolizei St. Gallen), die Kantonspolizei Graubünden im August (Kantonspolizei Graubünden). Ihre Regel ist kurz: Keine Bank, keine Behörde und keine Polizei verlangt am Telefon Passwörter, Codes oder Bargeld.

• Woran Sie es erkennen: ein Anruf, der Angst macht und dann etwas verlangt.
• Was Sie tun: auflegen. Die Bank selbst anrufen, über die Nummer auf Ihrer Karte.

5. Das Paket, das auf ein paar Franken wartet

Eine SMS oder E-Mail im Namen der Post, von DHL oder DPD: Ein Paket sei blockiert, es fehle eine kleine Gebühr. Wer auf der gefälschten Seite zahlt, gibt seine Kartendaten preis. Kurz danach ruft oft eine falsche Bank an und will den «Betrugsfall» mit einem Code stoppen. Das BACS nennt das «Double Phishing» (BACS, Woche 18/2026).

• Woran Sie es erkennen: ein kleiner Betrag, ein Link, eine Frist.
• Was Sie tun: nicht klicken. Sendungen nur in der App oder auf der Seite des Paketdienstes prüfen, die Sie selbst eintippen.

6. Der gelbe Zettel im Briefkasten

Dieselbe Masche auf Papier: eine Abholungseinladung, die der echten der Post gleicht, mit einem QR-Code für die «neue Zustellung». Der Code führt auf eine gefälschte Seite, die Ihre Daten und Ihre Karte will (BACS, Woche 24/2026).

• Woran Sie es erkennen: ein QR-Code, der zu einer Zahlung oder zu Kartendaten führt.
• Was Sie tun: die Sendungsnummer selbst auf post.ch eingeben, nicht den Code scannen.

7. «Ihre Domain läuft ab»

Eine «Registrierungsstelle» schreibt, jemand wolle Ihren Firmennamen als Domain registrieren, oder Ihre Domain werde gelöscht. Wer nicht sofort zahlt, verliere sie. Die Masche kursiert seit Jahren und trifft vor allem Firmen und Vereine (BACS, Woche 21/2024).

• Woran Sie es erkennen: ein Anbieter, den Sie nicht kennen, und eine Frist.
• Was Sie tun: Ihre Domain verlängern Sie nur bei Ihrem bekannten Anbieter.

Alle sieben Maschen wollen dasselbe: dass Sie schnell zahlen, klicken oder einen Code nennen. Wer zehn Minuten wartet und selbst zurückruft, hat fast immer gewonnen.

Wenn es schon passiert ist

• Rufen Sie sofort Ihre Bank an, über die offizielle Nummer. Manchmal lässt sich die Zahlung noch stoppen.
• Melden Sie den Fall beim BACS und erstatten Sie bei einem Schaden Anzeige bei der Polizei, im Notfall unter 117.
• Haben Sie ein Passwort genannt oder eine Fernwartung installiert: Passwörter ändern, Gerät prüfen lassen.

Was wir dagegen tun

Unsere Kolleginnen und Kollegen, auch der Betriebs-Assistent unserer Kundinnen und Kunden, fragen nie nach Passwörtern, Karten- oder Bankdaten oder Einmalcodes. Sie ändern nie eine Bankverbindung wegen einer Nachricht. Sieht etwas nach Betrug aus, warnen sie den Inhaber in einer Zeile und antworten nie von sich aus darauf.

Die sieben Regeln gibt es auch als Blatt zum Ausdrucken: So schützen Sie Ihren Betrieb vor Betrug.