Phishing-Angriffe in der Schweiz 2026: Zahlen, Trends und wirksamer Schutz

01 Warum Phishing weiter zunimmt

Phishing ist der Türöffner, nicht das Ziel. Laut dem Verizon Data Breach Investigations Report 2024 sind rund 68 Prozent aller erfolgreichen Datenpannen auf ein menschliches Element zurückzuführen, also auf einen Fehler oder auf Social Engineering [ Verizon DBIR 2024 ] . Ein einziger Klick genügt. Ist die erste Anmeldung erbeutet, sieht der Angreifer aus wie ein Mitarbeitender, liest mit und lernt, wie in Ihrem Haus Geld fliesst.

Für Schweizer Unternehmen kommt der Regulator dazu. Seit dem 1. April 2025 melden Sie einen erheblichen Cybervorfall innert 24 Stunden ans BACS. Das revidierte Datenschutzgesetz verlangt angemessene technische und organisatorische Massnahmen. Wer ein bekanntes Einfallstor offen lässt, trägt zwei Rechnungen: den Schaden aus dem Angriff und die Folgen aus der Meldepflicht. Beides löst derselbe Klick aus.

02 Die neuen Angriffsmuster

Drei Muster tragen die Zunahme 2026. Sie haben eines gemeinsam. Sie umgehen die Technik, auf die sich die meisten Betriebe verlassen, und zielen direkt auf den Menschen am Bildschirm.

QR-Code-Phishing (Quishing)

Quishing hat sich zum am schnellsten wachsenden Angriffsvektor entwickelt. Angreifer platzieren manipulierte QR-Codes auf gefälschten Parkuhren-Aufklebern, in vermeintlichen Paketbenachrichtigungen und auf physischen Briefen, die wie Post von Bank oder Behörde aussehen. Der Code führt auf eine gefälschte Anmeldeseite. Laut HP Wolf Security stieg die Zahl der QR-basierten Angriffe 2024 um über 600 Prozent [ HP Wolf 2024 ] . Das BACS warnte im Oktober 2024 ausdrücklich vor gefälschten QR-Rechnungen.

Der Grund für die Wirkung liegt in der Technik. QR-Codes sind Bilder, keine klickbaren Links. Sie passieren die meisten E-Mail-Filter unbemerkt. Gescannt wird obendrein meist mit dem privaten Smartphone, das ausserhalb Ihrer Sicherheitsinfrastruktur liegt und dort keinen Schutz findet.

KI-gestütztes Phishing

Generative KI hat die Hürde für saubere Angriffe eingerissen. Ein Angreifer erzeugt heute fehlerfreies Schweizer Hochdeutsch, inklusive regionaler Formulierungen und branchenspezifischem Vokabular. Aus öffentlichen Quellen wie LinkedIn, Handelsregister und Firmenwebsite baut er massgeschneiderte Spear-Phishing-Mails. Chatbots führen das Gespräch in Echtzeit weiter und bauen Vertrauen auf. Laut SlashNext stieg das Volumen von Phishing-Mails seit der breiten Verfügbarkeit generativer KI-Werkzeuge um 1'265 Prozent [ SlashNext 2023 ] .

Deepfake-Stimmen und -Videos

Am gefährlichsten sind geklonte Stimmen. Der Angreifer imitiert die Stimme eines CEO oder CFO und ruft die Finanzabteilung an, um eine dringende Überweisung zu erwirken. Diese Vishing-Angriffe haben mehrere Schweizer Betriebe getroffen. Sie sind erfolgreich, weil sie Autorität und Zeitdruck kombinieren, zwei Hebel, gegen die kein Filter hilft.

03 Warum alter Schutz versagt

Die meisten Betriebe setzen auf E-Mail-Filter, Spam-Erkennung und eine jährliche Schulung. Vor fünf Jahren war das solide. Gegen die heutigen Angriffe reicht es nicht mehr. Die folgende Übersicht zeigt, wo jede Massnahme reisst.

Dazu kommt der Faktor Vergessen. Nach der Vergessenskurve nach Ebbinghaus gehen rund 70 Prozent des Gelernten innerhalb von 24 Stunden verloren, wenn es nicht wiederholt wird. Ein Mitarbeitender erkennt Phishing im Schulungsbeispiel und versagt drei Monate später beim echten Angriff im Arbeitsalltag. Das ist kein Personalproblem. Es ist ein Trainingsproblem.

04 Was wirklich wirkt

Wirksamer Schutz liefert eine Zahl, die sinkt, nicht ein Zertifikat, das an der Wand hängt. Bei Red Team Partners senken wir Ihre Klickrate über drei Phasen, abgestimmt auf die Angriffe, die Ihre Branche tatsächlich treffen.

Der Fortschritt läuft nicht in einer PDF, die niemand liest. RTP Robin ist das Dashboard, in dem Sie jede Simulation, jede Klickrate und jede Meldequote in Echtzeit sehen. Ein Mensch aus dem Operator-Team prüft die Ergebnisse, bevor sie Sie erreichen, und Ihre Geschäftsleitung liest den Stand auf einer Seite. So wird aus Bewusstsein eine Kennzahl, die Sie steuern.

05 Sofortmassnahmen für 2026

Unabhängig davon, ob Sie schon ein Awareness-Programm haben, diese Massnahmen schliessen die grössten Lücken sofort. Jede davon senkt Ihr Risiko messbar, und keine davon braucht ein Grosskonzern-Budget.

Phishing verschwindet nicht. KI macht die Köder überzeugender, nicht seltener. Betriebe, die auf kontinuierliche Simulation, phishing-resistente MFA und einen gelebten Meldeprozess setzen, drücken das Risiko trotzdem auf ein beherrschbares Niveau. Der Unterschied ist kein grösseres Budget. Es ist die Entscheidung, den Menschen zu üben statt einmal im Jahr zu schulen.

Wie anfällig ist Ihr Unternehmen wirklich? Ein kostenloses Erst-Audit von Red Team Partners schickt Ihren Leuten eine realistische Simulation und liefert Ihnen die echte Klickrate, den wahrscheinlichsten Weg hinein und eine priorisierte Fix-Liste, geschrieben für Ihre Technik und Ihren Vorstand. Enterprise-grade. Nicht enterprise-priced.