Field Notes / Bedrohungen
Social Engineering: Vier Angriffe auf Schweizer Firmen und was sie gestoppt hätte
Angreifer knacken nicht die Firewall, sie knacken den Menschen davor. Vier reale Schweizer Fälle zeigen den Weg hinein, den Schaden und die Massnahme, die ihn verhindert hätte.
01 Warum der Mensch das offene Tor ist
Social Engineering ist keine technische Schwachstelle. Es ist die gezielte Manipulation von Menschen. Während Firewalls, Endpoint-Schutz und SIEM-Systeme Jahr für Jahr besser werden, bleibt der Mensch das Glied, das sich nicht patchen lässt. Genau dort setzen Angreifer an.
Die Zahlen sind eindeutig. Das Bundesamt für Cybersicherheit registrierte 2024 über 63'000 gemeldete Cybervorfälle in der Schweiz, und bei der Mehrheit war Social Engineering der erste Zugang BACS 2024 . Die Dunkelziffer liegt laut BACS-Halbjahresbericht deutlich höher, weil viele Firmen einen Vorfall nicht melden. Bei simulierten Phishing-Mails fällt im Schnitt rund jede elfte Person auf den Test herein Proofpoint 2024 . Bei einem Betrieb mit 200 Mitarbeitenden reicht ein einziger Klick.
Social Engineering zielt auf Vertrauen, Hilfsbereitschaft, Zeitdruck und Autorität. Das sind Eigenschaften, die eine Firma braucht, um zu funktionieren. Der Angreifer dreht sie gegen Sie. Er patcht keine Lücke im Code, er nutzt eine Lücke im Ablauf.
02 Die fünf Angriffswege
Social Engineering ist ein Oberbegriff. Dahinter stehen fünf konkrete Techniken, die gegen Schweizer Firmen im Einsatz sind. Wenn Sie sie am Namen erkennen, erkennen Sie sie auch am Telefon und im Posteingang.
| Angriffstyp | Kanal | Vorgehen | Typisches Ziel | Erkennbarkeit |
|---|---|---|---|---|
| Phishing | Gefälschte Mails, die zur Preisgabe von Zugangsdaten oder zum Ausführen von Malware verleiten | Zugangsdaten, Malware | Mittel, bei KI-Texten hoch | |
| Vishing | Telefon | Anrufe unter falscher Identität (IT-Support, Bank, Behörde), um Informationen oder Überweisungen zu erlangen | Kontodaten, Überweisungen | Hoch, mit Deepfake-Stimme sehr hoch |
| Smishing | SMS / Messenger | Betrügerische Kurznachrichten mit Links zu Phishing-Seiten oder Malware | Zugangsdaten, App-Installation | Mittel, umgeht oft E-Mail-Filter |
| Pretexting | Multi-Channel | Der Angreifer baut über Tage eine glaubwürdige Legende auf (neuer Lieferant, Prüfer) und gewinnt Vertrauen | Dokumente, Systemzugang | Sehr hoch, kaum von echter Kommunikation zu trennen |
| Tailgating | Physisch | Unbefugter Zutritt zu gesicherten Bereichen, indem die Höflichkeit von Mitarbeitenden ausgenutzt wird | Server, Arbeitsplätze, Dokumente | Mittel, erfordert physische Präsenz |
Die gefährlichen Angriffe kombinieren mehrere dieser Wege. Ein typisches Muster: Der Angreifer recherchiert das Ziel über LinkedIn und die Website, ruft unter falschem Namen die Zentrale an, lässt sich durchstellen und sendet danach eine Phishing-Mail, die auf das Telefonat Bezug nimmt. Jeder Schritt für sich wirkt harmlos. Zusammen ergeben sie einen Zugang. Wie Phishing als Einzeldisziplin funktioniert und was dagegen hilft, lesen Sie im Field Note zu Phishing-Angriffen in der Schweiz 2026.
03 Vier Angriffe, die funktioniert haben
Die folgenden vier Fälle haben in der Schweiz stattgefunden. Details sind anonymisiert, um die betroffenen Firmen zu schützen. Jeder Fall endet mit der einen Massnahme, die den Schaden verhindert hätte.
Fall 1: CEO-Fraud bei einem Industriebetrieb, Nordwestschweiz
Ablauf: Die Finanzabteilung erhielt an einem Freitagnachmittag eine Mail, die scheinbar vom CEO stammte. Er sei in Verhandlungen für eine vertrauliche Akquisition und brauche dringend eine Überweisung auf ein Treuhandkonto. Der Ton passte, die Mail verwies auf eine echte Messe, auf der er wirklich war. Die Absenderdomain war eine Cousin Domain: statt firma-xyz.ch stand dort firma-xyz.ch.com.
Warum es funktionierte: Der Angreifer hatte wochenlang recherchiert. Der Freitagnachmittag war bewusst gewählt, um Rückfragen zu erschweren. Für Überweisungen über CHF 100'000 gab es kein verbindliches Vier-Augen-Prinzip.
Was es gestoppt hätte: DMARC und SPF hätten die Cousin Domain nicht blockiert, weil sie sauber konfiguriert war. Nur ein verbindlicher Freigabeprozess mit telefonischer Rückbestätigung über eine bekannte Nummer hätte die Zahlung angehalten.
Fall 2: Vishing mit Deepfake-Stimme bei einer Privatbank, Zürich
Ablauf: Ein Mitarbeiter der Compliance erhielt einen Anruf, scheinbar vom Managing Director. Die Stimme war per KI geklont, auf Basis öffentlicher Videointerviews und Podcasts. Der Anrufer wies an, wegen einer angeblichen FINMA-Prüfung bestimmte Kundendaten auf eine externe Plattform hochzuladen. Gleichzeitig kam eine Mail mit dem Link zur gefälschten Plattform.
Warum es funktionierte: Die Stimme war überzeugend, der echte Managing Director sass gerade unerreichbar in einem Meeting. Der Verweis auf die FINMA erzeugte Druck und Dringlichkeit. Der Mitarbeiter handelte in gutem Glauben.
Was es gestoppt hätte: Ein vereinbartes Codewort für sensible telefonische Anweisungen und die Regel, regulatorische Anfragen immer über den offiziellen Kanal zurückzuverifizieren. Deepfake-Stimmen sind am Telefon kaum mehr zu erkennen. Der Prozess muss die Erkennung ersetzen.
Fall 3: Tailgating bei einem Pharma-Zulieferer, Basel
Ablauf: Eine als Technikerin gekleidete Person folgte einem berechtigten Mitarbeiter durch die Sicherheitsschleuse, mit gefälschtem Besucherausweis und Clipboard in der Hand. Im Serverraum, dessen Tür wegen Wartung offenstand, platzierte sie ein kleines Netzwerkgerät, das ihr über Wochen Fernzugriff auf das interne Netz gab.
Warum es funktionierte: Mitarbeitende hielten die Tür aus Höflichkeit auf. Der Ausweis wurde nicht geprüft. Das Wartungsfenster am Serverraum war nicht zusätzlich abgesichert. Das Gerät fiel erst Wochen später bei einer Netzwerkprüfung auf.
Was es gestoppt hätte: Tailgating-Prävention, strikte Besucherregistrierung mit Ausweisprüfung und ein Serverraum, der auch während Wartung unter Zugangskontrolle bleibt. Ein Red-Teaming-Test deckt genau solche physischen Lücken vor dem echten Angreifer auf.
Fall 4: Multi-Channel-Pretexting bei einem IT-Dienstleister, Bern
Ablauf: Der Angreifer gab sich über Wochen als Vertreter eines potenziellen Grosskunden aus. Er kontaktierte den Vertrieb über LinkedIn, führte ein Telefonat, tauschte Mails und bat um eine Testumgebung, um die Dienstleistung zu prüfen. Im Zuge dieses Onboardings erhielt er VPN-Zugangsdaten für eine vermeintliche Testumgebung, die aber ins Produktionsnetz führte. Von dort bewegte er sich zu Kundensystemen.
Warum es funktionierte: Der Aufwand war hoch. Der Angreifer hatte eine glaubwürdige Firmenidentität samt gefälschter Website und LinkedIn-Profilen aufgebaut. Der Vertrieb hatte keinen Verifikationsprozess für Neukunden. Die Trennung zwischen Test- und Produktionsnetz war unzureichend.
Was es gestoppt hätte: Identitätsprüfung für externe Zugänge und eine saubere Netzwerksegmentierung, die eine Testumgebung niemals ins Produktionsnetz durchreicht. Supply-Chain-Angriffe über Social Engineering nutzen das Vertrauen zwischen Geschäftspartnern. Der Prozess muss dieses Vertrauen prüfen, bevor er es gewährt.
04 Warum es funktioniert
Social Engineers raten nicht. Sie arbeiten mit denselben psychologischen Hebeln, die Robert Cialdini beschrieben hat Cialdini 2021 . Wer die sechs Hebel kennt, erkennt den Angriff im Moment, in dem er wirkt.
- Autorität. Menschen folgen Machtpositionen. Ein Anruf vom CEO oder von der FINMA wird seltener hinterfragt als eine Bitte eines Kollegen.
- Dringlichkeit. Zeitdruck schaltet das kritische Denken ab. Die Überweisung muss heute raus, also prüft niemand nach.
- Reziprozität. Wer erst einen Gefallen bekommt, fühlt sich verpflichtet, im Gegenzug etwas preiszugeben.
- Soziale Bestätigung. Ihre Kollegen haben ihr Passwort bereits aktualisiert. Menschen folgen dem, was andere angeblich schon getan haben.
- Sympathie. Ein freundliches Gespräch am Empfang öffnet Türen, im wörtlichen und im übertragenen Sinn.
- Verknappung. Dieses Sicherheitsupdate ist nur 30 Minuten verfügbar. Künstliche Knappheit treibt zu schnellem, unüberlegtem Handeln.
Die Schweiz ist ein besonders lohnendes Ziel. Der Finanzplatz hält hochwertige Daten, die Pharma- und Forschungsbranche wertvolles geistiges Eigentum. Über 99 Prozent der Firmen sind KMU, viele ohne dediziertes Security-Team. Die Mehrsprachigkeit vergrössert die Angriffsfläche, weil eine Mail auf Deutsch, Französisch oder Englisch je nach Empfänger unauffällig wirkt. Und die kulturelle Hilfsbereitschaft ist genau der Hebel, auf den Tailgating und Pretexting setzen.
05 Was Sie davontragen: der Schutz
Wirksamer Schutz senkt Ihr Risiko messbar, und er steht auf drei Säulen. Eine allein trägt nicht. Reine Technik hilft nicht gegen einen Anruf, reine Schulung nicht gegen eine kompromittierte Mailbox.
Säule 1: Technik, die den Schaden begrenzt
- Phishing-resistente MFA. FIDO2/WebAuthn für kritische Systeme. Selbst gestohlene Zugangsdaten öffnen dann keine Tür.
- E-Mail-Authentifizierung. SPF, DKIM und DMARC mit Reject-Policy, plus sichtbare Kennzeichnung externer Mails.
- Netzwerksegmentierung. Strikte Trennung und Least Privilege, damit ein erfolgreicher Angriff nicht das ganze Netz erreicht.
- Endpoint Detection und Response. Erkennt verdächtige Aktivität, auch wenn jemand versehentlich Malware startet.
Säule 2: Prozesse, die eine Täuschung anhalten
- Vier-Augen-Prinzip. Für Überweisungen ab einem Schwellenwert und für sensible Datenfreigaben, mit telefonischer Rückbestätigung über bekannte Nummern.
- Verifizierung. Fester Prozess für ungewöhnliche Anfragen, besonders wenn sie Dringlichkeit oder Vertraulichkeit betonen.
- Besuchermanagement. Lückenlose Registrierung, Begleitung und Ausweisprüfung. Kein Zutritt ohne Anmeldung.
- Incident Response. Klare Meldewege, damit Mitarbeitende einen Verdacht schnell und ohne Angst vor Konsequenzen melden.
Säule 3: Menschen, die den Angriff erkennen
Der wichtigste Schutz sind wachsame Mitarbeitende. Eine Schulung einmal im Jahr reicht nicht. Der Lerneffekt einer Einmalschulung verpufft nach vier bis sechs Monaten weitgehend. Wirksam ist ein fortlaufendes Programm aus realistischen Simulationen über alle Kanäle, sofortigem Feedback im Moment des Fehlers und einer Schwierigkeit, die sich an die jeweilige Abteilung anpasst.
Simulation und Schulung zeigen, wie Ihre Firma reagiert. Ob sie einem echten, vollständigen Angriff standhält, zeigt ein Red-Teaming-Engagement. Unsere CREST-zertifizierten Operatoren führen denselben Angriff, den ein echter Gegner führen würde: OSINT-Reconnaissance, gezielte Phishing- und Vishing-Kampagnen, physische Infiltration und laterale Bewegung zu kritischen Systemen. Sie erhalten die Angriffskette, den erreichten Schaden und eine priorisierte Fix-Liste. RTP Robin ist das Dashboard dahinter: Ein Test kauft ein Jahr unbegrenzter Nachtests, Ihre Operatoren wiederholen den Angriff, sobald sich Ihre Angriffsfläche verändert, und ein Mensch prüft jeden Befund, bevor er Sie erreicht.
- Meldeprozess einrichten: verdächtige Mails, Anrufe und Besucher per Ein-Klick-Button meldbar machen, ohne Angst vor Konsequenzen.
- Überweisungen härten: Vier-Augen-Prinzip mit telefonischer Rückbestätigung für alle Zahlungen über CHF 10'000.
- Externe Mails kennzeichnen: eingehende Nachrichten von aussen mit einem deutlichen Banner markieren.
- Codeworte vereinbaren: für sensible telefonische Anweisungen ein vorab abgesprochenes Codewort verlangen.
- Clean Desk durchsetzen: keine Passwörter, Dokumente oder Zugangskarten offen am Arbeitsplatz, besonders in Bereichen mit Besucherverkehr.
Wie weit kommt ein Angreifer über Ihre Mitarbeitenden? Ein kostenloses Erst-Audit von Red Team Partners liefert Ihnen die exponierte Angriffsfläche, den wahrscheinlichsten Weg hinein und eine priorisierte Fix-Liste, geschrieben für Ihre Technik und Ihren Vorstand. Enterprise-grade. Nicht enterprise-priced.
References
Sources
- Verizon. 2024 Data Breach Investigations Report (DBIR). Verizon Business, 2024. verizon.com
- Bundesamt für Cybersicherheit (BACS). Halbjahresbericht 2024. BACS, 2024. ncsc.admin.ch
- IBM Security. Cost of a Data Breach Report 2024. IBM Corporation, 2024. ibm.com
- Proofpoint. 2024 State of the Phish. Proofpoint Inc., 2024. proofpoint.com
- Europol. Internet Organised Crime Threat Assessment (IOCTA) 2024. Europol, 2024. europol.europa.eu
- Cialdini, Robert B. Influence: The Psychology of Persuasion. Harper Business, 2021. influenceatwork.com