27'128 Meldungen in sechs Monaten. So viele Cybervorfälle haben Bevölkerung und Unternehmen dem Bundesamt für Cybersicherheit im ersten Halbjahr 2026 freiwillig gemeldet, nachzulesen im Halbjahresbericht 2026/1 des BACS. Interessanter als die grosse Zahl sind zwei Beobachtungen aus demselben Bericht: Angreifer übernehmen vermehrt Geschäftskonten in Microsoft 365 und nutzen sie für weiteres Phishing. Und sie setzen KI inzwischen systematisch ein, um personalisierte Nachrichten glaubwürdig zu machen.
Die übliche Reaktion auf solche Zahlen ist eine Awareness-Kampagne. Noch ein Phishing-Test, noch ein Poster neben der Kaffeemaschine. Wir halten das für die falsche erste Massnahme. Phishing-Prävention im Unternehmen ist zuerst eine Architekturfrage, keine Verhaltensfrage. Die Mail, die dein Team gar nie sieht, muss niemand erkennen. Und der Klick, der nichts erreicht, braucht keine Schulung.
Warum Training als erste Antwort so beliebt ist
Ein kurzer Blick auf die Anreize erklärt viel. Eine Awareness-Kampagne ist sichtbar, budgetierbar und niemandem unangenehm ausser den Mitarbeitenden, die den Test nicht bestehen. Ein DMARC-Eintrag auf "reject" ist unsichtbar, kostet nichts und taucht in keinem Management-Reporting auf. Verkauft wird, was sich zeigen lässt.
Dazu kommt die bequeme Erzählung vom Menschen als schwächstem Glied. Sie klingt nach Einsicht, ist aber vor allem eine Umverteilung: Sie macht Mitarbeitende für ein Risiko verantwortlich, das der Betrieb entschärfen könnte. Wer klickt, hat nicht versagt. Er hat eine Mail geöffnet, und Mails öffnen ist sein Job. Versagt hat die Umgebung, in der ein einzelner Klick den Unterschied macht.
Also der Reihe nach, entlang der drei Ebenen.
Phishing-Prävention beginnt vor dem Postfach
Der grösste Teil der Abwehr ist unsichtbar und läuft, bevor ein Mensch beteiligt ist. Drei DNS-Einträge entscheiden, wie leicht sich deine Domain fälschen lässt: SPF, DKIM und DMARC. Übersetzt: SPF und DKIM belegen, dass eine Mail wirklich von deinen Servern kommt, DMARC sagt der Gegenstelle, was sie mit Fälschungen tun soll. Die Einträge sind gratis und brauchen keinen Wartungsvertrag. Trotzdem fehlt in unserer Erfahrung in vielen KMU-Umgebungen mindestens einer davon, oder DMARC steht seit Jahren auf "beobachten" statt auf "abweisen". Der Status lässt sich in zwei Minuten prüfen, jedes frei verfügbare DMARC-Check-Tool zeigt ihn an. Es gibt wenige Stellen in der IT-Sicherheit, an denen so wenig Aufwand so viel Fläche schliesst.
Das Thema hat zwei Richtungen, und die zweite wird oft übersehen. Die eine schützt dich: ein sauber konfigurierter Filter weist gefälschte Absender ab, bevor sie im Postfach landen. Die andere schützt deine Kunden und Lieferanten: mit DMARC auf "reject" kann niemand in deinem Namen Rechnungen mit neuer Kontonummer verschicken. Wenn deine Domain für Betrug an deinen Kunden missbraucht wird, bist du das schwache Glied in der Lieferkette, ohne je selbst gehackt worden zu sein.
Bleibt der Filter selbst. Wer Microsoft 365 Business Premium lizenziert hat, besitzt mit Defender for Office bereits Link-Prüfung und Anhang-Analyse. Gekauft ist das, eingeschaltet oft nur halb. Bevor du über ein zusätzliches Mail-Security-Produkt sprichst, lohnt sich die Frage, ob das vorhandene ausgereizt ist. Das ist der stille Teil der Kostenoptimierung: erst ausreizen, was schon bezahlt ist.
Der Klick ist eingeplant
Jede Präventionsplanung, die davon ausgeht, dass niemand klickt, ist keine Planung. Bei genug Versuchen klickt irgendwann jemand, und mit KI-personalisierten Nachrichten werden die Versuche besser, nicht schlechter. Die Frage ist darum, was ein Klick erreichen kann, wenn er passiert.
Auffällig ist, was Firmen dazu messen. Die Klickrate aus dem letzten Phishing-Test kennt fast jede Geschäftsleitung, sie steht ja im Report des Anbieters. Was ein geklicktes Konto im eigenen Haus erreichen könnte, kann kaum jemand beziffern. Gemessen wird, was der Testanbieter liefert, nicht, was den Schaden bestimmt. Dabei ist die zweite Grösse die, an der du drehen kannst.
Hier hat sich das Spiel in den letzten Jahren verschoben. Moderne Phishing-Kits schalten sich als Proxy zwischen das Opfer und die echte Anmeldeseite. Das Opfer tippt Passwort und den sechsstelligen Code aus der Authenticator-App ein, beides läuft durch die Hände des Angreifers, und der übernimmt die laufende Sitzung. Eine Mehrfaktor-Anmeldung mit Codes schützt gegen dieses Vorgehen nicht. Genau so entstehen viele der übernommenen Microsoft-365-Konten, die das BACS in seinem Bericht beschreibt.
Die Antwort darauf ist unspektakulär: phishing-resistente Anmeldeverfahren. Passkeys und FIDO2-Keys binden die Anmeldung kryptografisch an die echte Domain. Auf einer gefälschten Seite funktioniert die Anmeldung schlicht nicht, egal wie überzeugend sie aussieht. Flächendeckend eingeführt ist das ein Projekt. Für Administratoren und Finanzfunktionen ist es ein Nachmittag, und dort sitzt der grösste Teil des Risikos.
Zwei weitere Stellschrauben gehören auf dieselbe Ebene. Conditional Access kann Anmeldungen an Bedingungen knüpfen, etwa an verwaltete Geräte: eine gestohlene Sitzung, die auf einmal von einem unbekannten Rechner weiterlaufen soll, kommt dann gar nicht erst hinein. Und die App-Freigaben: längst nicht jeder Angriff will dein Passwort. Manche schieben dir eine harmlos benannte App unter, der du mit einem Klick dauerhaften Zugriff auf dein Postfach gewährst, ganz ohne Anmeldedaten. Ob Benutzer solche Freigaben selbst erteilen dürfen, ist eine einzige Einstellung im Mandanten.
Und dann die Frage nach dem Radius. Wenn dieses eine Konto übernommen ist, was erreicht es? Ein Buchhaltungskonto mit Leserechten auf die Ablage ist ein Ärgernis. Dasselbe Konto mit globalen Adminrechten, weil das 2019 einmal praktisch war, ist ein Betriebsunterbruch. Berechtigungen sind Phishing-Prävention, auch wenn sie in keiner Awareness-Broschüre vorkommen.
Nach dem Klick: die ersten dreissig Minuten
Irgendwann passiert es trotzdem. Dann zählt, ob dein Betrieb einen eingespielten Weg kennt oder improvisiert.
Der Meldeweg zuerst: Melden muss einfacher sein als Löschen. Ein Knopf im Mail-Client, eine bekannte Adresse, und vor allem eine Person, die Meldungen anschaut und handeln darf. Eine Phishing-Meldung, die in einem Sammelpostfach versandet, ist keine Kontrolle, sondern Dekoration. Wie dieser Betrieb ohne eigenes Security-Team aussehen kann, haben wir im Beitrag zur IT-Sicherheit ohne eigenes Security-Team beschrieben.
Dann die Übernahme selbst. Ein Passwort-Reset allein reicht nicht. Die laufenden Sitzungen müssen beendet, neu eingerichtete Weiterleitungs- und Posteingangsregeln geprüft und App-Freigaben kontrolliert werden. Angreifer richten sich nach einer Übernahme gerne still ein: eine unauffällige Regel, die bestimmte Antworten versteckt, und Wochen später geht die präparierte Zahlungsaufforderung an deine Kunden, aus deinem echten Konto, in deinem Namen. Der BACS-Bericht beschreibt genau dieses Muster, übernommene Geschäftskonten als Ausgangspunkt für das nächste Phishing.
Wie das aussieht, wenn es niemand durchgespielt hat, sehen wir regelmässig. Der typische Fall beginnt selten mit einem Alarm. Er beginnt mit einem irritierten Anruf: ein Kunde fragt nach, warum die Zahlungserinnerung plötzlich eine andere Kontonummer trägt. Ab da läuft alles rückwärts. Wer hatte Zugriff, seit wann, welche Regeln stecken im Postfach, wem wurde noch geschrieben. Antworten, die eine Viertelstunde dauern sollten, dauern dann Tage, weil niemand weiss, wo er nachschauen muss und wer entscheiden darf.
Wer diese Handgriffe dagegen einmal durchgespielt hat, braucht im Ernstfall Minuten. Der Unterschied ist eine halbe Stunde Vorbereitung mit klarer Zuständigkeit, keine neue Software.
Wo Training seinen Platz hat
Nichts davon heisst, dass Schulung nutzlos ist. Sie senkt die Klickrate, und wichtiger: sie beschleunigt das Melden. Ein Team, das verdächtige Mails ohne Angst vor Blamage weitergibt, ist ein besserer Sensor als jeder Filter. Was Training realistisch leisten kann und wo seine Grenzen liegen, haben wir im Beitrag zum Security Awareness Training im KMU eingeordnet.
Nur die Reihenfolge muss stimmen. Ein Programm, das beim Menschen anfängt und bei der Architektur aufhört, trainiert Leute darin, eine Lücke zu kompensieren, die man schliessen könnte. Erst die Umgebung härten, dann die Menschen stärken. In dieser Reihenfolge ergänzen sich beide, in der umgekehrten ersetzt das eine das andere nur scheinbar.
Ein Nebeneffekt der richtigen Reihenfolge: Das Training wird ehrlicher. Wer seinem Team sagen kann "ein Klick legt bei uns nicht die Firma lahm, aber eure Meldung macht uns schneller", schult Aufmerksamkeit statt Angst. Das bleibt besser hängen als jede Drohkulisse.
Drei Fragen zeigen, wo du stehst
Für das alles brauchst du keine neue Tool-Liste und in den meisten Fällen kein zusätzliches Budget. Der Grossteil steckt in Lizenzen, die du schon bezahlst, und in Konfigurationsarbeit, die einmal sauber gemacht werden muss. Zusammengenommen reden wir über Tage, nicht über Monate, und über nichts, was einen laufenden Betrieb stört.
Steht DMARC für deine Domain auf "reject"? Melden sich deine Administratoren mit Passkey oder FIDO2-Key an, oder mit einem Code, der sich in Echtzeit abphishen lässt? Und weiss jede Person im Haus, wohin eine verdächtige Mail geht, und wer sie dann innerhalb einer Stunde anschaut?
Dreimal ja: dann ist dein Phishing-Risiko besser bewirtschaftet als bei vielen. Ein Zögern bei einer der Fragen: genau dort anfangen, nicht beim nächsten Awareness-Poster. Wenn du das strukturiert angehen willst, ist das der Kern unseres Angebots für Security Management & Operations: vorhandene Controls konfigurieren und betreiben, statt neue zu kaufen. Ein Erstgespräch ist unverbindlich.
Uns interessiert dabei eine Frage am meisten: Wenn heute Nacht ein Konto in deiner Firma übernommen würde, wer würde es morgen als Erster merken?
