Sicherheit bei Online-Zahlungen: Betrug und Massnahmen für KMU

Warum Schweizer KMU ihre Online-Zahlungen schützen müssen

In der Schweiz gehören Betrugsversuche im Zahlungsverkehr zusammen mit Phishing zu den häufigsten Meldungen an das Nationale Cyber-Sicherheitszentrum (NCSZ). Dies geht aus einem Beitrag von Swiss Banking vom Dezember 2025 hervor.

Die von derselben Quelle zitierten polizeilichen Kriminalitätsstatistiken verzeichneten 2024 über 42'000 Fälle von Cyberbetrug, was einem Anstieg von 40 % gegenüber dem Vorjahr entspricht. Für ein KMU ist ein Betrugsversuch kein aussergewöhnliches Ereignis, sondern ein wiederkehrendes Risiko: sei es bei der Begleichung von Rechnungen, bei der Änderung der Bankkoordinaten eines Lieferanten oder bei per E-Mail eingehenden Bestellungen.

Die Angriffe sind sophistizierter geworden, da auf künstlicher Intelligenz basierende Tools kostengünstig und leicht zugänglich sind. Sie ermöglichen auch weniger erfahrenen Personen, Texte, Stimmen oder Videos so realistisch zu erstellen, dass sie täuschend echt wirken.

Laut einzelnen von Swiss Banking zitierten Studien werden inzwischen über 40 % der im europäischen Finanz- und Zahlungsverkehrssektor entdeckten Betrugsversuche durch KI-Technologien generiert oder unterstützt. Kriminelle setzen Deepfakes, synthetische Identitäten und gezieltes Social Engineering ein, um an sensible Daten oder finanzielle Mittel zu gelangen.

Swiss Banking nennt drei direkte Folgen des zunehmenden Zahlungsbetrugs: Das Vertrauen der Kundschaft in digitale Zahlungsmittel wird untergraben, es entstehen unnötige Kosten und das Reputationsrisiko steigt. Die von derselben Quelle zitierten Studien schätzen die globalen Verluste der Konsumenten durch Betrug auf mehr als 400 Milliarden US-Dollar.

Für ein KMU steht auf zwei Ebenen Konkretes auf dem Spiel. Die Liquidität, wenn eine Zahlung auf ein von Betrügern kontrolliertes Konto umgeleitet wird. Die Geschäftsbeziehung, wenn ein Kunde eine im Namen des Unternehmens ausgestellte gefälschte Rechnung erhält.

Zahlungsbetrug in der Schweiz: Kennzahlen (2024)

Die häufigsten Betrugsarten im digitalen Zahlungsverkehr

Swiss Banking listet unter Berufung auf die Meldekategorien des NCSZ die wiederkehrenden Muster auf. Dazu gehören Anrufe im Namen falscher Behörden und der Vorschussbetrug mit erfundenen Investitionsangeboten oder gefälschten Rechnungen.

Es folgen betrügerische Lotterien, die als Köderangebote dienen, um an persönliche Daten zu gelangen oder Zahlungen zu erschleichen. Hinzu kommt der Kleinanzeigenbetrug mit gefälschten Verkaufsangeboten oder manipulierten Zahlungsabläufen.

Für ein KMU sind vor allem die Varianten relevant, die Geschäftsdokumente ausnutzen. Eine im Namen eines echten Lieferanten gefälschte Rechnung oder ein erfundenes Investitionsangebot an die Geschäftsleitung erfordern beide eine Zahlung auf neue Kontokoordinaten.

Im Bereich der Karten beschreibt Allianz fünf verschiedene Methoden. Phishing erfolgt per E-Mail, über Websites oder neuerdings auch mittels gefälschter QR-Codes, die sogar das Firmenlogo tragen. Ein Klick auf den Link genügt, damit der Betrüger Zugriff auf sensible Daten erhält und sich die Kartendaten aneignet.

Skimming bezeichnet die Manipulation eines Geldautomaten oder eines Zahlungsterminals, um die Daten des Magnetstreifens auszulesen und zu kopieren. Bei der Klonierung werden die gestohlenen Daten genutzt, um eine Kopie der Karte zu erstellen und unbefugte Transaktionen durchzuführen.

Carding dient dazu, gestohlene Daten zu testen, indem zunächst kleine Beträge und später hohe Summen belastet werden. Der Verlust oder Diebstahl der physischen Karte führt zu Zahlungen, solange keine Sperrung veranlasst wurde.

Für ein KMU ist die Unterscheidung zwischen der Rolle des Händlers und der des Inhabers einer Firmenkarte hilfreich. Wer Kartenzahlungen entgegennimmt, ist der Manipulation von Terminals (Skimming) und Transaktionen mit gestohlenen Kartendaten ausgesetzt. Wer Firmenkarten für Einkäufe und Reisespesen nutzt, ist hingegen Phishing, Klonierung und dem Verlust der Karte ausgesetzt.

Die beiden Situationen erfordern unterschiedliche Kontrollen. Im ersten Fall sind die physische Überprüfung und die Integrität der Terminals entscheidend. Im zweiten Fall stehen die getrennte Verwaltung der Kartendaten und Sperrverfahren im Vordergrund.

Business Email Compromise: Wenn eine E-Mail ganz normal wirkt

Business Email Compromise (BEC) ist eine E-Mail-Betrugsmethode, die auf Unternehmen oder Einzelpersonen abzielt. Kriminelle nutzen gefälschte oder gehackte E-Mail-Konten, um an sensible Informationen zu gelangen. Sie geben sich als vertrauenswürdige Geschäftspartner, Führungskräfte oder Mitarbeitende aus.

UBS, das dieses Schema beschreibt, weist darauf hin, dass Betrüger manchmal auch sehr realistische, mit künstlicher Intelligenz erstellte Sprachnachrichten oder Videos verwenden. Ziel ist es, das Opfer zur Überweisung von Geld oder zur Herausgabe vertraulicher Informationen zu bewegen.

UBS nennt drei besonders verbreitete Formen: gefälschte Rechnungen, CEO-Betrug und Angriffe im Zusammenhang mit Lohnzahlungen. Im ersten Fall wird die Zahlung einer legitimen Rechnung auf ein anderes Konto umgeleitet. Im zweiten umgeht ein falscher, der Geschäftsleitung zugeschriebener Auftrag die üblichen hierarchischen Kontrollen. Im dritten Fall zielt der Angriff auf die Daten und Anweisungen für die Lohnauszahlungen ab.

Gemeinsam ist allen Fällen, dass die Nachricht über einen glaubwürdigen Kanal eingeht und nicht unbedingt offensichtliche Fehler enthält. Laut UBS gilt BEC heute als eines der schwerwiegendsten digitalen Risiken für Unternehmen jeder Grösse. Neben erheblichen finanziellen Verlusten kann dies zu lang anhaltenden Reputationsschäden führen.

Für ein KMU hängt der Risikofaktor nicht von der Mitarbeiterzahl ab, sondern vom Grad der Konzentration der Zahlungsbewilligungen und der konkreten Möglichkeit, eine ungewöhnliche Anfrage vor der Ausführung zu überprüfen.

Einen Betrugsversuch erkennen, bevor bezahlt wird

UBS listet Indikatoren auf, die bei jeder per E-Mail erhaltenen Zahlungsanforderung geprüft werden sollten. Dazu gehören: ungewöhnliche oder unbekannte E-Mail-Adressen; minimale Abweichungen im Namen des Absenders oder in der Domain; anomale Dringlichkeit oder zeitlicher Druck; ungewöhnliche Sprache, Grammatik- oder Rechtschreibfehler.

Hinzu kommen Forderungen nach absoluter Vertraulichkeit, unbekannte Anhänge oder verdächtige Links, ungewöhnliche Zahlungsanweisungen oder Kontoänderungen sowie ein plötzlicher Wechsel des Kommunikationskanals.

Der praktische Wert der Liste liegt in der Kombination der Signale. Eine minimale Änderung in der Domain kann in einem stark frequentierten Posteingang unbemerkt bleiben. In Verbindung mit einer dringenden Zahlungsanforderung und neuen Bankkoordinaten deutet dies jedoch auf einen zu prüfenden Betrugsversuch hin, bevor weiter vorgegangen wird.

Auch der plötzliche Wechsel auf einen anderen Kanal sollte als Warnsignal behandelt werden. Ein gewohnter Ansprechpartner, der das Gespräch verlagert und eine sofortige Zahlung fordert, ändert genau die Bedingungen, die eine Kontrolle ermöglichen würden.

UBS empfiehlt, die Absenderadressen sorgfältig zu prüfen und auch auf kleine Anomalien zu achten. Die korrekte Vorgehensweise ist prozedural: Jede Anfrage, die eine Bankkoordinate ändert oder einen neuen Begünstigten einführt, muss ausgesetzt werden. Sie ist über einen von der erhaltenen E-Mail unabhängigen Kanal zu bestätigen.

Klare Zahlungsprozesse und Vier-Augen-Prinzip

UBS nennt als grundlegende organisatorische Massnahmen die Definition klarer Zahlungsprozesse, die Anwendung des Vier-Augen-Prinzips wo immer möglich und die Vermeidung von Einzelbewilligungen. Eine einzelne Person, die eine Zahlung ohne zweite Kontrolle anweisen kann, ist die Schwachstelle, die BEC-Betrüger auszunutzen versuchen. Das Vier-Augen-Prinzip unterbricht die Kette zwischen der empfangenen Nachricht und dem tatsächlichen Geldabfluss.

Bei neuen oder abweichenden Zahlungsanweisungen von Geschäftspartnern – beispielsweise einer anderen Bank oder Kontonummer – empfiehlt UBS die Überprüfung über einen sicheren Kanal. Dabei ist eine bereits validierte und verifizierte Telefonnummer zu verwenden, nicht die im Änderungsersuchen angegebenen Kontaktdaten.

Dieselbe Quelle rät dazu, mehrere Kommunikationskanäle mit Kunden und Lieferanten (Telefon, E-Mail, Postadresse) offenzuhalten. So steht eine praktikable Alternative zur Verfügung, wenn eine Nachricht verdächtig erscheint.

Die Prüfung der Absender rundet das Bild ab: UBS lädt dazu ein, die Adressen der Gesprächspartner sorgfältig zu überprüfen und auch kleine Anomalien zu erfassen. Konkret bedeutet dies für das KMU, festzulegen, wer eine Zahlung genehmigen, wer sie ausführen und wer eine Änderung der Koordinaten bestätigen muss. Es bedeutet auch, festzulegen, welche Änderungen stets eine telefonische Bestätigung über eine bereits archivierte Nummer erfordern. Und die validierten Kontaktdaten der Partner ausserhalb des Posteingangs aufzubewahren, sodass ein kompromittiertes Konto diese nicht ändern kann.

Technischer Schutz: Infrastruktur, Updates und Authentifizierung

UBS empfiehlt, die IT-Infrastruktur nach den neuesten Standards zu schützen. Eine unzureichend geschützte Infrastruktur – etwa wegen ausstehender Updates oder fehlender zusätzlicher Mechanismen wie der Multi-Faktor-Authentifizierung – ist anfälliger für Betrug.

Updates und Multi-Faktor-Authentifizierung verhindern zwar nicht den Eingang einer täuschenden Nachricht. Sie reduzieren jedoch die Wahrscheinlichkeit, dass Kriminelle Zugriff auf ein geschäftliches E-Mail-Konto erhalten und es zur Erteilung von Zahlungsanweisungen nutzen.

Dieselbe Quelle betont einen Punkt, der eher die Organisation als die Technologie betrifft: Die Kommunikation per E-Mail ist manipulierbar und bietet keine vollständige Sicherheit. Eine per E-Mail erhaltene Anfrage sollte daher niemals die alleinige Grundlage für eine ausserordentliche Zahlung oder eine Änderung der Bankkoordinaten sein. Dies gilt auch dann, wenn der Absender wie ein gewohnter Ansprechpartner wirkt und die Nachricht keine Fehler aufweist.

Mitarbeitende zu kritischem Denken schulen

UBS ruft dazu auf, unter den Mitarbeitenden einen gesunden kritischen Geist gegenüber ungewöhnlichen Anfragen zu fördern. Deren Plausibilität ist stets zu prüfen und etwaige Unstimmigkeiten sind zu hinterfragen. Dieselbe Quelle fordert, sich selbst und die Angestellten regelmässig über neue Betrugsmuster und IT-Sicherheit zu schulen.

Der Grund ist praktischer Natur: Die Muster ändern sich, und kostengünstige KI-Tools ermöglichen die Erstellung realistischer Texte, Stimmen und Videos. Die Schulung muss daher wiederkehrend stattfinden und darf kein einmaliges Ereignis sein.

Die Schulung wird nützlich, wenn sie mit den Verfahren verknüpft ist. Wenn ein Mitarbeitender weiss, dass eine Änderung der Bankkoordinaten über eine bereits validierte Nummer bestätigt werden muss, weiss er auch, was bei Erhalt einer verdächtigen Nachricht zu tun ist. Nicht dem Absender antworten, nicht die in der Nachricht angegebenen Kontaktdaten nutzen, sondern den vorgesehenen Prüfkanal aktivieren.

Dasselbe gilt für diejenigen, die die Löhne verwalten, und für diejenigen, die Zahlungen autorisieren. Sie sind jeweils den von UBS beschriebenen Angriffen auf Lohnzahlungen und dem CEO-Betrug ausgesetzt.

Kartenzahlungen: Risiken für Händler oder Nutzer von Firmenkarten

Allianz fasst den Betrug mit Kreditkarten zusammen. Phishing erfolgt per E-Mail, über Websites oder gefälschte QR-Codes. Skimming ist die Manipulation eines Geldautomaten oder eines Zahlungsterminals, um die Daten des Magnetstreifens auszulesen und zu kopieren.

Die Kartenklonierung dient der Durchführung unbefugter Transaktionen. Carding testet gestohlene Daten durch kleine Belastungen, gefolgt von hohen Summen.

Der Verlust oder Diebstahl der physischen Karte führt zu Zahlungen, bis die Sperrung beantragt wird.

Für ein KMU, das Kartenzahlungen entgegennimmt, konzentriert sich das Risiko auf die Manipulation der Terminals und die betrügerische Nutzung fremder Kartendaten. Für ein KMU, das Firmenkarten nutzt, betrifft es die Kartendaten, die Klonierung und den Verlust des physischen Trägers.

Allianz erinnert daran, dass im Missbrauchsfall einer Kreditkarte schnell reagiert und Anzeige bei der Polizei erstattet werden muss. Solche Missbräuche sind unabhängig von der entwendeten Summe stets strafbar. Sie sind auch unabhängig davon strafbar, ob es sich um Diebstahl oder betrügerische Nutzung der Karte handelt. Die Anzeige bei der Polizei ist daher immer erforderlich.

Was das Ausmass betrifft, zitiert Allianz das Bundesamt für Statistik: 2023 wurden über 40'000 Betrugsfälle gemeldet, davon rund 30'000 Cyberkriminalität. Diese Daten ordnen den Kartenbetrug den Massendelikten zu, nicht den seltenen Vorfällen. Es ist daher ratsam, die Firmenkarte in die internen Meldeverfahren für Incident Management aufzunehmen.

Was im Betrugsfall zu tun ist: Schnelle Reaktion und Anzeige

Allianz nennt zwei unmittelbare Schritte: schnell reagieren und den Fall bei der Polizei anzeigen. Schnelligkeit zählt insbesondere, wenn eine physische Karte beteiligt ist: Der Täter führt weiterhin Zahlungen durch, solange die Karte nicht gesperrt ist.

Praktisch gesehen lautet die Sequenz: unverzüglich die Bank oder den Kartenausgeber kontaktieren, um das Zahlungsmittel zu sperren, und dann bei der Polizei Anzeige erstatten. Zur Haftung präzisiert Allianz, dass jeweils geklärt werden muss, ob der Betrug zulasten der Bank oder des Kunden geht. Sie weist auch darauf hin, dass es zur Absicherung eine Cyberversicherung gibt.

Für ein KMU ist es hilfreich, im Voraus festzulegen, wer die Bank kontaktiert, wer die Dokumentation des Vorfalls sammelt und wer die Anzeige erstattet. So verzögert die Zeit, die benötigt wird, um zu klären, wer was tut, nicht die Sperrung der Zahlungsmittel.

Zusammenarbeit mit Banken und Behörden

Swiss Banking beschreibt die Schweizer Banken als sich der wachsenden Bedrohung durch Online-Betrug bewusst. Es nennt die Gründe für ihr Engagement: Die Zunahme des Zahlungsbetrugs untergräbt das Vertrauen der Kundschaft in digitale Zahlungsmittel, verursacht unnötige Kosten und erhöht das Reputationsrisiko.

Im selben Beitrag erklärt Richard Hess, Leiter Digital Finance, dass der Sektor dank intensiver Zusammenarbeit und hoher Sicherheitsstandards gut positioniert ist, um neuen Betrugsformen wirksam zu begegnen. Für ein KMU bedeutet dies, dass es auf etablierte Ansprechpartner und Verfahren zurückgreifen kann, statt Kontrollen von Grund auf neu aufbauen zu müssen.

Was die Meldekanäle betrifft, führt Swiss Banking Betrugsversuche – zusammen mit Phishing – als eine der häufigsten Meldungen beim Nationalen Cyber-Sicherheitszentrum (NCSZ) auf. Allianz verweist hingegen bei Kartenbetrug auf die Polizei als die Behörde, bei der Anzeige erstattet werden muss.

Für ein KMU ist es hilfreich zu wissen, an wen es sich bei welcher Art von Vorfall wenden kann, und seine Massnahmen an denen des Finanzsektors auszurichten. So können Prüfungsanfragen und Sperrungen reibungslos mit der eigenen Bank aktiviert werden.

Operative Checkliste für das KMU

Prozesse: Schriftlich festlegen, wer eine Zahlung anweisen, wer sie ausführen und wer sie prüfen darf (UBS). Wo immer möglich das Vier-Augen-Prinzip anwenden und Einzelbewilligungen vermeiden (UBS).

Prüfung der Gegenparteien und Anweisungen: Absenderadressen und kleine Anomalien sorgfältig prüfen. Neue oder abweichende Zahlungsanweisungen über einen sicheren Kanal unter Verwendung einer bereits validierten Telefonnummer verifizieren. Mehrere Kommunikationskanäle mit Kunden und Lieferanten offenhalten (UBS).

Dararan erinnern, dass E-Mails manipulierbar sind und keine vollständige Sicherheit bieten (UBS).

Technologie: IT-Infrastruktur nach den neuesten Standards schützen. Ausstehende Updates einspielen und zusätzliche Mechanismen wie die Multi-Faktor-Authentifizierung aktivieren (UBS).

Personen: Sich selbst und die Mitarbeitenden regelmässig über neue Betrugsmuster und IT-Sicherheit schulen. Kritisches Denken, Plausibilitätsprüfung und Aufmerksamkeit für Unstimmigkeiten fördern (UBS).

Signale, die vor der Zahlung zum Stopp führen: Ungewöhnliche Adressen und Domains, anomale Dringlichkeit, ungewöhnliche Sprache oder Fehler, Forderungen nach absoluter Vertraulichkeit, unbekannte Anhänge oder Links, Kontoänderungen, plötzlicher Wechsel des Kommunikationskanals (UBS).

Karten: Integrität der Zahlungsterminals und Verwaltung der Firmenkartendaten überwachen. Die Betrugsarten sind Phishing, Skimming, Klonierung, Carding, Verlust oder Diebstahl der Karte (Allianz).

Incident Management: Bank oder Kartenausgeber zur Sperrung des Zahlungsmittels kontaktieren, bei der Polizei Anzeige erstatten, Deckung durch eine Cyberversicherung prüfen. Die Haftung zwischen Bank und Kunde ist jeweils zu klären (Allianz).

Zusammenarbeit: Meldekanäle zum NCSZ und zur Polizei kennen und sich an den Massnahmen des Finanzsektors orientieren. Der Sektor investiert in Prävention und hält hohe Sicherheitsstandards ein (Swiss Banking).