Mehrere Betrugsopfer Phishing-Welle trifft Schweizer KMU mit über 100'000 Kunden

Eine Phishing-Welle trifft über 100'000 Firmenkunden des Schweizer Software-Anbieters Bexio. Die Masche der Täter ist erschreckend effektiv.

Martin Abgottspon

08.05.2026, 22:05

Martin Abgottspon

Ein Unternehmer bemerkt, dass auf seinen Ausgangsrechnungen plötzlich fremde Kontonummern stehen. Seine Kunden überweisen Beträge auf Konten, die ihm nicht gehören. Seinen Lieferanten ergeht es womöglich genauso. Der Schaden ist angerichtet, bevor irgendjemand auch nur den Verdacht schöpfte.

Warnung vom BACSAchtung bei Päckligebühren – hier landest du schnell in einer Abofalle

Genau diese Situation haben dieser Tage mehrere Kunden von Bexio erlebt, dem Schweizer Marktführer für cloudbasierte Business-Software. Die Mobiliar-Tochter, die nach eigenen Angaben über 100'000 KMU in der ganzen Schweiz betreut, sieht sich aktuell mit einer koordinierten Phishing-Welle konfrontiert. Mehrere betroffene Unternehmen haben bereits Strafanzeige erstattet. Watson hat den Fall aufgedeckt.

Das kleine Cybersecurity 1×1 So schützt du dich im Internet

Es braucht nicht viel, um sich gegen Hacker zu wehren. Trainer Marcel erklärt dir in diesem Video die einfachsten Vorkehrungen, die du auch ganz einfach für dich umsetzt.

22.04.2026

Was die Täter wie genau getan haben

Das Vorgehen der Kriminellen folgt einem Muster, das das Bundesamt für Cybersicherheit (BACS) zuletzt in seinem Halbjahresbericht als massiv zunehmend bezeichnet hat: Business E-Mail Compromise, kurz BEC. Dabei verschaffen sich Angreifer zunächst per Phishing-Mail Zugang zu einem Firmenkonto. Oft reicht dazu ein einziger unachtsamer Klick auf einen täuschend echten Link. Sind sie einmal drin, ändern sie in aller Stille die hinterlegten IBAN-Nummern in den Stammdaten der Software.

SMS-BlasterBei dieser Betrugsmasche musst du besonders aufpassen

Der eigentliche Clou der Methode liegt darin, dass die manipulierten Rechnungen völlig legitim aussehen, weil sie es technisch betrachtet auch sind. Sie werden direkt aus dem System des Opfers versandt, tragen die korrekten Briefköpfe, die richtigen Absenderadressen, den vertrauten Ton. Nur das Empfängerkonto gehört den Betrügern. Wer zahlt, zahlt an die Falschen und bemerkt den Fehler meist erst Wochen später.

Bexio reagiert, aber nicht ohne Druck

Bexio-Kommunikationschef Thommy Rüegg betonte, dass die eigene Infrastruktur zu keinem Zeitpunkt kompromittiert worden sei. Der Angriff laufe über externe Server, die gefälschten Mails würden über fremde Netzwerke verschickt, weshalb das Unternehmen die genaue Zahl der versandten Phishing-Nachrichten nicht beziffern könne. Das ist eine wichtige Unterscheidung: Nicht Bexio wurde gehackt, sondern Bexio-Kundenkonten. Durch Passwörter, die Nutzer auf gefälschten Seiten eingaben.

Dass trotzdem Handlungsbedarf bestand, zeigt die Reaktion des Unternehmens. Nachdem Watson am Freitagabend nachgefasst hatte, verkündete Bexio wenige Stunden später eine Sofortmassnahme, Die Zwei-Faktor-Authentifizierung (2FA) wird ab sofort für alle Kunden verpflichtend. Eine Massnahme, die den gesamten Angriff wirkungslos gemacht hätte. Denn selbst wer seine Zugangsdaten auf einer Phishing-Seite eingibt, schützt sein Konto durch 2FA vor dem Missbrauch.

Das grössere Bild

MyTech: der digitale Hotspot für alle Tech-Fans

blue News bietet dir täglich Insights aus der Techwelt: News, Hintergründe,  Tipps und Ratschläge für deinen digitalen Alltag sowie Tests und Reviews zu Gadgets, Tools und Games.

Der Fall Bexio ist kein Einzelfall, sondern symptomatisch. Die zunehmende Digitalisierung des Schweizer KMU-Alltags – Buchhaltung, Lohnbuchhaltung, Adressverwaltung, alles in einer Cloud-Lösung – erzeugt eine Angriffsfläche, die Cyberkriminelle systematisch ausnutzen. Je mehr sensible Geschäftsprozesse in einer einzigen Plattform gebündelt sind, desto attraktiver wird ein gekapertes Konto für Angreifer.

Für betroffene Unternehmen ist der Aufwand erheblich. Sobald personenbezogene Daten gestohlen wurden, greifen Meldepflichten gegenüber dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Hinzu kommen Strafanzeigen, die Überprüfung sämtlicher Lieferanten-IBANs und die mühsame Kommunikation mit Kunden, die möglicherweise bereits auf falsche Konten gezahlt haben. Die eigentliche Arbeit beginnt oft erst, wenn der Angriff längst vorbei ist.