Kennzeichnungspflicht wirkt: Betrügerische Anrufe im Namen von Behörden gehen um über 75 Prozent zurück
Bern, 24.08.2026 — Die Massnahmen gegen betrügerische Anrufe im Namen von Behörden zeigen Wirkung. Nach der Ausweitung der Kennzeichnungspflicht für Anrufe aus dem Ausland unter gespooften Schweizer Nummern gingen die Meldungen im Juli 2026 um über 75 Prozent zurück. Gleichzeitig bleibt die Cyberbedrohung hoch: Im ersten Halbjahr gingen beim Bundesamt für Cybersicherheit (BACS) 27'128 freiwillige Meldungen und 200 Meldungen im Rahmen der Meldepflicht zu Angriffen auf kritische Infrastrukturen ein. Der aktuelle Halbjahresbericht des BACS zeigt zudem, wie Cyberkriminelle KI für zunehmend personalisierte Angriffe einsetzen.
Anrufe, bei denen sich Betrüger als Behördenvertreter ausgeben und unter einer Schweizer Nummer anrufen, gehörten in den vergangenen Jahren zu den am häufigsten gemeldeten Vorfällen beim BACS. Von Januar bis Juni 2026 gingen regelmässig über 400 Meldungen pro Monat ein. Mit der Ausweitung der Kennzeichnungspflicht auf Mobilfunknummern per 1. Juli 2026 ist die Zahl der Meldungen im Juli auf unter 100 gefallen, ein Rückgang um mehr als 75 Prozent gegenüber den Vormonaten. Bereits die erste Einführungsphase im Januar 2026 für Festnetznummern hatte einen ersten sinkenden Effekt gezeigt. Trotz dem Rückgang bei betrügerischen Anrufen im Namen von Behörden bleibt der Meldeeingang mit 27'128 freiwilligen Meldungen sowie 200 meldepflichtigen Cybervorfällen hoch. Betrug bleibt als lukratives Massengeschäft dominant.
Individualisierung der Angriffe dank KI
Der Bericht zum 1. Halbjahr 2026 zeigt auf, dass die bereits im letzten Bericht angesprochene Individualisierung und der Einsatz von künstlicher Intelligenz (KI) weiter voranschreiten. Kleinanzeigenplattformen, gezielte Suchmaschinenplatzierungen und Datenlecks dienen Cyberkriminellen zunehmend als Kontakt zu ihren Opfern, die sie mit persönlichen, emotionalen und teils technisch ausgefeilten Methoden ansprechen. Angreifer setzen dabei systematisch KI ein, um massgeschneiderte, personalisierte Inhalte glaubwürdig zu vermitteln. Insbesondere Stellensuchende gerieten in dieser Berichtsperiode gezielt ins Visier und wurden mit vermeintlichen Traumjobs oder Investitionsvorhaben angelockt.
Cybervorfälle bei Schweizer Unternehmen
Grosse Kampagnen zu «CEO-Betrug» gegen Schulen, Gemeinden und Kirchen blieben in dieser Berichtsperiode aus. Das BACS verzeichnete hingegen im ersten Halbjahr 2026 zahlreiche Meldungen zu «Microsoft-365»-Phishing. Die Angreifer übernahmen geschäftliche E-Mail-Accounts ihrer Opfer und imitierten insbesondere Führungspersonen sowie Mitarbeitende von Helpdesks, um Systeme zu kompromittieren oder direkt Finanztransaktionen auszulösen. Auch der Vorwand eines ausstehenden Sicherheits-Updates wurde vermehrt genutzt, um Schadsoftware zu verbreiten. Die Meldungen zu Ransomware-Angriffen stagnierten bei 79, zeigten aber eine deutliche Tendenz zur Diversifizierung und Fragmentierung der Ransomware-Familien.
Cyberresilienz in einem politisierten internationalen Umfeld
In internationalen Konflikten hat sich Cybersabotage für einzelne Staaten zu einer praktikablen und zunehmend offen ausgeübten Aktivität entwickelt. Zwar gab es bislang keine gezielte Cybersabotage gegen kritische Infrastrukturen. Jedoch müssen sich Schweizer Organisationen aufgrund der Nähe der Schweiz zu anderen westlichen Staaten und aufgrund ihrer wirtschaftlichen und politischen Verflechtung weiterhin darauf einstellen, ihre Widerstandsfähigkeit in einem zunehmend feindseligen Cyberbedrohungsumfeld zu behaupten. Die Fallstudie eines Vorfalls in Polen erläutert diese Problematik.
200 Meldungen im Rahmen der Meldepflicht
Betreiberinnen von kritischen Infrastrukturen müssen Cyberangriffe innerhalb von 24 Stunden dem BACS melden. Im ersten Halbjahr 2026 sind beim BACS 200 Meldungen eingegangen. Die meisten Meldungen stammen aus dem Verwaltungssektor (19.4 %) und von Unternehmen in der IT und Telekommunikation (18.6 %). Bei den gemeldeten Angriffsarten dominierten Hacking-Vorfälle (rund 26 %), gefolgt vom Diebstahl von Zugangsdaten (13.5 %) und Meldungen zu Datenabflüssen und DDoS-Angriffen (je 12.7 %).