Wissen

Phishing erkennen

Phishing ist nach wie vor einer der häufigsten Einstiegspunkte für Angriffe. Das Ziel ist fast immer dasselbe: Sie sollen auf einen Link klicken, eine Datei öffnen oder Zugangsdaten preisgeben.

Typische Warnzeichen sind ein erzeugter Zeitdruck ("Ihr Konto wird in 24 Stunden gesperrt"), eine unpersönliche oder ungewohnte Anrede, kleine Abweichungen in der Absenderadresse sowie Links, deren tatsächliches Ziel nicht zum angezeigten Text passt. Oft wird eine vertraute Marke oder eine interne Stelle wie die IT-Abteilung oder die Geschäftsleitung nachgeahmt.

Die wichtigste Regel: Im Zweifel nicht klicken. Fahren Sie mit der Maus über einen Link, um das Ziel zu prüfen, geben Sie Adressen bekannter Dienste lieber von Hand im Browser ein und verifizieren Sie ungewöhnliche Anfragen über einen zweiten Kanal, etwa einen kurzen Anruf. Wer unsicher ist, meldet die Nachricht der internen IT, statt sie selbst zu beantworten. Genau diese Reflexe trainieren wir in unseren Security-Awareness-Schulungen.

Warum Multi-Faktor-Authentisierung?

Ein Passwort allein ist heute kein ausreichender Schutz mehr. Es kann erraten, aus einem Datenleck wiederverwendet oder per Phishing abgegriffen werden. Multi-Faktor-Authentisierung (MFA) ergänzt es um einen zweiten Nachweis.

Dieser zweite Faktor stammt aus einer anderen Kategorie: etwas, das Sie wissen (Passwort), etwas, das Sie besitzen (eine App auf dem Smartphone, ein Hardware-Schlüssel), oder etwas, das Sie sind (ein Fingerabdruck). Selbst wenn ein Passwort in falsche Hände gerät, fehlt einem Angreifer damit der zweite Faktor, und der Zugang bleibt verschlossen.

Nicht jeder Faktor ist gleich stark: App-basierte Verfahren oder Hardware-Schlüssel sind deutlich sicherer als ein Code per SMS. Entscheidend ist, MFA dort einzusetzen, wo es zählt, allen voran bei E-Mail, administrativen Zugängen und zentralen Fachanwendungen. Bei der Auswahl und sauberen Einführung passender Verfahren unterstützen wir Sie gerne.

revDSG und Meldepflichten

Das revidierte Datenschutzgesetz (revDSG) gilt in der Schweiz seit dem 1. September 2023. Es stärkt die Rechte der betroffenen Personen und stellt klarere Anforderungen an Unternehmen, die Personendaten bearbeiten.

Zentral sind einige wenige Prinzipien: Daten dürfen nur für einen erkennbaren Zweck und nach dem Grundsatz der Datensparsamkeit bearbeitet werden, die Bearbeitung muss transparent sein, und Sicherheit ist von Beginn an mitzudenken ("Privacy by Design und by Default"). Dazu kommen praktische Pflichten wie ein Verzeichnis der Bearbeitungstätigkeiten, die Information bei der Beschaffung von Daten und die Meldung von Datensicherheitsverletzungen an den EDÖB.

Neben dem revDSG gilt seit dem 1. April 2025 eine zweite, davon unabhängige Meldepflicht: Betreiberinnen und Betreiber kritischer Infrastrukturen müssen Cyberangriffe innert 24 Stunden nach deren Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Grundlage ist das Informationssicherheitsgesetz, nicht das Datenschutzgesetz. Die beiden Pflichten haben unterschiedliche Auslöser, Fristen und Adressaten und können denselben Vorfall gleichzeitig betreffen. Im Ernstfall sind deshalb immer beide zu prüfen.

Für die meisten Unternehmen bedeutet das keine Revolution, aber eine saubere Hausaufgabe: wissen, welche Daten wo und warum liegen, Zugriffe begrenzen und Prozesse nachvollziehbar dokumentieren. Wir berücksichtigen diese Anforderungen in jeder Lösung, statt sie nachträglich aufzusetzen.