Vertraut. Getäuscht. Kompromittiert. So schützt Security Awareness vor Phishing

Social Engineering funktioniert, weil Angreifer menschliche Routinen, Vertrauen und Zeitdruck gezielt ausnutzen. Eine vertraut wirkende Absenderadresse, der gewohnte Schreibstil oder ein plausibel platzierter Link lassen eine Nachricht schnell legitim erscheinen. Gelingt die Täuschung, kann daraus eine Angriffskette entstehen: Angreifer kompromittieren zunächst einen Account oder eine Umgebung und nutzen anschliessend bestehende Geschäftsbeziehungen für weitere Phishing-Angriffe.

Wie relevant Phishing bleibt, zeigen aktuelle Erkenntnisse: Das Bundesamt für Cybersicherheit (BACS) meldet eine starke Zunahme von KI-gestütztem personalisiertem Phishing. Auch die Intelligence-Daten unseres ISO-zertifizierten Cyber Defence Centers bestätigen diesen Trend: Spearphishing bleibt 2026 ein dominierendes Angriffsmuster.

Ein einziger Moment der Täuschung kann reichen, damit Angreifer von einem kompromittierten Account auf weitere Systeme vordringen.

Abbildung 1: Spearphishing bleibt im 1. Halbjahr 2026 das dominierende Angriffsmuster

Warum braucht wirksame Cyberabwehr Security Awareness?

Wirksame Cyberabwehr braucht Security Awareness, weil Social Engineering auf menschliche Entscheidungen zielt. Technische Schutzmassnahmen allein können Social Engineering deshalb nicht verhindern. Routine und Drucksituationen erhöhen zudem die Chance, dass Manipulationsversuche im Arbeitsalltag übersehen werden. Genau deshalb ist Security Awareness mehr als ein Schulungsthema: Sie stärkt die Fähigkeit, verdächtige Situationen zu erkennen, kritisch zu hinterfragen und im Zweifel sicher zu handeln. Eine Kurzübersicht, wie Ihre Mitarbeitende Phishing erfolgreich entlarven, bietet Ihnen übrigens unser Security-Awareness-Poster.

Eine wirksame Sicherheitskultur verankert dieses Bewusstsein im Arbeitsalltag und bindet Mitarbeitende aktiv in die Cyberabwehr ein. So entsteht eine menschliche Firewall: Mitarbeitende, die verdächtige Situationen erkennen, sicher reagieren und Vorfälle frühzeitig melden. Sie schützt Organisationen besser vor Phishing, Business Email Compromise (BEC) und weiteren Formen des Social Engineering.

Wie entsteht eine starke Human Firewall?

Eine starke Human Firewall entsteht schrittweise durch gezielte Massnahmen, die Sicherheitsbewusstsein im Arbeitsalltag verankern. Entscheidend ist, Mitarbeitende entsprechend ihrem Wissen, ihren Aufgaben und den konkreten Risiken zu sensibilisieren.

Die Security Awareness Journey strukturiert diese Entwicklung in fünf Reifestufen und zeigt, welche Massnahmen als Nächstes sinnvoll sind.

Abbildung 2: Die Security Awareness Journey zeigt fünf Reifestufen auf dem Weg zur gelebten Sicherheitskultur.

Die fünf Levels setzen unterschiedliche Schwerpunkte:

1. Einstieg und Konzept: Klarheit schaffen. Ressourcen, Zielgruppen und Risiken analysieren und daraus ein passendes Awareness-Konzept ableiten.
2. Management-Buy-in: Führung einbinden. C-Level sensibilisieren und Security Awareness mit Phishing-Simulationen und KPIs strategisch verankern.
3. Trainings und Schulungen: Verhalten trainieren. Sicherheitsbewusstsein mit praxisnahen Trainings stärken, Handlungssicherheit fördern und Compliance-Anforderungen gezielt adressieren.
4. Engagement und Branding: Sicherheit erlebbar machen. Mit Kampagnen, Videos und Gamification Aufmerksamkeit schaffen und Mitarbeitende zur aktiven Beteiligung ermutigen.
5. Sicherheitskultur entwickeln: Sicherheit leben. Fortschritte mit Umfragen und KPIs messen und das Awareness-Programm kontinuierlich weiterentwickeln.

Ermutigen Sie Ihre Mitarbeitenden, auch dann kritisch hinzusehen, wenn alles vertraut erscheint. Mit gezielter Security Awareness fördern Sie Sicherheitsbewusstsein und Handlungssicherheit in Ihrer Organisation.

Wenn die menschliche Firewall nicht reicht: Das SOC greift ein

Gerade Lieferketten geraten zunehmend ins Visier von Cyberkriminellen. Kompromittierte E-Mail-Konten von Lieferanten oder Partnern sind ideale Ausgangspunkte für gezielte Spearphishing-Angriffe. Hier zählt jede Minute: Ein Security Operations Center (SOC) überwacht sicherheitsrelevante Aktivitäten im 24/7-Betrieb, erkennt verdächtige Muster frühzeitig, leitet Gegenmassnahmen ein und begrenzt die weitere Ausbreitung des Angriffs.

«Wirksame Cyberabwehr verbindet menschliches Urteilsvermögen mit kontinuierlicher technischer Überwachung.»

Praxisfall: Wie Social Engineering eine Angriffskette auslöste

Wie schnell eine glaubwürdige Nachricht zum Sicherheitsvorfall werden kann, zeigt ein aktueller Fall aus unserem Cyber Defence Center. Ausgangspunkt war eine Phishing-Mail über einen bereits kompromittierten Lieferanten. Was wie alltägliche Geschäftskommunikation wirkte, nahm rasch eine kritische Wendung.

Eine vertraute Kommunikation wird zum Einfallstor

Der Angreifer nutzte den legitimen Kommunikationskanal des Lieferanten und schleuste Schadcode über einen präparierten Link ein – getarnt als Antwort auf eine bestehende Kundenanfrage. Innerhalb weniger Minuten war die Malware aktiv.

Abbildung 3: Phishing-Angriff in der Lieferantenkette ohne SOC-Erkennung.

Nur 20 Minuten bis zur vollständigen Kompromittierung

Der Angreifer bewegte sich seitlich durch das Netzwerk und nutzte nicht rotierte Administrator-Zugangsdaten, um weitere Systeme zu kompromittieren.

Abbildung 4: Laterale Bewegung nach dem Initial Compromise.

Das SOC stoppt die weitere Ausbreitung

Als der Angreifer versuchte, auf die von uns überwachte Infrastruktur vorzudringen, erkannte das 24/7-SOC die Aktivität. Der Internetproxy blockierte die Command-and-Control-Verbindung und löste einen Alarm aus. Unser Blue Team übernahm und leitete innerhalb weniger Minuten das Containment ein.

Abbildung 5: Koordinierte SOC-Intervention bei aktiver Bedrohung.

Das Team deaktivierte den VPN-Zugang, isolierte betroffene Systeme mittels EDR-Lösung und blockierte die Command-and-Control-Kommunikation über ein DNS-Sinkhole. Die koordinierte Reaktion stoppte die Angriffskette, bevor daraus ein massiver Geschäftsausfall entstand.

Wenn ein Cyberangriff eskaliert, entscheidet koordinierte Incident Response

Bei einem eskalierenden Cyberangriff entscheidet eine koordinierte Incident Response über Tempo, Beweissicherung und Eindämmung. Unkoordinierte Eigenmassnahmen können Spuren vernichten und die Wiederherstellung erschweren. Unser Computer Security Incident Response Team (CSIRT) unterstützt betroffene Unternehmen dabei, den Angriff gezielt einzudämmen, die Handlungsfähigkeit wiederherzustellen und strukturiert zum Normalbetrieb zurückzukehren.

Security Awareness setzt früher an

Dieser Praxisfall macht deutlich, wie wenig Zeit zwischen einer erfolgreichen Täuschung und einem Sicherheitsvorfall liegen kann. Security Awareness setzt früher an. Sie befähigt Mitarbeitende, Manipulationsversuche frühzeitig zu erkennen, kritisch zu hinterfragen und auch in vermeintlich vertrauten Situationen sicher zu handeln.

Der kritische zweite Blick lässt sich trainieren. Mit einer Security-Awareness-Lösung setzen direkt Sie bei Ihrem aktuellen Reifegrad an und entwickeln Ihre Sicherheitskultur gezielt weiter. 

• Risiken gezielt adressieren: Awareness-Massnahmen orientieren sich an den relevanten Zielgruppen und Risiken Ihrer Organisation.

• Sicheres Verhalten stärken: Praxisnahe Trainings und Phishing-Simulationen bereiten Mitarbeitende auf reale Angriffsmuster vor.

• Wirkung messbar machen: KPIs und kontinuierliche Auswertungen zeigen Fortschritte und weiteren Handlungsbedarf.

So entwickelt sich aus einzelnen Massnahmen eine kontinuierlich steuerbare Sicherheitskultur. Prüfen Sie, wie Security Awareness den Reifegrad Ihrer Organisation sichtbar macht und sicheres Verhalten im Arbeitsalltag stärkt.

Security Awareness Webinar: Jetzt für den 22. Oktober anmelden

Erfahren Sie, wie menschenzentrierte Security Awareness Mitarbeitende erreicht, über einzelne Pflichttrainings hinausgeht und ihre Wirkung messbar macht. Sind auch Sie am 22. Oktober dabei? Wir freuen uns auf Ihre Teilnahme!

Bildlegende: mit KI generiertes Bild