Jetzt droht die perfekte Phishing-Welle

Hacker klauen Daten der Bundes-Pensionskasse

Jetzt droht die perfekte Phishing-Welle

Nach dem Datenabfluss bei Pensionskassen und Onlineportalen droht eine neue Dimension des Betrugs. Weil künstliche Intelligenz massgeschneiderte Mails schreibt, bieten nur noch wenige Tipps Schutz.

Publiziert: vor 16 Minuten

Aktualisiert: 21.10.2026 um 14:05 Uhr

Die Zusammenfassung von Blick+-Artikeln ist unseren Nutzern mit Abo vorbehalten. Melde dich bitte an, falls du ein Abo hast.

Wer die Website der Pensionskasse des Bundes besucht, findet dort folgende Meldung: «Ihr Vorsorgeguthaben ist sicher. Ihre Rente ist sicher.» Die PK Publica will beruhigen, denn sie hat letzte Woche bekannt gegeben, dass ihr Softwaredienstleister Opfer einer Cyberattacke wurde. Hunderte Gigabytes an Daten sind abgeflossen. Laut «Tages-Anzeiger» geht der Hack auf das Konto von Akira. Die Hackerbande erpresste bereits letztes Jahr erfolgreich Lösegeld vom bundeseigenen Rüstungskonzern Ruag.

RMS

Artikel aus dem «Beobachter»

Das ist ein Beitrag aus dem «Beobachter». Das Magazin berichtet ohne Scheuklappen – und hilft Ihnen, Zeit, Geld und Nerven zu sparen.

Probieren Sie die Mobile-App aus!

RMS

Das ist ein Beitrag aus dem «Beobachter». Das Magazin berichtet ohne Scheuklappen – und hilft Ihnen, Zeit, Geld und Nerven zu sparen.

Probieren Sie die Mobile-App aus!

Die Nachricht vom Angriff auf die Pensionskasse kam in einer turbulenten Woche. Auch der Onlinehändler Ricardo und das Magazin «Republik» waren gehackt worden. Spätestens seit letzter Woche ist klar: Selbst wenn die Gelder sicher sind, die Daten sind es nicht mehr.

Phishing-Attacken sind kaum zu durchschauen

Aber nicht nur private Telefonnummern und E-Mail-Adressen sind in der KI-dominierten Welt so etwas wie Allgemeingut geworden. Diese Daten helfen dabei, Phishing-Attacken zu perfektionieren.

«Wer Daten wie die AHV-Nummer, IBAN oder Vorsorgeguthaben hat, kann Phishing-Attacken lancieren, die kaum zu durchschauen sind», sagt Erik Schönenberger. Er ist Co-Geschäftsleiter und Mitbegründer der Digitalen Gesellschaft, die sich für Bürger- und Konsumentenschutz im digitalen Raum einsetzt. Zuvor war er zehn Jahre in der IT-Security tätig.

Mails als Einfallstor

Das grösste Einfallstor für Kriminelle sind laut Schönenberger E-Mails: «Dort kommt alles zusammen, was Phishing-Attacken vereinfacht.» Signaturen und Absender lassen sich problemlos fälschen, echt wirkende Links genauso. Mit dem Wissen aus den gehackten Daten können die Mails äusserst authentisch wirken. Schönenberger fügt an: «Und anders als noch vor wenigen Monaten kommen die Mails praktisch fehlerfrei daher.» Der KI sei Dank.

Bis vor kurzem war Schönenberger überzeugt: Eine Phishing-Mail oder -Website würde er auf den ersten Blick erkennen. Das hat sich geändert: «Mit KI können Cyberkriminelle so täuschend echte Websites oder Mails einrichten, dass sie optisch nicht mehr als Phishing-Attacken erkennbar sind.»

Wie also mit der Gefahr umgehen? Schönenberger rät: erst einmal nicht reagieren. Wenn E-Mails oder Anrufe Dringlichkeit suggerieren, sei das ein Warnsignal. Er sagt: «Wirkt eine Mail am nächsten Tag immer noch authentisch, sollte man Absender und Informationen über einen zweiten Kanal verifizieren» – zum Beispiel mit einem Anruf bei der Bank oder dem Unternehmen, von dem die E-Mail angeblich stammt. Nie sollte man einen Link oder Anhang öffnen, denn so könne man sich Malware einfangen, die auf dem Computer installiert wird und im schlimmsten Fall zusätzliche Informationen stehlen könne.

5 Tipps, wie du Phishing vermeidest

Nulltoleranz bei Links in E-Mails oder SMS

Klicke niemals auf einen Link in einer E-Mail oder SMS, um sich irgendwo einzuloggen. Tippe die Adresse deiner Bank, der Post oder der Pensionskasse immer manuell in den Browser ein oder nutze die offizielle Smartphone-App.

Beim Stichwort «dringend» ist Vorsicht angebracht

Sei extrem skeptisch, wenn eine Nachricht disch unter starken Zeitdruck setzt oder Angst schüren will. Vor allem bei E-Mails, aber auch bei ungewöhnlichen finanziellen Bitten am Telefon oder Schockanrufen von «Angehörigen»: Lege auf und rufe die Person unter ihrer normalen Nummer selbst an.

Zwei-Faktor-Authentifizierung einrichten

Richte, wo immer möglich, eine Zwei-Faktor-Authentifizierung oder noch besser einen Passkey ein. Ein Passkey ist eine passwortlose Anmeldemethode, die auf kryptografischen Schlüsseln basiert und durch Gesichtserkennung, Fingerabdruck oder PIN freigegeben werden kann. Ein Passwort allein, auch ein sehr sicheres, reicht heute nicht mehr aus.

Zwei-Kanal-Verifizierung anwenden

Wenn du per Mail nach Passwörtern oder Zugangsdaten gefragt werden, verifiziere dies konsequent über einen anderen Kanal. Rufe die Person auf einer dir bereits bekannten Telefonnummer an oder frage persönlich nach.

Achten Sie auf Emotionen statt Fehler

Mittels KI können Cyberkriminelle heute täuschend echte Websites und Mails generieren. Achte daher auf den Tonfall: Sei extrem skeptisch, wenn eine Nachricht dich unter starken Zeitdruck setzt oder Angst schüren will.

Nulltoleranz bei Links in E-Mails oder SMS

Klicke niemals auf einen Link in einer E-Mail oder SMS, um sich irgendwo einzuloggen. Tippe die Adresse deiner Bank, der Post oder der Pensionskasse immer manuell in den Browser ein oder nutze die offizielle Smartphone-App.

Beim Stichwort «dringend» ist Vorsicht angebracht

Sei extrem skeptisch, wenn eine Nachricht disch unter starken Zeitdruck setzt oder Angst schüren will. Vor allem bei E-Mails, aber auch bei ungewöhnlichen finanziellen Bitten am Telefon oder Schockanrufen von «Angehörigen»: Lege auf und rufe die Person unter ihrer normalen Nummer selbst an.

Zwei-Faktor-Authentifizierung einrichten

Richte, wo immer möglich, eine Zwei-Faktor-Authentifizierung oder noch besser einen Passkey ein. Ein Passkey ist eine passwortlose Anmeldemethode, die auf kryptografischen Schlüsseln basiert und durch Gesichtserkennung, Fingerabdruck oder PIN freigegeben werden kann. Ein Passwort allein, auch ein sehr sicheres, reicht heute nicht mehr aus.

Zwei-Kanal-Verifizierung anwenden

Wenn du per Mail nach Passwörtern oder Zugangsdaten gefragt werden, verifiziere dies konsequent über einen anderen Kanal. Rufe die Person auf einer dir bereits bekannten Telefonnummer an oder frage persönlich nach.

Achten Sie auf Emotionen statt Fehler

Mittels KI können Cyberkriminelle heute täuschend echte Websites und Mails generieren. Achte daher auf den Tonfall: Sei extrem skeptisch, wenn eine Nachricht dich unter starken Zeitdruck setzt oder Angst schüren will.

Deine Daten sind Kollateralschaden

Für Schönenberger sind die Daten von Privatpersonen vor allem Kollateralschäden. Cyberkriminelle hätten es in erster Linie auf IT-Systeme der öffentlichen Verwaltung und grosser Unternehmen abgesehen. «Wegen der grossen Datenmenge und weil dort Erpressungen möglich sind, sind solche Plattformen für Cyberkriminelle ein lukrativeres Ziel als Privatpersonen.» Das zeigte vor wenigen Wochen unter anderem ein grosser Angriff auf die Stadt Berlin, bei dem Hacker die gestohlenen Daten im Darknet veröffentlichten, nachdem Berlin eine Lösegeldzahlung verweigert hatte. Oder eben jener auf die bundeseigene Pensionskasse durch das Hackerkollektiv Akira. Laut «Tages-Anzeiger» ist derweil eine Lösegeldforderung beim Bund eingegangen.

Gut möglich, dass es nicht der letzte erfolgreiche Angriff war. Erst letzte Woche zeigte der Beobachter, dass viele Plattformen des Bundes nur ungenügend auf Cyberattacken vorbereitet sind.

Quellen

Externe Inhalte

Möchtest du diesen und weitere externe Beiträge (z.B. Instagram, X und anderen Plattformen) sehen? Wenn du zustimmst, können Cookies gesetzt und Daten an externe Anbieter übermittelt werden. Dies ermöglicht die Anzeige externer Inhalte sowie von personalisierter Werbung. Deine Entscheidung gilt für die gesamte App und ist jederzeit in den Einstellungen widerrufbar.