Seit Anfang 2026 müssen Telekomanbieter auf Veranlassung des Bundesamts für Kommunikation Festnetznummern bei Verdacht auf betrügerischen Missbrauch als «unbekannt» kennzeichnen oder in eindeutigen Fällen ganz blockieren. Seit dem 1. Juli 2026 gilt dies auch für Mobilnummern. Das wirkt: Im Juli gingen die Meldungen über betrügerische Anrufe im Namen von Behörden um über 75 Prozent zurück. Trotz dieses Lichtblicks gibt es an der Cyberkriegsfront keine Ruhe: Im ersten Halbjahr 2026 gingen beim Bundesamt für Cybersicherheit BACS 27'128 freiwillige Meldungen und 200 Meldungen im Rahmen der Meldepflicht zu Angriffen auf kritische Infrastrukturen ein. Der neue Halbjahresbericht 2026/1 des BACS zeigt zudem, wie Cyberkriminelle Künstliche Intelligenz KI für personalisierte Angriffe einsetzen.

Cyberbetrug bleibt trotz des Rückgangs der betrügerischen Anrufe dominant

Anrufe, bei denen sich Betrüger als Behördenvertreter ausgeben und unter einer Schweizer Nummer anrufen, gehörten in den vergangenen Jahren zu den am häufigsten gemeldeten Vorfällen beim Bundesamt für Cybersicherheit BACS. Von Januar bis Juni 2026 gingen diesbezüglich regelmässig über 400 Meldungen pro Monat ein. Mit der Ausweitung der Kennzeichnungspflicht auf Mobilfunknummern per 1. Juli 2026 ist die Zahl der Meldungen im Juli auf unter 100 gefallen: Das ist ein Rückgang um mehr als 75 Prozent gegenüber den Vormonaten. Bereits die erste Einführungsphase der den Telekomanbietern auferlegten Kennzeichnungspflicht im Januar 2026 für Festnetznummern hatte einen ersten sinkenden Effekt gezeigt.

Aber: Trotz des Rückgangs bei betrügerischen Anrufen im Namen von Behörden bleibt der Meldeeingang mit 27'128 freiwilligen Meldungen sowie 200 meldepflichtigen Cybervorfällen hoch. Und: Cyberbetrug bleibt trotz des Rückgangs der betrügerischen Anrufe als lukratives Massengeschäft dominant.

Individualisierung der Cyberangriffe dank Künstlicher Intelligenz KI

Der neue Halbjahresbericht 2026/1 des BACS zeigt auf, dass die Individualisierung und der Einsatz von Künstlicher Intelligenz KI weiter voranschreiten. Kleinanzeigenplattformen, gezielte Suchmaschinenplatzierungen und Datenlecks dienen Cyberkriminellen zunehmend als Kontakt zu ihren Opfern, die sie mit persönlichen, emotionalen und teils technisch ausgefeilten Methoden ansprechen. Cyberangreifer setzen dabei systematisch KI ein, um massgeschneiderte, personalisierte Inhalte glaubwürdig zu vermitteln. Insbesondere Stellensuchende gerieten in dieser Berichtsperiode gezielt ins Visier und wurden mit vermeintlichen Traumjobs oder Investitionsvorhaben angelockt.

«Microsoft-365»-Phishing bei Schweizer Unternehmen

Grosse Kampagnen im Bereich von «CEO-Betrug» gegen Schulen, Gemeinden und Kirchen blieben in der Berichtsperiode 2026/1 aus. Das BACS verzeichnete hingegen im ersten Halbjahr 2026 zahlreiche Meldungen zu «Microsoft-365»-Phishing: Die Angreifer übernahmen dabei geschäftliche E-Mail-Accounts ihrer Opfer und imitierten insbesondere Führungspersonen sowie Mitarbeitende von Helpdesks, um Systeme zu kompromittieren oder direkt Finanztransaktionen auszulösen. Auch der Vorwand eines ausstehenden Sicherheits-Updates wurde vermehrt genutzt, um Schadsoftware zu verbreiten. Die Meldungen zu Ransomware-Angriffen stagnierten dagegen bei 79, zeigten aber eine deutliche Tendenz zur Diversifizierung und Fragmentierung der Ransomware-Familien.

Förderung der Cyberresilienz in einem politisierten internationalen Umfeld

In internationalen Konflikten hat sich Cybersabotage für einzelne Staaten zu einer praktikablen und zunehmend offen ausgeübten Aktivität entwickelt. Zwar gab es bislang keine gezielte Cybersabotage gegen kritische Schweizer Infrastrukturen. Jedoch müssen sich Schweizer Organisationen aufgrund der Nähe der Schweiz zu anderen westlichen Staaten und aufgrund ihrer wirtschaftlichen und politischen Verflechtung weiterhin darauf einstellen, ihre Widerstandsfähigkeit in einem zunehmend feindseligen Cyberbedrohungsumfeld zu behaupten.

Fallstudie eines Vorfalls in Polen

Die im Halbjahresbericht 2026/1 des BACS geschilderte Fallstudie eines Vorfalls in Polen erläutert diese Problematik: Am 29. Dezember 2025 führte eine koordinierte Angriffswelle auf die IT- und Betriebstechnologie mehrerer polnischer Anlagen zur Störung der Energie- und Wärmeversorgung. Die Ziele reichten von 30 Wind- und Photovoltaikparks über ein grosses Blockheizkraftwerk bis hin zu einem Fertigungsunternehmen. Die Angreifer nutzten zudem gestohlene Zugangsdaten, um in die Cloud-Dienste der Opfer einzudringen. Sie zielten in erster Linie auf die verteilten Steuerungssysteme ab, die zur Fernsteuerung der Infrastruktur dienen, und nicht auf die physischen Anlagen wie Turbinen oder Generatoren selbst.

200 Cybermeldungen im Rahmen der gesetzlichen Meldepflicht

Betreiberinnen von kritischen Infrastrukturen müssen Cyberangriffe innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit BACS obligatorisch melden. Im ersten Halbjahr 2026 sind beim BACS 200 derartige Meldungen eingegangen. Die meisten Meldungen stammen aus dem Verwaltungssektor mit 19.4 Prozent und von Unternehmen in der IT und Telekommunikation mit 18.6 Prozent.

Bei den gemeldeten Angriffsarten dominierten Hacking-Vorfälle mit rund 26 Prozent, gefolgt vom Diebstahl von Zugangsdaten mit 13.5 Prozent und Meldungen zu Datenabflüssen und DDoS-Angriffen mit je 12.7 Prozent.