Die Kennzeichnungspflicht für Anrufe aus dem Ausland mit gespooften Schweizer Nummern wirkt. Seit ihrer Ausweitung auf Mobilfunknummern gingen die Meldungen zu betrügerischen Behördenanrufen im Juli 2026 gegenüber den Vormonaten um mehr als 75 Prozent zurück. Das ist ein Erfolg einer konkreten Kontrolle.
Für die Führung eines Unternehmens ist daraus aber keine Entwarnung ableitbar. Das Bundesamt für Cybersicherheit verzeichnete im ersten Halbjahr 2026 weiterhin 27’128 freiwillige Meldungen und 200 meldepflichtige Cybervorfälle bei kritischen Infrastrukturen. Betrug bleibt ein Massengeschäft. Zugleich werden Angriffe durch Datenlecks, Suchmaschinenplatzierungen und künstliche Intelligenz persönlicher und glaubwürdiger.
Eine Kennzahl misst eine Kontrolle, nicht das Gesamtrisiko
Die niedrigere Zahl betrifft eine klar abgegrenzte Betrugsmasche: Anrufe im Namen von Behörden mit manipulierten Schweizer Nummern. Sie sagt nicht, dass Identitätsmissbrauch, Social Engineering, Phishing, kompromittierte Konten oder Zahlungsbetrug im gleichen Umfang zurückgehen.
Genau diese Trennung gehört in jedes Management-Reporting. Eine Kennzahl zeigt zuerst den Effekt der Massnahme, die sie beeinflusst. Das Restrisiko ergibt sich aus den noch möglichen Angriffswegen, den geschützten Geschäftsprozessen und der Fähigkeit, einen Vorfall zu erkennen und zu bewältigen.
Das Reporting braucht drei Ebenen
Berichten Sie nicht nur eine sinkende Vorfallszahl. Machen Sie sichtbar, welche Kontrolle wirkt, welche Angriffswege offen bleiben und wie die Organisation reagieren kann. Bei Zahlungsfreigaben, Kundendaten und privilegierten Identitäten sind dafür zum Beispiel Mehr-Augen-Prinzip, starke Authentisierung, Erkennung ungewöhnlicher Muster und eine geübte Eskalation relevant.
Die Kennzeichnungspflicht ist ein gutes Beispiel für wirksame Prävention. Sie ersetzt weder die Steuerung des Restrisikos noch die Resilienz der kritischen Geschäftsprozesse.
Konsequenz
Wenn eine Kontrollkennzahl deutlich besser wird, fragen Sie nicht nur nach dem Erfolg. Fragen Sie auch: Welches Risiko wurde konkret reduziert, welches nicht und woran erkennen wir das rechtzeitig? Erst diese Antwort macht Cyber-Reporting entscheidungsfähig.
Quellen
Autor
Dieser Beitrag stammt von Martin Bischoff, Interim CIO/CISO für regulierte Organisationen in der DACH-Region und Herausgeber von STOP.LI. Für die Umsetzung steht seine Gesellschaft 4T2 Solutions GmbH zur Verfügung.
Comments are closed