Cyber-Angriffe: Was seit 2013 geschah und was du tun kannst

Erstmals erschienen im Februar 2013, im Oktober 2026 neu geschrieben.

Im Februar 2013 war dies ein kurzer Kommentar. Anlass war eine Meldung vom Januar 2013: Das amerikanische Verteidigungsministerium wollte sein Cyber-Kommando von rund 900 auf gegen 5000 Stellen ausbauen. In der Schweiz lag zur Strategie vom Juni 2012 damals noch kein Umsetzungsplan vor. Der Bundesrat verabschiedete ihn im Mai 2013. Der Titel meinte: Wer erst morgen anfängt, ist zu spät. Das stimmt weiterhin. Geändert hat sich, wie viel inzwischen geschehen ist und wen die Angriffe treffen.

Was der Bund seither aufgebaut hat

• 2012 verabschiedete der Bundesrat die erste Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken.
• 2018 folgte die zweite Strategie für die Jahre 2018 bis 2022. In dieser Zeit entstand das Nationale Zentrum für Cybersicherheit als Anlaufstelle für Bevölkerung und Wirtschaft.
• 2023 trat die Nationale Cyberstrategie an ihre Stelle, die Bund und Kantone gemeinsam tragen.
• 2024 wurde aus dem Zentrum ein eigenes Bundesamt, das Bundesamt für Cybersicherheit (BACS).
• 2025 kam die Meldepflicht: Betreiber kritischer Infrastrukturen müssen Cyber-Angriffe seit dem 1. April 2025 innert 24 Stunden nach der Entdeckung dem BACS melden, etwa wenn der Betrieb gefährdet ist, Daten abgeflossen sind oder erpresst wird.

Für alle anderen ist die Meldung freiwillig. Das BACS nimmt sie über ein Formular auf seiner Website entgegen und veröffentlicht laufend, welche Betrugsmaschen und Angriffe gerade gemeldet werden.

Wen die Angriffe treffen

2013 dachte man bei Cyber-Angriffen an Staaten, Banken und Kraftwerke. Heute trifft es ebenso Gemeinden, Arztpraxen, Handwerksbetriebe und Vereine. Der Grund ist einfach: Viele Angriffe gelten nicht einem bestimmten Opfer. Programme suchen das Netz automatisch nach bekannten Schwachstellen ab und nehmen, was sie finden.

«Bei uns ist nichts zu holen» schützt darum nicht. Eine kleine Website wird nicht ihres Inhalts wegen übernommen, sondern weil sich über sie Spam versenden, Schadcode verteilen oder Besucher umleiten lassen.

Was du für deine Website tust

Die wirksamsten Massnahmen sind unspektakulär und seit Jahren dieselben.

1. Updates einspielen. Viele Einbrüche nutzen Lücken, für die es längst eine Korrektur gibt. Das gilt für das Redaktionssystem, das Theme und jedes Plugin.
2. Weniger installieren. Jede Erweiterung ist eine mögliche Lücke. Was du nicht brauchst, wird gelöscht und nicht nur deaktiviert.
3. Zugänge sichern. Für jeden Dienst ein eigenes, langes Passwort aus einem Passwortmanager, dazu die Anmeldung in zwei Schritten, wo sie angeboten wird.
4. Rechte knapp halten. Jede Person hat ein eigenes Konto und nur die Rechte, die sie braucht. Konten von Ehemaligen werden gelöscht.
5. Sichern und zurückspielen. Eine Sicherung liegt an einem anderen Ort als die Website, und du hast mindestens einmal geprüft, dass sie sich einspielen lässt.

Wie wir Updates, Plugins und Sicherungen bei WordPress handhaben, steht auf unserer Seite zu WordPress.

Wenn es passiert ist

Ein Einbruch zeigt sich oft spät: Besucher landen auf fremden Seiten, der Hoster sperrt das Konto, oder Google warnt vor der Website.

1. Informiere deinen Hoster und die Person, die deine Website betreut.
2. Lass den Schadcode suchen und entfernen. Eine Sicherung, die sicher aus der Zeit vor dem Einbruch stammt, kann dabei helfen. Hol danach alle Updates nach.
3. Prüfe alle Computer, von denen aus die Website betreut wird, auf Schadsoftware.
4. Ändere erst danach alle Passwörter: Hosting, Redaktionssystem, Datenbank, E-Mail.
5. Melde den Vorfall dem BACS. Bei finanziellem Schaden oder Erpressung gehört eine Anzeige bei der Polizei dazu.

Eine Sicherung, die es nicht gibt, lässt sich in diesem Moment nicht mehr nachholen.

• Datenschutz
• Datensicherheit