Um seine Online-Konten abzusichern, empfiehlt das Bundesamt für Cybersicherheit (BACS) drei Massnahmen: ein Passwort mit mindestens 12 Zeichen, das für jeden Dienst anders ist, einen Passwort-Manager und die Zwei-Faktor-Authentifizierung überall dort, wo sie angeboten wird. Diese Regeln gelten für Privatpersonen ebenso wie für Schweizer KMU, denn ein einziges gestohlenes Login kann mehrere Konten öffnen.

Diese Seite bietet einen Überblick über den Schutz von Zugängen. Sie ergänzt die Grundmassnahmen der KMU-Cybersicherheit und die Rubrik zum Thema sein Unternehmen schützen. Sie unterscheidet zwischen dem, was Behörden und Fachleute sagen, und unserer eigenen Analyse.

Kennzahlen

  • Mindestens 12 Zeichen für ein Passwort, mit Gross- und Kleinbuchstaben, Ziffern und Sonderzeichen, gemäss BACS.
  • Mindestens 20 Zeichen für ein WLAN-Passwort, empfiehlt das BACS.
  • Passwortdiebstahl spielt bei rund einem Drittel der Vorfälle in Schweizer KMU eine Rolle, so die Studie «Cybersicherheit in KMU 2026».
  • Am 19. Oktober 2026 veröffentlichte das BACS «Fünf Schritte für eine sichere Authentifizierung».
  • Vom 17. bis 19. Oktober 2026 nutzte ein Eindringling die Zugangsdaten eines Benutzers, um Daten im Portal MySIHF des Schweizerischen Eishockeyverbands einzusehen.

Was ist ein sicheres Passwort?

Ein sicheres Passwort ist lang, unvorhersehbar und gehört zu einem einzigen Dienst. Auf seiner Seite zum Schutz von Geräten und Zugängen legt das BACS die Schwelle bei 12 Zeichen fest. Es verlangt, Gross- und Kleinbuchstaben, Ziffern und Sonderzeichen zu mischen.

Die nationale Sensibilisierungskampagne S-U-P-E-R.ch fügt eine einfache Regel hinzu: persönliche Informationen vermeiden, etwa ein Geburtsdatum oder den Namen einer nahestehenden Person. Das Programm «eBanking – aber sicher!» der Hochschule Luzern erinnert an den Grundsatz: Je unvorhersehbarer, komplexer und länger ein Passwort ist, desto sicherer ist es.

Warum ein eigenes Passwort für jedes Konto?

Ein wiederverwendetes Passwort macht aus einem einzigen Datenleck mehrere Einbrüche. In einer Publikation vom 20. April 2026 erklärt das BACS den Mechanismus: Nach einem Datendiebstahl prüft ein automatisiertes Werkzeug, ob das Passwort auch auf anderen Plattformen funktioniert.

Ein Passwort abzuwandeln genügt nicht: Wer eine Ziffer ändert oder ein Zeichen hinzufügt, erzeugt eine Folge, die Angreifer zu rekonstruieren wissen, heisst es im selben Text.

Das E-Mail-Konto verdient die grösste Aufmerksamkeit. Über dieses laufen die Anfragen zum Zurücksetzen der anderen Dienste, betont das BACS. Unsere Analyse: Wer zuerst die E-Mail-Adresse schützt, schützt indirekt alle damit verknüpften Konten.

Braucht es einen Passwort-Manager?

Ja, gemäss BACS, das ihn empfiehlt, um für jeden Dienst ein eigenes Passwort zu führen. Ein Passwort-Manager erstellt, speichert und fügt komplexe Passwörter ein. Er erspart es, sich Dutzende von Kombinationen zu merken.

Seine Grenze liegt beim Master-Passwort. Ist es schwach und gerät es in falsche Hände, öffnet es den Zugang zu allen gespeicherten Passwörtern, warnt das Amt. Das BACS rät zudem, einen Manager zu wählen, der selbst die Zwei-Faktor-Authentifizierung unterstützt. 2clics empfiehlt keine Marke.

Wie funktioniert die Zwei-Faktor-Authentifizierung?

Die Zwei-Faktor-Authentifizierung, auch doppelte Authentifizierung genannt, fügt nach dem Passwort eine zweite Prüfung hinzu. Ein Eindringling, der das Passwort kennt, muss auch diesen Schritt noch überwinden.

Die Kampagne S-U-P-E-R.ch nennt mehrere Formen des zweiten Faktors: einen Code, der per SMS eintrifft oder von einer Authentifizierungs-App erzeugt wird, eine Benachrichtigung auf dem Smartphone oder eine biometrische Bestätigung per Fingerabdruck oder Gesichtserkennung. Laut dieser Kampagne verhindert dieser Schritt selbst bei einem gestohlenen Passwort fast jeden unbefugten Zugriffsversuch.

SMS-Code, App oder Passkey: Was wählen?

Die Wahl hängt vom Dienst ab, denn jeder bietet seine eigenen Methoden an. Die Tabelle fasst zusammen, was die offiziellen Quellen zu den einzelnen Mitteln sagen.

MittelFunktionsweiseWas die Quellen sagen
Code per SMSNach dem Passwort trifft ein Einmalcode auf dem Telefon einDas Mobilfunknetz dient als zusätzlicher Kanal, was das Abfangen erschwert (eBanking – aber sicher!)
Authentifizierungs-AppDie App erzeugt einen Code, der kurze Zeit gültig istUnter den empfohlenen zweiten Faktoren genannt (S-U-P-E-R.ch)
Benachrichtigung auf dem SmartphoneDer Benutzer bestätigt die Anmeldung auf seinem GerätUnter den empfohlenen zweiten Faktoren genannt (S-U-P-E-R.ch)
Zugangsschlüssel (Passkey)Ein kryptografisches Schlüsselpaar, verbunden mit BiometrieSoll das Passwort ersetzen (eBanking – aber sicher!)

Wer weiter gehen will: Der Leitfaden «Fünf Schritte für eine sichere Authentifizierung» des BACS vergleicht Passwort, Passkey und Chipkarte. Er schlägt vor, die Authentifizierungsmittel nach der Sicherheit einzustufen, die sie bieten.

Schützt die Zwei-Faktor-Authentifizierung vor allem?

Nein. Sie schützt nicht vor Echtzeit-Phishing, warnte das Nationale Zentrum für Cybersicherheit (NCSC) in einem Wochenrückblick, der am 14. Februar 2023 veröffentlicht wurde und weiterhin auf der Website des BACS abrufbar ist.

Der beschriebene Mechanismus ist einfach. Eine gefälschte Anmeldeseite nimmt das Passwort entgegen. Die Betrüger geben es sofort auf der echten Seite ein, was den Versand des Codes auslöst. Das Opfer tippt diesen Code anschliessend auf der gefälschten Seite ein, und die Angreifer verwenden ihn umgehend.

Das Beispiel, von einer Gemeinde gemeldet, zielte auf Konten von Microsoft Office 365, die mit zwei Faktoren geschützt waren. Die Abwehr bleibt dieselbe: nie ein Passwort auf einer Seite eingeben, die über einen per E-Mail oder SMS erhaltenen Link geöffnet wurde.

Das BACS fügt einen Reflex hinzu: die Adresse der Bank oder des E-Mail-Dienstes selbst eintippen, nie über eine Google-Suche, wo Anzeigen zu einer Nachahmung führen können.

Wie erkennt man, ob ein Konto kompromittiert ist?

Das erste Anzeichen kommt oft spät: Man kann sich plötzlich nicht mehr anmelden, stellt das BACS fest. Andere Warnsignale zeigen sich früher:

  • Anmeldeversuche von ungewöhnlichen Orten oder zu ungewöhnlichen Zeiten;
  • Einstellungen, die ohne Ihr Zutun geändert wurden;
  • Nachrichten, die von Ihrem Konto aus versendet wurden und die Sie nicht geschrieben haben;
  • Einmalcodes, die Sie erhalten, ohne sie angefordert zu haben, und die gemäss «eBanking – aber sicher!» sofort der eigenen Bank zu melden sind.

Auch Anmeldewarnungen selbst können gefälscht sein. Betrüger ahmen sie nach, um zum Klick auf einen Phishing-Link zu verleiten, warnt das BACS. Besser ist es, den Dienst durch Eintippen seiner Adresse zu öffnen und das Konto von dort aus zu überprüfen. Das Amt nennt zudem das Tool von iBarry zur Überprüfung von Datenlecks, das die mit einer E-Mail-Adresse verknüpften Passwörter kontrolliert.

Was tun, wenn ein Konto gehackt wurde?

Man muss schnell und in der richtigen Reihenfolge handeln. Das BACS beschreibt diese Schritte auf seiner Seite zu gehackten Konten:

  • sofort das Passwort ändern, wenn der Zugang noch funktioniert;
  • umgehend den Anbieter kontaktieren, wenn es sich um eine Bank oder einen Finanzdienst handelt;
  • andernfalls die Zurücksetzung nutzen, die oft an eine hinterlegte alternative E-Mail-Adresse gesendet wird;
  • wurde auch diese Adresse geändert, das Wiederherstellungsverfahren des Anbieters befolgen, das eine Bestätigung der eigenen Identität verlangt;
  • danach die Zwei-Faktor-Authentifizierung aktivieren, die eigenen Geräte aktualisieren und ein Antivirenprogramm laufen lassen.

Ein gehacktes E-Mail-Konto erfordert eine zusätzliche Kontrolle. Die Betrüger richten oft eine Regel ein, die E-Mails an sie weiterleitet, selbst nach der Änderung des Passworts. Das BACS rät, diese Regel zu löschen, die mit dieser Adresse verknüpften Dienste zurückzusetzen und die eigenen Kontakte zu warnen.

Bei einem finanziellen Schaden empfiehlt das Amt, Anzeige bei der Kantonspolizei zu erstatten. In den folgenden Wochen ist besondere Wachsamkeit gegenüber gezielten Phishing-Versuchen geboten.

Unsere Analyse: Die Wiederherstellungsmittel bereitet man vor dem Vorfall vor. Eine aktuelle Ersatzadresse und allfällige Notfallcodes, die ausserhalb des Telefons aufbewahrt werden, wie es «eBanking – aber sicher!» für Zugangsdaten empfiehlt, verhindern, dass man ausgesperrt bleibt. Für ein Unternehmen gehören diese Schritte in einen Reaktionsplan für Cyberangriffe.

Welche Regeln gelten für die Absicherung der Konten eines KMU?

Ein KMU braucht schriftliche Regeln, nicht nur gute Gewohnheiten. «eBanking – aber sicher!» schlägt eine Passwortrichtlinie in vier Schritten vor: alle geschützten Zugänge auflisten, Regeln festlegen, deren Einhaltung kontrollieren und die Mitarbeitenden sensibilisieren.

Diese Richtlinie stellt gemäss dem Luzerner Programm mehrere Grundsätze auf:

  • ein Passwort bleibt persönlich und wird nie geteilt;
  • es wird stets verschlüsselt aufbewahrt und übermittelt;
  • das Unternehmen stellt seinem Personal einen Passwort-Manager zur Verfügung;
  • die Systeme verhindern, dass alte Passwörter wieder aktiviert werden;
  • die Zwei-Faktor-Authentifizierung schützt die Änderung des Passworts.

Die Kampagne S-U-P-E-R.ch ergänzt die Verwaltung der Berechtigungen. Jede Mitarbeiterin und jeder Mitarbeiter erhält nur die Zugänge, die für die eigene Rolle nötig sind. Die Rechte werden entzogen, sobald eine Person das Unternehmen verlässt oder die Stelle wechselt, und regelmässig überprüft.

Das BACS zählt sichere Passwörter und die Mehr-Faktor-Authentifizierung zu seinen organisatorischen Massnahmen. Diese Regeln zählen umso mehr, wenn sich das Team von ausserhalb verbindet, wie unsere Seite zu Homeoffice und IT-Sicherheit ausführt.

Datiertes Beispiel: Vom 17. bis 19. Oktober 2026 meldete sich ein Eindringling mit den Zugangsdaten eines Benutzers beim Portal MySIHF der Swiss Ice Hockey Federation an. Der Verband stellte am 26. Oktober fest, dass die eingesehenen Daten in einem Forum zum Verkauf angeboten wurden. Unsere Analyse: Ein einziges missbrauchtes Konto genügte, was die Zwei-Faktor-Authentifizierung für jeden Zugang zu Daten Dritter rechtfertigt.

Die Schulung vervollständigt das Dispositiv: S-U-P-E-R.ch regt Workshops zu Passwort-Managern und zur Zwei-Faktor-Authentifizierung an. Unsere Seite zur Sensibilisierung für Cybersicherheit beschreibt die Methoden, und ein KMU-Cybersicherheitstest hilft, den eigenen Ausgangspunkt zu bestimmen.

Quellen