Gestohlene Zugangsdaten: die Tür, die Angreifer am häufigsten nutzen
Die meisten Angriffe beginnen nicht mit einer spektakulären Technik. Sie beginnen damit, dass sich jemand anmeldet.
Veröffentlicht am 16.10.2026
33 %
der Datenpannen in kleinen und mittleren Organisationen betrafen gestohlene Zugangsdaten (Verizon DBIR 2025, weltweite Daten)
> 1/3
der Schweizer KMU verwenden Passwörter für mehrere Dienste wieder (FHNW, 2024)
73
Fälle von Business-E-Mail-Compromise im zweiten Halbjahr 2025, gegenüber 49 im Vorjahr
Zugangsdaten als Einstieg
Im Verizon-Bericht 2025 waren gestohlene Zugangsdaten an 33 % der Datenpannen in kleinen und mittleren Organisationen beteiligt, Ransomware an 88 %. Das sind weltweite, keine Schweizer Zahlen, doch sie decken sich mit dem, was die Schweizer Behörden beschreiben.
Dasselbe Muster in der Schweiz
Die FHNW-Studie stellt fest, dass mehr als ein Drittel der KMU Passwörter für mehrere Dienste wiederverwendet und Passwortmanager wenig genutzt werden. Im ersten Halbjahr 2026 beobachtete das BACS mehr Microsoft-365-Phishing, das auf die Übernahme geschäftlicher Postfächer zielt, teils unter dem Vorwand, der IT-Support oder eine Führungskraft zu sein.
Eine Frage des Zugriffs, nicht nur der Technik
Wer worauf Zugriff hat, ob Multi-Faktor-Authentifizierung aktiv ist, was geschieht, wenn jemand die Rolle wechselt oder geht: Das sind Fragen zu Identitäten und Zugriffen. Sie sind vor allem organisatorisch, und hier kann ein kleines Unternehmen als Erstes ansetzen. Das BACS empfiehlt Multi-Faktor-Authentifizierung und aktuelle Systeme.
Identitäts- und Zugriffsmanagement ist nicht nur etwas für grosse Konzerne. Ein kurzer Überblick darüber, wer worauf zugreifen kann, ist ein sinnvoller erster Schritt.
Quellen
- Verizon · 2025 DBIR, SMB snapshot · 2025
- KMU-Portal (SECO) · FHNW Cyberstudie 2024 · 27.11.2024
- BACS / NCSC · Semi-Annual Report 2026/1 · 24.08.2026
- KMU-Portal (SECO) · BACS Halbjahresbericht 2025/2 · 06.05.2026
Wir fassen zusammen, wir geben nicht wieder. Quellen abgerufen am 16.10.2026. Diese Texte informieren: Sie sind keine Rechtsberatung, und eine Durchschnittszahl sagt nicht voraus, was einem bestimmten Unternehmen passiert.